Oracleデータベース監査：パフォーマンス・ガイドライン

Transcription

1 Oracle ホワイト ペーパー 2010 年 8 月 Oracle データベース監査 : パフォーマンス ガイドライン 1

2 はじめに アプリケーションに対する脅威が複雑化するのに伴い データベース監査がますます重要になっています 実際 Oracleデータベース監査の使用は過去 10 年の間に確実に増えており 今日では多くの組織で必要不可欠となっています Independent Oracle User Group(IOUG) を対象に行った調査によると 回答者の半分以上が何らかのレベルで標準のOracleデータベース監査を使用しているという結果が一貫して得られています データベース監査は一般に次の目的に使用されます 監査者に対して内部統制が監視されていることを証明する 監査者に対してデータベース環境の変化に関する報告を行う 不正アクティビティに対する抑止力として機能する データ侵害やその他の疑わしいアクティビティの調査を補助する セキュリティ制御を迂回しようとする行為を検出する データベース監査とは データベース内で発生するアクティビティを監視および記録することです Oracle データベース監査は 新規リリースのたびに強化され 現在では 個々のセキュリティ要件に合わせて微調整が可能で 高度にカスタマイズできる監査機能を提供しています Oracle9i Databaseでは ファイングレイン監査 (FGA) 機能が導入され 監査ポリシーをアプリケーション表と関連付けることができるようになりました Oracle Database 11gでの改良点としては IPアドレスなどの接続要因に基づく監査機能 および本番環境サーバー上の監査データに関するストレージおよび管理コストを削減する新しい組込みの管理機能があります セキュリティ ソリューションに関してもっともよくある質問はおそらく " パフォーマンス上のオーバーヘッドはどのくらいあるのか " という点です これは 特に応答時間と可用性が利益に影響を及ぼすOracle ユーザーからよく寄せられる質問です セキュリティ制御に関する機能はどれでもそうですが データベース監査の場合もシステム リソースが追加で必要になります このホワイト ペーパーでは Oracle データベースの監査ポリシーを有効にしたときの アプリケーションのスループットとCPUの使用状況への影響度を評価します Oracleデータベース監査による影響を把握するため 最初に Oracle 監査の構成について概説します 1

3 データベース監査の概要 Oracle 監査は2つの基本的なカテゴリ すなわち標準監査とファイングレイン監査 (FGA) に分けられます 標準監査では ユーザー 特権 スキーマ オブジェクト 文に基づいて監査を実行できます たとえば 特定のタイプのSQL 文 (create alter update deleteなど ) に基づいて監査を実行できます FGAでは データベースへの接続に使用されたIPアドレスやプログラム名などの要因に基づいて 条件に応じて特定のアプリケーション表の列に対するアクセスを監査できます Oracle Database 11gより導入されたOracle Database Configuration Assistant(Oracle DBCA) によって コンプライアンスと内部統制のためにオラクルが推奨する最小限の監査設定を自動的に構成できます これらの監査設定は 重要なセキュリティ関連のSQL 文や特権に関連付けられており Oracleセキュリティ関連文書に一覧が掲載されています Oracle DBCAによって作成されたデータベースは デフォルトで 以下の特権とSQL 文を監査の対象にします 表 1 - Oracle Database 11g デフォルトの監査設定 ALTER ANY PROCEDURE CREATE ANY TABLE GRANT ANY OBJECT PRIVILEGE ALTER ANY TABLE CREATE EXTERNAL JOB GRANT ANY PRIVILEGE ALTER DATABASE CREATE PUBLIC DATABASE GRANT ANY ROLE LINK ALTER PROFILE CREATE SESSION PROFILE ALTER SYSTEM CREATE USER PUBLIC SYNONYM ALTER USER DATABASE LINK ROLE AUDIT SYSTEM DROP ANY PROCEDURE SYSTEM AUDIT CREATE ANY JOB DROP ANY TABLE SYSTEM GRANT CREATE ANY DROP PROFILE LIBRARY CREATE ANY PROCEDURE DROP USER Oracle データベース監査証跡 Oracleデータベースは データベース表またはオペレーティング システム ファイルに対して監査レコードを書き込む機能を備えています 監査レコードをオペレーティング システム ファイルに書き込むよう選択した場合は オペレーティング システムに対して テキスト ベースのファイルまたはXML 形式のファイルに書き込むのか あるいはSYSLOG(UnixまたはLinuxの場合 ) またはEvent Viewer(Windows の場合 ) に直接書き込むのかを指示できます OracleデータベースOS 監査ファイルは テキスト ベース ( 拡張子.aud) またはXML 形式 ( 拡張子.xml) で出力できます 2

