Comments
Description
Transcript
エンタープライズ・クラウドコンピューティングに必須のセキュリティ 日本
<Insert Picture Here> エンタープライズ・クラウドコンピューティングに必須のセキュリティ 日本オラクル株式会社 プリンシパルセールスコンサルタント 下道高志, CISA, CISM, CRISC 2011年7月27日 以下の事項は、弊社の一般的な製品の方向性に関する概要を説明するものです。 また、情報提供を唯一の目的とするものであり、いかなる契約にも組み込むことは できません。以下の事項は、マテリアルやコード、機能を提供することをコミットメン ト（確約）するものではないため、購買決定を行う際の判断材料になさらないで下さ い。オラクル製品に関して記載されている機能の開発、リリースおよび時期につい ては、弊社の裁量により決定されます。 OracleとJavaは、Oracle Corporation 及びその子会社、関連会社の米国及びその他の国における登録商標です。 文中の社名、商品名等は各社の商標または登録商標である場合があります。 Copyright© 2011, Oracle. All rights reserved. 2 グローバル企業を対象にした調査結果 「プライベート・クラウドを利用/提供していますか？」 28.6% のお客様が既にプライベート・クラウドを保有 はい （全社規模で利用） 11.3% はい （特定システムで利用） 12.8% はい （実機検証中） 4.5% 計画中 4.9% 検討中 10.5% いいえ 47.4% わからない/無回答 28.6% 8.7% Source: IOUG ResearchWire member study on Cloud Computing, conducted in August-September 2010. Copyright© 2011, Oracle. All rights reserved. 3 グローバル企業を対象にした調査結果 「パブリック・クラウド・サービスを利用していますか？」 13.8% のお客様が既にパブリック・クラウドを利用 はい 13.8% いいえ 54.6% 検討中 11.2% わからない/無回答 20.4% 「いいえ」と答えた方の理由 （パブリック・クラウドに対する懸念事項） 43% セキュリティ 26% サービス品質（QoS） 25% コスト （長期間にわたる） Source: IOUG ResearchWire member study on Cloud Computing, conducted in August-September 2010. Copyright© 2011, Oracle. All rights reserved. 4 日本：クラウドサービスの利用状況 出典：総務省 平成 22年通信利用動向調査（企業編） Copyright© 2011, Oracle. All rights reserved. 5 日本：クラウドサービスの利用効果の有無 出典：総務省 平成 22年通信利用動向調査（企業編） Copyright© 2011, Oracle. All rights reserved. 6 日本：クラウドサービスを利用しない理由 「利用していないし、今後も利用する予定がない」理由 出典：総務省 平成 22年通信利用動向調査（企業編） Copyright© 2011, Oracle. All rights reserved. 7 エンタープライズ・クラウドコンピューティング に必須な要素とは？ Copyright© 2011, Oracle. All rights reserved. 8 意味の再確認 クラウド・コンピューティング 米国国立標準技術研究所（National Institute of Standards and Technology ）の定義 “クラウド・コンピューティングとは、貯蔵/共有化された電算処理資源(ネット ワーク、サーバー、ストレージ、アプリケーション、サービス)を 、ネットワークを 介し必要に応じて利用可能とするモデル。管理の手間やサービスプロバイ ダーの仲介作業を最小化し、これらの資源を迅速に確保、利用、開放するこ とを可能とする ” 基本的な特性 × 5 配置/展開モデル × 4 • ｵﾝ･ﾃﾞﾏﾝﾄﾞ/ｾﾙﾌ･ｻｰﾋﾞｽ • プライベート・クラウド • ネットワークを介した利用 • コミュニティ・クラウド • リソースの集中貯蔵 • パブリック・クラウド • 迅速なリソース確保/開放 （ｽｹｰﾙ・ｱｳﾄ/ｽｹｰﾙ・ｲﾝ） • ハイブリッド・クラウド サービス・モデル × 3 • SaaS Software as a Service • PaaS Platform as a Service • IaaS Infrastructure as a Service • 計測可能なサービス Copyright© 2011, Oracle. All rights reserved. 9 代表的なクラウド標準団体 • 国際標準（デジュール） • ISO • SC27（セキュリティ） • SC38（分散アプリケーションプラットフォームおよびサービス） • ITU-T • FG Cloud ( Focus Group on Cloud Computing) • 業界標準 • DMTF (Distributed Management Task Force) • CMWG (Cloud Management Work Group) • SNIA • Cloud Storage Initiative • OASIS • IDCloud ( Identity in the Cloud TC) • セキュリティ • CSA (Cloud Security Alliance) • ENISA (European Network and Information Security Agency) • SCIM (Simple Cloud Identity Management) Copyright© 2011, Oracle. All rights reserved. 