View
0
Download
0
Category
Preview:
Citation preview
<Insert Picture Here>
エンタープライズ・クラウドコンピューティングに必須のセキュリティ
日本オラクル株式会社プリンシパルセールスコンサルタント 下道高志, CISA, CISM, CRISC
2011年7月27日
Copyright© 2011, Oracle. All rights reserved. 2
以下の事項は、弊社の一般的な製品の方向性に関する概要を説明するものです。また、情報提供を唯一の目的とするものであり、いかなる契約にも組み込むことはできません。以下の事項は、マテリアルやコード、機能を提供することをコミットメント(確約)するものではないため、購買決定を行う際の判断材料になさらないで下さい。オラクル製品に関して記載されている機能の開発、リリースおよび時期については、弊社の裁量により決定されます。
OracleとJavaは、Oracle Corporation 及びその子会社、関連会社の米国及びその他の国における登録商標です。文中の社名、商品名等は各社の商標または登録商標である場合があります。
Copyright© 2011, Oracle. All rights reserved.
グローバル企業を対象にした調査結果
「プライベート・クラウドを利用/提供していますか?」
はい (全社規模で利用) 11.3%
はい (特定システムで利用) 12.8%
はい (実機検証中) 4.5%
計画中 4.9%
検討中 10.5%
いいえ 47.4%
わからない/無回答 8.7%
Source: IOUG ResearchWire member study on Cloud Computing, conducted in August-September 2010.
28.6%
28.6% のお客様が既にプライベート・クラウドを保有
3
Copyright© 2011, Oracle. All rights reserved.
グローバル企業を対象にした調査結果
「パブリック・クラウド・サービスを利用していますか?」
はい 13.8%
いいえ 54.6%
検討中 11.2%
わからない/無回答 20.4%
13.8% のお客様が既にパブリック・クラウドを利用
「いいえ」と答えた方の理由(パブリック・クラウドに対する懸念事項)
43% セキュリティ
26% サービス品質(QoS)
25% コスト (長期間にわたる)
4
Source: IOUG ResearchWire member study on Cloud Computing, conducted in August-September 2010.
Copyright© 2011, Oracle. All rights reserved.
日本:クラウドサービスの利用状況
5
出典:総務省 平成 22年通信利用動向調査(企業編)
Copyright© 2011, Oracle. All rights reserved.
日本:クラウドサービスの利用効果の有無
6
出典:総務省 平成 22年通信利用動向調査(企業編)
Copyright© 2011, Oracle. All rights reserved.
日本:クラウドサービスを利用しない理由
7
出典:総務省 平成 22年通信利用動向調査(企業編)
「利用していないし、今後も利用する予定がない」理由
Copyright© 2011, Oracle. All rights reserved.
エンタープライズ・クラウドコンピューティングに必須な要素とは?
8
Copyright© 2011, Oracle. All rights reserved.
米国国立標準技術研究所(National Institute of Standards and Technology )の定義
“クラウド・コンピューティングとは、貯蔵/共有化された電算処理資源(ネットワーク、サーバー、ストレージ、アプリケーション、サービス)を 、ネットワークを介し必要に応じて利用可能とするモデル。管理の手間やサービスプロバイダーの仲介作業を最小化し、これらの資源を迅速に確保、利用、開放するこ
とを可能とする ”
• プライベート・クラウド
• コミュニティ・クラウド
• パブリック・クラウド
• ハイブリッド・クラウド
配置/展開モデル
× 4基本的な特性
× 5• オン・デマンド/セルフ・サービス
• ネットワークを介した利用
• リソースの集中貯蔵
• 迅速なリソース確保/開放(スケール・アウト/スケール・イン)
• 計測可能なサービス
• SaaSSoftware as a Service
• PaaSPlatform as a Service
• IaaSInfrastructure as a Service
サービス・モデル
× 3
意味の再確認
クラウド・コンピューティング
9
Copyright© 2011, Oracle. All rights reserved.
• 国際標準(デジュール)• ISO• SC27(セキュリティ)• SC38(分散アプリケーションプラットフォームおよびサービス)
• ITU-T• FG Cloud ( Focus Group on Cloud Computing)
• 業界標準• DMTF (Distributed Management Task Force)• CMWG (Cloud Management Work Group)
• SNIA• Cloud Storage Initiative
• OASIS• IDCloud ( Identity in the Cloud TC)
• セキュリティ• CSA (Cloud Security Alliance)• ENISA (European Network and Information Security Agency)• SCIM (Simple Cloud Identity Management)
代表的なクラウド標準団体
10
Copyright© 2011, Oracle. All rights reserved.
クラウド間連携の時代の認証認可技術
• クラウド間認証/サービス連携• SAML
• Liberty ID-WSF
• WS-*
• OpenID
• OAuth
• XACML
• SPML
• BrowserID
• より高度な認証方法• リスクベース認証
• 多要素認証
11
Copyright© 2011, Oracle. All rights reserved.
クラウド関連の監査と情報セキュリティマネジメント
• 監査• ISAE3402(IFAC)/SSAE16(AICPA)
• ( SAS70 は2011年6月15日まで)
• ISACA(情報システムコントロール協会)
• Cloud Computing: Business Benefits With Security, Governance and Assurance Perspectives
• 情報セキュリティマネジメント• 経済産業
• 「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」
• ISO/IEC27002:2005 がベース
12
Copyright© 2011, Oracle. All rights reserved.
