DBセキュリティ入門【監査・評価編】

監査・評価編 DB Security 入門 2026年4月日本オラクル株式会社クラウド事業統括製品事業統括 OCI Platform
COE本部 Security & Management ソリューション部石井宏一郎

目次 2 Copyright © 2026, Oracle and/or its affiliates 0
1 2 3 4 5 はじめに監査ログの設計 Oracle Database 監査機能監査設定における運用論点 Data Safe とセキュリティ評価まとめ

全体のセキュリティ対策データ漏洩が起きるリスクパターンと対策 4 Copyright © 2026, Oracle and/or its affiliates
リスク対策分野第三者のバイパスしたアクセスによる不当なデータ奪取例）ディスク盗難、通信の盗聴、など正規ユーザーの業務範囲外のデータ持ち出し※ 例）ユーザー乗っ取り、内部不正、など正規ユーザーの業務範囲内のデータ持ち出し例）ユーザー乗っ取り、内部不正、など運用において後から発生する潜在的なリスク例）権限設定の不備、システムの脆弱性など・暗号化・データ・マスキング・認証・ユーザ管理・認可 (アクセス制御) ・監査・ログ監視・定期的なセキュリティ評価・パッチ適用 1 2 3 4 ※ 業務における最小権限が付与されていることを前提とする

全体のセキュリティ対策データ漏洩が起きるリスクパターンと対策 5 Copyright © 2026, Oracle and/or its affiliates
リスク対策分野第三者のバイパスしたアクセスによる不当なデータ奪取正規ユーザーの業務範囲外のデータ持ち出し正規ユーザーの業務範囲内のデータ持ち出し構成変更等によって後から発生する潜在的なリスク・暗号化・データ・マスキング・認証・ユーザ管理・認可・監査・ログ監視・定期的なセキュリティ評価・パッチ適用機能・サービス TDE（透過的データ暗号化）ネットワーク暗号化 Data Redaction 統合監査 DB Vault SQL Firewall Label Security VPD DBSAT CMU クラウドIAM 認証 Data Masking and Subsetting 1 2 3 4 Oracle Data Safe OCI Log Analytics Oracle Data Safe Autonomous Database ファイングレイン監査暗号化編アクセス制御編本資料の対象

監査の定義とログの位置づけ概要 • 監査とは、証拠に基づいて統制状況を確認し、改善につなげる活動 • 監査ログは監査そのものではなく、監査・説明責任・インシデント対応を支える証拠 • そのためログの収集だけではなく、収集・分析・評価まで運用することが重要 7 Copyright
© 2026, Oracle and/or its affiliates 監査の目的 • 不正検知 • 説明責任 • 統制確認監査ログの収集 • 何が • いつ • 誰が • 結果分析・レビュー • 分析 • 確認 • 報告セキュリティ評価・改善 • リスク把握 • 設定見直し

監査ログを取得する目的 8 Copyright © 2026, Oracle and/or its affiliates 不正行為の検知と抑止
ベンダー保守や特権ユーザーの活動を監視し、機密資産への不正アクセスや設定変更などの疑わしい活動を特定し、対策を検討法令・規制への準拠（コンプライアンス） J-SOX、PCI-DSS、GDPRなどの要件を満たしていることを監査人に証明インシデント調査とフォレンジック分析セキュリティ侵害やデータ漏洩が発生した際、何が起きたのかを説明するための事後調査運用の問題特定システムのトラブルシューティングや、パフォーマンス上の問題、セキュリティ運用における課題の発見

監査ログ設計の原則監査ログを取得する際に考慮すること 1. 会社のログ取得に関するポリシーに準拠 • 法令・コンプライアンス要件等によって課される必須要件に従う • その他、どのような種類のイベントの記録が必須を決める 2. システムやリソースに応じたリスクベースの個別設定・調整
• システムインパクトに応じた基準の調整 - 重要度・機密度の高いデータのみを対象 - 特権ユーザーの活動など 9 Copyright © 2026, Oracle and/or its affiliates

ログ取得における課題と対策多くのアクティビティを記録することによる課題 ✓ すべてのアクティビティを記録するような大量ログ取得を行うと、パフォーマンス低下やリソース枯渇を招く • 多く記録することが必ずしも良いこととはならない ✓ 「何を記録し、何を記録しないか」を明確に定め、監査対象を絞り込むことで重要な情報の埋没を招く • 一貫性の無いログや運用しきれない量のログは、逆に検知と調査を遅らせることになりかねない
✓ 全量取得は利便性や必要リソースの問題よりもセキュリティを優先したい場合のみ 10 Copyright © 2026, Oracle and/or its affiliates

