Oracle Database Security 概要

Oracle Database Security 概要 2024年2月日本オラクル株式会社 v. 2.0

Oracle Maximum Security Architecture データベースを最大限保護するOracle Database Security 2 Oracle Database
暗号化アクセス制御監査ユーザーやセッション情報に基づいて表のアクセスを列・行レベルで制限 DB管理者の無制限のアクセスを強制的に禁止、厳格な職務分掌を実現 Database Vault 認証強化外部認証基盤による認証強化トークン・ベース認証 DF11233 U*1 $5Ha1qui %H1 HSKQ112 A14 FASqw34 £$1 アプリケーションへの影響がない透過的な暗号化 Transparent Data Encryption 機密データをマスキングしセキュアなテストデータを作成 Data Masking and Subsetting データベースのアクセスログを漏れなく詳細に記録 Unified Audit アクセスログの分析を自動化し不正なアクセスの検知・アラート Audit Vault and Database Firewall Centrally Managed Users Virtual Private Database Data Redaction Label Security SQL Firewall OCI Logging Analytics OCI Data Safe クラウド・サービス Copyright © 2024, Oracle and/or its affiliates 2

Oracle Databaseのセキュリティ機能を利用できるEditionと必要なOption Oracle Database機能利用可能Edition, Option 暗号化 Transparent Data Encryption
Enterprise Edition + Advanced Security ネットワーク暗号化 All Edition Data Masking and Subsetting EE + Data Masking Pack and Subsetting アクセス制御 Virtual Private Database Enterprise Edition Label Security EE + Label Security Data Redaction EE + Advanced Security Database Vault EE + Database Vault SQL Firewall EE(23c～) + Database VaultまたはAVDF 監査 Unified Audit All Edition Audit Vault and Database Firewall All Edition + AVDF 認証強化 Centrally Managed Users Enterprise Edition トークン・ベース認証(Azure AD, OCI IAM) Enterprise Edition クラウド・サービス Data Safe All Edition Logging Analytics All Edition リスク・アセスメント Database Security Assessment All Edition Copyright © 2024, Oracle and/or its affiliates 3

サービスごとに利用可能なオプション機能 Database Cloud Serviceでのセキュリティ機能 DB-SE Exadata DB-HP Autonomous Database DB-EE
DB EP Advanced Security Label Security Database Vault OLAP 一部機能制限あり Bare Metal VM Infiniband Offload SQL to Storage Smart Flash Cache/log Storage Index IORM/Network RM In-Memory Fault Tolerance ExaFusion Columnar Flash Cache Real Application Clusters Active Data Guard Database In-Memory Advanced Analytics Spatial & Graph Database Lifecycle Management Pack Cloud Management Pack for Oracle Database Bare Metal VM Bare Metal VM Bare Metal VM Multitenant Partitioning Advanced Compression Oracle Database Enterprise Edition, Diagnostics and Tuning Packs , Real Application Testing Data Masking and Subsetting Pack , Virtual Private Database, Centrally Managed Users, トークン・ベース認証 Oracle Database Standard Edition 2, ネットワーク暗号化, Transparent Data Encryption , Unified Audit Database Lifecycle Management Pack Cloud Management Pack for Oracle Database Database Vault , Label Security , Data Redaction, SQL Firewall ※Audit Vault and Database Firewall, Data Safe, OCI Logging Analyticsはそれぞれのサービス利用料が必要 Copyright © 2024, Oracle and/or its affiliates 4

機密データが漏洩するリスク - マルウェアに感染したPCが、DBサーバーのデータファイルを物理的にコピーして外部に流出 - マルウェアに感染したPCが、DBサーバーにログインし、SQLクエリーで論理的に機密データにアクセスし外部に流出 - 内部の正規ユーザーが、DBサーバーのデータファイルを物理的にコピーして盗み出す - 内部の正規ユーザーが、DBサーバーにログインし、SQLクエリーで論理的に機密データにアクセスして盗み出すデータベースを暗号化する必要性
$> strings -a financials.dbf | grep “¥-[0-9]¥{4¥}¥-” 5555-5555-5555-4444 5105-1051-0510-5100 OS ユーザデータベース上の物理ファイル - データ・ファイル - Redo ログファイル - バックアップファイル - エクスポートファイル・・・流出してしまったファイルはバイナリエディタ等でデータを直接参照される物理的なデータの漏洩には暗号化で対策論理的なデータの不正アクセスにはアクセス制御で対策 Copyright © 2024, Oracle and/or its affiliates 6

アプリケーションからは透過的にデータの暗号化・復号することで、既存のアプリケーション (SQL)を改修する必要なし NISTの標準共通鍵暗号方式 AES(128/192/256bit) やARIA/SEED/GOSTなどのアルゴリズムにも対応 Intel AES-NIなどのハードウェア暗号化アクセラレーションに対応した高速な暗号化処理を実現 Oracle Databaseのデータファイルやバックアップファイルの物理的な盗難リスクに対して安全にデータを保護サービスを停止することなく、データベースをオンラインに保ったまま暗号化への移行をサポート
様々なOracleテクノロジーと組み合わせた活用 (RMAN, Exadata, RAC, Multi-Tenant, GoldenGate, Data Guard) Transparent Data Encryption (TDE) Disks Exports Off-Site Facilities Backups Applications Clear Data Software Keystore Key Vault OTHER TABLESPACE HCM TABLESPACE HCM TABLESPACE Encrypted Data DF11233 U*1 $5Ha1qui %H1 HSKQ112 A14 FASqw34 £$1 DF@£!1ah HH! DA45S& DD1 Encrypted Network Connection (TLS or Native Encryption) SELECT name,cardnumber FROM credit; Copyright © 2024, Oracle and/or its affiliates 7