将来のクラウド間連携(GICTF資料より)
13
Copyright© 2011, Oracle. All rights reserved.
SLA項目の例(GICTF“インタークラウド のユースケースと機能要件”より)
14
情報セキュリティ基準「ISMS認証基準(Ver.2.0)」ISO27001」 を取得しているか事業者セキュリティ基準取得状況
情報漏洩の元となる不正ソフトウェアのインストール、不要アクセス経路設定防止のためのアクセス制限有無
管理システム上の対策における操作制限状況
攻撃者が管理権限を手に入れることによる情報漏洩の脅威への対策有無管理権限を持つ主体の認証実施状況
不正アクセス発生を検知し、その後の対策のためのログが取得できるか不正行為検知のためのログの取得状況
データの国内配置データ配置場所
クラウド間で伝送されるデータ秘匿有無クラウドシステム間の伝送データ秘匿
踏み台攻撃等の脅威や情報の持ち出し抑止のための通信制御の実施有無不正通信遮断のための通信制御状況
サービス停止攻撃の回避対策有無DoD/DDoS攻撃回避のためのネットワーク輻輳対策状況
不正行為の確認、正しく処理された証跡保持期間不正行為検知のためのログの保管期間
単位時間あたりの最大処理件数が目標を達成した割合単位時間あたり最大処理件数遵守率
性能
単位時間あたり最大処理件数単位時間あたり最大処理件数
SLA項目
可用性 サービス稼働率稼働率
サービスを利用できる確率((計画サービス時間-停止時間)÷計画サービス時間)
平均復旧時間 障害発生から修理完了までの平均時間(修理時間の和÷故障回数)
サービス中断時間 想定できる障害からの業務継続対策(クラスタ構成等)ありの再開時間
ディザスタリカバリ時に、どれくらいで復旧させるかの目標
データリカバリ復旧時点時間 障害発生時のデータをどこまで復旧するか
セキュリティ
オンライン応答時間 オンライン処理の応答時間
オンライン応答時間遵守率 目標時間内に完了したオンライントランザクションの割合
バッチ処理時間 バッチ処理の応答時間
バッチ処理時間遵守率 目標時間内に完了したバッチ処理の割合
マルウェア対策の実施 マルウェア感染防止する対策の実施有無
情報セキュリティ基準「ISMS認証基準(Ver.2.0)」ISO27001」 を取得しているか事業者セキュリティ基準取得状況
情報漏洩の元となる不正ソフトウェアのインストール、不要アクセス経路設定防止のためのアクセス制限有無
管理システム上の対策における操作制限状況
攻撃者が管理権限を手に入れることによる情報漏洩の脅威への対策有無管理権限を持つ主体の認証実施状況
不正アクセス発生を検知し、その後の対策のためのログが取得できるか不正行為検知のためのログの取得状況
データの国内配置データ配置場所
クラウド間で伝送されるデータ秘匿有無クラウドシステム間の伝送データ秘匿
踏み台攻撃等の脅威や情報の持ち出し抑止のための通信制御の実施有無不正通信遮断のための通信制御状況
サービス停止攻撃の回避対策有無DoD/DDoS攻撃回避のためのネットワーク輻輳対策状況
不正行為の確認、正しく処理された証跡保持期間不正行為検知のためのログの保管期間
単位時間あたりの最大処理件数が目標を達成した割合単位時間あたり最大処理件数遵守率
性能
単位時間あたり最大処理件数単位時間あたり最大処理件数
SLA項目
可用性 サービス稼働率稼働率
サービスを利用できる確率((計画サービス時間-停止時間)÷計画サービス時間)
平均復旧時間 障害発生から修理完了までの平均時間(修理時間の和÷故障回数)
サービス中断時間 想定できる障害からの業務継続対策(クラスタ構成等)ありの再開時間
ディザスタリカバリ時に、どれくらいで復旧させるかの目標
データリカバリ復旧時点時間 障害発生時のデータをどこまで復旧するか
セキュリティ
オンライン応答時間 オンライン処理の応答時間
オンライン応答時間遵守率 目標時間内に完了したオンライントランザクションの割合
バッチ処理時間 バッチ処理の応答時間
バッチ処理時間遵守率 目標時間内に完了したバッチ処理の割合
マルウェア対策の実施 マルウェア感染防止する対策の実施有無
Copyright© 2011, Oracle. All rights reserved.
プライベートクラウド
• セルフサービス
• ポリシーベースのリソース管理
• 従量課金
Private IaaS
Private PaaS
App1 App2 App3
PaaS
SaaS
IaaS
パブリッククラウド
サイロ型 共通基盤化
• 物理サーバー
• 専用環境
• 静的
• ヘテロ環境
• 仮想化
• シェアードサービス
• 動的
• 標準化された部品
App1 App2 App3
App1 App2 App3
Private IaaS
Private PaaS
ハイブリッド
• パブリッククラウドとの連携
• 相互運用性
• クラウドバースティング
Private IaaS
Private PaaS
Virtual Private Cloud
ハイブリッド
PaaS
SaaS
IaaS
App1 App2 App3
エンタープライズ・クラウドに必要なコンプライアンス対応
内部統制報告制度個人情報保護法・ガイドライン
ISMS認証取得プライバシーマーク
PCIDSS等々
コンプライアンス要件
監査・審査
15
Copyright© 2011, Oracle. All rights reserved.
