Slide 1 - PDF Free Download

Oracle Direct Seminar <Insert Picture Here> CISSP が語る! バージョン毎の DB セキュリティの変遷と運用対策日本オラクル株式会社データベースソリューション本部田口裕也 CISSP

以下の事項は弊社の一般的な製品の方向性に関する概要を説明するものですまた情報提供を唯一の目的とするものでありいかなる契約にも組み込むことはできません以下の事項はマテリアルやコード機能を提供することをコミットメント ( 確約 ) するものではないため購買決定を行う際の判断材料になさらないで下さいオラクル製品に関して記載されている機能の開発リリースおよび時期については弊社の裁量により決定されます Oracle と Java は Oracle Corporation 及びその子会社関連会社の米国及びその他の国における登録商標です文中の社名商品名等は各社の商標または登録商標である場合があります Copyright 2010, Oracle. All rights reserved. 2

Oracle のデータベースセキュリティは多層防御監査とモニタリング (Auditing & Monitoring) Audit Vault Configuration Management Total Recall アクセス制御 (Access Control) 機密情報暗号化 & マスキングアクセス制御監査 & モニタリング Database Vault Label Security 暗号化とマスキング (Encryption & Masking) Advanced Security Secure Backup Data Masking Copyright 2010, Oracle. All rights reserved. 3

Oracle Database のライフタイムサポートポリシー http://www.oracle.com/support/library/brochure/lifetime-support-technology.pdf today R2 2012 年 8 月 2015 年 8 月 R2 2010 年 7 月 2011 年 7 月 2013 年 7 月 2009 年 1 月 2012 年 1 月 R2 Premier Support Extended Support 2007 年 7 月 2008 年 7 月 2010 年 7 月 Sustaining Support t 2018 2017 2016 2015 2014 2013 2012 2011 2010 2009 2008 2007 2006 2005 2004 2003 2002 Copyright 2010, Oracle. All rights reserved. 4

Oracle Database 11g のアップグレードパス 7.3.4 R2 9.2.0.4 9.2.0.8 8.0.6 8.1.7.4 R2 10.1.0.5 9.0.1.4 R2 10.2.0.2 "Empty" arrows mean: no specific patch release required Copyright 2010, Oracle. All rights reserved. 5

継続するデータベースセキュリティのイノベーション Oracle Database 9i Oracle8i Data Masking TDE Tablespace Encryption Oracle Total Recall Oracle Audit Vault Oracle Database Vault Transparent Data Encryption (TDE) Real Time Masking Secure Config Scanning Fine Grained Auditing Oracle Label Security Enterprise User Security Virtual Private Database (VPD) Database Encryption API Strong Authentication Native Network Encryption Oracle7 Database Auditing Government customer Oracle Database 11g Oracle Database 10g Copyright 2010, Oracle. All rights reserved. 6

OracleDatabase10g と 11g のデフォルトセキュリティ機能の違い監査設定パスワードポリシーがデフォルト有効 -~11gR1 セキュリティなし ( 以前の設定がない状態 ) を選択できる -11gR2 ~ デフォルトで適用セキュリティなしは選択できないパスワード認証の強化 - パスワードポリシーの強化 ( デフォルトプロファイルの変更 180 日の有効期限など ) - パスワード認証大文字小文字の区別 - パスワード突破の防止認証プロトコルの強化 Copyright 2010, Oracle. All rights reserved. 7

デフォルトで有効化される監査設定データベースの監査設定 - 11g~ 監査設定の値がDBに設定され有効化 - ~10g 監査設定はなしデフォルトで監査される動作 ALTER ANY PROCEDURE ALTER USER CREATE ANY LIBRARY CREATE SESSION DROP ANY TABLE GRANT ANY PRIVILEGE ALTER ANY TABLE AUDIT SYSTEM CREATE ANY PROCEDURE CREATE USER DROP PROFILE GRANT ANY ROLE ALTER DATABASE CREATE ANY JOB CREATE ANY TABLE DROP ANY PROCEDURE DROP USER ALTER PROFILE CREATE EXTERNAL JOB EXEMPT ACCESS POLICY ALTER SYSTEM CREATE PUBLIC DB LINK GRANT ANY OBJECT PRIVILEGE Copyright 2010, Oracle. All rights reserved. 8

CONNECT ロールから権限の削除 CONNECT ロールは 10g R2 以降次のように変更 : GRANTEE PRIVILEGE ----------------------- ------------------- CONNECT CREATE VIEW CONNECT CREATE TABLE CONNECT ALTER SESSION CONNECT CREATE CLUSTER CONNECT CREATE SESSION CONNECT CREATE SYNONYM CONNECT CREATE SEQUENCE CONNECT CREATE DATABASE LINK R2 GRANTEE PRIVILEGE ----------------------- ------------------- CONNECT CREATE SESSION Copyright 2010, Oracle. All rights reserved. 9

