エンタープライズ・クラウドコンピューティングに必須のセキュリティ日本オラクル株式会社

<Insert Picture Here>

エンタープライズ・クラウドコンピューティングに必須のセキュリティ

日本オラクル株式会社プリンシパルセールスコンサルタント下道高志, CISA, CISM, CRISC

2011年7月27日

Copyright© 2011, Oracle. All rights reserved. 2

以下の事項は、弊社の一般的な製品の方向性に関する概要を説明するものです。また、情報提供を唯一の目的とするものであり、いかなる契約にも組み込むことはできません。以下の事項は、マテリアルやコード、機能を提供することをコミットメント（確約）するものではないため、購買決定を行う際の判断材料になさらないで下さい。オラクル製品に関して記載されている機能の開発、リリースおよび時期については、弊社の裁量により決定されます。

OracleとJavaは、Oracle Corporation 及びその子会社、関連会社の米国及びその他の国における登録商標です。文中の社名、商品名等は各社の商標または登録商標である場合があります。

Copyright© 2011, Oracle. All rights reserved.

グローバル企業を対象にした調査結果

「プライベート・クラウドを利用/提供していますか？」

はい（全社規模で利用） 11.3%

はい（特定システムで利用） 12.8%

はい（実機検証中） 4.5%

計画中 4.9%

検討中 10.5%

いいえ 47.4%

わからない/無回答 8.7%

Source: IOUG ResearchWire member study on Cloud Computing, conducted in August-September 2010.

28.6%

28.6% のお客様が既にプライベート・クラウドを保有

3


グローバル企業を対象にした調査結果

「パブリック・クラウド・サービスを利用していますか？」

はい 13.8%

いいえ 54.6%

検討中 11.2%

わからない/無回答 20.4%

13.8% のお客様が既にパブリック・クラウドを利用

「いいえ」と答えた方の理由（パブリック・クラウドに対する懸念事項）

43% セキュリティ

26% サービス品質（QoS）

25% コスト（長期間にわたる）

4

Source: IOUG ResearchWire member study on Cloud Computing, conducted in August-September 2010.


日本：クラウドサービスの利用状況

5

出典：総務省平成 22年通信利用動向調査（企業編）


日本：クラウドサービスの利用効果の有無

6



日本：クラウドサービスを利用しない理由

7


「利用していないし、今後も利用する予定がない」理由


エンタープライズ・クラウドコンピューティングに必須な要素とは？

8


米国国立標準技術研究所（National Institute of Standards and Technology ）の定義

“クラウド・コンピューティングとは、貯蔵/共有化された電算処理資源(ネットワーク、サーバー、ストレージ、アプリケーション、サービス)を、ネットワークを介し必要に応じて利用可能とするモデル。管理の手間やサービスプロバイダーの仲介作業を最小化し、これらの資源を迅速に確保、利用、開放するこ

とを可能とする ”

• プライベート・クラウド

• コミュニティ・クラウド

• パブリック・クラウド

• ハイブリッド・クラウド

配置/展開モデル

× 4基本的な特性

× 5• ｵﾝ･ﾃﾞﾏﾝﾄﾞ/ｾﾙﾌ･ｻｰﾋﾞｽ

• ネットワークを介した利用

• リソースの集中貯蔵

• 迅速なリソース確保/開放（ｽｹｰﾙ・ｱｳﾄ/ｽｹｰﾙ・ｲﾝ）

• 計測可能なサービス

• SaaSSoftware as a Service

• PaaSPlatform as a Service

• IaaSInfrastructure as a Service

サービス・モデル

× 3

意味の再確認

クラウド・コンピューティング

9


• 国際標準（デジュール）• ISO• SC27（セキュリティ）• SC38（分散アプリケーションプラットフォームおよびサービス）

• ITU-T• FG Cloud ( Focus Group on Cloud Computing)

• 業界標準• DMTF (Distributed Management Task Force)• CMWG (Cloud Management Work Group)

• SNIA• Cloud Storage Initiative

• OASIS• IDCloud ( Identity in the Cloud TC)

• セキュリティ• CSA (Cloud Security Alliance)• ENISA (European Network and Information Security Agency)• SCIM (Simple Cloud Identity Management)

代表的なクラウド標準団体

10


クラウド間連携の時代の認証認可技術

• クラウド間認証／サービス連携• SAML

• Liberty ID-WSF

• WS-*

• OpenID

• OAuth

• XACML

• SPML

• BrowserID

• より高度な認証方法• リスクベース認証

• 多要素認証

11


クラウド関連の監査と情報セキュリティマネジメント

• 監査• ISAE3402(IFAC)/SSAE16(AICPA)