表領域単位での暗号化表領域内の表や索引などのオブジェクトはすべて暗号化されるデータブロックに対するI/Oで暗号化・復号 REDOログ、UNDO表領域、一時表領域、アーカイブログも暗号化される SGAのバッファキャッシュ上は暗号化されていない暗号化してもデータサイズは増加しない表領域暗号鍵はデータファイルのヘッダーに格納暗号列への索引に制限なしほとんどすべてのオブジェクトが暗号化可能 (BFILEのみ不可)
既存表領域を暗号化する一括変換のサポートキャッシュヒットの高いSQLは性能への影響を受けずディスクへのRead/Writeの多いSQLは影響を受ける TDE 表領域暗号化 SGA 表領域暗号化 REDOログ UNDO表領域 Disk I/Oで暗号化/復号サーバープロセス SELECT INSERT UPDATE・・・表領域暗号鍵 Oracle Keystore 表領域暗号化マスター鍵 Copyright © 2024, Oracle and/or its affiliates 8

TDEマスター暗号鍵のアーキテクチャマスター暗号鍵表領域表領域表領域表領域暗号鍵表領域暗号鍵表領域暗号鍵 Oracle Keystore
各表領域暗号鍵を暗号化/復号マスター暗号鍵は、データベースに基本的に1つ - マルチテナント環境の場合は、各PDBごとに自身のマスター暗号鍵を作成することも可能マスター暗号鍵のデフォルト保管先は、PKCS#11互換のOracle Keystoreのファイルに格納される - Oracle Key VaultやHSM(Hardware Security Device)に格納し、ネットワーク通信で連携することも可能マスター暗号鍵は、実際にデータを暗号化している表領域暗号鍵を暗号化・復号するマスター暗号鍵をオープンすると暗号化されたデータにアクセスできるマスター暗号鍵を変更すると表領域暗号鍵も変更される Oracle Key Vault またはHSM Copyright © 2024, Oracle and/or its affiliates 9

SQLで表領域を暗号化・復号を一括変換既存の表領域を暗号化する手間や時間を大幅に短縮従来では暗号化できなかったSYSTEM, SYSAUX, UNDO, TEMPなどのシステム領域も暗号化することでデータベースのフル暗号化が可能データにアクセス可能なまま表領域を暗号化 -
Online Encryption Conversion 表領域がオフライン時に暗号化 - Offline Encryption Conversion 表領域の暗号化変換 SALES TABLESPACE HCM TABLESPACE HCM TABLESPACE DF11233U*1 $5Ha1qui%H1 HSKQ112A14 FASqw34£$1 DF@£!1ahHH! DA45S& DD1 Acme 10 1/2/16 Acme 3 1/3/16 Acme 5 1/5/16 Acme 12 1/7/16 Acme 4 1/8/16 Acme 2 1/9/16 Copyright © 2024, Oracle and/or its affiliates 10

オフライン変換オンライン変換対象リリース 11.2～ (※11.2, 12.1はパッチ必要) 12.2～サポートするアルゴリズム AES (128,192,256),
ARIA, GOST, SEED AES (128,192,256), ARIA, GOST, SEED 実行できるタイミング表領域がオフライン、またはDBがマウント時表領域がオンライン時変換に必要な領域なし一時的に変換する表領域と同サイズシステム領域の暗号化 12.2～ 12.2～暗号化 ALTER TABLESPACE 表領域名 ENCRYPTION OFFLINE USING 'AES256' ENCRYPT ALTER TABLESPACE 表領域名 ENCRYPTION ONLINE USING ‘AES256’ ENCRYPT FILE_NAME_CONVERT = (‘旧データファイル’, ‘新データファイル') 復号 ALTER TABLESPACE 表領域名 ENCRYPTION OFFLINE DECRYPT ALTER TABLESPACE 表領域名 ENCRYPTION ONLINE DECRYPT FILE_NAME_CONVERT = (‘旧データファイル’, ‘新データファイル') オフライン・オンライン変換の比較 ※オンライン/オフラインとも、データファイル単位でパラレル実行可能 Copyright © 2024, Oracle and/or its affiliates 11

アプリケーション暗号とTDEの違い暗号化個人番号 xxxxxxxxxxxx My No xxxxxxxxxxxx xxxxxxxxxxxx xxxxxxxxxxxx 暗号化
暗号化個人番号 188313648931 My No 188313648931 43435642455 983354931678 暗号化 Good End to Endで最もセキュア Bad データサイズの増加アプリでの鍵管理が煩雑索引が使えないアプリの改修が必要 TDE アプリ暗号 Good 上記のBadのポイントが全部解消される Bad 暗号化によるリスク減が狭い物理的ファイルの盗難の頻度は高くないネットワーク盗聴 DB侵入ファイルの盗聴・盗難想定されるリスク Copyright © 2024, Oracle and/or its affiliates 12