2. Oracle Database 監査機能 11 Copyright © 2026, Oracle and/or
its affiliates

Oracle Databaseの監査機能 DB内蔵機能と周辺サービスの整理 12 Copyright © 2026, Oracle and/or its
affiliates ファイングレイン監査統合監査 DBSAT Data Safe Audit Vault 構成のチェック監査ログの収集データベース構成や権限設定を収集し、セキュリティリスクと改善点を評価する軽量ツール監査ログの収集・保管・分析に加え、セキュリティ評価やユーザー評価を提供するクラウドサービスデータベース監査ログを集中収集し、一元保管・検索・レポートを行う監査基盤 Oracle Databaseが持つネイティブ監査機能

統合監査概要 • データベース内のさまざまな監査における証跡と形式を一つに統合した監査機能 • 標準監査、ファイングレイン監査、Database Vault、Recovery Managerなどの監査を集約 • 監査ポリシーの設定と構成、管理を大幅に簡素化
• 名前付き監査ポリシーを作成し、ユーザーやロールに適用するだけ • アプリケーションコンテクストや条件追加により、不要な監査レコードの生成を抑制 • すべての監査ソースで標準化された列名およびデータ型を使用して、監査レコード形式が正規化 • 従来の監査機能は 26ai より非サポート • 標準で利用可能 13 Copyright © 2026, Oracle and/or its affiliates

Oracle Databaseの監査機能監査機能の集約 14 Copyright © 2026, Oracle and/or its
affiliates 機能統合監査ファイングレイン監査設定必須監査事前定義済みポリシーカスタム統合監査ポリシーファイングレイン監査ポリシー説明特定のデータベース操作は常に監査対象となり、無効化できない代表的なユースケース向けに、あらかじめ定義された監査ポリシーログオン失敗など一般的な監査に加え、一部のOracle機能向けのポリシーも含まれるシステム権限、ロール、オブジェクトに対するアクションを組み合わせ、要件に応じた幅広い監査を定義用途に応じて、独自の統合監査ポリシーを作成列単位や条件式に基づいて、より細かい監査を設定必要に応じてイベント・ハンドラも利用可能ポリシー作成ーー CREATE AUDIT POLICY DBMS_FGA.ADD_POLICY ポリシー有効化ー AUDIT POLICY <policy> ビュー UNIFIED_AUDIT_TRAIL

必須監査（Mandatory Auditing）常に Oracle Database で記録されるアクティビティ • セキュリティの整合性を保つため、設定によらず常に有効化 • データベースの安全性を維持するための最低限の証拠を確保
• 無効化することはできない • 監査ポリシー名としては「ORA$MANDATORY」として表示 • 監査を2重に取得しないように留意 • 監査される主なアクティビティ ✓ SYSDBA, SYSOPER, SYSASM, SYSBACKUP, SYSDG, SYSKM などの管理権限による接続 ✓ データベースがオープンされるまでに実行される操作 ✓ 監査レコード・ AUDSYS.AUD$UNIFIED表を変更または削除しようとする操作 ✓ Oracle Database Vaultの構成のすべての変更 ✓ 監査に関連するアクティビティ（監査ポリシーの変更、DBMS_AUDIT_MGMTパッケージの実行など） 15 Copyright © 2026, Oracle and/or its affiliates Oracle Database 19 セキュリティガイド - 28.1.2 強制的に監査されるアクティビティ https://docs.oracle.com/cd/F19136_01/dbseg/administering-the-audit-trail.html#GUID-AA781864-5756-464E-AFB6-675625AF0EF5 Oracle Database 26 セキュリティガイド - 25.1.2 強制的に監査されるアクティビティ https://docs.oracle.com/cd/E96517_01/dbseg/administering-the-audit-trail.html#GUID-AA781864-5756-464E-AFB6-675625AF0EF5

事前定義済みポリシー一般的なセキュリティ推奨に基づいて用意された監査ポリシー • セキュリティのベストプラクティスに基づいた、設定済みの監査ポリシー設定 • Oracle Database本体に標準で組み込み済み • 一般的なセキュリティ要件や業界標準に準拠した監査ルールを簡単設定 •
Autonomous AI Databaseの場合、重要な監査ポリシーははじめから有効化 • Data Safeでは追加の事前定義済みポリシーをOCIコンソールからデプロイすることも可能 • AUDIT POLICY <ポリシー名> ですぐに有効化 16 Copyright © 2026, Oracle and/or its affiliates

事前定義済みポリシー（1/2） 17 Copyright © 2026, Oracle and/or its affiliates
ポリシー名ポリシーの内容デフォルト ORA_LOGIN_LOGOUT (23ai~) （旧名：ORA_LOGON_FAILURES）ログイン、ログアウト操作の失敗 Yes ORA_SECURECONFIG セキュリティ監査の必須要件として求められる基本的なデータベースの構成管理に関連した操作 Yes ORA_DATABASE_PARAMETER データベースのパラメータ変更に関連した操作 No ORA_ACCOUNT_MGMT ユーザー・アカウントの変更や権限に関連した操作 No ORA_CIS_RECOMMENDATIONS CISベンチマークで推奨される監査要件に関連した操作 No ORA_STIG_RECOMMENDATIONS (21c~) セキュリティ技術導入ガイド(STIG)で推奨される監査要件に関連した操作 No ORA_ALL_TOPLEVEL_ACTIONS (21c~) 権限を持つユーザーのトップ・レベル操作（STIGの要件に必要） No ORA$DICTIONARY_SENS_COL_ACCESS (23ai~) オプティマイザ・ディクショナリ表の機密列へアクセスする操作 Yes