• ( SAS70 は2011年6月15日まで）

• ISACA（情報システムコントロール協会）

• Cloud Computing: Business Benefits With Security, Governance and Assurance Perspectives

• 情報セキュリティマネジメント• 経済産業

• 「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」

• ISO/IEC27002:2005 がベース

12


将来のクラウド間連携(GICTF資料より)

13


SLA項目の例（GICTF“インタークラウドのユースケースと機能要件”より)

14

情報セキュリティ基準「ISMS認証基準(Ver.2.0)」ISO27001」を取得しているか事業者セキュリティ基準取得状況

情報漏洩の元となる不正ソフトウェアのインストール、不要アクセス経路設定防止のためのアクセス制限有無

管理システム上の対策における操作制限状況

攻撃者が管理権限を手に入れることによる情報漏洩の脅威への対策有無管理権限を持つ主体の認証実施状況

不正アクセス発生を検知し、その後の対策のためのログが取得できるか不正行為検知のためのログの取得状況

データの国内配置データ配置場所

クラウド間で伝送されるデータ秘匿有無クラウドシステム間の伝送データ秘匿

踏み台攻撃等の脅威や情報の持ち出し抑止のための通信制御の実施有無不正通信遮断のための通信制御状況

サービス停止攻撃の回避対策有無DoD/DDoS攻撃回避のためのネットワーク輻輳対策状況

不正行為の確認、正しく処理された証跡保持期間不正行為検知のためのログの保管期間

単位時間あたりの最大処理件数が目標を達成した割合単位時間あたり最大処理件数遵守率

性能

単位時間あたり最大処理件数単位時間あたり最大処理件数

SLA項目

可用性サービス稼働率稼働率

サービスを利用できる確率（（計画サービス時間－停止時間）÷計画サービス時間）

平均復旧時間障害発生から修理完了までの平均時間（修理時間の和÷故障回数）

サービス中断時間想定できる障害からの業務継続対策（クラスタ構成等）ありの再開時間

ディザスタリカバリ時に、どれくらいで復旧させるかの目標

データリカバリ復旧時点時間障害発生時のデータをどこまで復旧するか

セキュリティ

オンライン応答時間オンライン処理の応答時間

オンライン応答時間遵守率目標時間内に完了したオンライントランザクションの割合

バッチ処理時間バッチ処理の応答時間

バッチ処理時間遵守率目標時間内に完了したバッチ処理の割合

マルウェア対策の実施マルウェア感染防止する対策の実施有無

情報セキュリティ基準「ISMS認証基準(Ver.2.0)」ISO27001」を取得しているか事業者セキュリティ基準取得状況

情報漏洩の元となる不正ソフトウェアのインストール、不要アクセス経路設定防止のためのアクセス制限有無

管理システム上の対策における操作制限状況

攻撃者が管理権限を手に入れることによる情報漏洩の脅威への対策有無管理権限を持つ主体の認証実施状況

不正アクセス発生を検知し、その後の対策のためのログが取得できるか不正行為検知のためのログの取得状況

データの国内配置データ配置場所

クラウド間で伝送されるデータ秘匿有無クラウドシステム間の伝送データ秘匿

踏み台攻撃等の脅威や情報の持ち出し抑止のための通信制御の実施有無不正通信遮断のための通信制御状況

サービス停止攻撃の回避対策有無DoD/DDoS攻撃回避のためのネットワーク輻輳対策状況

不正行為の確認、正しく処理された証跡保持期間不正行為検知のためのログの保管期間

単位時間あたりの最大処理件数が目標を達成した割合単位時間あたり最大処理件数遵守率

性能

単位時間あたり最大処理件数単位時間あたり最大処理件数

SLA項目

可用性サービス稼働率稼働率

サービスを利用できる確率（（計画サービス時間－停止時間）÷計画サービス時間）

平均復旧時間障害発生から修理完了までの平均時間（修理時間の和÷故障回数）

サービス中断時間想定できる障害からの業務継続対策（クラスタ構成等）ありの再開時間

ディザスタリカバリ時に、どれくらいで復旧させるかの目標

データリカバリ復旧時点時間障害発生時のデータをどこまで復旧するか

セキュリティ

オンライン応答時間オンライン処理の応答時間

オンライン応答時間遵守率目標時間内に完了したオンライントランザクションの割合

バッチ処理時間バッチ処理の応答時間

バッチ処理時間遵守率目標時間内に完了したバッチ処理の割合

マルウェア対策の実施マルウェア感染防止する対策の実施有無


プライベートクラウド

• セルフサービス

• ポリシーベースのリソース管理

• 従量課金

Private IaaS

Private PaaS

App1 App2 App3

PaaS

SaaS

IaaS

パブリッククラウド

サイロ型共通基盤化

• 物理サーバー

• 専用環境

• 静的

• ヘテロ環境

• 仮想化

• シェアードサービス

• 動的

• 標準化された部品

App1 App2 App3

App1 App2 App3

Private IaaS

Private PaaS

ハイブリッド

• パブリッククラウドとの連携

• 相互運用性

• クラウドバースティング

Private IaaS

Private PaaS

Virtual Private Cloud

ハイブリッド

PaaS

SaaS

IaaS

App1 App2 App3

エンタープライズ・クラウドに必要なコンプライアンス対応

内部統制報告制度個人情報保護法・ガイドライン

