Oracle Databaseセキュリティ【アクセス制御編】

Oracle Databaseのセキュリティ機能を、4つのテーマに分けて紹介する資料群です。
本資料では、そのうちアクセス制御に関する機能を解説します。

・暗号化・マスキング編
・アクセス制御編（本資料）
・監査・評価編
・認証編

Transcript

1. アクセス制御編 Oracle Database Security 2024年12月 日本オラクル株式会社 クラウド事業統括 クラウド・エンジニアリングCOE統括 Security＆Managementソリューション部 石井 宏一郎
2. 目次 0. はじめに 1. アクセス制御概要 ✓ アクセス制御とは ✓ Oracle Database における基本のアクセス制御 ✓ アクセス制御の種類 • データ保護 • アクセス防止・検出 2. 機能 ✓ データ保護 • Oracle Label Security • SQL Firewall ✓ アクセス防止・検出 • Database Vault • Virtual Private Database 2 Copyright © 2024, Oracle and/or its affiliates
3. 0. はじめに 3 Copyright © 2024, Oracle and/or its affiliates
4. 全体のセキュリティ対策 データ漏洩が起きるリスクパターンと対策 1 リ ス ク 対 策 分 野 4 3 2 4 第三者の バイパスしたアクセスに よる不当なデータ奪取 正規ユーザーの 業務範囲外の データ持ち出し 正規ユーザーの 業務範囲内の データ持ち出し 運用において 後から発生する 潜在的なリスク 例）ディスク盗難、 通信の盗聴、など 例）ユーザー乗っ取り、 内部不正、など 例）ユーザー乗っ取り、 内部不正、など 例）権限設定の不備、 システムの脆弱性など ・監査 ・ログ監視 ・定期的な セキュリティ評価 ・パッチ適用 ・暗号化 ・データ・マスキング Copyright © 2024, Oracle and/or its affiliates ・認証 ・ユーザ管理 ・認可 (アクセス制御)
5. 全体のセキュリティ対策 データ漏洩が起きるリスクパターンと対策 1 2 3 リ ス ク 第三者の バイパスしたアクセスに よる不当なデータ奪取 対 策 分 野 ・暗号化 ・データ・マスキング ・ユーザ管理 TDE（透過的データ暗号化） Data Redaction 機 能 ・ サ ー ビ ス 5 ネットワーク暗号化 Data Masking and Subsetting Oracle Data Safe Copyright © 2024, Oracle and/or its affiliates 正規ユーザーの 業務範囲外の データ持ち出し 4 正規ユーザーの 業務範囲内の データ持ち出し 構成変更等によって 後から発生する 潜在的なリスク (アクセス制御) ・監査 ・ログ監視 ・定期的な セキュリティ評価 ・パッチ適用 CMU DB Vault 統合監査 DBSAT クラウドIAM 認証 Label Security ファイングレイン監査 ・認証 ・認可 SQL Firewall VPD Oracle Data Safe OCI Logging Analytics Autonomous Database
6. 全体のセキュリティ対策 データ漏洩が起きるリスクパターンと対策 1 2 3 リ ス ク 第三者の バイパスしたアクセスに よる不当なデータ奪取 対 策 分 野 ・暗号化 ・データ・マスキング ・ユーザ管理 TDE（透過的データ暗号化） Data Redaction 機 能 ・ サ ー ビ ス 6 ネットワーク暗号化 暗号化編 Data Masking and Subsetting Oracle Data Safe Copyright © 2024, Oracle and/or its affiliates 正規ユーザーの 業務範囲外の データ持ち出し 4 正規ユーザーの 業務範囲内の データ持ち出し 構成変更等によって 後から発生する 潜在的なリスク (アクセス制御) ・監査 ・ログ監視 ・定期的な セキュリティ評価 ・パッチ適用 CMU DB Vault 統合監査 DBSAT クラウドIAM 認証 Label Security 本資料 ファイングレイン監査 ・認証 ・認可 の対象 SQL Firewall VPD Oracle Data Safe OCI Logging Analytics Autonomous Database
7. 1. アクセス制御概要 7 Copyright © 2024, Oracle and/or its affiliates
8. アクセス制御 データにアクセスする経路 ◼ データを取得する経路は主に2通り 1. 正規ユーザーでアクセス ← アクセス制御で対処 2. 不正経路でアクセス ← 暗号化で対処 アクセス制御で対処 APP DBMS OS 暗号化で対処 アクセス制御 = 正規ユーザーでアクセスできる経路、アクセス可能な範囲を制御する 8 Copyright © 2024, Oracle and/or its affiliates
9. アクセス制御による対策例 最終的に目指すこと • 社員によるデータ持ち出しを未然に防止する • • • • 業務で使用しないデータにはアクセスできない 業務時間外にはアクセスできない 登録されたクライアントからのみのアクセスを許可する 監査も行う • ユーザーが乗っ取りにあった際に漏洩する影響範囲を小さくする • DBAユーザーなどの強力な権限のユーザーはデータにアクセスできないようにする • オペレーションミスによる事故を防ぐ 「最小権限の原則」 正当な目的だけの必要なデータとリソースのみにアクセスできるような設定 なんでもできるユーザーは狙われがちに 9 Copyright © 2024, Oracle and/or its affiliates