事前定義済みポリシー（2/2） 18 Copyright © 2026, Oracle and/or its affiliates
ポリシー名ポリシーの内容デフォルト ORA_RAS_POLICY_MGMT Real Application Securityに関連した管理アクション No ORA_RAS_SESSION_MGMT Real Application Securityに関連したセッションアクション No ORA_DV_SCHEMA_CHANGES (23ai~) （旧名：ORA_DV_AUDPOL (~21c) ） Oracle Database Vaultの DVSYS, LBACSYSスキーマのオブジェクトに関連した操作 Yes ORA_DV_DEFAULT_PROTECTION (23ai~) （旧名：ORA_DV_AUDPOL2 (~21c) ） Database Vaultのレルムやコマンドルールに関連した操作 Yes ORA_OLS_SCHEMA_CHANGES LBACSYSユーザーが所有するオブジェクトに関連した操作 No

Data Safe にて提供される定義済みポリシー一部名前ポリシー名ポリシーの内容 Critical database activity
ORA_ADS$_CRITICAL_DB_ACTIVITY データベース全体のセキュリティ・パラメータの変更、監査ポリシーの変更、暗号化キーのローテーションなど、高リスク操作をまとめて監査 Login events ORA_ADS$_LOGON_EVENTS ログイン/ログアウト・イベント Login failures ORA_ADS$_LOGON_FAILURES ログイン・イベント Database schema changes ORA_ADS$_DB_SCHEMA_CHANGES テーブル、インデックス、ビューなどのスキーマ構造の作成、変更、削除（CREATE/ALTER/DROP）操作 Admin user activity ORA_ADS$_ADMIN_USER_ACTIVITY Oracle の内部管理アカウントを除外したすべてのアクティビティ Sys top activity ORA_ADS$_SYS_TOP_ACTIVITY すべてのアクティビティを監視 User activity auditing ORA_ADS$_USER_ACTIVITY Oracle の内部管理アカウントを除外したすべてのアクティビティ Direct DB access ORA_ADS$_DIRECT_DB_ACCESS クライアントIPを取得できないセッションを対象に、ユーザーが直接発行した全操作 19 Copyright © 2026, Oracle and/or its affiliates

カスタム監査ポリシーシステムの要件にあわせた監査ポリシーを手動設定 • リスクベースのアプローチにより「重要な対象」や「異常な状況」をピンポイントで捉えたいときに使用 • 環境やシステムに応じたセキュリティ要件を満たすための監査ポリシーを手動で設定 • 有効なポリシーを集約し、ポリシー数を減らすことにより、内部監査チェックにかかる時間を効率的に 20 Copyright
© 2026, Oracle and/or its affiliates 監査ポリシーの作成 CREATE AUDIT 監査ポリシーの有効化・適用 AUDIT POLICY 監査ポリシーの変更 ALTER AUDIT POLICY 監査ポリシーの無効化 NOAUDIT ※ いずれも AUDIT SYSTEM システム権限または AUDIT_ADMIN ロールが必要ライフサイクル監査ポリシーの削除 DROP AUDIT POLICY

カスタム監査ポリシー追加の必要が生じる主なケース特定の機密データへのアクセスを監視する場合 • 個人情報や機密情報などが含まれる特定の表や列※へのアクセス・変更を監視したいとき • 機密データに対して、いつ、誰が、どの
ような操作（SELECT、UPDATEなど）を行ったかを追跡したいとき信頼できない経路からのアクセスを検知する場合 • 正規のアプリケーション経由ではない、「直接のDB接続」や「不審な経路」を特定したいとき • 営業時間外のアクティビティ • 管理者アカウントや、リスクが高いアカウントの全アクティビティリスクアセスメントやコンプライアンス要件に基づく調整 • システム固有の環境やニーズに対応した設定 • 特定の証跡をフォレンジックや調査の裏付けとして活用したいとき Copyright © 2026, Oracle and/or its affiliates 21 事前定義のポリシーだけでは、組織固有のセキュリティ要件や特殊なニーズを満たせない場合に設定および追加 ※ 統合監査における特定列の監査は26ai以降特定の機密データへのアクセスを監視する場合信頼できない経路からのアクセスを検知する場合リスクアセスメントやコンプライアンス要件に基づいて追加