ISMS認証取得プライバシーマーク

PCIDSS等々

コンプライアンス要件

監査・審査

15


クラウドに対する外部攻撃の課題の例～なりすまし、SQLインジェクション

データーべース

(Oracle,SQLServer,DB2・・・)

情報資産

攻撃者

情報漏洩

盗んだID・パスワード

SQLインジェクション

不正アクセス

WEBサーバー

アプリケーションの実行環境

16


クラウド時代に求められるセキュリティ要件

特権・管理者権限は適切に管理され、可能な限り分離されていること。

ユーザー（企業・組織）ごとにデータは隔離されていて他のユーザーの情報を閲覧・改ざんできないこと。

各種コンプライアンスの要求に応えるため履歴の取得と適切な開示ができること。

OSレベルの脅威、バックアップ、開発用システムに対する脅威に対して情報を保護できること。

システムにおける最新のセキュリティ状態を管理していること。

適切な強度の認証とアイデンティティ管理が確実に行われること。

17


セキュアなエンタープライズ・クラウドのために

オラクルのセキュリティ・ソリューション

18


オラクルのセキュリティソリューション製品

• 企業のセキュリティソリューションを支援するための機能をソフトウェアで提供しており、世界中で多くの実績を持っています。

情報セキュリティ対策

アイデンティティ（ID）管理

LDAP IDライフサイクル管理

認証・アクセス制御（アクセス管理）

統合型認証・アクセス制御連携型認証（フェデレーション）

Oracle Internet Directory

Oracle Virtual Directory

Oracle Directory Server EE

Oracle Identity Manager Oracle Access Manager Oracle Identity Federation

Oracle STS/Fedlet

職務分掌、ロール管理 Windows環境のシングル・サインオン認証・アクセス制御の強化

Oracle Identity Analytics

Oracle Enterprise Single Sign-On Suite Plus Oracle Adaptive Access Manager

Oracle Entitlements Server

データ・セキュリティの強化

Oracle Advanced Security

Oracle Database Vault

Oracle Label Security

Oracle Audit Vault

Oracle Data Masking

Enterprise User Security

アプリケーション・セキュリティ

Oracle WebLogic Security （OPSS）

電子文書の取扱いに関するセキュリティの強化

Oracle Universal Content ManagementOracle Information Rights Management

19

Oracle Universal Records Management


データベースのセキュリティ

20


アクセス制御• 行・列レベルアクセス制御

（Virtual Private Database)

• 特権ユーザ管理、職務分掌

（Database Vault)

• 暗号化 (Advanced Security)

• バックアップの暗号化 (Secure Backup)

• データ・マスキング

暗号化 & マスキング

監査

• 標準監査/DBA監査

• ファイングレイン監査

• 構成管理 (Configuration Management)

• 変更管理 (Change Management)

• 監査ログ管理・分析 (Audit Vault)

ブロッキング & モニタリング

• Oracle Database Firewall

オラクルの製品で多層防御を実現

21


Procurement

HR

Rebates

バックアップ暗号化

データベース

暗号化

外部出力データの暗号化

テストデータのマスキング

監査

Procurement

HR

Rebates

Sensitive

Confidential

PublicDBA権限のコントロール

統合されたデータベース・セキュリティの担保

権限のない不正な操作の防止

アプリケーションBlock

Log

Allow

Alert

Substitute

不正SQLの検知と遮断

断片化されたセキュリティ対策ではなく、トータルな情報セキュリティ機能を基盤に組み込まれた提供

オラクルのデータベース・セキュリティ全体像

22


格納データの暗号化（TDE）

ネットワークの暗号化

バックアップの暗号化

• 可用性と機密性を両立したOracleデータベース暗号化機能

• アプリケーションからは透過的に暗号化を実施するため、SQLの変更は不要

• 暗号化が求められるセキュリティ要件、コンプライアンス要件への対応を支援


23


• 強力な暗号アルゴリズムを利用した暗号化を実施

• NISTの標準共通鍵暗号方式 AES(128/192/256bit) に対応

• Oracle Wallet やHardware Security Moduleを利用した暗号鍵管理メカニズム

• アプリケーションからは透過的にデータの暗号化/復号

• 既存のアプリケーション（SQL）を改修する必要はない

ディスク

バックアップ

ダンプファイル

外部委託先

アプリケーション

SELECT name,cardnumber

FROM credit;