クラウドに対する外部攻撃の課題の例~ なりすまし、SQLインジェクション
データーべース
(Oracle,SQLServer,DB2・・・)
情報資産
攻撃者
情報漏洩
盗んだID・パスワード
SQLインジェクション
不正アクセス
WEBサーバー
アプリケーションの実行環境
16
Copyright© 2011, Oracle. All rights reserved.
クラウド時代に求められるセキュリティ要件
特権・管理者権限は適切に管理され、可能な限り分離されていること。
ユーザー(企業・組織)ごとにデータは隔離されていて他のユーザーの情報を閲覧・改ざんできないこと。
各種コンプライアンスの要求に応えるため履歴の取得と適切な開示ができること。
OSレベルの脅威、バックアップ、開発用システムに対する脅威に対して情報を保護できること。
システムにおける最新のセキュリティ状態を管理していること。
適切な強度の認証とアイデンティティ管理が確実に行われること。
17
Copyright© 2011, Oracle. All rights reserved.
セキュアなエンタープライズ・クラウドのために
オラクルのセキュリティ・ソリューション
18
Copyright© 2011, Oracle. All rights reserved.
オラクルのセキュリティソリューション製品
• 企業のセキュリティソリューションを支援するための機能をソフトウェアで提供しており、世界中で多くの実績を持っています。
情報セキュリティ対策
アイデンティティ(ID)管理
LDAP IDライフサイクル管理
認証・アクセス制御(アクセス管理)
統合型認証・アクセス制御 連携型認証(フェデレーション)
Oracle Internet Directory
Oracle Virtual Directory
Oracle Directory Server EE
Oracle Identity Manager Oracle Access Manager Oracle Identity Federation
Oracle STS/Fedlet
職務分掌、ロール管理 Windows環境のシングル・サインオン 認証・アクセス制御の強化
Oracle Identity Analytics
Oracle Enterprise Single Sign-On Suite Plus Oracle Adaptive Access Manager
Oracle Entitlements Server
データ・セキュリティの強化
Oracle Advanced Security
Oracle Database Vault
Oracle Label Security
Oracle Audit Vault
Oracle Data Masking
Enterprise User Security
アプリケーション・セキュリティ
Oracle WebLogic Security (OPSS)
電子文書の取扱いに関するセキュリティの強化
Oracle Universal Content ManagementOracle Information Rights Management
19
Oracle Universal Records Management
Copyright© 2011, Oracle. All rights reserved.
データベースのセキュリティ
20
Copyright© 2011, Oracle. All rights reserved.
アクセス制御• 行・列レベルアクセス制御
(Virtual Private Database)
• 特権ユーザ管理、職務分掌
(Database Vault)
• 暗号化 (Advanced Security)
• バックアップの暗号化 (Secure Backup)
• データ・マスキング
暗号化 & マスキング
監査
• 標準監査/DBA監査
• ファイングレイン監査
• 構成管理 (Configuration Management)
• 変更管理 (Change Management)
• 監査ログ管理・分析 (Audit Vault)
ブロッキング & モニタリング
• Oracle Database Firewall
オラクルの製品で多層防御を実現
21
Copyright© 2011, Oracle. All rights reserved.
Procurement
HR
Rebates
バックアップ暗号化
データベース
暗号化
外部出力データの暗号化
テストデータのマスキング
監査
Procurement
HR
Rebates
Sensitive
Confidential
PublicDBA権限のコントロール
統合されたデータベース・セキュリティの担保
権限のない不正な操作の防止
アプリケーションBlock
Log
Allow
Alert
Substitute
不正SQLの検知と遮断
断片化されたセキュリティ対策ではなく、トータルな情報セキュリティ機能を基盤に組み込まれた提供
オラクルのデータベース・セキュリティ全体像
22
Copyright© 2011, Oracle. All rights reserved.
格納データの暗号化(TDE)
ネットワークの暗号化
バックアップの暗号化
• 可用性と機密性を両立したOracleデータベース暗号化機能
• アプリケーションからは透過的に暗号化を実施するため、SQLの変更は不要
• 暗号化が求められるセキュリティ要件、コンプライアンス要件への対応を支援
Oracle Advanced Security
23
Copyright© 2011, Oracle. All rights reserved.
• 強力な暗号アルゴリズムを利用した暗号化を実施
• NISTの標準共通鍵暗号方式 AES(128/192/256bit) に対応
• Oracle Wallet やHardware Security Moduleを利用した暗号鍵管理メカニズム
• アプリケーションからは透過的にデータの暗号化/復号
• 既存のアプリケーション(SQL)を改修する必要はない
ディスク
バックアップ
ダンプファイル
外部委託先
アプリケーション
SELECT name,cardnumber
FROM credit;
ヤマダタロウ1234567812345678
ヤマダタロウaG5#g&3f_g0R1Blg
カード番号の暗号化
Transparent Data Encryption(TDE)
24
Copyright© 2011, Oracle. All rights reserved.
