59
Copyright© 2009, Oracle. All rights reserved. 1 Oracle on Windows 参考資料、コラム(オラクル都市伝説)、イベント・セミナー情報 etc http://www.oracle.co.jp/campaign/mb_tech/ Windows Server System Center / OTN Japan http://www.oracle.com/technology/global/jp/tech/windows/ .NET + Oracle Database .NET Developer Center / OTN Japan http://www.oracle.com/technology/global/jp/tech/dotnet/ 意外と簡単!? .NETOracle / OTN Japan http://www.oracle.com/technology/global/jp/columns/easy/dotnet/

Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

  • Upload
    others

  • View
    0

  • Download
    0

Embed Size (px)

Citation preview

Page 1: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 1

• Oracle on Windows• 参考資料、コラム(オラクル都市伝説)、イベント・セミナー情報 etc• http://www.oracle.co.jp/campaign/mb_tech/

• Windows Server System Center / OTN Japan• http://www.oracle.com/technology/global/jp/tech/windows/

• .NET + Oracle Database• .NET Developer Center / OTN Japan

http://www.oracle.com/technology/global/jp/tech/dotnet/• 意外と簡単!? .NETでOracle / OTN Japan

http://www.oracle.com/technology/global/jp/columns/easy/dotnet/

Page 2: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 2

• オラクル都市伝説 / Oracle on Windows• http://www.oracle.co.jp/campaign/mb_tech/column/• シーズン2連載中!

其の一:地獄からの生還本当にあった怖い話

其の二:喪われた時間を取り戻せ!ある男の過ち

其の三:ベテランエンジニアの魂がデータベースに宿る

其の四:本当にオラクルデータベースを選択すると「ソースコードがスリム」になるのか?を徹底検証

Page 3: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

<Insert Picture Here>

Oracle Direct Seminar

日本オラクル株式会社

Windowsユーザーの為のOracle Database セキュリティ入門

Page 4: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 4

以下の事項は、弊社の一般的な製品の方向性に関する概要を説明するものです。また、情報提供を唯一の目的とするものであり、いかなる契約にも組み込むことはできません。以下の事項は、マテリアルやコード、機能を提供することをコミットメント(確約)するものではないため、購買決定を行う際の判断材料になさらないで下さい。オラクル製品に関して記載されている機能の開発、リリースおよび時期については、弊社の裁量により決定されます。

Oracle、PeopleSoft、JD Edwards、及びSiebelは、米国オラクル・コーポレーション及びその子会社、関連会社の登録商標です。その他の名称はそれぞれの会社の商標の可能性があります。

Page 5: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 5

Agenda

• Windows 向け Oracle Database について• Oracle Databaseのセキュリティ機能• Windows機能との統合• Appendix

• .NET関連のセキュリティ機能• 考慮すべきその他のセキュリティ関連項目• 参考情報

・SQL Serverからの移行アセスメント・MySQLからの移行相談

・PostgreSQLからの移行相談・Accessからの移行アセスメント

・Oracle Database バージョンアップ支援・Oracle Developer/2000 Webアップグレード相談

・パフォーマンス・クリニック・Oracle Database 構成相談

・Oracle Database 高可用性診断・システム連携アセスメント・システムセキュリティ診断

・簡易業務診断・メインフレーム資産活用

無償技術サービスOracle Direct Concierge

http://www.oracle.com/lang/jp/direct/services.html

Page 6: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 6

7

1993 2007200320012000 20052004 2008/2009

Oracle はWindows の最新OSにいち早く対応

Page 7: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 7

Operating System 9i R2 10g R1 10g R2 11g

Windows 2000 Yes Yes Yes Yes

Windows XP Professional Yes Yes Yes Yes

Windows Server 2003 Yes Yes Yes Yes

Windows Vista No No Yes Yes

Windows Server 2008 No No Yes Yes

Windows 32-bit プラットフォームサポート状況

Page 8: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 8

Operating System 9i R2 10g R1 10g R2 11g

Windows Server 2003 for Itanium

Yes Yes Yes TBD

Windows XP & Windows Server 2003, x64 Editions

No No Yes Yes

Windows Vista for x64 systems

No No Yes Yes

Windows Server 2008 for x64 Systems

No No Yes Yes

Windows Server 2008 for Itanium

No No TBD TBD

Windows 64-bit プラットフォームサポート状況

Page 9: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 9

Windows Server 2008 の対応エディション

• 下記のWindows Server 2008 エディションが使用可能Windows Server 2008 StandardWindows Server 2008 EnterpriseWindows Server 2008 DatacenterWindows Web Server 2008Windows Server 2008 Standard without Hyper-VWindows Server 2008 Enterprise without Hyper-VWindows Server 2008 Datacenter without Hyper-V