10 クラウド間連携の時代の認証認可技術 • クラウド間認証／サービス連携 • • • • • • • • SAML Liberty ID-WSF WS-* OpenID OAuth XACML SPML BrowserID • より高度な認証方法 • リスクベース認証 • 多要素認証 Copyright© 2011, Oracle. All rights reserved. 11 クラウド関連の監査と情報セキュリティマネジメント • 監査 • ISAE3402(IFAC)/SSAE16(AICPA) • ( SAS70 は2011年6月15日まで） • ISACA（情報システムコントロール協会） • Cloud Computing: Business Benefits With Security, Governance and Assurance Perspectives • 情報セキュリティマネジメント • 経済産業 • 「クラウドサービス利用のための情報セキュリティマネジメント ガイドライン」 • ISO/IEC27002:2005 がベース Copyright© 2011, Oracle. All rights reserved. 12 将来のクラウド間連携(GICTF資料より) Copyright© 2011, Oracle. All rights reserved. 13 SLA項目の例 （GICTF“インタークラウド のユースケースと機能要件”より) SLA項目 可用性 サービス稼働率 稼働率 サービスを利用できる確率 （（計画サービス時間－停止時間）÷計画サービス時間） 平均復旧時間 障害発生から修理完了までの平均時間 （修理時間の和÷故障回数） サービス中断時間 想定できる障害からの業務継続対策（クラスタ構成等）ありの再開時間 ディザスタリカバリ時に、どれくらいで復旧させるかの目標 性能 セキュリティ データリカバリ復旧時点時間 障害発生時のデータをどこまで復旧するか オンライン応答時間 オンライン処理の応答時間 オンライン応答時間遵守率 目標時間内に完了したオンライントランザクションの割合 バッチ処理時間 バッチ処理の応答時間 バッチ処理時間遵守率 目標時間内に完了したバッチ処理の割合 単位時間あたり最大処理件数 単位時間あたり最大処理件数 単位時間あたり最大処理件数遵守率 単位時間あたりの最大処理件数が目標を達成した割合 事業者セキュリティ基準取得状況 情報セキュリティ基準「ISMS認証基準(Ver.2.0)」ISO27001」 を取得しているか 管理権限を持つ主体の認証実施状況 攻撃者が管理権限を手に入れることによる情報漏洩の脅威への対策有無 管理システム上の対策における操作制限 状況 情報漏洩の元となる不正ソフトウェアのインストール、不要アクセス経路設定防止のための アクセス制限有無 クラウドシステム間の伝送データ秘匿 クラウド間で伝送されるデータ秘匿有無 データ配置場所 データの国内配置 不正行為検知のためのログの取得状況 不正アクセス発生を検知し、その後の対策のためのログが取得できるか 不正行為検知のためのログの保管期間 不正行為の確認、正しく処理された証跡保持期間 不正通信遮断のための通信制御状況 踏み台攻撃等の脅威や情報の持ち出し抑止のための通信制御の実施有無 DoD/DDoS攻撃回避のためのネットワーク 輻輳対策状況 サービス停止攻撃の回避対策有無 マルウェア対策の実施 マルウェア感染防止する対策の実施有無 Copyright© 2011, Oracle. All rights reserved. 14 エンタープライズ・クラウドに必要なコンプライアンス対応 コンプライアンス要件 内部統制報告制度 個人情報保護法・ガイドライン ISMS認証取得 監査・審査 プライバシーマーク PCIDSS 等々 パブリッククラウド ハイブリッド IaaS PaaS IaaS SaaS PaaS SaaS Virtual Private Cloud App1 App2 App3 サイロ型 • • • • 物理サーバー 専用環境 静的 ヘテロ環境 App1 App2 App3 App1 App2 App3 Private PaaS Private PaaS Private PaaS Private IaaS Private IaaS Private IaaS 共通基盤化 • • • • プライベートクラウド App1 App2 App3 ハイブリッド 仮想化 • セルフサービス • パブリッククラウドとの 連携 シェアードサービス • ポリシーベースの リソース管理 • 相互運用性 動的 • クラウドバースティング 標準化された部品 • 従量課金 Copyright© 2011, Oracle. All rights reserved. 15 クラウドに対する外部攻撃の課題の例 ～ なりすまし、SQLインジェクション アプリケーションの 実行環境 不正 アクセス 盗んだID・ パスワード 攻撃者 WEBサーバー 情報漏洩 データーべース (Oracle,SQLServ er,DB2・・・) 情報資産 SQL インジェクション Copyright© 2011, Oracle. All rights reserved. 16 クラウド時代に求められるセキュリティ要件 特権・管理者権限は適切に管理され、可能な限り分離されていること。 ユーザー（企業・組織）ごとにデータは隔離されていて他のユーザーの 情報を閲覧・改ざんできないこと。 各種コンプライアンスの要求に応えるため履歴の取得と適切な開示が できること。 OSレベルの脅威、バックアップ、開発用システムに対する脅威に対して 情報を保護できること。 システムにおける最新のセキュリティ状態を管理していること。 適切な強度の認証とアイデンティティ管理が確実に行われること。 Copyright© 2011, Oracle. All rights reserved. 17 セキュアなエンタープライズ・クラウドのために オラクルのセキュリティ・ソリューション Copyright© 2011, Oracle. All rights reserved. 18 オラクルのセキュリティソリューション製品 • 企業のセキュリティソリューションを支援するための機能をソフトウェアで提供して おり、世界中で多くの実績を持っています。 