Oracle データベースの監査機能の種類一覧必須監査 DBA 監査標準監査ファイングレイン監査対象となる Edition 全エディション全エディション全エディション対象バージョン - 監査対象インスタンス起動インスタンス停止管理者権限によるデータベース接続データベース管理者としてログインしたユーザーのデータベース操作データベースへの操作 ( ログイン, CREATE/ALTER/DROP など UPDATE DELETE などのオブジェクトへの操作 ) 特定のデータ ( 列名条件指定可能 ) へのアクセス (SELECT) 10g~ からは UPDATE DELETE INSERT も可能監査証跡出力先 OS ファイル OS ファイル, イヘントヒューア (Win) syslog(10gr2~) XML ファイル (10gR2~) DBA_AUDIT_TRAIL ビュー OS ファイル, イヘントヒューア (Win) syslog(10gr2~) XML ファイル (10gR2~) DBA_FGA_AUDIT_TRAIL ビューユーザー定義表メール送信も可能取得可能な監査証跡 OS によって生成された監査レコードデータベース監査証跡レコード常に監査されるデータベース関連のアクション管理ユーザー (SYS) 用の監査レコード時刻操作 (SQL 文全体 ) データベースユーザー名 / 権限 OS ユーザー名 / 端末終了コード時刻操作 (SQL 文の種類 ) データベースユーザー名 / 権限 OS ユーザー名 / 端末終了コード時刻データベースユーザー OS ユーザー名 / 端末アクセスしたオブジェクト名ファイングレイン監査ポリシー名操作 (SQL 文全体 ) ユーザー定義アクション Copyright 2010, Oracle. All rights reserved. 11

古い監査証跡の管理と削除 (11gR2~) DBMS_AUDIT_MGMT パッケージ監査証跡 (SYS.AUD$ SYS.FGA_LOG$ OS 監査証跡ファイル XML 監査証跡ファイル ) に対する以下の操作監査証跡表 (SYS.AUD$ SYS.FGA_LOG$) の表領域移動手動パージパージスケジューラジョブの設定 OSおよびXML 監査証跡ファイルのファイルサイズ上限設定 Copyright 2010, Oracle. All rights reserved. 12

列暗号化 (10g~) サーバープロセス内で列暗号鍵を用いて列単位でデータを暗号化 / 復号マスター鍵によって列暗号鍵を暗号化することで二重にデータを保護暗号化 / 復号処理はサーバプロセス内で自動的に実行されるためクライアント側で運用中に意識する必要は無いサーバープロセス暗号化 (Encrypt) 復号 (Decrypt) ディクショナリ列暗号化鍵解読可能 SQL> insert into CREDIT (ID,CARD_NO) values (111, 12345678 ); SQL> commit; SQL> select ID,CARD_NO from CREDIT where ID=111; ID CARD_NO ---- -------------- 111 12345678 マスター鍵 #strings /oracle/app/oradata/users.dbf CA5W %O=[N 'E:N,, I f :K9J @YPA "79A 解読不可能 + O データベース (users.dbf データファイル ) Wallet 平文データ暗号化データ Copyright 2010, Oracle. All rights reserved. 18

表領域暗号化 (11g~) データブロック単位での暗号化ディスク I/O 時に処理解読可能表領域に格納されるすべてのオブジェクトが暗号化されるデータファイル REDO ログアーカイブログファイル一時表領域の暗号化も暗号化サーバープロセス SGA マスター鍵 Wallet CA5W%O=[N'E :N,af_Iff1F @YPA"79A+ O 解読不可能暗号 (Encrypt) 復号 (Decrypt) データファイル表領域暗号化鍵平文データ暗号化データ Copyright 2010, Oracle. All rights reserved. 19

列暗号化と表領域暗号化の性能への影響検証結果の詳細 http://www.oracle.co.jp/iseminars/081119_1330/oracledirecttde_hitachi_1119.pdf 4.3 3.3 3.5 1.0 1.2 暗号化なし 1 列暗号化 2 列暗号化 4 列暗号化表領域暗号化バッチ処理に関する処理時間の比較 ( 列暗号化とは 10g~ 表領域暗号化は 11g~) INSERT 文を数十万回実行する処理を実行し暗号化なしの場合を 1 としたときの相対処理時間を列暗号化 (1,2,4 列 ) 表領域暗号化の場合で比較 Copyright 2010, Oracle. All rights reserved. 20