Page 10: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 10

• NASでのパフォーマンス向上• Oracle Database 11g Direct NFS Client

• Windows サービスとの統合• Active Directory との統合• COM+サービス(MTS) との統合• MSCS との統合• VSSライター対応

• .NET + Oracle Databaseの親和性• データベースへの高速アクセス / Oracle Data Provider for .NET• 開発生産性の向上 / Oracle Developer Tools for Visual

Studio .NET• 開発言語の統一 / Oracle Database Extensions for .NET

Windows 向け Oracle Database の機能

Page 11: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 11

Agenda

• Windows 向け Oracle Database について• Oracle Databaseのセキュリティ機能• Windows機能との統合• Appendix

• .NET関連のセキュリティ機能• 考慮すべきその他のセキュリティ関連項目• 参考情報

・SQL Serverからの移行アセスメント・MySQLからの移行相談

・PostgreSQLからの移行相談・Accessからの移行アセスメント

・Oracle Database バージョンアップ支援・Oracle Developer/2000 Webアップグレード相談

・パフォーマンス・クリニック・Oracle Database 構成相談

・Oracle Database 高可用性診断・システム連携アセスメント・システムセキュリティ診断

・簡易業務診断・メインフレーム資産活用

無償技術サービスOracle Direct Concierge

http://www.oracle.com/lang/jp/direct/services.html

Page 12: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 12

Oracle Database のセキュリティ機能

• Oracle Database インストール時の設定事項• 認証:ユーザーの管理• アクセス制御:オブジェクトレベル制御• 格納データの暗号化• 監査

※こちらのセミナー資料も参考にしてください「きちんと知っておこう!基本機能で実現できるOracle Databaseのセキュリティ対策」http://www.oracle.co.jp/iSeminars/090630_1500/

Page 13: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 13

Oracle Database インストール時の設定事項

Page 14: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 14

初期状態からセキュアなデータベース

具体的に初期設定される項目 

• 標準監査の有効化

• デフォルト・プロファイルのパスワード制限の強化

• PUBLICロールからのCREATE EXTERNAL JOB権限の削除

• Database Configuration Assistant(DBCA)にて                データベースの構成を行う際のセキュリティ設定画面

Page 15: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 15

認証:ユーザーの管理

※Windowsにおけるユーザー認証の詳細については、以下のマニュアルをご覧くださいhttp://otndnld.oracle.co.jp/document/products/oracle11g/111/windows/E05885-05/authen.htm#i1007802

Page 16: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 16

データベース・ユーザーとは

セキュリティを高めるためにデータベース管理者は、

ユーザー・アカウントを適切に作成・管理する必要があります

データベース管理者

削除

ユーザーA

追加

ユーザーCユーザーB

• データベース・ユーザー :データベース内に接続するためのアカウント

Page 17: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 17

Oracle Enterprise Managerによるセキュリティ管理ユーザーアカウントの表示画面

ユーザーアカウントの管理作業を実行

• アカウントのロック解除• アカウントのロック•パスワードの変更

Page 18: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 18

ユーザー管理のポイント(1)不要なユーザーを利用可能な状態にしない

不要なユーザ

LOCKED

必要なユーザ

セキュリティを向上

不正アクセスを防止

• Oracleデータベースの作成時には、内部的作業をするユーザやサンプル用のユーザが作成され、不正アクセスを防ぐために、多くのユーザーはロックされています

• セキュリティを向上させるために、必要性の無いユーザーはログインできないようにロックしておきましょう

Page 19: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 19

ユーザー管理のポイント(2)プロファイルを利用してセキュリティを強化

プロファイル• リソース使用量の制限• アカウント・ステータスおよびパスワードの有効期限の管理

• プロファイルとは、システム・リソースおよびパスワードの制限の設定をまとめたものです

• ユーザーは一度に1つのプロファイルのみを割り当てられます

• データベースにはデフォルトのプロファイルが存在しており、ユーザー作成時に個別にプロファイルを指定しない限りは、DEFAULTプロファイルの内容が適用される仕組みとなっています