CREATE AUDIT POLICY <policy_name> 必須 PRIVILEGES system_privilege [, ...]
: システム権限を指定し、その権限を実際に使用して成功したSQL文のみを監査対象とする ACTIONS standard | component : オブジェクト操作やアクション操作を指定する「standard」と、DB機能に応じた「component」の２種類が存在。両方同時指定も可能 ROLES role [, ...] : 指定したロールに付与されたシステム権限をすべて監査対象とする任意 WHEN 'audit_condition' EVALUATE PER { STATEMENT | SESSION | INSTANCE } : 条件付き監査。条件式を記述し、評価タイミングを文ごとかセッション単位、インスタンス単位を選択 ONLY TOPLEVEL : ユーザーが直接発行したSQL文のみを監査対象とし、 PL/SQL内部の再帰的SQLを除外 CONTAINER { CURRENT | ALL } : ポリシーの有効範囲を指定。省略するとCURRENT。作成後のスコープ変更はできない ; CREATE AUDIT POLICY 構文監査ポリシーを作成 22 Copyright © 2026, Oracle and/or its affiliates ※ 必須項目は複数併用が可能 https://docs.oracle.com/cd/G47991_01/sqlrf/CREATE-AUDIT-POLICY-Unified-Auditing.html

条件による監査対象の絞り込み例 23 Copyright © 2026, Oracle and/or its affiliates
WHEN句で、IPアドレスがNULL(ローカル接続)の場合のみの条件を追加 CREATE AUDIT POLICY Policy1 ACTIONS UPDATE ON EMPLOYEES, DELETE ON EMP_EXTENDED; AUDIT POLICY Policy1 BY UserX, UserY; CREATE AUDIT POLICY Policy2 ACTIONS UPDATE ON EMPLOYEES, DELETE ON EMP_EXTENDED WHEN 'SYS_CONTEXT(''USERENV'',''IP_ADDRESS'') IS NULL’ AUDIT POLICY Policy2; 特定のユーザーのUPDATE,DELETE文のDMLを監査 Actions ALLだけれども、JDBC接続の特定のAPサーバのアクセスは除く条件を指定 CREATE AUDIT POLICY Policy3 ACTIONS ALL ON EMPLOYEES WHEN 'SYS_CONTEXT(''USERENV'',''HOST'') IN ‘’xxxxx.jp.oracle.com,xxxxx.jp.oracle.com‘’ AND SYS_CONTEXT(''USERENV'',''MODULE'') NOT IN ''JDBC Thin Client''' AUDIT POLICY Policy3;

AUDIT POLICY 構文監査ポリシーを有効化 24 Copyright © 2026, Oracle and/or
its affiliates https://docs.oracle.com/cd/G47991_01/sqlrf/AUDIT-Unified-Auditing.html AUDIT POLICY <policy_name> 任意 BY user [, ...] : 指定したユーザーにポリシーを適用 EXCEPT user [, ...] : 指定したユーザー以外にポリシーを適用 BY USERS WITH GRANTED ROLES role [, ...] : 指定したロールが適用されているユーザーに適用。以後、ロールの付与、取り消しに応じて自動的に対象が変更 WHENEVER SUCCESSFUL : 成功したイベントのみを対象 WHENEVER NOT SUCCESSFUL : 失敗したイベントのみを対象 ; ※ いずれも省略した場合、全ユーザーに適用かつ成功・失敗の両イベントが対象

AUDIT CONTEXT 構文監査レコードにコンテクスト属性を包含 • 指定したコンテクスト値は UNIFIED_AUDIT_TRAIL の APPLICATION_CONTEXTS 列に記録
例）NAMESPACE userenv ATTRIBUTES current_user, db_name 監査レコードに CURRENT_USER と DB_NAME の値が追記 25 Copyright © 2026, Oracle and/or its affiliates AUDIT CONTEXT NAMESPACE <namespace> : コンテキスト・ネームスペースを指定必須 ATTRIBUTES [attribute, …] : 監査レコードに含める値を持つ1つ以上のコンテキスト属性を指定任意 BY [user, …] : 指定したユーザーについての監査レコードにのみ、コンテキスト属性の値が含むように ; https://docs.oracle.com/cd/G47991_01/sqlrf/AUDIT-Unified-Auditing.html

ファイングレイン監査（FGA）より細かな監査機能 • よりカスタマイズされた監査ポリシーを作成 • 主なユースケース • 特定の列へのアクセス、またはその列値に基づいて監査する場合 - 返される列値のコンテンツに基づいて監査を実施
- 例）SALARYなどの機密列へのアクセスの監査は、SALARY > 1500 のレコード値が問合せによって取得された場合のみ • セキュリティ侵害の可能性についてアラートを出す場合 - 監査条件がトリガーされた際、イベントハンドラによりPL/SQLをコール - メッセージ送信 - セキュリティアラートのトリガー • Enterprise Editionで使用可能 26 Copyright © 2026, Oracle and/or its affiliates ※ 特定列アクセス監査は 26ai より統合監査でも設定可能