ヤマダタロウ1234567812345678

ヤマダタロウaG5#g&3f_g0R1Blg

カード番号の暗号化

Transparent Data Encryption（TDE）

24


クラウド内部でどのように機密情報が取り扱われているのかわからないというリスク

顧客の情報が「見える」ことによって事件等が起きるリスク、疑いをかけられるリスク

クラウド利用側（ユーザー）クラウド提供側適切なアクセス権限設定


• 責任とリスクの分離

Oracle Database Vaultによる適切なアクセス権限設定により、クラウド利用側と提供側、双方のリスクを最適化できる。

25


Database Vault

• アクセス・コントロールの利用例

26

月曜～金曜日

9:00～18：00

上述以外の時間帯アルバイトA

192.168.1.100


データ

ディクショナリ

HRシステム

給与データ

人事部門

データベース管理者（DBA）

192.168.2.150

192.168.1.x からのアクセスのみ許可

時間帯によるアクセス制限

アクセス元による制限

管理者によるデータ・アクセスの制限


PoliciesBuilt-inReports

AlertsCustomReports

ApplicationsBlock

Log

Allow

Alert

Substitute

Oracle Database Firewall

• 透過的

• 動作しているアプリケーション及びデータベースの変更を必要としない

• 高いパフォーマンス

• アプリケーション・データベース間のトランザクション処理への影響はごくわずか

• 正確な検知

• 高精度なSQL文法レベルの解析により、誤検知なく不正なSQLのみブロック

27


Oracle Database Firewallの検知方法～SQLの文法を理解した正確な検知

• SQLは約400のキーワードや厳格な文法のルール(ISO/IEC 9075)が定義されており、それらの文法構造を理解し判断する

• SQLは分析され、クラスタにグループ化される

• SQLポリシーの管理対象は、クラスタ単位で行われる

• DATAの値が異なっていても、同じクラスタとして文法構造が同一であれば、漏れなくポリシーが適用される

SELECT id, username, password, acccount_no FROM tbl_users WHERE

username = ‘Bill’ AND account_no BETWEEN 1001000 AND 1001012;







UPDATE tbl_users SET comments = ‘The user has asked for another

account_no, and wishes to be billed for services between 1/2/2009

and 2/2/2009, and wants to know where the invoice should be sent

to. She will select the new service level agreement to run from

3/7/2009 next month’ WHERE id = ‘A15431029’;

KEY WORDS SCHEMA DATA OPERATORS

Cluster 1 : SELECT * FROM certs WHERE cert-type = '18‘Cluster 1 : SELECT * FROM certs WHERE cert-type = ‘3999‘

Cluster 2: SELECT * FROM certs WHERE cert-type = 'PHE8131' and location = 1

28


クラウドのためのID管理(Identity Management )