Page 20: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 20

アカウント・ステータス

パスワードの管理

• パスワードに有効期限をつけて、同じパスワードを使いつづけないように設定できます

• 11gのDEFAULT プロファイルでは、ユーザー・アカウントのパスワードは180日で自動的に期限切れとなります(初期状態)

• 特定のユーザーが、ある回数以上データベースへの接続に失敗した場合にそのユーザーをロックする設定ができます

• 11gのDEFAULTプロファイルでは、10 回ログインに失敗すると、ユーザー・アカウントが1日ロックされます(初期状態)

アカウント・ステータスおよびパスワードの有効期限の管理について

Page 21: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 21

Oracle Enterprise Managerによるセキュリティ管理プロファイルの設定画面

④クリック

有効期限(日) :60

設定したパスワードは60 日間使用可能

期限切れ後の猶予日数 30

有効期限が切れた後、

30日間は同じパスワードを使用可能

パスワード再利用前の変更回数 :2

2 度異なるパスワードに変更されてからでないと、

同じパスワードは使用できません

再利用できなくなるまでの日数 :180

パスワード履歴を保持する期間

ロックされるまでのログイン試行失敗回数 :6

6回ログインを失敗するとユーザーがロックされます

指定回数失敗後、ロックされる日数 :5

ロックされた後で5 日間経過するとロック解除されます

Page 22: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 22

ユーザー管理のポイント(3)三階層アプリにおけるユーザー特定

userA

CLIENT_IDENTIFIER

クライアントユーザー毎の識別や制御が必要

userA

userB

userC

EMP_INFO

EMPNO = 1234ENAME = TYAMADADEPT = SALES

ユーザーに応じた識別情報を設定

CLIENT_IDENTIFIER属性を利用して設定

1つのDBユーザーのセッションを共有

DBサーバーエンド・ユーザー APサーバー

※三階層アプリにおけるユーザー特定の詳細については、以下のセミナー資料をご覧くださいhttp://www.oracle.co.jp/iSeminars/080827_1600/

Page 23: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 23

アクセス制御:オブジェクトレベル制御

Page 24: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 24

様々な人が本番データに直接アクセスしていませんか?

• 検索ツール(MS-Access)やSQL*Plusでエンドユーザがアクセスできると

表:A 表:B

ユーザ: APP_OWNER

Oracle

アプリケーションアプリケーション

SQL*PlusCONNECT APP_OWNER

CONNECTAPP_OWNER

URL

URL

 課題1) みえてはいけないデータが見えてしまう

 課題2) 誤ってデータを更新・削除をしてしまう可能性がある

Page 25: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 25

VIEWとオブジェクト権限によるアクセス制限

• VIEWで見せてはいけない列を見せないようにする• 参照用のOracleユーザを作成し、オブジェクトの別名(SYNONYM)を作成

• 参照用Oracleユーザへの、本番データのオブジェクト権限は参照のみとし、不用意な更新をさせない

別名:A 別名:B_V

ユーザ: APP_VIEW

Oracle

アプリケーションアプリケーション

SQL*PlusCONNECT APP_VIEW

CONNECTAPP_OWNER

URL

URL

表:A

表:Bユーザ: APP_OWNER

VIEW:B_V参照権限

参照権限

Page 26: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 26

ユーザ毎に見てよいデータ(行)を変えたい 1/3

• 見せてはいけない列のみでなく、ユーザ毎に行も絞り込みたい例:特定の部・課に属しているデータのみ、公開したい

別名:A 別名:B_V

ユーザ:第二営業部

Oracle

SQL*Plus

CONNECT 第二営業部

表:A

表:B

ユーザ: APP_OWNER

参照権限は省略

VIEW:B_第二営業部V

VIEW:B_第一営業部V

別名:A 別名:B_V

ユーザ:第一営業部SQL*Plus

CONNECT 第一営業部

 課題1) 似たようなVIEWをユーザ毎に作成すると管理が大変

 課題2) ユーザ毎に別名(SYNONYM)を作成するのも大変

Page 27: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 27

ユーザ毎に見てよいデータ(行)を変えたい 2/3

 課題1) 似たようなVIEWをユーザ毎に作成すると管理が大変

 課題2) ユーザ毎に別名(SYNONYM)を作成するのも大変

「Oracleユーザが参照してもよい部・課」テーブルがあるならば、USER関数を利用したVIEWを作成可能

CREATE OR REPLACE VIEW B_V AS  SELECT ....