10. Oracle Database における基本のアクセス制御 オブジェクト認可方法 ◼ システム権限 • データベース全体に対しての権限 例）GRANT SELECT ANY TABLE TO <user> ◼ オブジェクト権限 • 他のユーザーが所有するオブジェクトへの権限 例）GRANT SELECT ON HR.EMPLOYEES, HR.SALARIES TO <user> new! ◼ スキーマ権限（23ai~） • 特定のスキーマ全体に対する権限 例）GRANT SELECT ANY TABLE ON SCHEMA HR TO <user> 10 Copyright © 2024, Oracle and/or its affiliates HRスキーマ SALESスキーマ
11. 追加のアクセス制御機能の種類 データ保護 と アクセス防止・検出 データ保護 • アクセスできるデータの範囲を制限し、 誰が何にアクセスできるかを細かく制御 • 各ユーザーが必要なデータだけにアクセスできるように することで、データの漏洩や誤用を防ぐ アクセス防止・検出 • データへの不正アクセスを未然に防ぎ、セキュリティ上 の問題を早期に検出 • 不正なアクセスや攻撃を防ぐ ユースケース • 個人情報の保護 • 部門別データ管理 ユースケース • 特権アクセスの防止・検出 • 不正アクセスの防止・検出 機能 ✓ Virtual Private Vault (VPD) ✓ Label Security 機能 ✓ Database Vault ✓ SQL Firewall 11 Copyright © 2024, Oracle and/or its affiliates
12. 2. 機能 対象機能 ・ Virtual Private Database ・ Oracle Label Security ・ SQL Firewall ・ Database Vault 12 Copyright © 2024, Oracle and/or its affiliates
13. VPD Virtual Private Database 13 Copyright © 2024, Oracle and/or its affiliates
14. Virtual Private Database（VPD） 概要 • SQL文に動的に WHERE 句を追加し、透過的に行・列レベルで出力を制御 • アプリケーションに対して透過的な処理 • ユーザーやセッションに応じて自動で WHERE 句を追加 • 非定型の問合せに対しても機密データを保護 • ユーザーの業務上必要のないデータへの参照・操作を防止 SELECT * FROM CUSTOMERS WHERE team_id = 34 user A SELECT * FROM CUSTOMERS SELECT * FROM CUSTOMERS WHERE team_id = 57 user B 14 Copyright © 2024, Oracle and/or its affiliates VPDポリシー
15. VPD（Virtual Private Database） 列制御を行う場合 ポリシー作成時の sec_relevant_cols_opt パラメータによって、出力結果が変化 ◆ NULL（デフォルト） ◆ dbms_rls.ALL_ROWS 指定した列に関連するフィルタリングが有効 フィルタに一致しない行は結果に表示されない すべての行が返されるが、フィルタに一致しない行の対象 列はNULLとして表示される salary列に対してフィルタ条件 ’1=2’ を指定した場合 SQL> select first_name, salary from hr.employees; no rows selected 15 Copyright © 2024, Oracle and/or its affiliates SQL> select first_name, salary from hr.employees; "FIRST_NAME","SALARY" "John", "Karen", …
16. Oracle Label Security 16 Copyright © 2024, Oracle and/or its affiliates
17. Oracle Label Security 概要 • 各データに割り当てられたラベルを使用した、行レベルの精密なアクセス制御 • 分類や機密度、グループに応じたラベルによってデータをラベリングし、階層的なデータアクセスを実現 • ユーザーやセッションに設定された権限ラベルとデータのラベルに応じて、出力される行を自動で制御 • SQL は透過的に処理されるため、アプリケーションの変更は不要 • Enterprise Manager Cloud Control や APIを使用して管理 • 他のOracleセキュリティ機能である、Database Vault や Data Redaction と統合 一貫したセキュリティポリシーの設定が可能に Data Label Sensitive Confidential Public Sensitive 17 Copyright © 2024, Oracle and/or its affiliates Sensitive … Confidential
18. Oracle Label Security ラベルの概念 ユーザーやセッションに付与されたラベルと、データに付与されたラベルを比較し、 適切なアクセス権限を自動的に調整することで、データの安全なアクセス管理を実現 Label Security ユーザーまたはセッションの 権限に基づくラベルを付与 ユーザー・ラベル or セッション・ラベル お互いのラベルに応じて 自動でアクセス範囲を調整 機密性や区分に応じて ラベルを付与 データ・ラベル HS : : JP HS : : JP 18 Copyright © 2024, Oracle and/or its affiliates