情報セキュリティ対策 認証・アクセス制御（アクセス管理） アイデンティティ（ID）管理 IDライフサイクル管理 LDAP Oracle Internet Directory Oracle Identity Manager 統合型認証・アクセス制御 連携型認証（フェデレーション） Oracle Access Manager Oracle Identity Federation Oracle Virtual Directory Oracle STS/Fedlet Oracle Directory Server EE 職務分掌、ロール管理 Oracle Identity Analytics Windows環境のシングル・サインオン 認証・アクセス制御の強化 Oracle Enterprise Single Sign-On Suite Plus Oracle Adaptive Access Manager Oracle Entitlements Server アプリケーション・セキュリティ Oracle WebLogic Security （OPSS） データ・セキュリティの強化 Oracle Advanced Security Oracle Database Vault Oracle Label Security Oracle Audit Vault Oracle Data Masking Enterprise User Security 電子文書の取扱いに関するセキュリティの強化 Oracle Universal Content Management Oracle Information Rights Management Oracle Universal Records Management Copyright© 2011, Oracle. All rights reserved. 19 データベースのセキュリティ Copyright© 2011, Oracle. All rights reserved. 20 オラクルの製品で多層防御を実現 暗号化 & マスキング • 暗号化 (Advanced Security) バックアップの暗号化 (Secure Backup) • データ・マスキング • アクセス制御 • • 行・列レベルアクセス制御 （Virtual Private Database) 特権ユーザ管理、職務分掌 （Database Vault) 監査 • • • • • 標準監査/DBA監査 ファイングレイン監査 構成管理 (Configuration Management) 変更管理 (Change Management) 監査ログ管理・分析 (Audit Vault) ブロッキング & モニタリング • Oracle Database Firewall Copyright© 2011, Oracle. All rights reserved. 21 オラクルのデータベース・セキュリティ全体像 断片化されたセキュリティ対策ではなく、 トータルな情報セキュリティ機能を基盤に組み込まれた提供 監査 Allow Procurement Sensitive Log Alert Substitute アプリケーション HR Confidential Rebates Public 権限のない不正な操 作の防止 統合されたデータベース・ セキュリティの担保 DBA権限のコントロール Block 不正SQLの 検知と遮断 データベー ス 暗号化 バックアップ 外部出力データ テストデータの 暗号化 の暗号化 マスキング Copyright© 2011, Oracle. All rights reserved. 22 Oracle Advanced Security • 可用性と機密性を両立したOracleデータベース暗号化機能 • アプリケーションからは透過的に暗号化を実施するため、SQLの変更は不要 • 暗号化が求められるセキュリティ要件、コンプライアンス要件への対応を支援 バックアップ の暗号化 ネットワーク の暗号化 格納データの暗号化（TDE） Copyright© 2011, Oracle. All rights reserved. 23 Transparent Data Encryption（TDE） • 強力な暗号アルゴリズムを利用した暗号化を実施 • NISTの標準共通鍵暗号方式 AES(128/192/256bit) に対応 • Oracle Wallet やHardware Security Moduleを利用した暗号鍵管理メカニズム • アプリケーションからは透過的にデータの暗号化/復号 • 既存のアプリケーション（SQL）を改修する必要はない ヤマダタロウ 1234567812345678 カード番号の 暗号化 ヤマダタロウ aG5#g&3f_g0R1Blg ディスク バックアップ ダンプファイル アプリケーション SELECT name,cardnumber 外部委託先 FROM credit; Copyright© 2011, Oracle. All rights reserved. 24 Oracle Database Vault • 責任とリスクの分離 クラウド利用側（ユーザー） 適切なアクセス権限設定 クラウド内部でどのように 機密情報が取り扱われて いるのかわからないという リスク クラウド提供側 顧客の情報が「見える」こと によって事件等が起きるリス ク、疑いをかけられるリスク Oracle Database Vaultによる適切なアクセス権限設定により、クラウド 利用側と提供側、双方のリスクを最適化できる。 Copyright© 2011, Oracle. All rights reserved. 25 Database Vault • アクセス・コントロールの利用例 時間帯による アクセス制限 Oracle Database Vault 月曜～金曜日 9:00～18：00 アルバイトA 上述以外の時間帯 192.168.1.100 192.168.2.150 HRシステム 給与データ 192.168.1.x からの アクセスのみ許可 データ ディクショナリ アクセス元による 制限 Copyright© 2011, Oracle. All rights reserved. 