Oracle Databaseとクライアント間のSQL Netプロトコルの通信を暗号化サーバーまたはクライアントのそれぞれのsqlnet.oraに以下のパラメータを設定し、組み合わせによって暗号化通信を開始 - SQLNET.ENCRYPTION_SERVER = (REQUIRED, REQUESTED, ACCEPTED,
REJECTED) - SQLNET.ENCRYPTION_CLIENT = (REQUIRED, REQUESTED, ACCEPTED, REJECTED) - SQLNET.ENCRYPTION_TYPES_SERVER = (AES 128/192/256, ARIA, SEED, GOST) それぞれのデフォルトは、ACCEPTED サーバー側のSQLNET.ENCRYPTION_SERVERをREQUIREDすれば通信の暗号化を強制できる Networkの暗号化 REQUIRED REQUESTED ACCEPTED REJECTED REQUIRED 暗号化暗号化暗号化接続失敗 REQUESTED 暗号化暗号化暗号化暗号化なし ACCEPTED 暗号化暗号化暗号化なし暗号化なし REJECTED 接続失敗暗号化なし暗号化なし暗号化なしサーバー側設定クライアント側設定 Copyright © 2024, Oracle and/or its affiliates 13

機微なデータの抽出とマスキング Oracle Data Masking and Subsetting テストや開発などの目的で本番データをコピーする際、データのサニタイズや不要データの削除 0100101100101010010010 0100100100100101001011 0010101001001001001001
001001001001001 データ抽出マスキング NAME SALARY AGUILAR 50135.56 BENSON 35789.89 CHANDRA 60765.23 DONNER 103456.82 本番環境開発・検証環境 NAME SALARY AGUILAR ***** CHANDRA ***** • 機微な情報を様々な形式でマスキング • ランダム文字列, ランダム数字, ランダム日付, リスト, ユーザー関数, 固定文字, 正規表現.. • データベースの特性を考慮したアーキテクチャ • 表の制約や表と表の関係性を認識した一貫性のあるマスキング • 列データの要素数、分布、件数など、本番データの特性を維持したマスキング環境の作成 • データのサブセット＆マスキング • 本番環境の 1/10 のデータを抽出～マスキング～ダンプファイル生成までを自動化 Copyright © 2024, Oracle and/or its affiliates 14

キー / 一意 / 参照整合性制約を自動検知 Data Masking (データ・マスキング) ID NAME
CID 1 SMITH 1 2 ALLEN 4 3 JONES 1 4 CLARK 2 5 ADAMS 3 ：：： CID COUNTRY_NAME 1 UNITED_KINGDOM 2 UNITED_STATES 3 AUSTRALIA 4 IRELAND 5 CANADA ：： ID NAME CID 1 Aaafeh 83 2 Aafhed 65 3 Aaaafhe 83 4 Bodofa 39 5 aaahfied 9 ：：： CID COUNTRY_NAME 83 UNITED_KINGDOM 39 UNITED_STATES 9 AUSTRALIA 65 IRELAND 7 CANADA ：：参照整合性を維持したマスキング (ランダム文字列＋ランダム数値) 外部キー制約を自動的に検知し、整合性を維持 Copyright © 2024, Oracle and/or its affiliates 15

独自マスキング・フォーマットの設定例 Data Masking (データ・マスキング) 作成する携帯番号のマスキング形式 070 – 1234 - 6789
Random List [070-, 080-, 090-] Random Number [4 digit] Fixed String [-] Random Number [4 digit] Copyright © 2024, Oracle and/or its affiliates 16

行列レベルでのアクセス制御アプリケーションを改修することなく、問い合わせたユーザーに応じて厳格なアクセス制御が可能データベース・ユーザが不正に別のユーザのデータを参照・操作する可能性を排除 Oracle Virtual Private Database SELECT * FROM
order WHERE customer = 'CLARK'; CLARK が問い合わせた場合 SELECT * FROM order WHERE customer = 'SCOTT'; SCOTT が問い合わせた場合 SELECT * FROM order; CLARK 300 06/03/17 SCOTT 20 05/09/11 SCOTT 450 05/11/07 CUSTOMER QTY CREDIT_CARD CLARK 125 06/02/04 SCOTT 310 06/01/26 CLARK 90 05/12/15 ORDER表ユーザーの属性情報に応じて、 SQLが内部的に書き換える Copyright © 2024, Oracle and/or its affiliates 18

列レベルのデータの伏字化ユーザーのセッション情報に応じてリアルタイムに列を任意の形でリダクション(伏字化) アプリケーションのコード修正は必要のなく、設定されたポリシーに応じてデータベース側で制御非定型な問い合わせには予期せぬデータの結果が返る場合があるため、SQLが固定化されているアプリケーション等のデータ表示の補助的な役割として活用が推奨 ※非定型を含めた完全な列アクセス制御はVPDを利用 Oracle Data Redaction 4451-2172-9841-4368
5106-6342-4881-5211 4891-3311-0090-5055 4512-3339-3231-5909 クレジットカード番号 4451-2172-9841-4368 XXXX-XXXX-XXXX-4368 一般のアプリケーション利用者機密データにアクセス可能なアプリケーション利用者 Copyright © 2024, Oracle and/or its affiliates 19