FROM BWHERE (B.部CD, B.課CD) in (SELECT 部CD, 課CD FROM 部課_ユーザT WHERE ユーザID = USER

);

CREATE OR REPLACE VIEW B_V AS  SELECT ....

FROM BWHERE (B.部CD, B.課CD) in (SELECT 部CD, 課CD FROM 部課_ユーザT WHERE ユーザID = USER

);

PUBLIC SYNONYM を作成し、PUBLICに参照権限を付与することで対応

CREATE PUBLIC SYNONYM B_V FOR B_V;GRANT SELECT ON B_V TO PUBLIC;  

CREATE PUBLIC SYNONYM B_V FOR B_V;GRANT SELECT ON B_V TO PUBLIC;  

Page 28: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 28

ユーザ毎に見てよいデータ(行)を変えたい 3/3

• USER関数を用いたVIEW、PUBLIC SYNONYMとの組み合わせ

別名:A 別名:B_V

ユーザ:第二営業部

Oracle

SQL*Plus

CONNECT 第二営業部

表:A

表:B

ユーザ: APP_OWNER

参照権限は省略

SQL*Plus

CONNECT 第一営業部 VIEW:B_V別名:A 別名:B_V

ユーザ:第一営業部

PUBLIC

別名:A 別名:B_V

 ユーザーの異動などがあっても表:部課_USR のメンテナンスで対応できる

表:部課_USR

Page 29: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 29

より柔軟かつ容易なアクセス制御Virtual Private Database

Virtual Private Database機能による行レベルでのアクセスを制御セキュリティ

ポリシー

SELECT * FROM order;SELECT * FROM order;

SELECT * FROM orderWHERE 人事= ‘B’

SELECT * FROM orderWHERE 人事= ‘B’

SELECT * FROM orderWHERE財務= ‘C’

SELECT * FROM orderWHERE財務= ‘C’

問い合わせたユーザによって自動的にアクセス範囲を制限する

営業ポリシー

人事Bさん

財務Cさん

営業Aさん 人事ポリシー

財務ポリシー

• Virtual Private Database を使った行レベルでのアクセス制御• ユーザーがどの情報にアクセス可能かをセキュリティポリシーとして定義• セキュリティポリシーをデータベースに事前に設定しておくことにより、データベース側で問い合わせされた検索文にWhere句を自動的に付与する

• アプリケーションは単一(問い合わせのための検索文等はまったく同じ)

Page 30: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 30

格納データの暗号化

※Oracle Databaseの暗号化機能の詳細については、以下のセミナー資料をご覧くださいhttp://www.oracle.co.jp/iSeminars/090408_0930/

Page 31: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 31

格納データの暗号化データファイルの暗号化

クラッキングツールにより解読!

悪意を持つユーザからは格好の対象となる

Database内ではデータはファイルとして存在

• データファイルの盗難の危険性の認識

Page 32: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 32

データファイルの暗号化の方法(1)標準のPL/SQLパッケージの使用

暗号化してデータを挿入SQL> INSERT INTO customers(cust_id) VALUES (encrypt_function(‘xxxxxx’));

復号してデータを取得SQL> SELECT decrypt_function(cust_id)

FROM customers;

予め、各パッケージのプロシージャを使用して、暗号化用/復号化用のファンクションを作

成しておきます。

3353-xxxx-xxSAPPOROCLARK003

3352-xxxx-xxFUKUOKASCOTT002

3351-xxxx-xxTOKYOKING001

CARD_IDADDRESSNAMEUSER_ID

復号されたデータ

V%Jsa6aUmSAPPOROCLARK003

p$hv/WiMnhfFUKUOKASCOTT002

mCJs8AakmTOKYOKING001

CARD_IDADDRESSNAMEUSER_ID

暗号化されて格納

Page 33: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 33

アプリケーション

RMAN バックアップの暗号化• RMANで取得したバックアップセットの暗号化

透過的なデータ暗号化(TDE: Transparent Data Encryption)