人事部門 データベース管理者 （DBA） 管理者による データ・アクセスの制限 26 Oracle Database Firewall Allow Log Alert Substitute Applications Block Alerts Built-in Reports Custom Reports Policies • 透過的 • 動作しているアプリケーション及びデータベースの変更を必要としない • 高いパフォーマンス • アプリケーション・データベース間のトランザクション処理への影響はごくわずか • 正確な検知 • 高精度なSQL文法レベルの解析により、誤検知なく不正なSQLのみブロック Copyright© 2011, Oracle. All rights reserved. 27 Oracle Database Firewallの検知方法 ～SQLの文法を理解した正確な検知 • SQLは約400のキーワードや厳格な文法のルール(ISO/IEC 9075)が 定義されており、それらの文法構造を理解し判断する UPDATE tbl_users SET comments = ‘The user has asked for another account_no, wishespassword, to be billed for services between 1/2/2009 SELECT id, and username, acccount_no FROM tbl_users WHERE and 2/2/2009, and wants to know where the invoice should be sent username = ‘Bill’ AND account_no BETWEEN 1001000 AND 1001012; to. She will select the new service level agreement to run from 3/7/2009 next month’ WHERE id = ‘A15431029’; KEY WORDS SCHEMA DATA OPERATORS • SQLは分析され、クラスタにグループ化される • SQLポリシーの管理対象は、クラスタ単位で行われる • DATAの値が異なっていても、同じクラスタとして文法構造が同一であれば、 漏れなくポリシーが適用される Cluster 1 : SELECT * FROM certs WHERE cert-type = '18‘ Cluster 1 : SELECT * FROM certs WHERE cert-type = ‘3999‘ Cluster 2: SELECT * FROM certs WHERE cert-type = 'PHE8131' and location = 1 Copyright© 2011, Oracle. All rights reserved. 28 クラウドのためのID管理 (Identity Management ) Copyright© 2011, Oracle. All rights reserved. 29 Oracle Identity Manager 11g Identity Provisioning : IDライフサイクル管理 人事システム、または コーポレートディレクトリ 文書管理 顧客情報管理 システム システム ユーザー情報の取得 売上管理 システム IDの自動配信と 自動削除 管理者 ･ID情報の管理 SaaS アプリケーション ユーザー 監査ログ ・パスワード変更 ・システム利用申請 属性・ルールに基づいた グループ化・ポリシー割当て Oracle Identity Manager SPML 配信対象システム ID管理の自動化とセルフサービス機能による運用負荷軽減 退職者、不正IDを迅速に削除するセキュアな基盤を実現 レポート作成や棚卸工数などの監査対応工数を削減 Copyright© 2011, Oracle. All rights reserved. 30 Oracle Access Manager 11g Webシステムへのシングル・サインオンとアクセス制御を実現 Oracle Access Manager 機密情報サイト 拒否 ポータルサイト 各システムの認証・認可は Access Managerで実施 グループウェア 許可 クライアントは認証情報を利用し 各システムにアクセス シングル・サインオンによるユーザー利便性の向上 システム間をまたがる一元的なアクセス制御によるセキュリティの向上 グループ管理による組織変更への動的かつ迅速な対応 Copyright© 2011, Oracle. All rights reserved. 31 Oracle Identity Federation 11g クラウド環境、グループ会社での複数認証基盤の連携 従業員・ パートナー・顧客 Oracle Identity Federation 企業内の アプリケーション SAML 1.x 関連会社・支店 SAML 2.0 OpenID WS-Fed クラウド アプリケーション SaaS アプリケーション 各拠点の既存のアクセス制御資産を活かしたシングル・サインオンの実現 拠点をまたいだ認証連携によるユーザー利便性の向上 Copyright© 2011, Oracle. All rights reserved. 32 Oracle Adaptive Access Manager 11g なりすまし、フィッシング対策 認証キーバッド リスクをスコア リスクベース認証 デバイス 位置 日時 アクティビティ 盗んだID・ パスワード 偽サイトに 誘導するE-mail 悪意を持ったユーザー 認証キーパッドや多要素認証による認証強化 リスクのリアルタイム分析による不正行為の防止 Copyright© 2011, Oracle. All rights reserved. 33 Oracle Adaptive Access Manager（OAAM） による リスクベース認証 • ユーザプロファイル • 端末の特徴・属性 • 突然スマートフォンからPCに 変わった？ • IPアドレス、所在地 • 突然外国からアクセスされた？ • アプリケーション & 前後の 関係からみた 「ふるまい」 のデータ • 通常日中アクセスする人が突然 明け方アクセスした？ ID・パスワードが正しくても「なりすましかも知れない」リスクを検知する Copyright© 2011, Oracle. All rights reserved. 