クラウド内部でどのように機密情報が取り扱われているのかわからないというリスク
顧客の情報が「見える」ことによって事件等が起きるリスク、疑いをかけられるリスク
クラウド利用側(ユーザー) クラウド提供側適切なアクセス権限設定
Oracle Database Vault
• 責任とリスクの分離
Oracle Database Vaultによる適切なアクセス権限設定により、クラウド利用側と提供側、双方のリスクを最適化できる。
25
Copyright© 2011, Oracle. All rights reserved.
Database Vault
• アクセス・コントロールの利用例
26
月曜~金曜日
9:00~18:00
上述以外の時間帯アルバイトA
192.168.1.100
Oracle Database Vault
データ
ディクショナリ
HRシステム
給与データ
人事部門
データベース管理者(DBA)
192.168.2.150
192.168.1.x からのアクセスのみ許可
時間帯によるアクセス制限
アクセス元による制限
管理者によるデータ・アクセスの制限
Copyright© 2011, Oracle. All rights reserved.
PoliciesBuilt-inReports
AlertsCustomReports
ApplicationsBlock
Log
Allow
Alert
Substitute
Oracle Database Firewall
• 透過的
• 動作しているアプリケーション及びデータベースの変更を必要としない
• 高いパフォーマンス
• アプリケーション・データベース間のトランザクション処理への影響はごくわずか
• 正確な検知
• 高精度なSQL文法レベルの解析により、誤検知なく不正なSQLのみブロック
27
Copyright© 2011, Oracle. All rights reserved.
Oracle Database Firewallの検知方法~SQLの文法を理解した正確な検知
• SQLは約400のキーワードや厳格な文法のルール(ISO/IEC 9075)が定義されており、それらの文法構造を理解し判断する
• SQLは分析され、クラスタにグループ化される
• SQLポリシーの管理対象は、クラスタ単位で行われる
• DATAの値が異なっていても、同じクラスタとして文法構造が同一であれば、漏れなくポリシーが適用される
SELECT id, username, password, acccount_no FROM tbl_users WHERE
username = ‘Bill’ AND account_no BETWEEN 1001000 AND 1001012;
SELECT id, username, password, acccount_no FROM tbl_users WHERE
username = ‘Bill’ AND account_no BETWEEN 1001000 AND 1001012;
SELECT id, username, password, acccount_no FROM tbl_users WHERE
username = ‘Bill’ AND account_no BETWEEN 1001000 AND 1001012;
SELECT id, username, password, acccount_no FROM tbl_users WHERE
username = ‘Bill’ AND account_no BETWEEN 1001000 AND 1001012;
UPDATE tbl_users SET comments = ‘The user has asked for another
account_no, and wishes to be billed for services between 1/2/2009
and 2/2/2009, and wants to know where the invoice should be sent
to. She will select the new service level agreement to run from
3/7/2009 next month’ WHERE id = ‘A15431029’;
KEY WORDS SCHEMA DATA OPERATORS
Cluster 1 : SELECT * FROM certs WHERE cert-type = '18‘Cluster 1 : SELECT * FROM certs WHERE cert-type = ‘3999‘
Cluster 2: SELECT * FROM certs WHERE cert-type = 'PHE8131' and location = 1
28
Copyright© 2011, Oracle. All rights reserved.
クラウドのためのID管理(Identity Management )
29
Copyright© 2011, Oracle. All rights reserved.
Oracle Identity Manager 11gIdentity Provisioning : IDライフサイクル管理
ID管理の自動化とセルフサービス機能による運用負荷軽減
退職者、不正IDを迅速に削除するセキュアな基盤を実現
レポート作成や棚卸工数などの監査対応工数を削減
顧客情報管理
システム
売上管理
システム
文書管理
システム
Oracle Identity Manager
属性・ルールに基づいたグループ化・ポリシー割当て
IDの自動配信と
自動削除
配信対象システム
ユーザー情報の取得
人事システム、またはコーポレートディレクトリ
監査ログ
管理者
・ID情報の管理
ユーザー
・パスワード変更
・システム利用申請
30
SPML
SaaS
アプリケーション
Copyright© 2011, Oracle. All rights reserved.
OracleAccess Manager
Oracle Access Manager 11gWebシステムへのシングル・サインオンとアクセス制御を実現
31
拒否
ポータルサイト
機密情報サイト
許可
グループウェア
シングル・サインオンによるユーザー利便性の向上
システム間をまたがる一元的なアクセス制御によるセキュリティの向上
グループ管理による組織変更への動的かつ迅速な対応
各システムの認証・認可はAccess Managerで実施
クライアントは認証情報を利用し各システムにアクセス
Copyright© 2011, Oracle. All rights reserved.
Oracle Identity Federation 11gクラウド環境、グループ会社での複数認証基盤の連携
各拠点の既存のアクセス制御資産を活かしたシングル・サインオンの実現
拠点をまたいだ認証連携によるユーザー利便性の向上
32
関連会社・支店
従業員・パートナー・顧客
SAML 1.x
SAML 2.0
OpenID
WS-Fed
OracleIdentity Federation
クラウドアプリケーション
企業内のアプリケーション
SaaS
アプリケーション
Copyright© 2011, Oracle. All rights reserved.