アプリケーション固有の情報を使ったアクセス制御アプリケーションセッション情報 (v$session) - DBユーザー名 - IPアドレス - プログラム名
- ホスト名条件 + VPD Data Redaction DBユーザー DBユーザーセッション情報 (v$session) - CLIENT_IDENTIFIER (64バイト）条件 + VPD Data Redaction User IDやRoleなどのアプリ固有情報を渡すコードの修正が必要 DBユーザーは常に同じ Copyright © 2024, Oracle and/or its affiliates 20

Sensitive Confidential Public Public Label Based Access Control(ラベル・ベースのアクセス制御) 行データに付与されたデータ・ラベルとユーザが保持するセッション・ラベルを比較し、ラベルに応じた厳密なアクセス制御セッション・ラベルがデータ・ラベルよりも上位の場合アクセスが許可され、同様に書き込みもラベルで制御がされる
データ・ラベルは物理的に各レコードに格納され、ユーザーから見えなくすることも可能セッション・ラベルを動的に変更することでアクセスできる範囲を変更するなど、アプリケーションに組み入れた利用が効果的 Oracle Label Security セッション・ラベル Confidential セッション・ラベル Sensitive Copyright © 2024, Oracle and/or its affiliates 21

データベース管理者のアクセス制御特権ユーザの無制限のアクセスを禁止し、ユーザごとのアクセス権限を厳格にする DBユーザーの完全な職務分掌を実現 Oracle Database Vault DB ルールセット機密データの取り扱い者
DB管理者セキュリティ管理者サーバ管理者機密データデータディクショナリ業務データユーザ・アカウント時刻 =8:00～19:00 曜日 = 月～金 IPアドレス = xxxxx • 許可された範囲で機密データにアクセス可能 • DBの運用管理業務 • 業務データと機密データへのアクセスは不可 • アカウントと鍵の管理業務 • 業務データと機密データへのアクセスは不可 • サーバとOSの管理業務のみ • DBへのアクセスは不可 DB管理者であっても、管理業務に必要ない業務データ、機密データへのアクセスを禁止する必要に応じてルールを適用し、時間帯やIPアドレスでアクセスを制限するそれ以外それ以外それ以外それ以外すべて一般利用者 • 許可された範囲で業務データにアクセス可能利用状態 (Data at Use) Copyright © 2024, Oracle and/or its affiliates 22

コマンドルールによる操作の制御データベースの管理や操作に関わる様々なSQLを細かく制限 SQLの実行の条件としてIPアドレスや時間といった付帯ルールを紐づけることでSQLの実行を未然に防止例) 一時的に貸し出したDBユーザーが業務時間外はDBにCONNECTできないようにするユーザーの作成や権限の付与などの管理SQLは決められたPCとアプリケーションからでないと実行できないようにするデータの更新・削除は、業務時間外は禁止にする Oracle Database Vault
Truncate table ～ Drop table ～ Create User ～業務委託している海外のDBA 自社の正規DBA 協力会社用ユーザ Copyright © 2024, Oracle and/or its affiliates 23

SQL Firewall (23c新機能) SQLレベルで制御するデータベース・ネイティブのファイアーウォール SQL単位でデータベースのアクセスを制御するファイアーウォールデータベース・ネイティブなので如何なる手段でもバイパスできないアクセス許可されるSQLは、列名や条件を含めて完全一致しなければならず SQLインジェクションや不必要なデータ参照を防止実行されるSQLを収集しファイアーウォール・ポリシーを作成 -
SQL: DDL, DML - セッション・コンテキスト: IPアドレス、OSユーザー名、プログラム名非常に軽微なCPUオーバーヘッドポリシー違反のアクセスをブロックまたはログ記録だけの検知としても使用可能違反したログは、 DBA_SQL_FIREWALL_VIOLATIONSビューで参照 Oracle Database 23c SQL Firewall Program OS User IP Address Copyright © 2024, Oracle and/or its affiliates 24

SQL Firewall SQLリストに基づいてSQLクエリをブロックする HR_APPの許可SQLリスト SQL Text select * from hr_employees
where employee_id =:"SYS_B_0" SQL Signature F83C7D7D228A5DDB98AAAFA57DE0838A8B CE748359E5DE459D3D7AB7DCEBA07B Accessed Objects "HR_APP"."HR_EMPLOYEES" Current User HR_APP Top Level User initiated SQLs Y SQL Firewall アプリケーション利用者 HR Application アプリケーション・サーバが使用するDBユーザ: HR_APP select * from hr_employees where employee_id =‘210 select * from hr_employees where employee_id =‘210’ OR 1=1 SQL Injection 侵入者 Copyright © 2024, Oracle and/or its affiliates 25