34 Oracle Adaptive Access Manager（OAAM） バーチャルデバイスによる多要素認証 フィッシング対策: • イメージやフレーズのパーソナライズ • 日付の更新 情報漏えい対策: • • バーチャルキーボード ランダムデータ・コミュニケーション ボット対策 : • 人間による入力を要求 Copyright© 2011, Oracle. All rights reserved. 35 クラウドを考慮したBCP/DR Copyright© 2011, Oracle. All rights reserved. 36 事業継続計画(BCP)としての活用例 オラクルが提供する高可用性ソリューション「Oracle MAA(*)」をハイブリッド・クラウド 構成に適用することで、迅速に事業継続性を確保することも可能 プライベート・クラウド パブリック・クラウド CRM SCM PLM SCM ERP HCM MW MW PaaS MW MW MW Oracle Application Grid/Oracle Exalogic DB PaaS DB DB DB DB Oracle RAC/Oracle Exadata CRM Oracle Data Guard Oracle GoldenGate トランザクションの同期 SCM ERP HCM MW PaaSMW PaaS Oracle Application Grid/Oracle Exalogic DB PaaS DB PaaS Oracle RAC/Oracle Exadata 同期に要するコストの軽減 情報の整合性を常に保証 本番環境 待機環境 (*)Oracle MAA = Oracle Maximum Availability Architecture Copyright© 2011, Oracle. All rights reserved. 37 事業継続計画（BCP)としての活用例 オラクルが提供する高可用性ソリューション「Oracle MAA(*)」をハイブリッド・クラウド 構成に適用することで、迅速に事業継続性を確保することも可能 プライベート・クラウド パブリック・クラウド 帳票作成バッチによる 一時的な負荷増大 待機環境の ﾘｿｰｽを利用 処理負荷を一時的にオフロード 異常時、正常時での有効活用 ERP SCM ERP HCM MW PaaS MW MW MW CRMSCM SCM PLM CRM MW Oracle Active Data Guard 読取り専用環境として活用可能 Oracle Application Grid/Oracle Exalogic SCM ERP HCM MW PaaSMW PaaS Oracle Application Grid/Oracle Exalogic リソース 不足 DB CRM リソースの消費 DB PaaS DB DB DB Oracle RAC/Oracle Exadata DB PaaS DB PaaS Oracle RAC/Oracle Exadata 情報の整合性を常に保証 本番環境 待機環境 (*)Oracle MAA = Oracle Maximum Availability Architecture Copyright© 2011, Oracle. All rights reserved. 38 ファイル形式データへの セキュリティ対策 Copyright© 2011, Oracle. All rights reserved. 39 ファイル形式の情報を守るクライアントセキュリティ Oracle Information Rights Management 社内や社外に配布されるファイルと、ファイルに納められた重要な情報を、 改ざん、不正利用、複製、流用、盗難、流出、漏えいなどのリスクから守る。 サーバーで自動的にシールして ファイルサーバー または データベースからの レポート デスクトップ上でシールして 社員の文書や電子メール シール＝ 暗号化とセキュリティ設定の付与 利用者の利便性を損なわず 操作を制御 所在を追跡 操作を記録 Copyright© 2011, Oracle. All rights reserved. 権限を剥奪 40 Oracle IRMで保護 暗号化 セキュリティ設定 • AES 128 • Oracle IRM サーバー情報 • AES 256 保護された文書 • セキュリティ設定内 容 Copyright© 2011, Oracle. All rights reserved. 41 セキュアなエンタープライズ・クラウド を迅速・確実に構築・運営するために Copyright© 2011, Oracle. All rights reserved. 42 オラクルが推進する新しい選択肢 「工業製品化」された次世代プラットフォーム Engineered System Building the 21st Century Datacenter Hardware and Software Engineered to Work Together Copyright© 2011, Oracle. All rights reserved. 43 「Engineered System」 を具現化した Oracle Exadata Database Machine Exadata ：SW/HWが融合（プリインテグレート）された環境 S/W •OS セットアップ •Database セットアップ •クラスタウェア セットアップ •ストレージ管理ソフト セットアップ •システム管理ツール セットアップ •バックアップソフト セットアップ サーバ H/W ネットワーク ストレージ ベスト・コンフィギュレーションさ れており個別のセットアップ不要 •8台 サーバ セットアップ •クラスタウェア セットアップ •8台 サーバ、14台ストレージの 最適コンフィギュレーション •最大366TB •ストレージ セットアップ 統一のアーキテクチャで 運用可能 Copyright© 2011, Oracle. All rights reserved. 