4 Oracle データベース監査証跡の構成 標準監査レコードを指示するデータベース パラメータ (<sid>init.ora) は次のとおりです 表 2 - Oracle データベース監査パラメータ パラメータ値説明 audit_trail DB 標準の監査内容を sys.aud$ 表に書き込む DB, EXTENDED OS XML XML, EXTENDED 標準の監査内容をSQLテキストおよびそのSQLで実行されたバインド変数の内容とともにsys.aud$ に書き込む標準の監査内容をテキスト ファイルに書き込む標準の監査内容とFGA 監査内容をXML 形式のファイルに書き込む標準の監査内容とFGA 監査内容を SQLテキストおよびバインド変数の内容とともにXML 形式のファイルに書き込む audit_sys_operations TRUE/FALSE トップレベルのすべてのSYSDBAおよびSYSOPER のアクティビティを監査する これらの監査レコードは audit_trailパラメータの設定に関係なく OS ファイルにのみ書き込まれる audit_syslog_level <FACILITY_CLAUSE. PRIORITY_CLAUSE> syslog のレベル情報を指定する audit_file_dest <OS_DIRECTORY> OS および XML 形式の監査ファイルを書き込む OS ディレクトリの場所を指定する FGAを使用すると 監査を実施するために必要な個々の条件を定義するポリシーを作成できます ファイングレイン監査を追加および削除するには DBMS_FGAパッケージを使用します FGA 監査ポリシーを使用すると 監視対象の特定の操作またはオブジェクトに監査ポリシーを適用できます FGAを使用するとセッション コンテキストまたはデータ値に基づいてデータ アクセスを監視できます FGAで提供される項目は次のとおりです ブール条件のチェック 指定したブール条件 ( たとえば 土曜日にアクセスされた表など ) が真の場合に監査が実行される 監査を起動したSQLテキストとバインド変数 機密列の厳重な保護 給与や社会保障番号などの機密情報を保持する個々の関連列を監査する イベント ハンドラ機能によって追加の処理を実行する 3

5 監査証跡管理 パフォーマンスとディスク領域を効率的に管理するには監査証跡レコードを適切に管理することが重要です DBMS_AUDIT_MGMTパッケージを使用すると 次の機能によって 監査証跡レコードを効率的に管理できます すべての監査証跡タイプに対してクリーンアップ操作を実行します 最新のアーカイブ タイムスタンプ値に基づいて監査証跡を消去します 最新のアーカイブ タイムスタンプとは 安全にアーカイブされた最新の監査レコードのタイムスタンプを指します データベースの監査証跡表をSYSTEM 表領域から移動します これにより SYSTEM 表領域の負荷が軽減され 最適化された表領域を監査レコード専用に使用できるので データベース全体のパフォーマンスが向上します オペレーティング システムとXML 監査ファイルを管理します 最大サイズや監査ファイルの作成時期などのプロパティを定義できます これにより OSおよびXML 形式の監査ファイルのサイズを制限できます 最適なパフォーマンスを実現するため オラクルでは データベース表およびOSファイルに書き込むとき 次に示す " 監査ベスト プラクティス " に従うことを推奨しています 領域管理の最適化 監査専用のユーザー定義の表領域 ( たとえば AUDSYS) を作成します 監査証跡表用に事前定義サイズ (1GB) のエクステントを設定しておきます 負荷分散 - 監査証跡表 sys.aud$ とsys.fga_log$ を この新しいユーザー定義の表領域に移動します OS 監査ファイル数の削減 - DBMS_AUDIT_MGMTパッケージを使用して OS 監査ファイルにより大きなファイル サイズ (100MB) を設定します パフォーマンス テストの結果 監査機能がオンの状態でOracleデータベースが使用するリソースを明示するために 監査レコードの書込み先 ( データベース表 sys.aud$ またはオペレーティング システム ファイル ) に基づいてテストを実行しました この書込み先には TPC-Cに類似したワークロードによって毎秒約 250 件の監査レコードが生成されるようにしました TPC-Cに類似したワークロードを使用したのは 複雑なアプリケーション環境における標準的なOLTPデータベース アクティビティが再現されるからです このワークロードは あらゆる業界に共通する複雑さを有する複数のタイプのトランザクションを同時に実行するものです マシン構成 Oracle Database Release を次の構成のハードウェアにインストールしました 3.40GHz Xeon CPU 4 基 4GBのメモリ x86_64 Linux データベースには次のパッチも適用しました 4