DBMS_FGA.ADD_POLICY ( object_schema => '<監査対象のスキーマ>', object_name => '<監査対象のオブジェクト>', policy_name =>
'<ポリシーの名前>', audit_condition => ‘<アクセスのチェックを行う行の条件複数指定可>', audit_column => '<アクセスのチェックを行う列複数指定可>', handler_schema => '<イベント・ハンドラのスキーマ>', handler_module => '<イベント・ハンドラのファンクション名>', enable => '<ポリシーの有効化>', statement_types => '<SQLのタイプ(SELECT/INSERT/UPDATE/DELETE)>', audit_column_opts => '<audit_columnで指定された列のANYかALLか>', policy_owner => '<このポリシーを所有するユーザー>' ); ファイングレイン監査ポリシーの作成 DBMS_FGA.ADD_POLICY 構文 27 Copyright © 2026, Oracle and/or its affiliates https://docs.oracle.com/cd/G47991_01/arpls/DBMS_FGA.html

Oracle Database の監査ベストプラクティス（1/2）取得すべきログの種類組織のリスク許容度やコンプライアンス要件に基づき、3つの主要領域に焦点を絞る 28 Copyright © 2026, Oracle
and/or its affiliates 攻撃の対象となりやすい、SYS、SYSDBA、SYSBACKUPなどの管理者アカウント、および DBAロールを持つユーザーのすべてのトップレベル・アクションを監視認証イベント：不正アクセスの兆候となる失敗も記録アカウント・権限管理：ユーザーやロールの作成、変更、削除、および権限付与を監視システム設定の変更：パラメータの変更や、監査ポリシー自体の変更を記録個人情報や機密データを含む特定の表や列へのアクセスを監視正規のアプリケーションを介さない経路からの機密データへのアクセスを監視特権ユーザーの活動セキュリティ関連イベント機密データへのアクセス

Oracle Database の監査ベストプラクティス（2/2）効率的なログ取得のために監査ボリュームの最適化 29 Copyright © 2026, Oracle
and/or its affiliates プロシージャ内部で実行される再帰的なSQLを除外し、ユーザが直接発行した SQL文のみを記録 Oracle Databaseにて提供される標準ポリシーを有効にする特定のIPアドレス、接続プログラム名、または営業時間外などの条件に基づいてログを生成し、関連性の高い活動に焦点を絞るトップレベルの文のみを監査 (ONLY TOPLEVEL) 事前定義済みポリシーの活用条件付き監査の活用

監査証跡監査レコードを格納する内部表監査証跡 ◼ AUDSYS.AUD$UNIFIED • 統合監査証跡を格納する INSERT のみを許可する特殊な実表 ◼
$ORACLE_BASE/audit/$ORACLE_SID/ora_audit_xxx.bin • DBがオープンしていないなどで書き込めない場合、監査レコードを格納するバイナリファイル • あとでデータベース表の方に移動が可能監査ビュー  AUDSYS.UNIFIED_AUDIT_TRAIL • 様々なソースからの監査レコードを統合・正規化した形式で表示するビュー • PDB ごとに持つ • 問合せには AUDIT_VIEWER ロールを必要とする  AUDSYS.CDB_UNIFIED_AUDIT_TRAIL • CDBルートからすべてのPDBの監査レコードをまとめて表示するためのビュー 31 Copyright © 2026, Oracle and/or its affiliates Database Vault Data Pump UNIFIED_AUDIT_TRAILビュー監査証跡 DB操作

AUDSYS.AUD$UNIFIED 監査証跡の整合性を担保する特殊な表 • INSERT のみが許可される特殊な実表 • この表への更新など、直接の操作は拒否されたのち記録 • 監査データの管理は DBMS_AUDIT_MGMT
を使用 • TDE で暗号化可能 • SYSAUX 表領域の AUDSYS スキーマに属し、別の表領域に移動も可能 • UNIFIED_AUDIT_SYSTEMLOG パラメータにより、監査レコードを UNIX syslog または Windows Event Viewer へ出力することが可能 • OSファイルへ書き出すことで Oracle Database 内からの不正な操作を防止 • 関連操作 • DBMS_AUDIT_MGMT.LOAD_UNIFIED_AUDIT_FILES - OS監査ファイルを取り込む。取り込まれたファイルは削除 • DBMS_AUDIT_MGMT.SET_AUDIT_TRAIL_LOCATION - ユーザー指定の表領域に移動 32 Copyright © 2026, Oracle and/or its affiliates