初期コスト・運用コストの抑制 44 圧倒的な性能とセキュリティを両立 • Intel Xeon 5600プロセッサーの暗号化基本命令セット (AES-NI) および、Oracle Advanced Securityにより、 データベース暗号化を実現 (TDE) • 性能を劣化させることなく、データ暗号化・復号処理を圧倒的に 高速化することが可能になる データベース・サーバー ハードウェアによるデータベース暗号化の実現 書込み時の暗号化/読取り時の復号処理 ストレージ・サーバー ハードウェアによるデータベース暗号化の実現 Smart Scanで読取り時の復号処理 Copyright© 2011, Oracle. All rights reserved. 45 バッチ処理における暗号化性能 • 1 レコードあたり1MBのデータを、以下の3種類の表に 100万回(1GB)のINSERT処理を行った場合の処理時間を計測 (※ Direct Path Writeでバッファキャッシュを経由しない、 暗号化なしの場合を相対処理時間と1とする) • 暗号化なしの表 • TDE(表領域暗号化)に格納された表 + AES-NI をON • TDE(表領域暗号化）に格納された表 + AES-NIをOFF 暗号化：処理時間 1 暗号化なし 1.01 TDE(AES-NI) 1.05 従来のAES-NIなしの 場合でも処理時間増はわずか しかし、AES-NIを使用するとほぼ ゼロに TDE(AES-NIなし) Copyright© 2011, Oracle. All rights reserved. 46 バッチ処理における復号性能 • 1GBのデータが格納されている、以下の3つの表を テーブル・フルスキャンをした場合の処理時間を計測 (※ Direct Path Readでバッファキャッシュは使用しない、 暗号化なしの場合を相対処理時間と1とする) • 暗号化なしの表 • TDE(表領域暗号化)に格納された表 + AES-NI をON • TDE(表領域暗号化）に格納された表 + AES-NIをOFF 復号：処理時間 1.19 1 暗号化なし 1.03 TDE(AES-NI) AES-NIなしの場合、 約20%程度の処理時間増が 認められたが、 AES-NIありの場合、 わずか3%まで短縮された TDE(AES-NIなし) Copyright© 2011, Oracle. All rights reserved. 47 OLTP処理における暗号化/復号性能 • JpetstoreのアプリケーションをOLTP処理のトランザクションと仮定し、 バッファキャッシュとディスクI/Oが同時に発生する一般的なアプリケーション (※キャッシュヒット率が高い)の場合、暗号化/復号処理がアプリケーションの 性能にどう影響するかを計測 • 検索：更新の割合=8:2 • 40 threadで実行 黄線(暗号化なし)と赤線 (AES-NI)がほぼ同じ曲線 つまり、同等の性能を 担保できているといえる 高 <= TPS => 低 低 <= 暗号化なし キャッシュヒット率 AES-NI有り => 高 AES-NIなし(従来型TDE) Copyright© 2011, Oracle. All rights reserved. 48 「Engineered System」 を具現化した Oracle Exalogic Elastic Cloud Exalogic ：SW/HWが融合（プリインテグレート）された環境 S/W • OS セットアップ、InfiniBand向け最適化 • ストレージ管理ソフト セットアップ • Java VM チューニング • WebLogic チューニング • Coherence チューニング • DB連携設計 ・・・等 サーバー H/W ネットワーク ストレージ ベスト・コンフィギュレーション + ベスト・プラクティス • 30台 サーバー セットアップ • 30台 サーバー、ZFSストレージの ネットワーク冗長化/最適化構成設計 • ZFS ストレージ セットアップ 統一のアーキテクチャで 運用可能 Copyright© 2011, Oracle. All rights reserved. 初期コスト・運用コストの 抑制 49 クラウドのために高密度集約に投資対効果の最大化 アプリケーション・コンソリデーション・プラットフォーム ネットワーク・トラフィックの最適化がもたらす、高密度プラットフォーム • コンソリデーション基盤 • 高速Javaプラットフォーム • あらゆるアプリケーション CRM CICS/ COBOL E20 Custom 3rd Party IDM • ミッション・クリティカル基盤へ • オープン・プラットフォーム • 多様なワークロードをサポート トランザクション、メッセージング、バッチ • アプリケーション、ネットワーク帯域の分離 Batch Jobs ERP WebLogicﾄﾞﾒｲﾝ、Infinibandﾊﾟｰﾃｨｼｮﾆﾝｸﾞ E20 Content Logs 3rd Party Custom SOA • 拡張性、可変性（Elastic） • HA/フォルト・トレラント Copyright© 2011, Oracle. All rights reserved. 50 Oracle Security Solution Webサイト >>> oracle.co.jp/security Copyright© 2011, Oracle. All rights reserved. 51 Appendix Copyright© 2011, Oracle. All rights reserved. 52 オラクルのセキュリティ・ソリューション ファイルレベルの保護 ファイルの持ち出しによる漏洩の防止 Oracle Information Rights Management Oracle Access Management – Oracle Access Manager アクセス制御 必要な権限だけを付与し、許された 範囲内での情報の閲覧・改変をさせる クライアント – Oracle Identity Federation – Oracle Adaptive Access Manager – Oracle Entitlements Server Oracle Information Rights Management Oracle Identity Management – Oracle Identity Manager ID情報の一元管理 ID管理のミスの防止 – Oracle Internet Directory – Oracle Virtual Directory – Oracle Role Manager 監査 Oracle Identity Management 情報漏洩・改竄の証拠を残す (アプリケーション/ コンテンツ・アクセス) 不正行為を心理的に抑止する 通信データの暗号化 (DBサーバーへの接続) 通信経路からの盗聴防止 AP サーバー Oracle Access Management Oracle Business Intelligence Oracle Universal Content Management Oracle Advanced Security Enterprise User Security アクセス制御 必要な権限だけを付与し、許された範囲内 での情報の閲覧・改変をさせる。 