SQL Firewall セッション・コンテキストに基づいてデータベース接続をブロックするアプリケーション利用者 HR Application Thin Client SQL
Developer HR_APPユーザーの許可セッション・コンテキスト SQL Firewall IP Address 10.0.0.8 OS Username opc OS program JDBC Thin Client アプリケーション利用者が使用するDBユーザ: HR_APP IPアドレス:10.0.0.8 Copyright © 2024, Oracle and/or its affiliates 26

Oracle Databaseの監査機能 DBA監査標準監査 Unified Audit 必要Edition 全エディション全エディション全エディション
対象バージョン Oracle 10g ～ 21c (※23cから廃止) Oracle 10g ～ 21c (※23cから廃止) Oracle 12c ～監査対象・データベース管理者 (SYSDBA,SYSOPER)としてログインしたユーザーのDB操作・データベースのすべての操作（ログイン、CREATE/ALTER/DROP などのアクション、UPDATE、DELETE などのオブジェクトへの操作）・SYS含むデータベースのすべての操作・Datapump、RMAN、 SQL*Loader ・監査対象への条件指定が可能監査証跡出力先・OSﾌｧｲﾙ・ｼｽﾃﾑﾋﾞｭｰｱ(Win) ・Syslog(10gR2～) ・AUD$表・OSﾌｧｲﾙ / ｼｽﾃﾑﾋﾞｭｰｱ(Win) ・XMLファイル(10gR2～) ・Syslog(10gR2～) ・AUDSYS.AUD$UNIFIED表・指定した表領域に移動可能 ※表領域に書き込めない場合は、一時的にファイルに出力される取得可能な監査証跡・時刻・操作(SQL文全体) ・DB,ユーザー名/権限・OSユーザー名/端末・終了コード・時刻・操作(SQLコマンド、SQL文) ・オブジェクト名・DB,OSユーザ名・プログラム名・バインド値・時刻・操作(SQLコマンド、SQL文) ・オブジェクト名・DB,OSユーザ名・プログラム名・バインド値 Copyright © 2024, Oracle and/or its affiliates 28

Unified Audit データベース・オブジェクト、権限、ユーザー・アクション等、監査対象をグループ化したポリシーベースの監査事前定義済みの監査ポリシーで必要とされる最小限の監査項目をカバーユーザー・セッション情報(IPアドレス、ユーザー名、プログラム名等)を監査条件にログ出力の絞り込み監査ログはデータベース内の内部表として格納され、UNIFIED_AUDIT_TRAILビューで参照可 SYSユーザー監査、Recovery Manager、Data Pump、SQL*Loader等のログも統合推奨される監査のベストプラクティス
- すべてのアクションを監査対象ではなく、コンプライアンス要件やセキュリティの懸念のあるアクションにフォーカス - DBMS_AUDIT_MGMTパッケージで定期的にログをパージ。別サービスと連携したログの長期保管も検討 CREATE AUDIT POLICY Policy1 ACTIONS UPDATE ON HR.EMP, DELETE ON HR.EMP_EXD; AUDIT POLICY Policy1; 例)表に対するDML監査ポリシー Copyright © 2024, Oracle and/or its affiliates 29

Unified Audit Unified Auditの定義済みポリシーポリシー名ポリシーの内容デフォルト ORA_LOGON_FAILURES ログイン失敗のみ Yes
(DBCAでDB作成時) ORA_SECURECONFIG セキュリティ監査の必須要件として求められる基本的なデータベースの構成管理に関連した操作 Yes (DBCAでDB作成時) ORA_DATABASE_PARAMETER データベースのパラメータ変更に関連した操作 No ORA_ACCOUNT_MGMT ユーザー・アカウントの変更や権限に関連した操作 No ORA_CIS_RECOMMENDATIONS CISベンチマークで求められる監査要件に関連した操作 No ORA_RAS_POLICY_MGMT, ORA_RAS_SESSION_MGMT Real Application Securityに関連した操作 No ORA_DV_AUDPOL Oracle Database Vaultの DVSYS, LBACSYSスキーマのオブジェクトに関連した操作 No ORA_DV_AUDPOL2 Database Vaultのレルムやコマンドルールに関連した操作 No Copyright © 2024, Oracle and/or its affiliates 30

Unified Audit ORA_SECURECONFIGポリシー主にデータベース管理に関連する操作に対して監査ポリシー表などのオブジェクトに対する監査設定はされていないので、ユーザー用途に応じたDML監査を追加する ALTER ANY TABLE CREATE ANY
TABLE DROP ANY TABLE ALTER ANY PROCEDURE CREATE ANY PROCEDURE DROP ANY PROCEDURE GRANT ANY PRIVILEGE GRANT ANY OBJECT PRIVILEGE GRANT ANY ROLE CREATE USER DROP USER ALTER USER ALTER DATABASE ALTER SYSTEM AUDIT SYSTEM ALTER ANY SQL TRANSLATION PROFILE CREATE ANY SQL TRANSLATION PROFILE DROP ANY SQL TRANSLATION PROFILE CREATE ANY LIBRARY CREATE ANY JOB CREATE EXTERNAL JOB CREATE SQL TRANSLATION PROFILE CREATE PUBLIC SYNONYM DROP PUBLIC SYNONYM EXEMPT ACCESS POLICY EXEMPT REDACTION POLICY TRANSLATE ANY SQL PURGE DBA_RECYCLEBIN LOGMINING ADMINISTER KEY MANAGEMENT BECOME USER CREATE PROFILE ALTER PROFILE DROP PROFILE CREATE ROLE ALTER ROLE DROP ROLE SET ROLE CREATE DATABASE LINK ALTER DATABASE LINK DROP DATABASE LINK CREATE DIRECTORY DROP DIRECTORY EXECUTE ON DBMS_RLS ALTER DATABASE DICTIONARY CREATE PLUGGABLE DATABASE DROP PLUGGABLE DATABASE ALTER PLUGGABLE DATABASE Copyright © 2024, Oracle and/or its affiliates 31