19. Oracle Label Security 動作イメージ Label Securityのポリシーを設定した表には、ラベル列が作成される SELECT * やdescribeでラベル列を表示させたくない場合は、HIDEオプションを表に適用する ラベルは、最終的にNumber型で格納されるため、範囲指定などの条件を組み合わせることも可能 実行SQL: SELECT firstname, lastname, country, city FROM customers; アクセス 可能な範囲 ユーザー・ラベル HS : : JP 19 Copyright © 2024, Oracle and/or its affiliates First Name Last Name Country City Label John Smith USA New York HS::US Harry Davis EMEA London HS::EMEA Ichiro Suzuki Japan Tokyo HS::TY Shinjo Tsuyoshi Japan Osaka HS::OS
20. Oracle Label Security ユーザー・ラベル/セッション・ラベル ユーザー・ラベルは、ユーザーがアクセス可能なレベルを定義する - 読み取りの最大レベル、書き込みの最大・最小レベル、区分、グループ - ログイン時にデフォルトの初期ラベルとして設定される セッション・ラベルは、データーベース接続時に生成され、動的なアクセス制御を提供する - ユーザーラベルの範囲内で管理者が動的に変更可能 - データを書き込む際は、セッション・ラベルの情報が使用される。行ラベルとして定義することも可能 ユーザー・ラベル レベル レベル 区分 グループ HS SS GL US S DO US EM C ST EM 区分 グループ SS GL S DO C ST HS 最大 最小 JP S : SS : JP 20 セッション・ラベル Copyright © 2024, Oracle and/or its affiliates TY 接続時に ユーザー・ラベルを継承 ユーザー Down JP C : SS: TY TY
21. Oracle Label Security データ・ラベル データ・ラベル データ・ラベルは、レベル : 区分 : グループで構成される PUBLIC SENSITIVE : DEVOPS レベル (必須) C : GLOBAL HIGHLY_SENSITIVE : SALES: JAPAN グループ(オプション) 機密度 高 区分 (オプション) Highly SENSITIVE SALES SENSITIVE DEVOPS GLOBAL SUPPORT USA EMEA JAPAN CONFIDENTIAL TOKYO PUBLIC 低 詳細名 数値 21 詳細名 短縮名 短縮名 親グループ 短縮名 詳細名 HS SALES SS USA GL_US GL GLOBAL GL 40 HIGHLY_SENSITIVE 30 SENSITIVE S DEVOPS DO EMEA GL_EM GL 20 CONFIDENTIAL C SUPPORT ST JAPAN GL_JP GL 10 PUBLIC P GL_JP_TY GL_JP Copyright © 2024, Oracle and/or its affiliates TOKYO
22. Oracle Label SecurityとVirtual Private Databaseの違い 行列レベルのアクセス制御 Oracle Label Security（OLS） Virtual Private Database（VPD） 制御基準 データの機密性に応じたラベル SQLのwhere句に動的に追加された述語 ライセンス EEの追加セキュリティオプション EEに無償で付属 設定 ・各データに対し、ラベルを設定する必要がある ・EMにてGUIで設定が可能 ・PL/SQLでwhere句の述語部分をコーディングする必 要がある 強み 組織やデータの機密性によるデータ分類 クライアントによって出力する行・列を制御したい場合 ユースケース 機密データ管理、組織内のデータ共有制限 顧客ごとのデータ隔離、時間帯によるアクセス制限 22 Copyright © 2024, Oracle and/or its affiliates
23. SQL Firewall 23 Copyright © 2024, Oracle and/or its affiliates
24. SQL Firewall 不正なSQLでのアクセスをリアルタイムで防御 • SQLトラフィックの許可リストを作成し、明示的に承認されたSQLのみを許可 • インラインで動作し、すべてのSQLを包括的にスキャン • SQLインジェクションとアカウント侵害からデータを保護 • すべてのデータベース接続を検査し、不正なSQLを遮断 • 信頼できるIPアドレス、OSユーザー名、プログラムのみ接続を許可し、エンドポイントからのアクセスを保証 • クラウドサービスのOracle Data Safeに対応、GUIベースで設定および集中管理が可能 許可リスト OS SQL IPアドレス プログラム SQL Firewall 24 Copyright © 2024, Oracle and/or its affiliates
25. SQL Firewall SQL Firewallを使用する基本的な流れ Protecting Stage Learning Stage SQLを キャプチャ DB管理者や アプリケーションが 実行するSQLを 一定期間網羅的に キャプチャ 25 キャプチャした SQLを評価 許可リスト の生成及び チューニング 許可リストを 有効化 SQL違反を モニタリング データディクショナリ からキャプチャした SQLを確認 キャプチャログから 許可するSQLや セッション情報を 許可リストとして 生成とチューニング SQL Firewallの デフォルトアクション (ブロック有/無)を指定して 許可リストを有効化 許可リストに違反した SQLやセッションは、 データ・ディクショナリに 違反ログが記録される Copyright © 2024, Oracle and/or its affiliates
