Oracle Cloud Platform Summit Tokyo 2017 クラウドで描く未来と選ぶべき現実解 クラウド環境の脅威を回避! アイデンティテイが中心のオラクルのセキュリティ クラウド サービス クラウド テクノロジー事業統括 Fusion Middleware 事業本部 プリンシパル セールスコンサルタント 井坂源樹 Copyright Copyright 2014 Oracle 2017 and/or Oracle its affiliates. and/or its All affiliates. rights reserved. All rights reserved.
Copyright Copyright 2014 Oracle 2017 and/or Oracle its affiliates. and/or its All affiliates. rights reserved. All rights reserved.
以下の事項は 弊社の一般的な製品の方向性に関する概要を説明するものです また 情報提供を唯一の目的とするものであり いかなる契約にも組み込むことはできません 以下の事項は マテリアルやコード 機能を提供することをコミットメント ( 確約 ) するものではないため 購買決定を行う際の判断材料になさらないで下さい オラクル製品に関して記載されている機能の開発 リリースおよび時期については 弊社の裁量により決定されます Oracle と Java は Oracle Corporation 及びその子会社 関連会社の米国及びその他の国における登録商標です 文中の社名 商品名等は各社の商標または登録商標である場合があります 3
Agenda 1 2 3 4 5 アイデンティティを中心としたクラウドのセキュリティ Oracle Identity Cloud Service によるアイデンティティの統合 Oracle CASB Cloud Service によるクラウド セキュリティ Security Monitoring and Analytics Cloud Service による統合セキュリティ デモンストレーション 4
セキュリティはクラウドの懸念事項 セキュリティはクラウド利用の共通テーマ 環境の多様化 複数ベンダーのアーキテクチャ(SaaS, PaaS, IaaS)組み合わせて利用 オンプレミスとのハイブリッド利用 高度な脅威が増大 シグナチャの監視だけでは対応できない 未知の脅威の検知と対応 異常の発見 攻撃のシーケンスの発見 境界線がなくなった N/Wの制約を受けないワークスタイルの浸透 伝統的な境界線におけるセキュリティ ソリュー ションでは対応できない (セキュリティオペレーションセンター) SOCの負荷増大 業務部門がサービスを購買 統制工数の増大 気軽に使えるクラウドのはずが セキュリティ専門家の争奪戦 Copyright 2017, Oracle and/or its affiliates. All rights reserved. Copyright 2014 2017 Oracle its affiliates. All rights reserved. Copyright 2016, Oracle and/orand/or its affiliates. All rights reserved. 5
クラウド時代はアイデンティティが中心 SaaS PaaS IaaS クラウド Internet of Things ソーシャル モバイル アイデンティテイ Big Data セキュリティ Copyright Copyright 2017, Oracle 2017and/or Oracle and/or its affiliates. its affiliates. All rights All rights reserved. reserved. * 本スライドは 米国オラクル社の翻訳資料です 6
高度化する攻撃への対処 2 週間後 1か月後 2 か月後 フィッシング サイトで PWD の盗難アカウントの乗っ取り SaaS 経由でマルウェアを投入 ( ゼロデイ ) DB サーバーに攻撃しパスワードをクラック 時間 侵入潜伏期間潜伏期間攻撃成功 SaaS へのアクセス 乗っ取ったユーザーアカウントで NW を探索し DB サーバーを発見 DB 管理者権限で SQL を実行し 機密情報を外部へ送信 目立たずゆっくりとした多段階攻撃に気付くことが困難 個々のイベントに加え ユーザーの行動 を追跡することが必要 7
( セキュリティオペレーションセンター ) アイデンティティを中心としたセキュリティ Identity SOC プロファイル ID/PWD 姓 名所属メール box Office365 Salesforce Amazon webservice ログ Identity SOC ログ分析 可視化 アイデンティティ 脅威の検出 対処 Copyright 2017, Oracle and/or its affiliates. All rights reserved. Oracle Public 8
クラウド利用企業様の取り組むべきセキュリティ スコープ 利用企業が行うべき対策のソリューション アイデンティティの管理 ユーザー行動の可視化 異常検知 是正 (SIEM/UEBA) ログによる履歴取得 (Log) API による履歴取得 (CASB) Data Application DB, Middleware オンプレミス IaaS PaaS SaaS 利用企業の対策範囲 本セッションの対象範囲 OS Hardware, N/W Service Operation クラウド事業者の対策範囲 9