29


Oracle Identity Manager 11gIdentity Provisioning : IDライフサイクル管理

ID管理の自動化とセルフサービス機能による運用負荷軽減

退職者、不正IDを迅速に削除するセキュアな基盤を実現

レポート作成や棚卸工数などの監査対応工数を削減

顧客情報管理

システム

売上管理

システム

文書管理

システム

Oracle Identity Manager

属性・ルールに基づいたグループ化・ポリシー割当て

IDの自動配信と

自動削除

配信対象システム

ユーザー情報の取得

人事システム、またはコーポレートディレクトリ

監査ログ

管理者

･ID情報の管理

ユーザー

・パスワード変更

・システム利用申請

30

SPML

SaaS



OracleAccess Manager

Oracle Access Manager 11gWebシステムへのシングル・サインオンとアクセス制御を実現

31

拒否

ポータルサイト

機密情報サイト

許可

グループウェア

シングル・サインオンによるユーザー利便性の向上

システム間をまたがる一元的なアクセス制御によるセキュリティの向上

グループ管理による組織変更への動的かつ迅速な対応

各システムの認証・認可はAccess Managerで実施

クライアントは認証情報を利用し各システムにアクセス


Oracle Identity Federation 11gクラウド環境、グループ会社での複数認証基盤の連携

各拠点の既存のアクセス制御資産を活かしたシングル・サインオンの実現

拠点をまたいだ認証連携によるユーザー利便性の向上

32

関連会社・支店

従業員・パートナー・顧客

SAML 1.x

SAML 2.0

OpenID

WS-Fed

OracleIdentity Federation

クラウドアプリケーション

企業内のアプリケーション

SaaS



Oracle Adaptive Access Manager 11gなりすまし、フィッシング対策

33

リスクのリアルタイム分析による不正行為の防止

認証キーパッドや多要素認証による認証強化

認証キーバッド

デバイス位置日時

アクティビティ

リスクベース認証リスクをスコア

偽サイトに誘導するE-mail


悪意を持ったユーザー


Oracle Adaptive Access Manager（OAAM）によるリスクベース認証

• ユーザプロファイル

• 端末の特徴・属性• 突然スマートフォンからPCに変わった？

• IPアドレス、所在地• 突然外国からアクセスされた？

• アプリケーション & 前後の関係からみた「ふるまい」のデータ• 通常日中アクセスする人が突然明け方アクセスした？

ID・パスワードが正しくても「なりすましかも知れない」リスクを検知する

34


フィッシング対策:• イメージやフレーズのパーソナライズ

• 日付の更新

情報漏えい対策:• バーチャルキーボード

• ランダムデータ・コミュニケーション

ボット対策 :• 人間による入力を要求

Oracle Adaptive Access Manager（OAAM）バーチャルデバイスによる多要素認証

35


クラウドを考慮したBCP/DR

36


MW MW MW MW

DB DB DB DB

CRM PLM SCM HCM

MW PaaSOracle Application Grid/Oracle Exalogic

DB PaaSOracle RAC/Oracle Exadata

CRM SCM ERP HCM

MW PaaS

DB PaaS

CRM SCM ERP HCM


DB PaaSOracle RAC/Oracle Exadataトランザクションの同期

パブリック・クラウド

情報の整合性を常に保証

待機環境本番環境

事業継続計画(BCP)としての活用例

オラクルが提供する高可用性ソリューション「Oracle MAA(*)」をハイブリッド・クラウド構成に適用することで、迅速に事業継続性を確保することも可能

プライベート・クラウド

Oracle Data Guard

Oracle GoldenGate

(*)Oracle MAA = Oracle Maximum Availability Architecture

同期に要するコストの軽減

37


MW MW MW MW

DB DB DB DB

CRM PLM SCM HCM



CRM SCM ERP HCM

MW PaaS

DB PaaS

CRM SCM ERP HCM



パブリック・クラウド

情報の整合性を常に保証

待機環境本番環境

事業継続計画（BCP)としての活用例

オラクルが提供する高可用性ソリューション「Oracle MAA(*)」をハイブリッド・クラウド構成に適用することで、迅速に事業継続性を確保することも可能

プライベート・クラウド

(*)Oracle MAA = Oracle Maximum Availability Architecture

帳票作成バッチによる一時的な負荷増大

CRM SCM

リソース不足

処理負荷を一時的にオフロード

ERP

リソースの消費

異常時、正常時での有効活用

Oracle Active Data Guard読取り専用環境として活用可能

待機環境のﾘｿｰｽを利用

38


ファイル形式データへのセキュリティ対策

39


ファイル形式の情報を守るクライアントセキュリティOracle Information Rights Management

社内や社外に配布されるファイルと、ファイルに納められた重要な情報を、

改ざん、不正利用、複製、流用、盗難、流出、漏えいなどのリスクから守る。

ファイルサーバー

データベースからのレポート

社員の文書や電子メール

サーバーで自動的にシールして

デスクトップ上でシールして

または

操作を制御

利用者の利便性を損なわず

所在を追跡操作を記録権限を剥奪

シール＝暗号化とセキュリティ設定の付与

40


暗号化セキュリティ設定保護された文書

• AES 128

• AES 256

• Oracle IRMサーバー情報

• セキュリティ設定内容

Oracle IRMで保護

41


セキュアなエンタープライズ・クラウドを迅速・確実に構築・運営するために

42


オラクルが推進する新しい選択肢

「工業製品化」された次世代プラットフォーム

Building the 21st Century Datacenter

Hardware and SoftwareEngineered to Work Together

Engineered System

43


Exadata ：SW/HWが融合（プリインテグレート）された環境

H/W

•OS セットアップ•Database セットアップ

•クラスタウェアセットアップ•ストレージ管理ソフトセットアップ•システム管理ツールセットアップ•バックアップソフトセットアップ

S/W

•8台サーバセットアップ•クラスタウェアセットアップ

•8台サーバ、14台ストレージの最適コンフィギュレーション

•最大366TB

•ストレージセットアップ

サーバ

ネットワーク

ストレージ

ベスト・コンフィギュレーションされており個別のセットアップ不要

統一のアーキテクチャで運用可能

初期コスト・運用コストの抑制

「Engineered System」を具現化した

Oracle Exadata Database Machine

44


圧倒的な性能とセキュリティを両立

• Intel Xeon 5600プロセッサーの暗号化基本命令セット (AES-NI)および、Oracle Advanced Securityにより、データベース暗号化を実現 (TDE)