Oracle Adaptive Access Manager 11gなりすまし、フィッシング対策
33
リスクのリアルタイム分析による不正行為の防止
認証キーパッドや多要素認証による認証強化
認証キーバッド
デバイス位置日時
アクティビティ
リスクベース認証リスクをスコア
偽サイトに誘導するE-mail
盗んだID・パスワード
悪意を持ったユーザー
Copyright© 2011, Oracle. All rights reserved.
Oracle Adaptive Access Manager(OAAM) によるリスクベース認証
• ユーザプロファイル
• 端末の特徴・属性• 突然スマートフォンからPCに変わった?
• IPアドレス、所在地• 突然外国からアクセスされた?
• アプリケーション & 前後の関係からみた 「ふるまい」のデータ• 通常日中アクセスする人が突然明け方アクセスした?
ID・パスワードが正しくても「なりすましかも知れない」リスクを検知する
34
Copyright© 2011, Oracle. All rights reserved.
フィッシング対策:• イメージやフレーズのパーソナライズ
• 日付の更新
情報漏えい対策:• バーチャルキーボード
• ランダムデータ・コミュニケーション
ボット対策 :• 人間による入力を要求
Oracle Adaptive Access Manager(OAAM)バーチャルデバイスによる多要素認証
35
Copyright© 2011, Oracle. All rights reserved.
クラウドを考慮したBCP/DR
36
Copyright© 2011, Oracle. All rights reserved.
MW MW MW MW
DB DB DB DB
CRM PLM SCM HCM
MW PaaSOracle Application Grid/Oracle Exalogic
DB PaaSOracle RAC/Oracle Exadata
CRM SCM ERP HCM
MW PaaS
DB PaaS
CRM SCM ERP HCM
MW PaaSOracle Application Grid/Oracle Exalogic
DB PaaSOracle RAC/Oracle Exadataトランザクションの同期
パブリック・クラウド
情報の整合性を常に保証
待機環境本番環境
事業継続計画(BCP)としての活用例
オラクルが提供する高可用性ソリューション「Oracle MAA(*)」をハイブリッド・クラウド構成に適用することで、迅速に事業継続性を確保することも可能
プライベート・クラウド
Oracle Data Guard
Oracle GoldenGate
(*)Oracle MAA = Oracle Maximum Availability Architecture
同期に要するコストの軽減
37
Copyright© 2011, Oracle. All rights reserved.
MW MW MW MW
DB DB DB DB
CRM PLM SCM HCM
MW PaaSOracle Application Grid/Oracle Exalogic
DB PaaSOracle RAC/Oracle Exadata
CRM SCM ERP HCM
MW PaaS
DB PaaS
CRM SCM ERP HCM
MW PaaSOracle Application Grid/Oracle Exalogic
DB PaaSOracle RAC/Oracle Exadata
パブリック・クラウド
情報の整合性を常に保証
待機環境本番環境
事業継続計画(BCP)としての活用例
オラクルが提供する高可用性ソリューション「Oracle MAA(*)」をハイブリッド・クラウド構成に適用することで、迅速に事業継続性を確保することも可能
プライベート・クラウド
(*)Oracle MAA = Oracle Maximum Availability Architecture
帳票作成バッチによる一時的な負荷増大
CRM SCM
リソース不足
処理負荷を一時的にオフロード
ERP
リソースの消費
異常時、正常時での有効活用
Oracle Active Data Guard読取り専用環境として活用可能
待機環境のリソースを利用
38
Copyright© 2011, Oracle. All rights reserved.
ファイル形式データへのセキュリティ対策
39
Copyright© 2011, Oracle. All rights reserved.
ファイル形式の情報を守るクライアントセキュリティOracle Information Rights Management
社内や社外に配布されるファイルと、ファイルに納められた重要な情報を、
改ざん、不正利用、複製、流用、盗難、流出、漏えいなどのリスクから守る。
ファイルサーバー
データベースからのレポート
社員の文書や電子メール
サーバーで自動的にシールして
デスクトップ上でシールして
または
操作を制御
利用者の利便性を損なわず
所在を追跡 操作を記録 権限を剥奪
シール=暗号化とセキュリティ設定の付与
40
Copyright© 2011, Oracle. All rights reserved.
暗号化 セキュリティ設定 保護された文書
• AES 128
• AES 256
• Oracle IRMサーバー情報
• セキュリティ設定内容
Oracle IRMで保護
41
Copyright© 2011, Oracle. All rights reserved.
セキュアなエンタープライズ・クラウドを迅速・確実に構築・運営するために
42
Copyright© 2011, Oracle. All rights reserved.
オラクルが推進する新しい選択肢
「工業製品化」された次世代プラットフォーム
Building the 21st Century Datacenter
Hardware and SoftwareEngineered to Work Together
Engineered System
43
Copyright© 2011, Oracle. All rights reserved.