Database Vault による監査証跡の保護 Oracle Audit レルム • 26ai 以降、Database Vault
が有効化されているデータベースでは、監査証跡を保護するレルム「Oracle Audit」がデフォルトで作成 • 従来監査含む AUDSYS スキーマと SYS スキーマ内の監査関連オブジェクトを保護 • SYS.AUD$、SYS.FGA_LOG$、AUDSYS.UNIFIED_AUDIT_TRAIL、DBMS_AUDIT_MGMTなどが対象 • デフォルトでは、AUDDYSスキーマのみが Oracle Audit レルムに認可許可 • 通常の AUDIT_ADMIN や AUDIT_VIEWER ロールに加え、次のプロシージャによる認可が必要 • DVSYS.DBMS_MACADM.AUTHORIZE_AUDIT_ADMIN • DVSYS.DBMS_MACADM.AUTHORIZE_AUDIT_VIEWER 33 Copyright © 2026, Oracle and/or its affiliates

マルチテナントにおける監査ローカル監査ポリシー • 作成されたコンテナ内でのみ有効 • PDBまたはCDBルートにて作成 • CREATE AUDIT POLICY
にて CONTAINER = CURRENT を指定 CDB共通監査ポリシー • マルチテナント環境内のすべてのPDBおよびCDBに適用 • CDBルートにて作成 • CREATE AUDIT POLICY にて CONTAINER = ALL を指定アプリケーション共通監査ポリシー • アプリケーション・ルート配下のアプリケーションPDBに適用 • アプリケーション・ルートにて作成 • CREATE AUDIT POLICY にて CONTAINER = ALL を指定 Copyright © 2026, Oracle and/or its affiliates 34 マルチテナント環境においては各コンテナ（CDBルートおよび各PDB）が固有の統合監査証跡を持つ監査ポリシーの作成は以下の３種類

監査によるパフォーマンス影響 Oracle Database Unified Audit: Best Practice Guidelines (April, 2025,
Version 2.0) より Performance considerations of unified audit For typical use cases of auditing privileged users or auditing key database operations, the performance impact is so low that it cannot even be measured due to low audit volume spread throughout the week. You could begin to see performance impact of 1% when the audit load increases to a couple of thousand audit records per min. For most use cases, you are not going to see overhead beyond this, but for cases where organizations want to audit application usage, it is best to tune the audit policies. Internal performance tests using a TPC-C mixed application workload show that with unified audit, you may see a CPU overhead range between 2% to 5% when auditing beyond 6000 audit records per min. For extreme audit loads up to 36,000 audit records per min, the additional overhead is still in a single digit. As auditing is a transactional activity with typical ACID properties to guarantee record of database activities, we recommend that you fine-tune your audit policies to collect audit data that is targeted to your needs. Collecting unnecessary audit information impacts database performance, increases storage costs, and may make it more difficult to spot malicious database activity. 35 Copyright © 2026, Oracle and/or its affiliates • 特権ユーザー監査や主要なデータベース操作の監査など、一般的なユースケースでは、パフォーマンスへの影響はごく小さい • 監査レコードが1分あたり数千件の規模になると、約1%の影響が出始める可能性がある • 内部テストでは、統合監査で6,000件/分の監査レコード生成時に、CPUオーバーヘッドは2〜5%だった • 不要な監査を広く有効化すると、性能低下・ストレージ増加・重要イベントの見落としにつながる • そのため、監査ポリシーは目的に応じたチューニング、定期的に見直すことが重要 https://www.oracle.com/a/tech/docs/dbsec/unified-audit-best-practice-guidelines.pdf

監査証跡の削除アーカイブとパージアーカイブ • 監査データの整合性と信頼性を保つために、ソースDBには最小限だけ残し、長期保管は外部へ移すことを推奨 • 専用リポジトリとしては AVDF や
Data Safe が利用可能 • Data Pump によるエクスポートでもダンプに含めることが可能 • DBMS_AUDIT_MGMT.SET_LAST_ARCHIVE_TIMESTAMP にてアーカイブ・タイムスタンプを登録 • マルチテナントでは PDB ごとに設定パージ • アーカイブ・タイムスタンプより前に作成された監査証跡レコード、またはすべての監査証跡レコードを削除 • 手動パージ: DBMS_AUDIT_MGMT.CLEAN_AUDIT_TRAIL • 自動パージ: DBMS_AUDIT_MGMT.CREATE_PURGE_JOB 36 Copyright © 2026, Oracle and/or its affiliates

基本的な導入パターン平常時のベースラインを把握し、異変の早期検知のため常にアクセス・分析可能な状態にしておく ① 監査設定 ✓ 基本は統合監査と事前定義済みポリシーを中心に構成 ✓ システムや環境の要件に応じて、カスタム統合監査ポリシーや
FGA を追加 ✓ ログオン時のオーバーヘッドや運用負荷を抑えるため、有効化するポリシーは必要最小限に ✓ 監査対象は、重要操作、特権ユーザー、高リスクなデータアクセスを優先して設定 ② 監査ログ分析およびセキュリティ運用 ✓ 監査は設定後も継続的な運用プロセスとして管理 ✓ 監査ログを定常的に分析し、ポリシー違反、不審な操作、運用上の問題を早期に検知 ✓ 定期的に監査方針やデータベース構成の有効性を評価、脅威や要件の変化に応じて見直す ✓ セキュリティ評価を継続的に実施し、設定や運用の改善につなげる ✓ システムや組織のリスク状況を継続的に把握する 37 Copyright © 2026, Oracle and/or its affiliates 監査ログの収集・分析・可視化 → Data Safe、OCI Log Analytics、AVDF 定期的なセキュリティ評価 → Data Safe、DBSAT