Unified Audit 条件による監査対象の絞り込み WHEN句で、IPアドレスがNULL(ローカル接続)の場合のみの条件を追加 CREATE AUDIT POLICY Policy1 ACTIONS
UPDATE ON EMPLOYEES, DELETE ON EMP_EXTENDED; AUDIT POLICY Policy1 BY UserX, UserY; CREATE AUDIT POLICY Policy2 ACTIONS UPDATE ON EMPLOYEES, DELETE ON EMP_EXTENDED WHEN 'SYS_CONTEXT(''USERENV'',''IP_ADDRESS'') IS NULL’ AUDIT POLICY Policy2; 特定のユーザーのUPDATE,DELETE文のDMLを監査 Actions ALLだけれども、JDBC接続の特定のAPサーバのアクセスは除く条件を指定 CREATE AUDIT POLICY Policy3 ACTIONS ALL ON EMPLOYEES WHEN 'SYS_CONTEXT(''USERENV'',''HOST'') IN ‘’xxxxx.jp.oracle.com,xxxxx.jp.oracle.com‘’ AND SYS_CONTEXT(''USERENV'',''MODULE'') NOT IN ''JDBC Thin Client''' AUDIT POLICY Policy3; Copyright © 2024, Oracle and/or its affiliates 32

Column Level Audit (23c新機能) 表の列をトリガーにした監査アクション SELECT * from EMPLOYEES; SELECT
ID FROM EMPLOYEES; SELECT ID, SALARY FROM EMPLOYEES; EMPLOYEES SALARY列監査アクションの対象を従来の表単位から列単位での特定が可能ログは、UNIFIED_AUDIT_TRAILビューをから参照監査対象を絞り込むことは、監査ログのストレージ領域の肥大を抑え DMLのパフォーマンスへのオーバーヘッドも最小限にすることができる CREATE AUDIT POLICY ポリシー名 ACTIONS DML(カラム名) ON テーブル名例) EMPLOYEES表のSALARY列のSELECT, UPDATEを対象 CREATE AUDIT POLICY policy1 ACTIONS SELECT(SALARY), UPDATE(SALARY) ON HR.EMPLOYEES; AUDIT POLICY policy1; Copyright © 2024, Oracle and/or its affiliates 33

Oracle Audit Vault and Database Firewall Database Firewall Audit Vault
Server Operating systems & directory services Databases Policies Reports Alerts Oracle Database Microsoft SQL Server IBM DB2 SAP Sybase MySQL PostgreSQL Linux Windows AIX Solaris Microsoft Active Directory データベース・アクセス Oracle Databaseや他社のデータベースの監査ログを収集し一元管理 OSやディレクトリのログにも対応２種類のデータベース・ログ収集方式 SQLトラフィック + Database Firewall データベース監査 + エージェント収集したログをレポート・アラートし、不正な操作の早期検知 Oracle Databaseの暗号化、特権管理などのセキュリティ機能をフルに活用し、ログの改ざん、削除を防止しセキュアに保管ソフトウェアアプライアンスとして、OSとソフトウェアがパッケージングされて提供 Copyright © 2024, Oracle and/or its affiliates 34

Unified Auditの定常的な監視 Unified Auditは、Unified Audit Trailビューから監査レコードにアクセスすることができる不信な挙動やアクセスがあった場合にアラートをする等の監視の自動化など、効率的に定常監視を行いたい場合は以下の製品と組み合わせて実現する Oracle Audit
Vault and Database Firewall - オンプレミス製品 - 対象は主にオンプレミスのOracle Database - ソフトウェアアプライアンスとして提供され、ハードウェアとログを格納するための大容量のストレージが必要 OCI Logging Analytics - クラウドサービス - 対象はオンプレミス及びクラウドのDatabase (SQL Server, MySQL等のOracle Database以外の監査ログも対応) - クラウドサービスなので、事前に大容量のストレージを準備する必要がなく、無制限に格納可能また、格納しているログの使用量に応じて課金され必要なくなったらより安価なオブジェクトストレージに退避可能 OCI Data Safe - クラウドサービス - 対象は、クラウドまたはオンプレミスのOracle Database - 月 100万レコードまで無償 Copyright © 2024, Oracle and/or its affiliates 35