Exadata :SW/HWが融合(プリインテグレート)された環境
H/W
•OS セットアップ•Database セットアップ
•クラスタウェア セットアップ•ストレージ管理ソフト セットアップ•システム管理ツール セットアップ•バックアップソフト セットアップ
S/W
•8台サーバセットアップ•クラスタウェア セットアップ
•8台サーバ、14台ストレージの最適コンフィギュレーション
•最大366TB
•ストレージ セットアップ
サーバ
ネットワーク
ストレージ
ベスト・コンフィギュレーションされており個別のセットアップ不要
統一のアーキテクチャで運用可能
初期コスト・運用コストの抑制
「Engineered System」 を具現化した
Oracle Exadata Database Machine
44
Copyright© 2011, Oracle. All rights reserved.
圧倒的な性能とセキュリティを両立
• Intel Xeon 5600プロセッサーの暗号化基本命令セット (AES-NI)および、Oracle Advanced Securityにより、データベース暗号化を実現 (TDE)
• 性能を劣化させることなく、データ暗号化・復号処理を圧倒的に高速化することが可能になる
ハードウェアによるデータベース暗号化の実現
書込み時の暗号化/読取り時の復号処理
ハードウェアによるデータベース暗号化の実現
Smart Scanで読取り時の復号処理
データベース・サーバー
ストレージ・サーバー
45
Copyright© 2011, Oracle. All rights reserved.
バッチ処理における暗号化性能• 1 レコードあたり1MBのデータを、以下の3種類の表に
100万回(1GB)のINSERT処理を行った場合の処理時間を計測
(※ Direct Path Writeでバッファキャッシュを経由しない、
暗号化なしの場合を相対処理時間と1とする)
• 暗号化なしの表
• TDE(表領域暗号化)に格納された表 + AES-NI をON
• TDE(表領域暗号化)に格納された表 + AES-NIをOFF
従来のAES-NIなしの
場合でも処理時間増はわずか
しかし、AES-NIを使用するとほぼ
ゼロに
1 1.01 1.05
暗号化:処理時間
暗号化なし TDE(AES-NI) TDE(AES-NIなし)
46
Copyright© 2011, Oracle. All rights reserved.
バッチ処理における復号性能• 1GBのデータが格納されている、以下の3つの表を
テーブル・フルスキャンをした場合の処理時間を計測
(※ Direct Path Readでバッファキャッシュは使用しない、
暗号化なしの場合を相対処理時間と1とする)
• 暗号化なしの表
• TDE(表領域暗号化)に格納された表 + AES-NI をON
• TDE(表領域暗号化)に格納された表 + AES-NIをOFF
AES-NIなしの場合、
約20%程度の処理時間増が
認められたが、
AES-NIありの場合、
わずか3%まで短縮された
1 1.031.19
復号:処理時間
暗号化なし TDE(AES-NI) TDE(AES-NIなし)
47
Copyright© 2011, Oracle. All rights reserved.
OLTP処理における暗号化/復号性能
• JpetstoreのアプリケーションをOLTP処理のトランザクションと仮定し、
バッファキャッシュとディスクI/Oが同時に発生する一般的なアプリケーション(※キャッシュヒット率が高い)の場合、暗号化/復号処理がアプリケーションの
性能にどう影響するかを計測
• 検索:更新の割合=8:2
• 40 threadで実行
暗号化なし AES-NI有り AES-NIなし(従来型TDE)
低 <= キャッシュヒット率 => 高
高
<=
T
PS
=>
低
黄線(暗号化なし)と赤線(AES-NI)がほぼ同じ曲線つまり、同等の性能を担保できているといえる
48
Copyright© 2011, Oracle. All rights reserved.
H/W
•OS セットアップ、InfiniBand向け最適化•ストレージ管理ソフト セットアップ•Java VM チューニング•WebLogic チューニング•Coherence チューニング•DB連携設計 ・・・等
S/W
• 30台サーバーセットアップ
•30台サーバー、ZFSストレージのネットワーク冗長化/最適化構成設計
• ZFS ストレージセットアップ
サーバー
ネットワーク
ストレージ
ベスト・コンフィギュレーション+ ベスト・プラクティス
統一のアーキテクチャで運用可能
初期コスト・運用コストの抑制
「Engineered System」 を具現化した
Oracle Exalogic Elastic CloudExalogic :SW/HWが融合(プリインテグレート)された環境
49
Copyright© 2011, Oracle. All rights reserved.
クラウドのために高密度集約に投資対効果の最大化
アプリケーション・コンソリデーション・プラットフォーム
• コンソリデーション基盤
• 高速Javaプラットフォーム
• あらゆるアプリケーション
• ミッション・クリティカル基盤へ
• オープン・プラットフォーム
• 多様なワークロードをサポートトランザクション、メッセージング、バッチ
• アプリケーション、ネットワーク帯域の分離WebLogicドメイン、Infinibandパーティショニング
• 拡張性、可変性(Elastic)
• HA/フォルト・トレラント
Custom
3rd PartyCICS/COBOL
Logs
CRM
BatchJobs
ERP
SOA
IDM
E20
Custom
E20Content
3rd Party
ネットワーク・トラフィックの最適化がもたらす、高密度プラットフォーム
50
Copyright© 2011, Oracle. All rights reserved.
Oracle Security Solution Webサイト
51
>>> oracle.co.jp/security
Copyright© 2011, Oracle. All rights reserved.
Appendix
52
Copyright© 2011, Oracle. All rights reserved.