• アプリケーションの修正が不要• 暗号化キーの管理を自動化• 索引が使用可能• 従来の方式と比較して高速に• ディスクやメディアを問わない暗号化の実現

格納データの暗号化

バックアップの暗号化

通信データの暗号化

データファイルの暗号化の方法(2)Advanced Security Option / TDEの使用

Page 34: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 34

監査

※Oracle Databaseの監査機能の詳細については、以下のセミナー資料をご覧くださいhttp://www.oracle.co.jp/iSeminars/090205_1100/

Page 35: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 35

誰が行なったの?何を?

DBA監査

標準監査

ファイングレイン監査

必ず行なわれる監査リスナー経由接続

DBユーザ

DBユーザ

DBA実施事項全て

ログイン・ログアウト

オブジェクトへのSELECT・DMLなど

権限付与

DDL・構成変更

Oracleの機能

リスナー

トリガー

LogMiner

いつ知りたい?

定期的にチェックして、不正を未然に防ぐ

不正発覚後に調査をしたい

その他

DDL・DML 全ユーザ

全ユーザ

特定データへのSELECT・DML APユーザ

DBAのみ

DBの起動・停止 DBAのみ

EE

Oracle Database で実現できる監査の種類

Page 36: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 36

必須監査

• 必須監査: デフォルトでおこなわれる、必要最低限の監査• 特権ユーザ(DBA)による基本操作(起動・停止)• リスナーを介したOracle Net Servicesによるインスタンスへの接続

データベース管理者

接続、およびインスタンスの起動・停止

クライアント・ユーザー

リスナーへの接続

OS監査(必須監査)ログリスナー・ログ

Page 37: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 37

DBA監査(9iR2以降)

• 正当なDBA権限を持ったユーザーによる不正アクセスへの対策• DBAユーザーが行う全ての操作をOS上に監査証跡として残すことにより、システム/セキュリティ管理者によるDBAユーザーの監査を可能にする

データベース管理者

システム/セキュリティ管理者

DBAタスク

監査証跡の記録

参照可能

参照/改竄が不可能

セキュアなファイルシステム

ポイント:監査証跡の保護ポイント:監査証跡の保護

DBA権限をもつユーザーは、Oracleが残した監査

証跡を参照/改竄することが出来ない

Page 38: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 38

標準監査

• システムに即した不正行為への対策:一般ユーザの特定オブジェクトに対する操作、権限付与、およびデータベース構成変更に対し、監査証跡を取得する

ログイン表の構成変更権限付与検索データの変更 etc.

ユーザA

セキュアなファイルシステム

SYS.AUD$表

監査証跡の記録

AUDIT_TRAIL=OSAUDIT_FILE_DEST 初期化パラメータ

で定めた出力先に出力

AUDIT_TRAIL=DB もしくはAUDIT_TRAIL=DB_EXTENDED(*)SYS.AUD$表に記録

※監査ログの記録先は、AUDIT_TRAIL初期化パラメータで選択可能

(*)AUDIT_TRAIL=DB_EXTENDEDはOracle10gからの機能です

・処理が監査に合致した場合、処理を行ったユーザーの詳細情報がSQL文とともに aud$ 内部表に記録される

・aud$ の内容は、 DBA_AUDIT_TRAIL ビューを利用して確認する

ユーザB

Page 39: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 39

Label Security

Enterprise ManagerConfiguration Management

監査ログ収集・管理を行う

Audit Vault

Total Recall

Enterprise ManagerData Masking

DB管理も職務分掌SYSを無力化 !

情報漏えい対策の特効薬 !

SQLインジェクションに負けないDBを作る !

テスト環境から本番データを排除 !