クラウド事業者の対策範囲 [ ご参考 ] Oracle Cloud のセキュリティ Oracle Cloud のセキュリティ ホワイトペーパー https://cloud.oracle.com/opc/iaas/whitepapers/opc_iaas_paas_security_whitepaper_ja.pdf (2016 年 3 月 ) オラクルのクラウド事業者としてのセキュリティへの取り組みを記載 共有責任モデル オラクル : 基礎となるクラウド インフラの責任を負う お客様 : 自身のワークロード および Oracle Database や Oracle WebLogic Server などのプラットフォーム サービスの利用責任 ( 構成責任 ) を負う 10
( セキュリティオペレーションセンター ) SOC のためのソリューションフレームワーク ユーザー行動の可視化 異常検知 是正 (SIEM/UEBA) ワンストップ セキュリティ ダッシュボード Security Monitoring & Analytics Cloud Services API による履歴取得 (CASB) CASB Cloud Service アイデンティティの管理 Identity Cloud Service ログによる履歴取得 (Log) Log Analytics Cloud Service セキュリティに関する準備態勢アプリケーション データ ユーザーの挙動に関する分析 外部の脅威情報の利用 等 インシデントへの自動レスポンス & 対処 Copyright 2017, Oracle and/or its affiliates. All rights reserved. 11
Agenda 1 2 3 4 5 アイデンティティを中心としたクラウドのセキュリティ Oracle Identity Cloud Service によるアイデンティティの統合 Oracle CASB Cloud Service によるクラウド セキュリティ Security Monitoring and Analytics Cloud Service による統合セキュリティ デモンストレーション 12
Oracle Identity Cloud Service ハイブリッド アイデンティティオープン 標準セキュア オンプレミス上のシステム 様々なクラウド上のサービス (Web / API) WebEx 他社サービス sf box Servicenow Office365 Salesforce Dropbox GoToMeeting 運用管理者 Oracle IdM クラウド アクセスの一元管理とシングルサインオン システム利用者 レポート & 統計 分析 Identity Cloud Service 認証強化 (*) ID 管理 & セルフサービス SNS ログイン (*) シングル サインオン API 認証 認可 (*) 今後の更新で機能提供を予定しております 13
アイデンティティの統合 認証の標準化とシングル サインオン 標準認証プロトコル ( フェデレーション ) への対応 SAML 2.0 OAuth 2.0 OpenID Connect 1.0 プロビジョニング SaaS へのアカウントの作成 削除 クラウド サービス (SaaS) との容易な統合 主要なサービスへの連携テンプレートの提供 ウィザードにより SSOとプロビジョニングの設定を完了 14
セキュアな認証機能 多要素認証 (*1) SMS を用いたワンタイムパスワード iphone Android 用に提供するアプリに第 2 認証 ワンタイムパスワード 通知 (Push Notification) への応答 (Allow/Deny) 事前登録質問への回答 ( 秘密の質問への回答 ) リスクベース認証 (*2) アクセス条件の差異を元に本人性を判断 IP アドレス ブラウザの種類 バージョン PC デバイス など リスクが伴うと判断された場合に多要素認証を実施 または アクセスを遮断 ワンタイムパスワード (*1) 通知への応答 (*1) *1: 2017 年中ごろの提供を予定しております 画面は開発中のものとなり リリース時に変更になる可能性がございます *2: 2017 年後半の提供を予定しております 15
柔軟性 : 全ての機能を REST API で公開 API ファースト 標準の Web の UI でも API を使用して IDCS の機能を操作 すべての機能を REST API で公開 柔軟性 外部サービスとの連携 お客様独自の管理機能を実装 独自のユーザー プロファイル管理画面 パスワードリセットの外部実装 利用状況の取得 etc. 16
Agenda 1 2 3 4 5 アイデンティティを中心としたクラウドのセキュリティ Oracle Identity Cloud Service によるアイデンティティの統合 Oracle CASB Cloud Service によるクラウド セキュリティ Security Monitoring and Analytics Cloud Service による統合セキュリティ デモンストレーション 17