Active Directoryのユーザー・パスワードを用いたデータベース認証 Oracle Databaseのパスワード認証をActive Directoryと連携することによる認証の一元化 Oracle Database 18c Enterprise Editionから利用可能
(EE機能として提供) 2種類のマッピング方式 - 1 : 1 DBユーザーとADユーザーをマッピング (DBユーザーがADユーザーと同数必要) - 1 : n DBユーザーをADグループにマッピング (DBユーザーは、マッピングするADグループ数のみ） ADユーザーのDBに対するアクセス権限は、Active Directoryのグループ割り当てで動的に変更が可能 Centrally Managed Users (CMU) Microsoft Active Directory 専用 DBユーザ共有 DBユーザ 1:1 ADユーザ 1:n ADグループ create user BOB identified globally as cn=bob,ou=users, dc=company,dc=com create user hr-rep identified globally as cn=hr-rep,ou=groups, dc=company,dc=com Groups: hr-rep {Susan, Diana } Domain (dc=company, dc=com) Users: Susan, Diana, Bob, Venkat Oracle Database Copyright © 2024, Oracle and/or its affiliates 37

アーキテクチャ概要 Centrally Managed Users (CMU) Copyright © 2024, Oracle and/or
its affiliates 38 Active Directory Oracle Database • ADスキーマを拡張するプログラム (opwdintg.exe)をインストール • インストール後以下の3つのグループが作成され、 DBに接続するADユーザーにいずれかを割り当てる ORA_VER_12c, ORA_VFR_11G, ORA_VFR_MD5 • ADと通信するためのCMU設定 • DB-AD間の通信用の代表ADユーザをひとつ作成 • ユーザーがAD認証を実行した際にはこのADユーザーがADに認証委託し、結果を受け取る • 接続情報は、Oracle Keystoreに格納 connect [email protected]/ADパスワード

トークン・ベースの外部認証 OAuth2トークンによるOracle Databaseの認証と認可 Oracle DatabaseとIAM/Azure AD間の通信はTLSにより暗号化されセキュアにトークンの受け渡しが可能 IAM/Azure ADのユーザー・ロールとOracle Databaseのスキーマを
マッピングすることで、統合的なユーザー管理が可能 JDBC-thin、ODP.NETクライアントはネイティブクラウド認証に対応対象データベース： - オンプレミス Oracle Database 19c(19.18～) ※ - Oracle Autonomous Database Serverles - Oracle Autonomous Database on Dedicated Exadata - Oracle Base Database Service - Oracle Exadata Database Service on Dedicated Infrastructure ※Azure ADのみ。IAMはOracle Cloud Databaseのみサポート OCI IAM / Azure AD OAuth2 token Oracle Database - Autonomous - Cloud - On-Premises token Request Send OCI, ADユーザー Azure AD, OCI IAMをサポート Copyright © 2024, Oracle and/or its affiliates 39

トークン・ベースの外部認証 Azure ADの場合の認証・認可フロー Oracle Cloud Azure AD ユーザークライアント -
JDBC, ODP.NET - Azure CLI, SQL*Plus Oracle Database Azure ADユーザーがOracle Databaseリソースのアクセスをリクエスト 1 データベース・クライアントまたはアプリケーションが Azure ADに認可コードをリクエスト 2 Azure ADがAzure ADユーザーを認証し認可コードを返却 3 クライアントが認可コードを使用し Azure ADからOAuthトークンを取得 4 クライアントがOAuth トークンをOracle Databaseに送信 5 Oracle DatabaseはAzure ADの公開鍵を使用し Azure ADによって作成されたアクセストークンであることを確認し、アクセスを認可 6 Azure AD Copyright © 2024, Oracle and/or its affiliates 40

トークン・ベースの外部認証 Azure ADユーザーとDBスキーマのマッピング方式排他的マッピング • Azure ADユーザーとOracle Databaseスキーマを直接マッピング • ADユーザの追加・削除時には、同様にDB側のスキーマの修正に必要
• ADユーザーと同数のDBスキーマが必要 Oracle Database Azure AD Identity Schema(User) Oracle Database Azure AD Identity App Registration Shared Schema Oracle Database Azure AD Identity App Registration Global Role App Roles App Roles CREATE USER peter IDENTIFIED GLOBALLY AS ‘[email protected]’ CREATE USER dba_azure IDENTIFIED GLOBALLY AS ‘AZURE_ROLE=AZURE_DBA’ CREATE ROLE sales_role IDENTIFIED GLOBALLY AS ‘AZURE_ROLE=SalesGroup’ グローバル・マッピング • Azure ADアプリロールとOracle Database Sharedスキーマもしくは Oracle Database Globalロールをマッピング • ADユーザの追加・削除時には、DB側の変更なくAD側のみで完結 • ADアプリロールと同数のDBスキーマ(ユーザ)・ロールを用意 Copyright © 2024, Oracle and/or its affiliates 41

データベースの脆弱性を監視 Oracle Databaseをより安全に利用するためのクラウドベースのデータベース・セキュリティ・サービス Data SafeとターゲットとなるDBを接続し、以下のセキュリティ機能を提供 - セキュリティ・アセスメント（Security Assessment） -
ユーザー・アセスメント (User Assessment） - 機密データ検出（Sensitive Data Discovery ） - データ・マスキング（Data Masking） - アクティビティ監査（Activity Auditing） Autonomous Database、Base-DB、ExaDB-Dは無償 (※一部有償) SE、EEどちらのエディションでも使用可能 BYOLや他社クラウドのOracle Database、またオンプレミスの Oracle Databaseに対しても有償にして使用可能 Data Safe Oracle Cloud上のデータベース監査ユーザー発見アセスマスクオンプレミスのデータベース Data Safe AWS, Azure上のオラクルデータベース Copyright © 2024, Oracle and/or its affiliates 43