6 Oracle データベースによる OS フラッシュ コールが XML 監査の書込みのたびに起動されるのを抑制し ディスクへのフラッシュをオペレーティング システムに任せる ( ) XML 索引ファイルを削除する ( ) 監査によるパフォーマンス オーバーヘッド実世界のシナリオをシミュレートするため 監査を開始する前にシステム リソースの50% を使用する標準のワークロードを作成しました テストを実行するたびに 次の結果を記録しました スループット : 監査がオンになった後 トランザクションの実行にかかった時間の増分 CPU 使用率の増分 : 監査がオンになった後 計測されたCPU 使用率の増分標準のデータベース監査では Oracleデータベースの標準監査コマンドを使用して毎秒約 250の監査レコードを生成するテストを作成しました 表 3 - Oracle Database 標準監査証跡 (CPU システム負荷 50%) 監査証跡設定 スループット時間の増分 CPU 使用率の増分 OS 1.39% 1.75% XML 1.70% 3.51% XML, Extended 3.70% 5.26% DB 4.57% 8.77% DB, Extended 14.09% 15.79% FGA では DBMS_FGA パッケージを使用して毎秒約 200 の監査レコードを生成するテストを作成しました 監査ポリシーの条件では TPCC.ORDL 表に対して UPDATE または SELECT が実行され なおかつ client_ identifier の値が NULL のとき監査レコードが作成されるようにしました dbms_fga.add_policy ( object_schema => 'TPCC', object_name => 'ORDL', policy_name => 'Config_A', audit_condition => 'SYS_CONTEXT(''USERENV'',''CLIENT_IDENTIFIER'') IS NULL', statement_types => 'UPDATE, SELECT', audit_trail => DBMS_FGA.XML +DBMS_FGA.EXTENDED); 5

7 表 4 - Oracle Database ファイングレイン跡監査証跡 (CPU システム負荷 50%) 監査証跡設定 スループット時間の増分 CPU 使用率の増分 XML 3.66% 4.35% XML, Extended 4.62% 9.09% DB 6.60% 11.11% DB, Extended 9.61% 20% この結果から ( キャラクタ ベースであるかXMLベースであるかに関係なく ) 監査レコードをOSファイルに書き込む方法がシステム リソースへの影響がもっとも尐ないことが分かります テストでは 毎秒 200 件を超える監査レコードを生成しました 一般に これはほとんどの環境で生成される監査レコードの数を上回っています 監査レコードの書込み件数が毎秒 200 件を下回る場合は システム リソースの消費量も尐なくなります 結果はシステムによって異なるため ユーザー各自の環境でテストする必要があります 結論 アプリケーションに対する脅威はますます複雑化しており データベース監査は 疑わしい行為を検出するだけでなく 社内統制の証拠を監査者に提示するという点でも重要な役割を果たします Oracleデータベース監査を使用すると 監査証跡の量が非常に多い場合でも パフォーマンスに対する影響を最小限に抑えることができます 最適なパフォーマンスを実現するため オラクルでは データベース監査レコードをオペレーティング システム (OS) に書き込み OS 監査ファイルにより大きなファイル サイズを設定するよう推奨しています オラクルのセキュリティ関連文書には コンプライアンスと内部統制のために最小限の監査設定を行うベスト プラクティス推奨事項が記載されています データベース内の監査は 多層防御アーキテクチャの一部に組み込む必要があります 6

8 Oracleデータベース監査 : パフォーマンス ガイドライン 2010 年 8 月著者 :Tammy Bednar 共著者 : Oracle Corporation World Headquarters 500 Oracle Parkway Redwood Shores, CA U.S.A. 海外からのお問い合わせ窓口 : 電話 : ファクシミリ : Copyright 2010, Oracle and/or its affiliates.all rights reserved. 本文書は情報提供のみを目的として提供されており ここに記載される内容は予告なく変更されることがあります 本文書は一切間違いがないことを保証するものではなく さらに 口述による明示または法律による黙示を問わず 特定の目的に対する商品性もしくは適合性についての黙示的な保証を含み いかなるほかの保証や条件も提供するものではありません オラクルは本文書に関するいかなる法的責任も明確に否認し 本文書によって直接的または間接的に確立される契約義務はないものとします 本文書はオラクルの書面による許可を前もって得ることなく いかなる目的のためにも 電子または印刷を含むいかなる形式や手段によっても再作成または送信することはできません OracleおよびJavaはOracleおよびその子会社 関連会社の登録商標です その他の名称はそれぞれの会社の商標です AMD Opteron AMDロゴおよびAMD Opteronロゴは Advanced Micro Devicesの商標または登録商標です IntelおよびIntel Xeon はIntel Corporationの商標または登録商標です すべてのSPARC 商標はライセンスに基づいて使用されるSPARC International, Inc. の商標または登録商標です UNIXはX/Open Company, Ltd. によってライセンス提供された登録商標です 0110