• 性能を劣化させることなく、データ暗号化・復号処理を圧倒的に高速化することが可能になる

ハードウェアによるデータベース暗号化の実現

書込み時の暗号化/読取り時の復号処理

ハードウェアによるデータベース暗号化の実現

Smart Scanで読取り時の復号処理

データベース・サーバー

ストレージ・サーバー

45


バッチ処理における暗号化性能• 1 レコードあたり1MBのデータを、以下の3種類の表に

100万回(1GB)のINSERT処理を行った場合の処理時間を計測

(※ Direct Path Writeでバッファキャッシュを経由しない、

暗号化なしの場合を相対処理時間と1とする)

• 暗号化なしの表

• TDE(表領域暗号化)に格納された表 + AES-NI をON

• TDE(表領域暗号化）に格納された表 + AES-NIをOFF

従来のAES-NIなしの

場合でも処理時間増はわずか

しかし、AES-NIを使用するとほぼ

ゼロに

1 1.01 1.05

暗号化：処理時間

暗号化なし TDE(AES-NI) TDE(AES-NIなし)

46


バッチ処理における復号性能• 1GBのデータが格納されている、以下の3つの表を

テーブル・フルスキャンをした場合の処理時間を計測

(※ Direct Path Readでバッファキャッシュは使用しない、

暗号化なしの場合を相対処理時間と1とする)

• 暗号化なしの表

• TDE(表領域暗号化)に格納された表 + AES-NI をON

• TDE(表領域暗号化）に格納された表 + AES-NIをOFF

AES-NIなしの場合、

約20%程度の処理時間増が

認められたが、

AES-NIありの場合、

わずか3%まで短縮された

1 1.031.19

復号：処理時間

暗号化なし TDE(AES-NI) TDE(AES-NIなし)

47


OLTP処理における暗号化/復号性能

• JpetstoreのアプリケーションをOLTP処理のトランザクションと仮定し、

バッファキャッシュとディスクI/Oが同時に発生する一般的なアプリケーション(※キャッシュヒット率が高い)の場合、暗号化/復号処理がアプリケーションの

性能にどう影響するかを計測

• 検索：更新の割合=8:2

• 40 threadで実行

暗号化なし AES-NI有り AES-NIなし(従来型TDE)

低 <= キャッシュヒット率 => 高

高

<=

T

PS

=>

低

黄線(暗号化なし)と赤線(AES-NI)がほぼ同じ曲線つまり、同等の性能を担保できているといえる

48


H/W

•OS セットアップ、InfiniBand向け最適化•ストレージ管理ソフトセットアップ•Java VM チューニング•WebLogic チューニング•Coherence チューニング•DB連携設計・・・等

S/W

• 30台サーバーセットアップ

•30台サーバー、ZFSストレージのネットワーク冗長化/最適化構成設計

• ZFS ストレージセットアップ

サーバー

ネットワーク

ストレージ

ベスト・コンフィギュレーション+ ベスト・プラクティス

統一のアーキテクチャで運用可能

初期コスト・運用コストの抑制

「Engineered System」を具現化した

Oracle Exalogic Elastic CloudExalogic ：SW/HWが融合（プリインテグレート）された環境

49


クラウドのために高密度集約に投資対効果の最大化

アプリケーション・コンソリデーション・プラットフォーム

• コンソリデーション基盤

• 高速Javaプラットフォーム

• あらゆるアプリケーション

• ミッション・クリティカル基盤へ

• オープン・プラットフォーム

• 多様なワークロードをサポートトランザクション、メッセージング、バッチ

• アプリケーション、ネットワーク帯域の分離WebLogicﾄﾞﾒｲﾝ、Infinibandﾊﾟｰﾃｨｼｮﾆﾝｸﾞ

• 拡張性、可変性（Elastic）

• HA/フォルト・トレラント

Custom

3rd PartyCICS/COBOL

Logs

CRM

BatchJobs

ERP

SOA

IDM

E20

Custom

E20Content

3rd Party

ネットワーク・トラフィックの最適化がもたらす、高密度プラットフォーム

50


Oracle Security Solution Webサイト

51

>>> oracle.co.jp/security


Appendix

52


オラクルのセキュリティ・ソリューション

通信経路からの盗聴防止

必要な権限だけを付与し、許された範囲内での情報の閲覧・改変をさせる。

情報漏洩・改竄の証拠を残す

不正行為を心理的に抑止する

データベース管理者からも秘匿可能

データファイルが窃取された場合も有効

ID管理のミスの防止

情報漏洩・改竄の証拠を残す

不正行為を心理的に抑止する

必要な権限だけを付与し、許された範囲内での情報の閲覧・改変をさせる

DB サーバー

ストレージ

クライアント

APサーバー

Transparent Data Encryption (TDE)