オラクルのセキュリティ・ソリューション
通信経路からの盗聴防止
必要な権限だけを付与し、許された範囲内での情報の閲覧・改変をさせる。
情報漏洩・改竄の証拠を残す
不正行為を心理的に抑止する
データベース管理者からも秘匿可能
データファイルが窃取された場合も有効
ID管理のミスの防止
情報漏洩・改竄の証拠を残す
不正行為を心理的に抑止する
必要な権限だけを付与し、許された範囲内での情報の閲覧・改変をさせる
DB サーバー
ストレージ
クライアント
APサーバー
Transparent Data Encryption (TDE)
暗号化ツールキット
Oracle Secure Backup
標準データベース監査機能、DBA監査
ファイングレイン監査、Audit Vault
Oracle Business Intelligence
Enterprise User Security
Virtual Private Database (VPD)
Oracle Label Security
Oracle Database Vault
Oracle Identity Management
– Oracle Identity Manager
– Oracle Internet Directory
– Oracle Virtual Directory
– Oracle Role Manager
Oracle Advanced Security
Oracle Identity Management
Oracle Access Management
Oracle Business Intelligence
Oracle Universal Content Management
Oracle Access Management
– Oracle Access Manager
– Oracle Identity Federation
– Oracle Adaptive Access Manager
– Oracle Entitlements Server
Oracle Information Rights Management
Oracle Information Rights Managementファイルの持ち出しによる漏洩の防止
通信データの暗号化(DBサーバーへの接続)
アクセス制御
監査
(データベース・アクセス)
格納データの暗号化
ID情報の一元管理
監査
(アプリケーション/コンテンツ・アクセス)
アクセス制御
ファイルレベルの保護
53
Copyright© 2011, Oracle. All rights reserved.
Oracle Databaseの監査機能①必須監査(オペレーティング・システム監査)
②DBA監査 ③標準監査
(任意監査)
④ファイングレイン監査
(任意監査)
対象となるEdition
全エディション 全エディション 全エディション
対象バージョン -
監査対象 ・インスタンス起動
・インスタンス停止
・管理者権限によるデータベース接続
・データベース管理者としてログインしたユーザーのデータベース操作
・データベースへの操作
(ログイン、CREATE/ALTER/DROPなどのアクション、UPDATE、DELETEなどのオブジェクトへの操作)
・特定のデータ(列名、条件指定可能)へのアクセス(SELECT)
・Oracle10gからはUPDATE、DELETE、INSERTへも可能
監査証跡出力先
・OSファイル ・OSファイル / システムビューア(Win)
・Syslog(10gR2~)
・XMLファイル(10gR2~)
・DBA_AUDIT_TRAILビュー
・OSファイル / システムビューア(Win)
・Syslog(10gR2~)
・XMLファイル(10gR2~)
・DBA_FGA_AUDIT_TRAILビュー
・ユーザー定義表
・メール送信も可能
取得可能な監査証跡
・OSによって生成された監査レコード
・データベース監査証跡レコード
・常に監査されるデータベース関連のアクション
・管理ユーザー(SYS)用の監査レコード
・時刻
・操作(SQL文全体)
・データベースユーザー名/権限
・OSユーザー名/端末
・終了コード
・時刻
・操作(SQL文の種類)
・データベースユーザー名/権限
・OSユーザー名/端末
・終了コード
・時刻
・データベースユーザー
・OSユーザー名/端末
・アクセスしたオブジェクト名
・ファイングレイン監査ポリシー名
・操作(SQL文全体)
・ユーザー定義アクション
(オプション)
54
Copyright© 2011, Oracle. All rights reserved.
データベース・サーバーのすべての通信データを暗号化
クライアント~データベース間
アプリケーションサーバ~データベース間
データべース・リンクによるデータベース間のミラーリング
プライマリ~スタンバイ・データベース間
Oracle ネイティブ暗号、SSLが利用可能
JDBC Thin/OCIクライアントにも対応
ネットワークの暗号化
55
Copyright© 2011, Oracle. All rights reserved.
• 暗号化対象となるバックアップデータ
• ダンプファイル (Data Pump)
• ディスク (Recover Manager)
• テープ
• クラウド・ストレージ (Amazon S3)
• 高速なバックアップ圧縮
• 暗号鍵管理の簡素化
バックアップデータの暗号化
56
Copyright© 2011, Oracle. All rights reserved.
• アプリケーションとデータベースの中間に位置し、ネットワーク上からSQL文を収集・解析する。
• モニタリング:収集したSQL情報をログとして記録・管理・レポーティングを行う(監査ツールの用途として使用)
• ブロッキング:SQLを解析し、危険と判断されるものはブロックまたは警告することで、内部不正・外部攻撃からデータベースを保護する
Oracle Database Firewall
57
Copyright© 2011, Oracle. All rights reserved.
Management
Server
In-Line Blocking/ Monitoring
HA構成
Inbound
SQL Traffic
Out-of-Band Monitoring
Management
Server
Policy
Analyzer
Oracle Database Firewall~アーキテクチャ
• モニタリングのみの場合は、スイッチのSPAN Portを使用したOut of Band構成
• ブロッキングの場合は、アプリケーション - データベース間にIn-Lineに配置
• H/A構成のサポート
• サポート対象のデータベースOracle Database 8i~11g、SQL Server 2000・2005・2008、IBM DB2 for LUW 9.x、Sybase ASE 、SQL Anywhere
58
Copyright© 2011, Oracle. All rights reserved.