セキュリティ・アセスメントデータベースの構成をスキャンし、STIG, CIS Benchmarkなどのベストプラクティス要件と比較してセキュリティ・リスクを評価基本構成、ユーザーアカウント、権限・ロール、アクセス制御、監査、暗号化等のカテゴリで評価データ・ディクショナリから必要な情報を収集するため、DBのパフォーマンスには影響なしアセスメントは、定期的なスケジュール実行が可能アセスメント結果は、ベースラインとして登録することができ、比較分析や過去の実行結果履歴が参照可能 Data Safe
Copyright © 2024, Oracle and/or its affiliates 44

ユーザー・アセスメントユーザー・アカウントをスキャンし、アカウントの使用状況や付与された権限・ロールからリスクを分析 DBAやDatabase Vault、Auditなどの管理者権限の付与状況を一括で可視化アカウントに付与された不要になる可能性があるシステム権限やロールを識別休眠アカウントやパスワードが失効しているユーザーを特定セキュリティアセスメントど同様に、スケジュール実行、ベースラインとの比較分析、実行履歴の参照が可能 Data Safe Copyright
© 2024, Oracle and/or its affiliates 45

機械学習のテクノロジーを活用した高度なログ分析・サービス基盤 - 200種類以上のログに対応した事前定義済みパーサー - OCIやオンプレミスにある様々なOSやミドルウェアのログに対応 - 未サポートのログにはガイド付きカスタムパーサーで簡単作成直感的な操作で分析可能できるログ・エクスプローラー大量のログを高速にビジュアライズするクラスタ分析ログ・データの値に応じた自動ラベリング
様々な分析軸を保存したダッシュボードラベルやログ・データに応じたアラート通知アーカイブ機能によりTBを超えるログ保存のコストを削減 Loggingサービスとの連携しログ分析基盤として活用インストールした管理エージェントが、自動的にアップロード Logging Analytics 46 Logging Analytics Logging Compute Instance Service Connector Hub 管理エージェント連携 Syslog、セキュアログ Windowイベントログミドルウェア、アプリケーションログネットワーク、データベースログ etc.. Database System 他社クラウド管理エージェント連携管理エージェント連携サービス連携オンプレミス Copyright © 2023, Oracle and/or its affiliates

機械学習を用いたログ分析「無視してよい大量のログ」「大切な一行のログ」を効率的に探索類似したパターンを持つログを自動的に認識しグルーピング膨大な量のログイベントを少量のパターン情報 (クラスタ)へと集約 - 例外的パターンや断続的に発生するイベントを素早く検知することで迅速なトラブルシューティングや、異常の検出を可能に Logging Analytics
47 クラスター: ログ・レコードのパターンを識別し、類似したパターンを持つログをグループ化潜在的な問題: Error, Fatal(致命的), Exception(例外) などのキーワードを含むログ・レコードのクラスタ外れ値: 特定の期間中に一度のみ発生し、クラスタに含まれなかったログ・レコードトレンド: クラスタのトレンド。類似した傾向を持つクラスタ同士をトレンドとして表示 Aug 18 11:00:57 Unable to create file ABC.txt for user root Aug 18 23:07:26 Unable to create file DEF.txt for user larry Aug 18 23:08:30 Unable to create file XYZ.ppt for user moe 上記ログエントリを、1つのパターンおよび1つの例外に集約 ID パターン件数 1 <Date> Unable to create file <File> for user <User> 1000 2 Aug 18 23:08:01 Succeeded authorizing right 'system.priv.admin' 1 Copyright © 2023, Oracle and/or its affiliates

Unified Auditの定常的なモニタリング Logging Analytics データベースの認証や特定の表のアクセスの監視に特化したダッシュボード異常を検知した際には、電子メールや SMSなどで管理者にアラート通知 Copyright ©
2024, Oracle and/or its affiliates 48

Oracle Database Security Assessment Tool (DBSAT) 簡単に数分で完了する独立型のPythonスクリプト稼働しているデータベースから影響なく直接情報を抽出優先順位付けられた推奨事項読みやすくまとめられたHTMLレポート
データベースのリスクを定量的に評価し可視化 - 用途不明、過度な権限を持つユーザーがいないか - 適切なパスワード運用をしているか - 暗号化の有無 - 監査設定の状況ダウンロード https://www.oracle.com/jp/database/technologies/security/dbsat.html Oracle Databaseのセキュリティ・リスクを可視化データベースは安全に構成されている？どんなユーザーにどんな権限が？重要なデータが格納されている？ Copyright © 2024, Oracle and/or its affiliates 50

Oracle Database Security 概要

Oracle Database Security 概要

More Decks by oracle4engineer

Other Decks in Technology

Featured

Transcript