Data Safe サービス概要/特徴 • Oracle Database のセキュリティ運用を支援するクラウドサービス • DB設定・アカウントのリスク評価を実施
• データ・マスキング機能をDB on IaaSやオンプレミスのDBに適用 • SQL Firewall(26ai~) の有効化・ポリシー作成・監視を実施 • DB監査ログを集約・分析、セキュリティ監視を強化ユース・ケース • DBのセキュリティ設定やアカウント権限、監査設定を定期評価・レポート • 管理者や機密データの監査ログを集約・分析し、リスクを可視化 • 他社クラウドのOracle DBも、アセスメント・マスキング・監査分析で保護サービス価格 • Database Cloudサービス：無償 • DBonIaaS、オンプレミスのDB：\31,000 /月 /DB • 監査機能：100万レコード /月 /DB まで無償それ以降は ¥15.5 /10,000レコード /月 /DB 39 Copyright © 2026, Oracle and/or its affiliates データベースのセキュリティを補完・強化監査ユーザー発見アセスメントマスキング Data Safe オンプレミスのデータベース Oracle Cloud上のデータベース AWS, Azure上のオラクルデータベース

• ターゲットDBの監査証跡から監査レコードを取得し、Data Safeに格納 • 取得された監査レコードはレポート/検索/アラート用途に使う代表的な項目を中心に正規化 • AuditEventSummary※形式で管理 • UNIFIED_AUDIT_TRAIL
の全列がそのまま並ぶ形ではない • 標準フィールドに含まれない属性は extended_event_attributes にまとめて格納 • SQL_TEXT、SQL_BINDS、RLS_INFO列は 32KB までに切り詰められる Security Policy Data Safe アクティビティ監査 40 Copyright © 2026, Oracle and/or its affiliates UnifiedAuditPolicyDefinition UnifiedAuditPolicy デプロイ ※ https://docs.oracle.com/en-us/iaas/api/#/en/data-safe/20181201/AuditEventSummary/ 適用する範囲を指定しポリシー設定を作成 UnifiedAuditPolicy

Data Safe におけるDBローカル監査証跡の扱い • Data Safe からターゲットDB の監査証跡のパージが可能 • 最後のアーカイブタイムスタンプより7日以上古いすべての
監査証跡を削除 • 自動パージが有効化されている場合 • Data Safe は監査ログの収集後、LAT※を自動で更新 • ジョブは毎日実行 • 無効化されている場合 • コンソールや API で LAT を手動更新 • Data Safe にロードされていない監査ログも削除されるため注意 41 Copyright © 2026, Oracle and/or its affiliates ※ LAT: Last Archive Timestamp

Data Safe Security Assessment • データベースの構成をスキャンし、CIS Benchmark などのセキュリティ要件と比較してリスクを評価 •
基本構成、ユーザー・アカウント、権限・ロール、アクセス制御、監査、暗号化などのカテゴリでリスクを評価 • 定期的なスケジュール実行 • アセスメント結果をベースラインとして登録し、比較分析や過去の実行結果を参照 42 Copyright © 2026, Oracle and/or its affiliates

Data Safe User Assessment • DBアカウントをスキャンし、利用状況や付与された権限・ロールに基づいてリスクを分析 • DBA、Database Vault、Audit
などの管理者権限の付与状況を可視化 • アカウントに付与された、不要または過剰となる可能性があるシステム権限やロールを識別 • 休眠アカウントや、パスワードが失効しているユーザーを特定 • スケジュール実行、ベースラインとの比較分析、実行履歴の参照 43 Copyright © 2026, Oracle and/or its affiliates

Database Security Assessment Tool (DBSAT) データベースをスキャンし、セキュリティのリスクとギャップをレポート • 基本構成、ユーザアカウント、権限管理、暗号化、監査・・・ • データディクショナリおよびOS構成ファイル情報の参照処理のみ
※ データの変更処理・業務データの参照処理は実施しない • EU GDPR や CIS Benchmark の要件とのギャップを可視化 Oracle Database 11.2.0.4以降に対応対応OS：Linux, Windows, HP UX 以下の公開サイトからダウンロード可能 • https://www.oracle.com/technetwork/database/security/dbsat/downloads/index.html 以下ブログでも紹介 • DBSATでセキュリティリスクを自動評価！【#2 Oracle Databaseセキュリティ入門】 44 Copyright © 2026, Oracle and/or its affiliates セキュリティ・アセスメント CLI ツール HTML