26. Database Vault 26 Copyright © 2024, Oracle and/or its affiliates
27. Database Vault 強力なアクセス制御と職務分離 ◼ 保護領域を作成し、領域内のオブジェクトに対する無認可アクセスや不正な変更を防止 • 特権ユーザーもアクセス制御の対象にすることで職務に応じたアクセス制御を実現 ◼ IPアドレス、認証方法、プログラムなどのファクタによるアクセスパスの制限も可能 ◼ EMにてグラフィカルな画面での設定が可能 ・ DBの設定・管理 ・ DBの起動・停止 DB管理者 ・ データ閲覧不可 SYS, SYSTEM データディクショナリ ・ 業務に必要な HRデータ 顧客データ オブジェクトへのアクセス データ利用者 ・ 業務に必要な オブジェクトへのアクセス データ利用者 27 Copyright © 2024, Oracle and/or its affiliates
28. Database Vault アクセス制御を実現するレルム認可 ◼ DB内部に”レルム”と呼ばれる保護領域を作成 • ユーザーはレルムの管理者もしくは参加者として登録し、認可することが可能 • レルムへはオブジェクト単位で追加 ◼ ルールを追加することでアクセス時間やセッションデータに基づいた、より詳細なルールでの認可が可能 レルム認可 HRレルム管理者 ユーザ ロール HRレルム参加者 ルールセット 時刻 その他ユーザー 28 Copyright © 2024, Oracle and/or its affiliates IPアドレス ・・・ HRレルム
29. 必須レルム（Mandatory Realm）機能 realm_type => 0 or 1 ◼ [0] 必須レルムの無効（デフォルト） • システム権限による表へのアクセスを拒否 • オブジェクト権限を所有または保持するユーザーは レルム認可を受けずにアクセスを許可 • ルールセットを適用したい場合はシステム権限を 使用 ◼ [1] 必須レルムの有効（12c R1~） • システム権限およびオブジェクト権限を有する ユーザーに対してレルム認可を適用 • 強制アクセス制御 (MAC：Mandatory Access Control) を実現 オブジェクト 権限 レルム認可 レルム認可 （ルールセット） 29 Copyright © 2024, Oracle and/or its affiliates システム 権限 （ルールセット） オブジェクト 権限 or システム 権限
30. Vaultに関連するユーザー マルチテナントでのVault管理 ◼ PDB単位でのVaultの有効化が可能 ◼ Vaultを有効化する際、管理者として「Vault管理者」と「アカウント管理者」の2つのユーザーを指定 • 管理者はCDBの共通ユーザーでまとめて行うことができる • PDBごとに管理を行うことも可能 Vault : 有効 無効 C##Vault管理者 C##アカウント管理者 Vault管理者 レルム認可 アカウント管理者 レルム認可 PDB1 30 Copyright © 2024, Oracle and/or its affiliates PDB2
31. コマンド・ルール 特定コマンドの実行を制限 • DDLまたはDMLを含む、特定コマンドの実行を制限 • ルールセットと紐づけることで、時間帯やIPアドレスなどと関連付けることも可能 例）営業時間外のDDL文は許可しない 保護できるSQL文の一例 31 Copyright © 2024, Oracle and/or its affiliates
32. 各機能のまとめ・ライセンス アクセス制御機能 デ ー タ 保 護 ア ク セ ス 防 止 32 サービス名 機能 主な制御基準 ライセンス・オプション Virtual Private Database セッションに応じた動的なWhere句の追 セッション 加による透過的な行列アクセス制御 EE Oracle Label Security データに紐づけられたラベルによる分離 ラベル EE + Label Security Database Vault レルムによる強力なアクセス分離 権限 EE + Database Vault SQL Firewall（23ai~） SQLレベルで認可するアクセス制御 SQL EE + Database Vault or AVDF Audit Vault and Database Firewall Copyright © 2024, Oracle and/or its affiliates データベースの監査とアクティビティの 監視を行う統合的ソリューション ネットワーク 通信 AVDF
33. Oracle Databaseのセキュリティ機能を利用できるEditionと必要なOption 暗号化 マスキング アクセス制御 監査 認証強化 クラウド・サービス リスク・アセスメント 33 Copyright © 2024, Oracle and/or its affiliates Oracle Database機能 利用可能Edition, Option Transparent Data Encryption Enterprise Edition + Advanced Security ネットワーク暗号化 All Edition Data Masking and Subsetting EE + Data Masking Pack and Subsetting Data Redaction EE + Advanced Security Virtual Private Database Enterprise Edition Label Security EE + Label Security Database Vault EE + Database Vault SQL Firewall EE (23c～) + Database VaultまたはAVDF Unified Audit All Edition Audit Vault and Database Firewall All Edition + AVDF Centrally Managed Users Enterprise Edition トークン・ベース認証(Azure AD, OCI IAM) Enterprise Edition Data Safe All Edition Log Analytics All Edition Database Security Assessment All Edition