J-SOX/内部統制に準拠 !構成管理&変更管理

特権ユーザを管理する

Database Vault

暗号化で情報を守る

Advanced Security

モニタリング

アクセス・コントロール

暗号化 / マスキング

さらに高度なセキュリティ機能も提供Oracle Databaseが提供するセキュリティ機能

Page 40: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 40

Agenda

• Windows 向け Oracle Database について• Oracle Databaseのセキュリティ機能• Windows機能との統合• Appendix

• .NET関連のセキュリティ機能• 考慮すべきその他のセキュリティ関連項目• 参考情報

・SQL Serverからの移行アセスメント・MySQLからの移行相談

・PostgreSQLからの移行相談・Accessからの移行アセスメント

・Oracle Database バージョンアップ支援・Oracle Developer/2000 Webアップグレード相談

・パフォーマンス・クリニック・Oracle Database 構成相談

・Oracle Database 高可用性診断・システム連携アセスメント・システムセキュリティ診断

・簡易業務診断・メインフレーム資産活用

無償技術サービスOracle Direct Concierge

http://www.oracle.com/lang/jp/direct/services.html

Page 41: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 41

Active Directory + Oracle Database

• Active Directoryによる名前解決• tnsnames.ora ファイルのクライアント配布が不要• 中央管理による運用管理コストの削減• Active Directory との認証統合

• Single Sign On• Windows ネイティブ 認証• Kerberos 認証

※Active Directory との連携の詳細については、以下のセミナー資料をご覧くださいhttp://www.oracle.co.jp/iSeminars/090721_1500/

Page 42: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 42

3 -接続情報をActiveDirectoryから取得

1 - UserがDesktopにサインイン

ActiveDirectory

Oracle Database

2 - User 接続リクエストを発行

Repository of Database Names and Connect Descriptors

4 -取得した接続情報をもとにOracle Databaseに接続 (Any Platform)

Active Directory へのDB登録と名前解決Run-Time

Page 43: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 43

Windows Native 認証Run-Time

2 – UserがOracleにサインインを実施

1 – UserがDesktopにサインインActive Directory/KDC

4 –外部ユーザーとして認証

5 – Windows Group membershipsの検索(os_rolesが trueの場合)

3 – セキュリティプロトコルで通信を行いsecurity tokensの交換

6 –データベースのロールかグループメンバーシップに基づきロールの割り振り (based on os_roles)

Page 44: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 44

まとめ

• Windows 向け Oracle Database について• Windowsは非常に重要なプラットフォームの1つとして開発• Windows独自機能との統合も図っている

• Oracle Databaseのセキュリティ機能• 認証、オブジェクト制御、管理、監査、暗号化等の機能を標準で実現• GUIツールにより、容易なセキュリティ管理・運用が可能• さらに“データベース・インフラ”として必要な高度なセキュリティ機能も提供

• Windows機能との統合• Active Directory との連携により、セキュリティ強化や運用管理工数の削減が可能

Page 45: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 45

Agenda

• Windows 向け Oracle Database について• Oracle Databaseのセキュリティ機能• Windows機能との統合• Appendix

• .NET関連のセキュリティ機能• 考慮すべきその他のセキュリティ関連項目• 参考情報

・SQL Serverからの移行アセスメント・MySQLからの移行相談

・PostgreSQLからの移行相談・Accessからの移行アセスメント

・Oracle Database バージョンアップ支援・Oracle Developer/2000 Webアップグレード相談

・パフォーマンス・クリニック・Oracle Database 構成相談

・Oracle Database 高可用性診断・システム連携アセスメント・システムセキュリティ診断

・簡易業務診断・メインフレーム資産活用

無償技術サービスOracle Direct Concierge

http://www.oracle.com/lang/jp/direct/services.html

Page 46: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 46

*1: ConnectionString属性のUser Idを / に設定することにより、データベース・ユーザーの認証にWindowsユーザー・ログイン資格証明を使用できます。また、DBA Privilege属性を介してSYSDBA権限またはSYSOPER権限のいずれかを使用してOracleデータベースに接続できます

※ODP.NET 11.1.0以上では、OS認証でも接続プーリングが有効になります

.NET関連のセキュリティ機能オペレーティング・システム認証と特権接続

ODP.NET ONLYODP.NET ONLY

Dim cnn As New OracleConnection

cnn.ConnectionString = "User Id=/;Data Source=orcl;DBA Privilege=SYSDBA"

cnn.Open()

MsgBox("Connect OK!!")

cnn.Close()