クラウドセキュリティを実現する 4 つの機能 CASB: Cloud Access Security Broker Oracle CASB Cloud Service CLOUD ACCESS SECURITY CLOUD WORKLOAD SECURITY 可視化 ( 検知 ) データセキュリティ ( セキュア ) コンプライアンス ( 監視 ) 防御 ( 対処 ) シャドー IT リスクアセスメント 各種指標の提示 機密データの監視 コンプライアンス対応 セキュリティ制御のプロビジョニング セキュリティ脅威に対する各種機能 アクティビティ コンフィグレーション トランザクション コンテント ポリシー インシデントに対して自動レスポンス IT サービス管理システムとの統合 * 本スライドは 米国オラクル社の翻訳資料です 18
Oracle CASB CS の利用イメージ 監視対象の設定 API による監視脅威の検知インシデント対応 セキュリティ ベースラインの適用 ポリシーの設定 ( ルールベースの脅威検知 ) 脅威の自動検知 ( 組み込み ) アイデンティティの取り込み セキュリティ設定の取得 アクセス 操作履歴の取得 セキュリティ設定との突合 ポリシーとの突合 脅威の自動検知 リスクイベント 通知 是正 19
20
Oracle CASB Cloud Service の特長 SaaS をはじめ PaaS IaaS にも対応 各テンプレート ( ベースライン ) を提供 テンプレートを基に お客様要件に合わせてカスタマイズが可能 設定 5 分 短時間でセットアップ完了 API ベース プロキシベースのサービスと異なり SPOF( 単一障害点 ) を作らないアーキテクチャ クラウド利用者に影響を与えないモニタリングを実現 視認性 操作性の高い画面 SIEM IDaaS ファイアーウォールなどの外部サービス連携による高度がモニタリングが可能 軽量 高いスケーラビィリティ 21
API ベースのよる Oracle CASB Cloud Service の優位性 Oracle CASB Cloud Service 他社 CASB サービスの課題 エンタープライズ モバイルユーザモバイルアクセス エンタープライズ防御ソリューション SIEM IDaaS NGFW DLP MDM 利用者はクラウドサービスへ直接アクセス Oracle CASB CS API アクセス CASB 対応 SaaS / PaaS / IaaS エンタープライズ モバイルユーザエンタープライズ モバイルアクセス モバイルユーザーモバイルアクセス エンタープライズ防御ソリューション エンタープライズ防御ソリューション SIEM SIEM IDaaS IDaaS NGFW DLP MDM セキュリティソリューションとはデータが重複する 障害点 レイテンシ パフォーマンス低下 CASB プロキシ型プロキシーモード他社 CASB 限定的対応限定的対応対応対応 IaaS PaaS SaaS IaaS SaaS PaaS スケーラビリティに優れるポリシー制御によって ユーザー及びデバイスレベルでアクセス制御が可能 No SPOF を実現 各 IaaS PaaS SaaS に対応したテンプレートにより工数を削減 プロキシタイプでは CASB がボトルネックになるリスクが高い スケーラビリティと可用性が必要 コンテンツ解析 定義にはセキュリティ管理スキルおよび実装工数が必要 * 本スライドは 米国オラクル社の資料を一部転用しています 22
Oracle CASB CS が対応するクラウド サービス CASB for Discovery CASB for SaaS CASB for IaaS CASB for Custom Apps Office 365 Salesforce G Suite box Amazon web services AWS で動作するカスタムアプリ Amazon web services Blue Coat ( 近日対応 ) 他製品はログのフォーマット変換で対応 * 本スライドは 米国オラクル社の資料を翻訳しています 23
Agenda 1 2 3 4 5 アイデンティティを中心としたクラウドのセキュリティ Oracle Identity Cloud Service によるアイデンティティの統合 Oracle CASB Cloud Service によるクラウド セキュリティ Security Monitoring and Analytics Cloud Service による統合セキュリティ デモンストレーション 24
Security Monitoring and Analytics Cloud Service 統合されたセキュリティ分析 (SIEM + UEBA) 包括的な脅威の検知 あらゆるログ 外部の脅威情報 メトリック SQL アクティビティ オンプレミス & クラウドのデータを集約 迅速な調査 機械学習による早期検知 ユーザーアクティビティの追跡とキルチェーンの可視化 脅威に対する対処の自動化 さまざまな IT スタックに対するパワフルな自動修正処理 クラウド型提供によるスピード向上 SOC に必要なコンテンツを搭載した次世代型クラウドサービス * 本スライドは 米国オラクル社の資料を翻訳しています Copyright 2017, 2017, Oracle and/or its its affiliates. All All rights rights reserved. Oracle Public 25 25
ログをベースにシステム全体の可視化 多くのデータソースに対応 アイデンティティ IT 資産 脅威や脆弱性に関してデータを強化するためのアダプター 標準ベースの あるいはカスタムのセキュリティ構成アセス項目を作成 実行 クラウド 構成情報 コンプライアンス情報 各種ログ アプリケーションインフラストラクチャサーバーネットワーク オンプレミス IaaS, PaaS, (SaaS) Fusion apps, サードパーティーアプリケーション カスタムアプリケーションディレクトリサービス ミドルウェア データベース ハイパーバイザー Windows, Linux, Unix DHCP, DNS, ロードバランサー, Flow, ルーター, スイッチファイヤーウォール, プロキシ, VPN, IDS/IPS, AV, DLP, WAF, VA scanners, CASB * 本スライドは 米国オラクル社の資料を翻訳しています 26