監査 情報漏洩・改竄の証拠を残す (データベース・アクセス) 不正行為を心理的に抑止する 格納データの暗号化 Virtual Private Database (VPD) Oracle Label Security DB サーバー 標準データベース監査機能、DBA監査 ファイングレイン監査、Audit Vault Oracle Business Intelligence Transparent Data Encryption (TDE) データベース管理者からも秘匿可能 データファイルが窃取された場合も有効 Oracle Database Vault 暗号化ツールキット ストレージ Copyright© 2011, Oracle. All rights reserved. Oracle Secure Backup 53 Oracle Databaseの監査機能 ①必須監査(オペレーティ ング・システム監査) ②DBA監査 ③標準監査 （任意監査） 対象となる Edition 全エディション 全エディション 全エディション 対象バージョン - 監査対象 ・インスタンス起動 ・インスタンス停止 ・管理者権限による データベース接続 ・データベース管理者としてログイ ンしたユーザーのデータベース操 作 ・データベースへの操作 （ログイン、 CREATE/ALTER/DROPなどのア クション、UPDATE、DELETEなど のオブジェクトへの操作） ・特定のデータ（列名、条件指定可 能）へのアクセス（SELECT） ・Oracle10gからはUPDATE、 DELETE、INSERTへも可能 監査証跡出力 先 ・OSファイル ・OSﾌｧｲﾙ / ｼｽﾃﾑﾋﾞｭｰｱ(Win) ・Syslog(10gR2～) ・XMLファイル(10gR2～) ・DBA_AUDIT_TRAILビュー ・OSﾌｧｲﾙ / ｼｽﾃﾑﾋﾞｭｰｱ(Win) ・Syslog(10gR2～) ・XMLファイル(10gR2～) ・DBA_FGA_AUDIT_TRAILビュー ・ユーザー定義表 ・メール送信も可能 取得可能な監 査証跡 ・OSによって生成された 監査レコード ・データベース監査証跡 レコード ・常に監査されるデータ ベース関連のアクション ・管理ユーザー（SYS）用 の監査レコード ・時刻 ・操作(SQL文全体) ・データベースユーザー名 /権限 ・OSユーザー名/端末 ・終了コード ・時刻 ・操作(SQL文の種類) ・データベースユーザー名/権限 ・OSユーザー名/端末 ・終了コード ・時刻 ・データベースユーザー ・OSユーザー名/端末 ・アクセスしたオブジェクト名 ・ファイングレイン監査ポリシー名 ・操作(SQL文全体) ・ユーザー定義アクション (オプション) Copyright© 2011, Oracle. All rights reserved. ④ファイングレイン監査 （任意監査） 54 ネットワークの暗号化 データベース・サーバーのすべての通信データを暗号化 クライアント～データベース間 アプリケーションサーバ～データベース間 データべース・リンクによるデータベース間のミラーリング プライマリ～スタンバイ・データベース間 Oracle ネイティブ暗号、SSLが利用可能 JDBC Thin/OCIクライアントにも対応 Copyright© 2011, Oracle. All rights reserved. 55 バックアップデータの暗号化 • 暗号化対象となるバックアップデータ • ダンプファイル (Data Pump) • ディスク (Recover Manager) • テープ • クラウド・ストレージ (Amazon S3) • 高速なバックアップ圧縮 • 暗号鍵管理の簡素化 Copyright© 2011, Oracle. All rights reserved. 56 Oracle Database Firewall • アプリケーションとデータベースの中間に位置し、ネットワーク上からSQL文を 収集・解析する。 • モニタリング：収集したSQL情報をログとして記録・管理・レポーティングを 行う（監査ツールの用途として使用） • ブロッキング：SQLを解析し、危険と判断されるものはブロックまたは 警告することで、内部不正・外部攻撃からデータベースを保護する Copyright© 2011, Oracle. All rights reserved. 57 Oracle Database Firewall ～ アーキテクチャ In-Line Blocking/ Monitoring Out-of-Band Monitoring Inbound SQL Traffic Management Management Server Server HA構成 Policy Analyzer • モニタリングのみの場合は、スイッチのSPAN Portを使用したOut of Band構成 • ブロッキングの場合は、アプリケーション - データベース間にIn-Lineに配置 • H/A構成のサポート • サポート対象のデータベース Oracle Database 8i～11g、SQL Server 2000・2005・2008、IBM DB2 for LUW 9.x、 Sybase ASE 、SQL Anywhere Copyright© 2011, Oracle. All rights reserved. 58 Oracle Database Firewall ～ Webコンソール ネットワーク・トラフィック の履歴 過去にどれくらい 怪しいSQLがあったか？ 