暗号化ツールキット

Oracle Secure Backup

標準データベース監査機能、DBA監査

ファイングレイン監査、Audit Vault

Oracle Business Intelligence

Enterprise User Security

Virtual Private Database (VPD)

Oracle Label Security


Oracle Identity Management

– Oracle Identity Manager

– Oracle Internet Directory

– Oracle Virtual Directory

– Oracle Role Manager


Oracle Identity Management

Oracle Access Management

Oracle Business Intelligence

Oracle Universal Content Management

Oracle Access Management

– Oracle Access Manager

– Oracle Identity Federation

– Oracle Adaptive Access Manager

– Oracle Entitlements Server

Oracle Information Rights Management

Oracle Information Rights Managementファイルの持ち出しによる漏洩の防止

通信データの暗号化(DBサーバーへの接続)

アクセス制御

監査

(データベース・アクセス)

格納データの暗号化

ID情報の一元管理

監査

(アプリケーション/コンテンツ・アクセス)

アクセス制御

ファイルレベルの保護

53


Oracle Databaseの監査機能①必須監査(オペレーティング・システム監査)

②DBA監査 ③標準監査

（任意監査）

④ファイングレイン監査

（任意監査）

対象となるEdition

全エディション全エディション全エディション

対象バージョン -

監査対象・インスタンス起動

・インスタンス停止

・管理者権限によるデータベース接続

・データベース管理者としてログインしたユーザーのデータベース操作

・データベースへの操作

（ログイン、CREATE/ALTER/DROPなどのアクション、UPDATE、DELETEなどのオブジェクトへの操作）

・特定のデータ（列名、条件指定可能）へのアクセス（SELECT）

・Oracle10gからはUPDATE、DELETE、INSERTへも可能

監査証跡出力先

・OSファイル・OSﾌｧｲﾙ / ｼｽﾃﾑﾋﾞｭｰｱ(Win)

・Syslog(10gR2～)

・XMLファイル(10gR2～)

・DBA_AUDIT_TRAILビュー

・OSﾌｧｲﾙ / ｼｽﾃﾑﾋﾞｭｰｱ(Win)

・Syslog(10gR2～)

・XMLファイル(10gR2～)

・DBA_FGA_AUDIT_TRAILビュー

・ユーザー定義表

・メール送信も可能

取得可能な監査証跡

・OSによって生成された監査レコード

・データベース監査証跡レコード

・常に監査されるデータベース関連のアクション

・管理ユーザー（SYS）用の監査レコード

・時刻

・操作(SQL文全体)

・データベースユーザー名/権限

・OSユーザー名/端末

・終了コード

・時刻

・操作(SQL文の種類)

・データベースユーザー名/権限


・終了コード

・時刻

・データベースユーザー


・アクセスしたオブジェクト名

・ファイングレイン監査ポリシー名

・操作(SQL文全体)

・ユーザー定義アクション

(オプション)

54


データベース・サーバーのすべての通信データを暗号化

クライアント～データベース間

アプリケーションサーバ～データベース間

データべース・リンクによるデータベース間のミラーリング

プライマリ～スタンバイ・データベース間

Oracle ネイティブ暗号、SSLが利用可能

JDBC Thin/OCIクライアントにも対応

ネットワークの暗号化

55


• 暗号化対象となるバックアップデータ

• ダンプファイル (Data Pump)

• ディスク (Recover Manager)

• テープ

• クラウド・ストレージ (Amazon S3)

• 高速なバックアップ圧縮

• 暗号鍵管理の簡素化

バックアップデータの暗号化

56


• アプリケーションとデータベースの中間に位置し、ネットワーク上からSQL文を収集・解析する。

• モニタリング：収集したSQL情報をログとして記録・管理・レポーティングを行う（監査ツールの用途として使用）

• ブロッキング：SQLを解析し、危険と判断されるものはブロックまたは警告することで、内部不正・外部攻撃からデータベースを保護する

Oracle Database Firewall

57


Management

Server

In-Line Blocking/ Monitoring

HA構成

Inbound

SQL Traffic

Out-of-Band Monitoring

Management

Server

Policy

Analyzer

Oracle Database Firewall～アーキテクチャ

• モニタリングのみの場合は、スイッチのSPAN Portを使用したOut of Band構成

• ブロッキングの場合は、アプリケーション - データベース間にIn-Lineに配置

• H/A構成のサポート

• サポート対象のデータベースOracle Database 8i～11g、SQL Server 2000・2005・2008、IBM DB2 for LUW 9.x、Sybase ASE 、SQL Anywhere