分析 : セッションの認識 [ アイデンティティ相関分析 ] アクティビティを元にアイデンティティを推定 VPNログ ADログ, DHCPログ アイデンティティが明示されたログ 複合的な要素をもとにしたアイデンティティ認識 ユーザーモデルおよびアイデンティティアダプター イベント情報にユーザーに関する情報を付与 対処までの時間 を迅速化 Alex Smith * 本スライドは 米国オラクル社の資料を翻訳しています 27
調査 対応 : Identity SOC ダッシュボード 各視点での分析結果 Oracle CASB CS を含む各種データソースから分析した脅威 28
調査 対応 : SOC ロールに対応したナビゲーション 事前作成済みのドリルダウンナビゲーションにより疑問点への回答を発見 直観的なドリルダウンナビゲーション 対象ごとのビューへピボット 近隣の イベントをオーバーレイ SOC の効率性を向上 より速い調査 解決 迅速な根本原因分析 29
調査 対応 : アタックチェーンの可視化 フィッシング サイトで PWD の盗難アカウントの乗っ取り 2 週間後 1か月後 2 か月後 SaaS 経由でマルウェアを投入 ( ゼロデイ ) DB サーバーに攻撃しパスワードをクラック タイムラインを使用した脅威とベース活動の可視化 脅威イベントのカテゴリ化 偵察 NW 侵入 Lateral Movement( 潜伏探査 ) システム侵入 [Risk Indicator] 時間 偵察潜伏期間潜伏期間攻撃成功 SaaS へのアクセス 乗っ取ったユーザーアカウントで NW を探索し DB サーバーを発見 DB 管理者権限で SQL を実行し 機密情報を外部へ送信 30
Agenda 1 2 3 4 5 アイデンティティを中心としたクラウドのセキュリティ Oracle Identity Cloud Service によるアイデンティティの統合 Oracle CASB Cloud Service によるクラウド セキュリティ Security Monitoring and Analytics Cloud Service による統合セキュリティ デモンストレーション Copyright 2017, Oracle and/or its affiliates. All rights reserved. 31
Demo Copyright 2016, Oracle and/or its affiliates. All rights reserved. 32
最後に Identity SOC クラウド利用のアプローチにより ソリューションの選択が可能 アイデンティティ基盤の有無 SaaS 中心 / PaaS, IaaS 中心 クラウドのセキュリティ対策に課題を感じている 共通となるアイデンティティ基盤がない ID 認証がバラバラで利便性の課題もある SaaS を中心にクラウド利用を展開 シャドー IT の把握 管理も課題 オンプレミスのワークロードをクラウドに移行を展開 オンプレミス資源も監視が必要 IaaS PaaS を利用したカスタム アプリが多い Oracle Identity Cloud Service Oracle CASB Cloud Service Oracle Management Cloud Service ファミリ Oracle Security Monitoring & Analytics Cloud Service Copyright 2017, Oracle and/or its affiliates. All rights reserved. 33
無料トライアル トライアルのお申し込みサイト l トライアルのお申し込みサイトはコチラ https://cloud.oracle.com/ja_jp/tryit - 上記サイトより ご利用したいクラウドサービスを選択し お申し込みいただけます - Oracle PaaSの各サービスは プラットフォーム 項目をご参照ください - Oracle IaaSの各サービスは インフラ 項目をご参照ください Database Oracle Cloud Cloud トライアル申し込みご案内 お申し込みは数ステップでカンタン!30 日間お試し放題!! l お申込み方法は FAQ にてご案内しております https://faq.oracle.co.jp/app/answers/detail/a_id/2855 へアクセス l トライアルアカウントを1 回申し込むと 各種クラウドサービスも併せてトライアル可能です - Database Cloud Service - Compute Service - Database Backup Service - Storage Cloud Service - Java Cloud Service - Application Container Cloud Service - Developer Cloud Service など 34
Oracle Digital は オラクル製品の導入をご検討いただく際の総合窓口 電話とインターネットによるダイレクトなコニュニケーションで どんなお問い合わせにもすばやく対応します もちろん 無償 どんなことでも ご相談ください 35