34. Oracle Databaseのセキュリティ機能を利用できるEditionと必要なOption 暗号化 マスキング アクセス制御 監査 Oracle Database機能 BaseDB SE BaseDB EE BaseDB EE-HP BaseDB EE-EP ExaCS /CC Transparent Data Encryption ◦ (列×) ◦ (列×) ◦ ◦ ◦ ネットワーク暗号化 ◦ ◦ ◦ ◦ ◦ Data Redaction × × ◦ ◦ ◦ Data Masking and Subsetting × ◦ ◦ ◦ 〇 Virtual Private Database × ◦ ◦ ◦ ◦ Label Security × × ◦ ◦ ◦ Database Vault × × ◦ ◦ ◦ SQL Firewall（23ai） ー × ◦ ◦ ー Unified Audit ◦ ◦ ◦ ◦ ◦ Audit Vault and Database Firewall 認証強化 リスク・アセスメント 34 AVDFライセンスが必要 Centrally Managed Users × ◦ ◦ ◦ ◦ トークン・ベース認証(Azure AD, OCI IAM) ◦ ◦ ◦ ◦ ◦ Database Security Assessment ◦ ◦ ◦ ◦ ◦ Copyright © 2024, Oracle and/or its affiliates
35. Database Cloud Serviceでのセキュリティ機能 サービスごとに利用可能なオプション機能 DB-SE Bare Metal VM DB-EE Bare Metal VM DB-HP Bare Metal VM DB EP Bare Metal Exadata VM Infiniband Offload SQL to Storage Smart Flash Cache/log Storage Index Autonomous Database IORM/Network RM In-Memory Fault Tolerance ExaFusion Columnar Flash Cache Real Application Clusters Active Data Guard Database In-Memory Multitenant Partitioning Advanced Compression Advanced Advanced Security Analytics Database Lifecycle Management Pack Spatial & Graph Label Security Cloud Management Pack for Oracle Database Database Database Vault Lifecycle Management Pack Database Vault , Label Security , Data Redaction, SQL Firewall OLAP Cloud Management Pack for Oracle Database Oracle Database Enterprise Edition, Diagnostics and Tuning Packs , Real Application Testing Data Masking and Subsetting Pack , Virtual Private Database, Centrally Managed Users, トークン・ベース認証 Oracle Database Standard Edition 2, ネットワーク暗号化, Transparent Data Encryption , Unified Audit ※Audit Vault and Database Firewall, Data Safe, OCI Logging Analyticsはそれぞれのサービス利用料が必要 35 Copyright © 2024, Oracle and/or its affiliates 一部機能 制限あり
36. Oracle Database 26ai FREE でセキュリティ機能を試す 26ai FREE では従来の無償版 XE では使えなかった機能含め、セキュリティの機能の多くが解放されており、 簡単にお試しいただくことが可能です • Deep Data Security • • Data Redaction Oracle Label Security • Virtual Private Vault • Database Vault • SQL Firewall • ファイングレイン監査 …など その他 FREE で使用できる機能は以下リンクよりご確認いただけます。 https://apex.oracle.com/database-features/ また、簡単試していただくためのデモ手順を以下サイトで公開しています。ご興味がありましたら是非ご覧ください。 https://koin3z.github.io/dbsec-tutorials/ 36 Copyright © 2024, Oracle and/or its affiliates