列暗号化 (10g) 表領域暗号化 (11g) の比較列暗号化 (10g) 表領域暗号化 (11g) 暗号化のタイミング行アクセス時データブロックに対する I/O 発生時アルゴリズム 3DES168, AES128,AES192,AES256 暗号化により保護される場所データサイズ性能への影響対象オブジェクトメモリディスク暗号化対象データの量に比例して増加暗号化列へのアクセス頻度に応じて劣化列のみ暗号化列に対する索引は B-Tree 索引の一意検索のみ可能ディスク暗号化前と変わらない暗号化表領域のディスク I/O 頻度に応じて劣化表領域内のすべてのオブジェクト BITMAP 索引の作成や B-Tree 索引の範囲検索も利用可能 Copyright 2010, Oracle. All rights reserved. 21

暗号化と運用の連携強化 (11g~) 暗号化機能と運用に必要な機能は連携できる DataPumpダンプファイルの完全暗号化 Secure Files/LOBの暗号化 - 顔写真医療情報などのバイナリデータの暗号化を実現 Enterprise Manager GUIのTDEサポート LogMiner/Logical Standby/Oracle Streams 対応 - 変更履歴をLogMinerで復号し分析 - Data Guardと暗号化の併用 Hardware Security Module (HSM) サポート Copyright 2010, Oracle. All rights reserved. 22

暗号鍵の管理 Hardware Security Module (HSM) をサポート Wallet を Hardware Security Module(HSM) で代替することが可能マスター鍵が HSM で管理される HSM とは PKCS#11 標準インタフェースで通信するマスター鍵を使用した暗号化 / 復号は HSM 内部でのみ行われるため処理の過程でマスター鍵が外部に流出しない分散環境 (RAC/DataGuard) でマスター鍵共有に利用可能 Copyright 2010, Oracle. All rights reserved. 24

バージョンアップごとに進化するアクセス制御権限の最小化システム権限オブジェクト権限を必要最小限で与えるビューを用いたアクセス制御テーブルに権限を与えるのでなく必要な行列のみに絞り込んだビューに権限を与える Virtual Private Database (VPD) による行レベルのアクセス制御ユーザーアプリケーション毎にアクセスできる行を制御する Database Vault によるポリシーベースのアクセス制御曜日時間帯ユーザー等を組み合わせた複雑なポリシーに基づきアクセス制御を行う Copyright 2010, Oracle. All rights reserved. 26

Database Vault による強制アクセス制御 (10gR2~) アクセス権限の付与セキュリティ管理者 ( セキュリティポリシーの設定 ) 財務関連のデータ財務システムアプリケーション管理者 DB のシステム関連データデータベース管理者保護したいデータをコンパートメント化することによって実現隔離されたデータは特権ユーザでもアクセス不可能 Copyright 2010, Oracle. All rights reserved. 27

Database Vault の運用と連携する機能 Data Pumpサポート Job Schedulerサポート新しいDatabase Vaultロールの追加パッチの適用が容易に Oracle Enterprise Managerとの統合 ENABLE DISABLE 操作の簡素化 DVSYSスキーマ保護の強化 Copyright 2010, Oracle. All rights reserved. 31

Oracle Database Vault の職務分掌 1 人のDBAが全て行っていた管理作業を管理者用のロールに分割し予め複数のユーザに割り当てることで職務分掌を実現 Oracle Database Vault のデータベース管理いままでのデータベース管理データベース管理セキュリティポリシー管理ユーザーアカウント管理アプリケーションデータの管理データベース管理起動 / 停止セキュリティポリシー管理ユーザーアカウント管理データベース管理者セキュリティ管理者アカウント管理者アプリケーションデータへのアクセス権限管理アプリケーション管理者 Copyright 2010, Oracle. All rights reserved. 32

Enterprise Manager によるセキュリティ管理 Configuration Management Pack によりセキュリティ状態を一元管理し各データベースのポリシー遵守状況を診断管理すべきセキュリティ項目が 100 項目以上あらかじめセットされているクリティカルパッチオープンポートデフォルトのパスワード変更セキュリティ項目を自動的に分析してスコア化 ( データベースのセキュリティ点数 ) Copyright 2010, Oracle. All rights reserved. 36

Enterprise Manager によるセキュリティ管理 Change Management Pack によりデータベースオブジェクトの変更を適切に管理 ( 開発時などにも有効な変更管理 ) 列の追加や列定義の変更を検知プロシージャのソースの差分を検出開発機と本番機の構成の比較反映過去の構成と現在の構成の比較反映 Copyright 2010, Oracle. All rights reserved. 37