*1

Page 47: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 47

.NET関連のセキュリティ機能tnsname.ora を使用しない接続

ODP.NET ONLYODP.NET ONLY

Dim cnn As New OracleConnection

Dim sb As New System.Text.StringBuilder

sb.Append("User Id=scott; Password=tiger;")

sb.Append("Data Source=(DESCRIPTION = (ADDRESS_LIST = ")

sb.Append("(ADDRESS = (PROTOCOL = TCP)(HOST = localhost)")

sb.Append("(PORT = 1521)))(CONNECT_DATA = (SERVER = DEDICATED)")

sb.Append("(SERVICE_NAME = orcl)));")

cnn.ConnectionString = sb.ToString

cnn.Open()

MsgBox("Connect OK!!")

cnn.Close()

tnsnams.oraの内容をそのまま記述

Page 48: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 48

上記のサンプルコードを実行する前に、プロキシ認証を行うためのユーザーを作成します

.NET関連のセキュリティ機能Proxy認証を利用したユーザー認証

ODP.NET ONLYODP.NET ONLY

Dim conn As New OracleConnection( _

"User Id=user1;Password=xxxx;Proxy User Id=proxyuser;" + _

"Proxy password=xxxxxxxxxx;Data Source=orcl")

conn.Open()

conn.close()

プロキシ認証を行うための接続文字列

CREATE USER user1 IDENTIFIED BY oracle;

GRANT CONNECT,RESOURCE TO user1;

GRANT SELECT ON proxyuser.table1 TO user1;

ALTER USER user1 GRANT CONNECT THROUGH proxyuser;

Page 49: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 49

• ASP.NET 2.0に対応する以下の Provider を新たに提供• メンバーシップ・プロバイダ

• ロール・プロバイダ

• サイト・マップ・プロバイダ

• セッション・ステート・プロバイダ

• プロファイル・プロバイダ

• Webイベント・プロバイダ• Webパーツ・パーソナライズ・プロバイダ• キャッシュ依存性プロバイダ

.NET関連のセキュリティ機能ODAC 11.1.0 新機能 Oracle Providers for ASP.NET

Page 50: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 50

「OracleMembershipProvider」、「OracleRoleProvider」の選択が可能

.NET関連のセキュリティ機能ODAC 11.1.0 新機能 Oracle Providers for ASP.NET

Page 51: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 51

• Windowsでのインストール後の構成タスク• Windowsファイアウォール• デフォルト・アカウントのパスワードのリセット• NTFSファイル・システムとWindowsレジストリの権限• Windowsでのスケジューラの外部ジョブ・サポートの構成

http://otndnld.oracle.co.jp/document/products/oracle11g/111/windows/E05885-05/config.htm#i1008781

考慮すべきその他のセキュリティ関連項目Oracle Databaseプラットフォーム・ガイド

Page 52: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 52

• Oracle Databaseプラットフォーム・ガイド• http://otndnld.oracle.co.jp/document/products/oracle11g/111/windows/

E05885-05/toc.htm

• Windows環境におけるデータベース・ユーザーの認証• http://otndnld.oracle.co.jp/document/products/oracle11g/111/windows/

E05885-05/authen.htm#i1007802

• Microsoft Active DirectoryとのOracle Databaseの使用• http://otndnld.oracle.co.jp/document/products/oracle11g/111/windows/

E05885-05/active_dir.htm#BGBEIIDH

• 意外と簡単!? Oracle Database 11g Release 1 ~セキュリティ設定• http://otndnld.oracle.co.jp/easy/oracle11gr1/windows/3rd/index.html

参考情報

Page 53: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 53

Page 54: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 54

【タイトル】年末カレンダー応募【必要情報】1、氏名2、貴社名、所属部署名3、貴社住所(プレゼント送付先)4、受講された2009年11月・12月開催のセミナタイトル5、現在ご検討中のシステムについてなど、Oracle Directに相談されたい  ことなどございましたら記載ください。

年末ダイセミ受講感謝キャンペーン

日頃はOracle Direct Seminarを御愛護頂き、誠にありがとうございます。感謝の気持ちを込めまして、合計100名様にWendyの2010年版カレンダーをプレゼントいたします。11月・12月に開催のダイセミを2つ以上受講頂いた方が対象です。是非皆様奮ってご応募下さい!!