不正なSQLとして ブロックしたことを警告 Copyright© 2011, Oracle. All rights reserved. 59 Oracle Database Firewall ～ SQLインジェクション例 SELECT null,null,null,null,null,prod_name FROM PRODUCTS WHERE 1=2 union select null,table_name,null,null,null,null from user_tables SQLインジェクションのSQLを5W1Hの 要素でモニタリング Copyright© 2011, Oracle. All rights reserved. 60 マスキングによるテストデータの保護 Data Masking 本番環境 テスト環境 データベース・インスタンスの コピー（クローニング）と データのマスキングを実施 ID NAME PHONE EMAIL ID NAME PHONE EMAIL 1 佐藤 浩 03-5412-2000 [email protected] 1 太田 智子 090-0000-6854 [email protected] 2 鈴木 浩一 090-8879-7601 [email protected] 2 松尾 裕子 000-1111-6555 [email protected] 3 高橋 誠 042-2346-1702 [email protected] 3 原誠 011-2222-6257 [email protected] 4 田中 浩二 011-5813-7302 [email protected] 4 金子 真由美 090-3333-5958 [email protected] 5 渡邉 隆 090-9280-1403 [email protected] 5 安藤 博 080-4444-2747 [email protected] ： ： ： ： ： ： ： ： クラウド環境にも必ず開発環境は存在する。 テスト用に実データを使う場合、マスクして情報を保護する必要がある。 Copyright© 2011, Oracle. All rights reserved. 61 ログ・履歴の管理とモニタリング Oracle Audit Vault 監視・警告 各テナント間でサービスやインフラを共有 しながら適切な履歴の管理・運用が必要 リスクの高い操作に 対して迅速に警告 監査ログの保全 Oracle Audit Vault ログの収集 Database Vault リスク リスク リスク サブシステム サブシステム リスク Oracle Partitioning サブシステム システム リスク 分析・レポーティング リスク リスク データベース・サーバー ユーザ別に管理： セキュリティ対策 内部統制監査用 管理者 管理者 Copyright© 2011, Oracle. All rights reserved. ストレージ 62 Oracle Adaptive Access Manager ～ なりすまし、フィッシング被害から情報を守る 多要素認証 認証 キーバッド ワンタイム パスワード リスクをスコア リスクベース認証 デバイス 位置 日時 アクティビティ 盗んだID・ パスワード 偽サイトに 誘導するE-mail 悪意を持ったユーザ 認証キーパッドや多要素認証による認証強化 携帯電話やメールを利用したワンタイムパスワードによる本人確認の強化 リスクのリアルタイム分析による不正行為の防止 Copyright© 2011, Oracle. All rights reserved. 63 Oracle Adaptive Access Manager ～キーロガー等の攻撃への対策 • Webアクセスに対する認証（本人確認）をより強固に • バーチャル認証デバイス • キーボード入力をしなくて済む • ユーザによるカスタマイズが可能 • 表示形式がランダムに変更される ログイン画面 認証キーパッド群 ユーザＩＤ パスワード 利用者 低 セキュリティ強度 強 インターネットバンキング （個人の資産情報） Oracle Adaptive Access Manager インターネット証券、金融商品 （個人の株式、保険） Copyright© 2011, Oracle. All rights reserved. 64 Oracle Adaptive Access Manager ～盗まれたIDを不正利用されないための仕組み • リアルタイム分析によって即座に不正アクセスをシャットアウト フィッシングメール 正規の利用者 ① IDを 盗まれる フィッシング 悪意をもった 犯罪者 デバイスのフィンガープリント ・Cookie ・デバイスのID番号 サイト ② 盗んだIDでアクセス 正規のユーザで あればアクセスを許可 ③ 分析した結果、アクセス拒否 処理フローのフィンガープリント ・URL、時間、パターン認識 アクション アクセス拒否 警告 オンライン システム アクセス許可 第二認証要求 Oracle Adaptive Access Manager によるリアルタイム分析 所在のフィンガープリント ・IPアドレス ・物理的/地理的な所在情報 収集 Copyright© 2011, Oracle. All rights reserved. 履歴データ ・ユーザ、デバイス、 所在、フロー履歴 65 Oracle IRM Oracle IRM はファイルを物理的に保護（シール）することで、 下記のことを可能にする製品です。 1 2 3 4 アクセス権の管理 ファイルがどこにあっても、権限を持つ人だけがファイルを開けます。 操作権の管理 ファイルを開いた人の権限に応じて印刷、編集、コピー、保存などの操作を制限します。 参照期間の管理 指定した時間が経過した後、または即時にファイルを開けないようにします。 操作履歴の管理 ファイルに対する操作を記録し、サーバー上で集約することで、利用者の活動状況を管理します。 Copyright© 2011, Oracle. All rights reserved. 66 Copyright© 2011, Oracle. All rights reserved. Copyright© 2011, Oracle. All rights reserved. 68