まとめ : データベースセキュリティ機能の変遷 Network の暗号化認証機能ファイングレイン監査 R10.1.0 で拡張 (DML に対応 ) DBA 監査 (R9.2.0~) 9i 10g 10gR1 11gR1~ Virtual Private Database (VPD) R10.1.0 で拡張 ( 列レベル VPD) Oracle Label Security 9.0.1~ 標準データベース監査機能 PL/SQL 暗号化ツールキット R10.1.0 で拡張 (DBMS_CRYPTO 追加 ) Oracle Database Vault (R10.2.0.3~) Audit Vault (R10.2.3.1~) Transparent Date Encryption (TDE) RMAN によるバックアップの暗号化表領域暗号化 TDE の拡張 Copyright 2010, Oracle. All rights reserved. 38

OTN ダイセミでスキルアップ!! 一般的な技術問題解決方法などを知りたい! セミナ資料など技術コンテンツがほしい! Oracle Technology Network(OTN) を御活用下さい http://otn.oracle.co.jp/forum/index.jspa?categoryid=2 一般的技術問題解決には OTN 掲示版のデータベース一般をご活用ください OTN 掲示版は基本的に Oracle ユーザー有志からの回答となるため 100% 回答があるとは限りませんただ過去の履歴を見ると質問の大多数に関してなんらかの回答が書き込まれております http://www.oracle.com/technology/global/jp/ondemand/otn-seminar/index.html 過去のセミナ資料動画コンテンツは OTN の OTN セミナーオンデマンドコンテンツへダイセミ事務局にダイセミ資料を請求頂いてもお受けできない可能性がございますので予めご了承くださいダイセミ資料は OTN コンテンツオンデマンドかセミナ実施時間内にダウンロード頂くようお願い致します Copyright 2010, Oracle. All rights reserved. 39

OTN セミナーオンデマンドコンテンツダイセミで実施された技術コンテンツを動画で配信中!! ダイセミのライブ感はそのままにお好きな時間で受講頂けます最新情報つぶやき中 oracletechnetjp 人気コンテンツは? お勧め情報公開予告など OTN オンデマンド掲載のコンテンツ内容は予告なく変更になる可能性があります期間限定での配信コンテンツも含まれておりますお早めにダウンロード頂くことをお勧めいたします Copyright 2010, Oracle. All rights reserved. 40

Oracle エンジニアのための技術情報サイトオラクルエンジニア通信 http://blogs.oracle.com/oracle4engineer/ 最新情報つぶやき中 oracletechnetjp 技術資料ダイセミの過去資料や製品ホワイトペーパースキルアップ資料などを多様な方法で検索できますキーワード検索レベル別カテゴリ別製品機能別コラムオラクル製品に関する技術コラムを毎週お届けします決してニッチではなく誰もが明日から使える技術のあそうだったんだ! をお届けしますオラクルエンジニア通信先月はこんな資料が人気でした Oracle Database 11gR2 RAC インストレーションガイド ASM 版 Microsoft Windows x86-64 Oracle Database 11gR2 旧バージョンからのアップグレード Copyright 2010, Oracle. All rights reserved. 41

オラクルクルクルキャンペーンあの Oracle Database Enterprise Edition が超おトク!! Oracle Database のライセンス価格を大幅に抑えてご導入いただけます多くのお客様でサーバー使用期間とされる 5 年間にライセンス期間を限定期間途中で永久ライセンスへ差額移行 5 年後に新規ライセンスを購入し継続利用 5 年後に新システムへデータを移行 2010 年 11 月 30 日まで Enterprise Edition はここが違う!! 圧倒的なパフォーマンス! データベース管理がカンタン! データベースを止めなくていい! もちろん障害対策も万全! 詳しくはコチラ http://www.oracle.co.jp/campaign/kurukuru/index.html お問い合わせフォーム http://www.oracle.co.jp/inq_pl/inquiry/quest?rid=28 Copyright 2010, Oracle. All rights reserved. 42

あなたにいちばん近いオラクル Oracle Direct まずはお問合せください Oracle Direct 検索システムの検討構築から運用まで ITプロジェクト全般の相談窓口としてご支援いたしますシステム構成やライセンス / 購入方法などお気軽にお問い合わせ下さい Web 問い合わせフォームフリーダイヤル専用お問い合わせフォームにてご相談内容を承ります http://www.oracle.co.jp/inq_pl/inquiry/quest?rid=28 フォームの入力には Oracle Direct Seminar 申込時と同じログインが必要となりますこちらから詳細確認のお電話を差し上げる場合がありますのでご登録されている連絡先が最新のものになっているかご確認下さい 0120-155-096 月曜 ~ 金曜 9:00~12:00 13:00~18:00 ( 祝日および年末年始除く ) Copyright 2010, Oracle. All rights reserved. 43