Oracle Database Firewall~ Webコンソール
過去にどれくらい怪しいSQLがあったか?
不正なSQLとしてブロックしたことを警告
ネットワーク・トラフィックの履歴
59
Copyright© 2011, Oracle. All rights reserved.
Oracle Database Firewall~ SQLインジェクション例
60
SELECT null,null,null,null,null,prod_name FROM PRODUCTS WHERE
1=2 union select null,table_name,null,null,null,null from user_tables
SQLインジェクションのSQLを5W1Hの要素でモニタリング
Copyright© 2011, Oracle. All rights reserved.
マスキングによるテストデータの保護Data Masking
本番環境 テスト環境
データベース・インスタンスのコピー(クローニング)とデータのマスキングを実施
ID NAME PHONE EMAIL
1 佐藤浩 03-5412-2000 sato@company.com
2 鈴木浩一 090-8879-7601 suzuki@company.com
3 高橋誠 042-2346-1702 takahashi@company.com
4 田中浩二 011-5813-7302 tanaka@company.com
5 渡邉隆 090-9280-1403 watanabe@company.com
: : : :
ID NAME PHONE EMAIL
1 太田智子 090-0000-6854 xxx@abcd.com
2 松尾裕子 000-1111-6555 xxx@abcd.com
3 原誠 011-2222-6257 xxx@abcd.com
4 金子真由美 090-3333-5958 xxx@abcd.com
5 安藤博 080-4444-2747 xxx@abcd.com
: : : :
クラウド環境にも必ず開発環境は存在する。テスト用に実データを使う場合、マスクして情報を保護する必要がある。
61
Copyright© 2011, Oracle. All rights reserved.
データベース・サーバー
サブシステム サブシステムシステム サブシステム
ストレージ
各テナント間でサービスやインフラを共有しながら適切な履歴の管理・運用が必要
管理者 管理者
リスク リスク リスク リスク
ログの収集Database
Vault
Oracle Partitioning
Oracle Audit Vault
リスク リスク リスク
監査ログの保全
分析・レポーティング
ユーザ別に管理:
セキュリティ対策
内部統制監査用
監視・警告
リスクの高い操作に対して迅速に警告
ログ・履歴の管理とモニタリングOracle Audit Vault
62
Copyright© 2011, Oracle. All rights reserved.
Oracle Adaptive Access Manager~ なりすまし、フィッシング被害から情報を守る
認証キーパッドや多要素認証による認証強化
携帯電話やメールを利用したワンタイムパスワードによる本人確認の強化
リスクのリアルタイム分析による不正行為の防止
多要素認証
デバイス位置日時
アクティビティ
リスクベース認証リスクをスコア
偽サイトに誘導するE-mail
盗んだID・パスワード
悪意を持ったユーザ
ワンタイムパスワード
認証キーバッド
63
Copyright© 2011, Oracle. All rights reserved.
Oracle Adaptive Access Manager~キーロガー等の攻撃への対策
• Webアクセスに対する認証(本人確認)をより強固に
Oracle Adaptive Access Manager
インターネットバンキング(個人の資産情報)
インターネット証券、金融商品(個人の株式、保険)
• バーチャル認証デバイス
• キーボード入力をしなくて済む
• ユーザによるカスタマイズが可能
• 表示形式がランダムに変更される
認証キーパッド群ログイン画面
ユーザID
パスワード
セキュリティ強度低 強利用者
64
Copyright© 2011, Oracle. All rights reserved.
Oracle Adaptive Access Manager~盗まれたIDを不正利用されないための仕組み
• リアルタイム分析によって即座に不正アクセスをシャットアウト
オンラインシステム
デバイスのフィンガープリント・Cookie・デバイスのID番号
所在のフィンガープリント・IPアドレス・物理的/地理的な所在情報
処理フローのフィンガープリント
・URL、時間、パターン認識
履歴データ・ユーザ、デバイス、所在、フロー履歴
収集
アクション
アクセス拒否
アクセス許可
警告
第二認証要求
Oracle Adaptive Access Managerによるリアルタイム分析
① IDを盗まれる
②盗んだIDでアクセス
悪意をもった犯罪者
正規のユーザであればアクセスを許可 ③分析した結果、アクセス拒否
フィッシング
サイト
正規の利用者フィッシングメール
65
Copyright© 2011, Oracle. All rights reserved.
Oracle IRM はファイルを物理的に保護(シール)することで、
下記のことを可能にする製品です。
Oracle IRM
アクセス権の管理
ファイルがどこにあっても、権限を持つ人だけがファイルを開けます。1
操作権の管理
ファイルを開いた人の権限に応じて印刷、編集、コピー、保存などの操作を制限します。2
参照期間の管理
指定した時間が経過した後、または即時にファイルを開けないようにします。3
操作履歴の管理
ファイルに対する操作を記録し、サーバー上で集約することで、利用者の活動状況を管理します。4
66
Copyright© 2011, Oracle. All rights reserved.
Copyright© 2011, Oracle. All rights reserved. 68
Recommended