58


Oracle Database Firewall～ Webコンソール

過去にどれくらい怪しいSQLがあったか？

不正なSQLとしてブロックしたことを警告

ネットワーク・トラフィックの履歴

59


Oracle Database Firewall～ SQLインジェクション例

60

SELECT null,null,null,null,null,prod_name FROM PRODUCTS WHERE

1=2 union select null,table_name,null,null,null,null from user_tables

SQLインジェクションのSQLを5W1Hの要素でモニタリング


マスキングによるテストデータの保護Data Masking

本番環境テスト環境

データベース・インスタンスのコピー（クローニング）とデータのマスキングを実施

ID NAME PHONE EMAIL

1 佐藤浩 03-5412-2000 [email protected]

2 鈴木浩一 090-8879-7601 [email protected]

3 高橋誠 042-2346-1702 [email protected]

4 田中浩二 011-5813-7302 [email protected]

5 渡邉隆 090-9280-1403 [email protected]

：：：：

ID NAME PHONE EMAIL

1 太田智子 090-0000-6854 [email protected]

2 松尾裕子 000-1111-6555 [email protected]

3 原誠 011-2222-6257 [email protected]

4 金子真由美 090-3333-5958 [email protected]

5 安藤博 080-4444-2747 [email protected]

：：：：

クラウド環境にも必ず開発環境は存在する。テスト用に実データを使う場合、マスクして情報を保護する必要がある。

61


データベース・サーバー

サブシステムサブシステムシステムサブシステム

ストレージ

各テナント間でサービスやインフラを共有しながら適切な履歴の管理・運用が必要

管理者管理者

リスクリスクリスクリスク

ログの収集Database

Vault

Oracle Partitioning

Oracle Audit Vault

リスクリスクリスク

監査ログの保全

分析・レポーティング

ユーザ別に管理：

セキュリティ対策

内部統制監査用

監視・警告

リスクの高い操作に対して迅速に警告

ログ・履歴の管理とモニタリングOracle Audit Vault

62


Oracle Adaptive Access Manager～なりすまし、フィッシング被害から情報を守る

認証キーパッドや多要素認証による認証強化

携帯電話やメールを利用したワンタイムパスワードによる本人確認の強化

リスクのリアルタイム分析による不正行為の防止

多要素認証

デバイス位置日時

アクティビティ

リスクベース認証リスクをスコア

偽サイトに誘導するE-mail


悪意を持ったユーザ

ワンタイムパスワード

認証キーバッド

63


Oracle Adaptive Access Manager～キーロガー等の攻撃への対策

• Webアクセスに対する認証（本人確認）をより強固に

Oracle Adaptive Access Manager

インターネットバンキング（個人の資産情報）

インターネット証券、金融商品（個人の株式、保険）

• バーチャル認証デバイス

• キーボード入力をしなくて済む

• ユーザによるカスタマイズが可能

• 表示形式がランダムに変更される

認証キーパッド群ログイン画面

ユーザＩＤ

パスワード

セキュリティ強度低強利用者

64


Oracle Adaptive Access Manager～盗まれたIDを不正利用されないための仕組み

• リアルタイム分析によって即座に不正アクセスをシャットアウト

オンラインシステム

デバイスのフィンガープリント・Cookie・デバイスのID番号

所在のフィンガープリント・IPアドレス・物理的/地理的な所在情報

処理フローのフィンガープリント

・URL、時間、パターン認識

履歴データ・ユーザ、デバイス、所在、フロー履歴

収集

アクション

アクセス拒否

アクセス許可

警告

第二認証要求

Oracle Adaptive Access Managerによるリアルタイム分析

① IDを盗まれる

②盗んだIDでアクセス

悪意をもった犯罪者

正規のユーザであればアクセスを許可 ③分析した結果、アクセス拒否

フィッシング

サイト

正規の利用者フィッシングメール

65


Oracle IRM はファイルを物理的に保護（シール）することで、

下記のことを可能にする製品です。

Oracle IRM

アクセス権の管理

ファイルがどこにあっても、権限を持つ人だけがファイルを開けます。1

操作権の管理

ファイルを開いた人の権限に応じて印刷、編集、コピー、保存などの操作を制限します。2

参照期間の管理

指定した時間が経過した後、または即時にファイルを開けないようにします。3

操作履歴の管理

ファイルに対する操作を記録し、サーバー上で集約することで、利用者の活動状況を管理します。4

66


Copyright© 2011, Oracle. All rights reserved. 68

Documents

エンタープライズ・クラウドコンピューティングに必須のセキュリティ 日本オラクル株式会社

エンタープライズ・クラウドコンピューティングに必須のセキュリティ日本オラクル株式会社