応募方法応募方法 [email protected]

必要情報を明記のうえ、メールでご応募ください。当選者の発表は発送をもってかえさせて頂きます。

Page 55: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 55

OTNOTN掲示版×ダイセミ でスキルアップ掲示版×ダイセミ でスキルアップ!!!!

※OTN掲示版は、基本的にOracleユーザー有志からの回答となるため100%回答があるとは限りません。   ただ、過去の履歴を見ると、質問の大多数に関してなんらかの回答が書き込まれております。

このようなお客様に、Oracle Technology Network(OTN)の掲示版の活用をお薦めします。

・セミナー中に解消できなかった疑問点を解消したい!・セミナー終了後に疑問点が出てきた!・一般的なその解決方法などを知りたい!

セミナーに関連する質問については、OTN掲示版の「データベース一般」へ

http://otn.oracle.co.jp/forum/index.jspa?categoryID=2

Page 56: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 56

Oracle University LOracle University Liveive VVirtualirtual CClasslass

インターネットを通じてライブで研修に参加できる「Oracle University Live Virtual Class」。会社や自宅からでも研修を受講することができ、品質や達成度も教室で開催される研修と同等。

スキルアップのチャンスが大きく広がります。

~インターネットでどこでも受講!世界中から最新技術をいち早く習得~~インターネットでどこでも受講!世界中から最新技術をいち早く習得~

多彩なコースから最新の技術をいち早く取得多彩なコースから最新の技術をいち早く取得

時間や場所の制約が最小限に!コスト削減に効果あり時間や場所の制約が最小限に!コスト削減に効果あり

教室で開催する研修と同じ教材・演習環境、変わらないクオリティ教室で開催する研修と同じ教材・演習環境、変わらないクオリティ

ご要望の多かった「土曜開催コース」が登場!ご自宅から受講できます

●Oracle Database 11g:管理ネクスト・ステップ - LVC (3日間) 日程:11月12日(木)~11月14日(土) ※ORACLE MASTER Silver Oracle Database 11g対応コース

開催コース、スケジュールhttp://education.oracle.co.uk/html/oracle/70JA/ILO.htm

Oracle University Live Virtual Classhttp://www.oracle.com/global/jp/education/lvc/

Page 57: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 57

運用

構築 設計

IT 企画

経営企画

業務改善計画の作成支援• 業務診断サービス• BIアセスメントサービス

システム企画の作成支援•業務診断サービス•BIアセスメントサービス

RFP/提案書の作成支援•BIアセスメントサービス•メインフレーム資産活用相談サービス•仮想化アセスメントサービス•Oracle Database 構成相談サービス•Oracle Database 高可用性クリニック

システム構築時の道案内•Access / SQL Serverからの移行•MySQL / PostgreSQLからの移行•Oracle Database バージョンアップ支援•Oracle Developer Webアップグレード•システム連携アセスメントサービス

システム運用状況の診断•パフォーマンス・クリニック・サービス•システム・セキュリティ診断サービス•データ管理最適化サービス

ITプロジェクト全般に渡る無償支援サービスOracle Direct Conciergeサービスメニュー

Page 58: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 58

http://www.oracle.co.jp/inq_pl/INQUIRY/quest?rid=28

Oracle Direct 検索

あなたにいちばん近いオラクル

Oracle Directまずはお問合せくださいまずはお問合せください

Web問い合わせフォーム フリーダイヤル

専用お問い合わせフォームにてご相談内容を承ります。

※フォームの入力には、Oracle Direct Seminar申込時と同じ  ログインが必要となります。※こちらから詳細確認のお電話を差し上げる場合がありますので、ご登録さ  れている連絡先が最新のものになっているか、ご確認下さい。

0120-155-096 ※月曜~金曜 9:00~12:00、13:00~18:00

  (祝日および年末年始除く)

システムの検討・構築から運用まで、ITプロジェクト全般の相談窓口としてご支援いたします。

システム構成やライセンス/購入方法などお気軽にお問い合わせ下さい。

Page 59: Windows Server System Center / OTN Japan • .NET + Oracle ... · 9其の一:地獄からの生還本当にあった怖い話 9其の二:喪われた時間を取り戻せ!ある男の過ち

Copyright© 2009, Oracle. All rights reserved. 59