DBSAT 参照ガイドライン ◼ Security Technical Implementation Guides (STIGs) • アメリカ国防総省の国防情報システム局による、情報システムのセキュリティ実装ガイド
• 政府関連機関のIT環境におけるセキュリティ強化と安全な構成を目的とする ◼ The General Data Protection Regulation 2016/679 (EU GDPR) • EUの個人データ保護規則 • 個人データ主体の権利保護と企業のデータ管理責任を規定 ◼ CIS Oracle Database Benchmark (CIS Benchmarks) • Center for Internet Security (CIS) による、情報システムの安全な構築・運用のためのベストプラクティス集 • DBSAT v3.0よりOracle Database 19c CIS Benchmark v1.2 を参照 ◼ Oracle Best Practice (OBP) • Oracle 独自の専門知識によるセキュリティ推奨事項と設定ガイド • DBSAT v3.0より追加 46 Copyright © 2026, Oracle and/or its affiliates アセスメントがベースとするコンプライアンスフレームワーク及びセキュリティ標準

まとめ 48 Copyright © 2026, Oracle and/or its affiliates ✓
監査は「すべてを取得する」のではなく、目的・リスク・説明責任に基づいて設計する ✓ 基本は統合監査 + 必要最小限の事前定義ポリシー • 条件付き監査が必要な箇所のみ FGA などを検討 ✓ 監査証跡は保護・保管・パージ・分析まで含めて運用設計する ✓ 性能影響と運用負荷を定期的に評価し、監査ポリシーを継続的な見直しを行う ✓ Data Safe / OCI Log Analytics / AVDF による監査分析と、DBSAT / Data Safe による評価を組み合わせる ✓ 監査とセキュリティ評価を一体で回し、検知・説明責任・継続的改善につなげる

Oracle Database 26ai FREE でセキュリティ機能を試す 26ai FREE では従来の無償版 XE では使えなかった機能含め、セキュリティの機能の多くが解放されており、
簡単にお試しいただくことが可能です • Deep Data Security • Data Redaction • Oracle Label Security • Virtual Private Vault • Database Vault • SQL Firewall • ファイングレイン監査 …などその他 FREE で使用できる機能は以下リンクよりご確認いただけます。 https://apex.oracle.com/database-features/ また、簡単試していただくためのデモ手順を以下サイトで公開しています。ご興味がありましたら是非ご覧ください。 https://koi141.github.io/dbsec-tutorials/ 50 Copyright © 2026, Oracle and/or its affiliates

【参考】 Oracle Audit レルム（1/3） Oracle Database 26ai FREE Oracle Audit
realm の状態・種別 51 Copyright © 2026, Oracle and/or its affiliates SQL> SELECT NAME, ENABLED, REALM_TYPE FROM DBA_DV_REALM WHERE NAME = 'Oracle Audit’; NAME ENABLED REALM_TYPE _______________ __________ _____________ Oracle Audit Y MANDATORY

【参考】 Oracle Audit レルム（2/3） Oracle Database 26ai FREE 保護対象オブジェクト 52
Copyright © 2026, Oracle and/or its affiliates SQL> SELECT OWNER, OBJECT_NAME, OBJECT_TYPE FROM DBA_DV_REALM_OBJECT WHERE REALM_NAME = 'Oracle Audit' ORDER BY OWNER, OBJECT_NAME; OWNER OBJECT_NAME OBJECT_TYPE _________ _________________________ ______________ AUDSYS % % SYS AUD$ TABLE SYS CDB_AUDIT_TRAIL VIEW SYS CDB_COMMON_AUDIT_TRAIL VIEW SYS CDB_FGA_AUDIT_TRAIL VIEW SYS DBA_AUDIT_TRAIL VIEW SYS DBA_COMMON_AUDIT_TRAIL VIEW SYS DBA_FGA_AUDIT_TRAIL VIEW SYS DBMS_FGA PACKAGE SYS FGA_LOG$ TABLE SYS USER_AUDIT_TRAIL VIEW 11 rows selected.

【参考】 Oracle Audit レルム（3/3） Oracle Database 26ai FREE realm に対する認可設定
53 Copyright © 2026, Oracle and/or its affiliates SQL> SELECT GRANTEE, AUTH_OPTIONS, AUTH_RULE_SET_NAME FROM DBA_DV_REALM_AUTH WHERE REALM_NAME = 'Oracle Audit'; GRANTEE AUTH_OPTIONS AUTH_RULE_SET_NAME __________ _______________ _____________________ AUDSYS Owner

DBセキュリティ入門【監査・評価編】

DBセキュリティ入門【監査・評価編】

More Decks by oracle4engineer

Featured

Transcript