PCI DSS準拠のためのデータベースアクセス管理の要点※ 当日の講演内容と、同一にならない場合がございますので、あらかじめご了承下さい

NHN JAPAN株式会社
Aegis Wall事業部

NHN JAPANグループについてグループとホスティングサービスを守るノウハウをお客様へ
自社SOC/SIRTにより1,400件の攻撃に対応

月間

モバイルコミック事業

PCオンラインゲーム事業

 物理サーバ5,000台
 仮想サーバ2,000台

3,000社以上のお客様に構築/運用/監視 サーバ12,000台

1

Copyright © NHN JAPAN Corp.

スマホゲーム事業

ホスティング事業

本日のアジェンダ

1. 情報資産を守るために
2. 特権ID管理の重要性
3. PCI DSS準拠のポイント(技術的対策)
4. Aegis Wallのご紹介

2

Copyright © NHN JAPAN Corp.

1. 情報資産を守るために
 サイバー攻撃の大半はオリジナルで日々進化を続けている パターンマッチングやふるまい検知で防げるのはブラックマーケットで販売された中古品の攻撃パターンのみ

DDoS攻撃標的型攻撃Norse社 IPViling Live http://map.norsecorp.com/
3

Copyright © NHN JAPAN Corp.

IoT機器の悪用1. 情報資産を守るために

偵察

侵入

調査

実行

侵入経路を探す

内部に侵入する情報資産に接近

資産の窃取/破壊

攻撃手段がどんなに進化しても、｢偵察｣→｢侵入｣→｢調査｣→｢実行｣という攻撃の手順(サイバーキルチェーン)は変わらない
4

Copyright © NHN JAPAN Corp.

1. 情報資産を守るために

偵察

侵入完全には止められない
侵入経路を探す

内部に侵入する

調査実行

ここを止める
情報資産に接近

資産の窃取/破壊

攻撃手段がどんなに進化しても、｢偵察｣→｢侵入｣→｢調査｣→｢実行｣という攻撃の手順(サイバーキルチェーン)は変わらない
5

Copyright © NHN JAPAN Corp.

1. 情報資産を守るために目的達成のために通るポイントはいつも1つ
内部不正特権ID &パスワード

サイバー攻撃高度化

ゴールデンチケット攻撃
管理者アカウント乗っ取り

低コスト

6

Copyright © NHN JAPAN Corp.

情報資産

2. 特権ID管理の重要性

特権IDとはシステムの維持･管理のために利用するID
起動/停止、設定変更などあらゆる操作が可能な権限• Unix/Linux：root• Windows：administrator• DBMS：sys, saなど

7

Copyright © NHN JAPAN Corp.

2. 特権ID管理の重要性

実態その1：担当者の異動・退職後も利用可能
特権IDはサーバー数に比例して存在するので、管理が不十分になる リモート接続可能 ID/PWを知っている8

Copyright © NHN JAPAN Corp.

2. 特権ID管理の重要性

実態その2：デフォルトのIDとパスワードを使用
機器によってはハードコードされている場合も…

ID: admin
PW: admin

ID: root
PW: default…etc

内部からしかアクセスできないので…と保留

9Copyright © NHN JAPAN Corp.

侵入さえできれば簡単にログイン

各種機器のデフォルトパスワードまとめサイト
http://www.defaultpassword.com/

2. 特権ID管理の重要性

実態その3：共通のIDとパスワードを使用

システム管理者
外部委託業者システム開発者

サーバーエンジニア

誰が操作しているか分からない
特にDBの特権IDは権限のスイッチができないため、個人識別が難しい

10

Copyright © NHN JAPAN Corp.

3. PCI DSS準拠のポイント(技術的対策)
アクセス管理の要件
カード会員データへのアクセスを業務上の必要範囲要件7内に制限すること
要件8

要件9

コンピュータにアクセスする利用者ごとに個別のIDを割り当てること
カード会員データへの物理アクセスを制限する

ネットワーク監視の要件
ネットワーク資源およびカード会員データに対する要件10
すべてのアクセスを追跡し、監視すること

11

Copyright © NHN JAPAN Corp.

3. PCI DSS準拠のポイント(技術的対策)①個人認証
 識別/認証の強化
要件8に対応②アクセス制御③ログ記録

 権限の最小化

 不審な操作の検知

要件7に対応12

Copyright © NHN JAPAN Corp.

要件10に対応

3. PCI DSS準拠のポイント(技術的対策)①個人認証 (要件8) 識別/認証の強化• 多要素/多段階の認証• ユーザー個人を一意のIDで識別• パスワード設定/変更の管理

13

Copyright © NHN JAPAN Corp.

3. PCI DSS準拠のポイント(技術的対策)①個人認証 (要件8) 識別/認証の強化• 多要素/多段階の認証• ユーザー個人を一意のIDで識別• パスワード設定/変更の管理
ワンタイムパスワード

生体認証

端末/入室による管理

複数の認証を組み合わせることで権限窃取のリスクを軽減
CDE(カード会員データ環境)へのアクセス時は必須要件に
14

Copyright © NHN JAPAN Corp.

3. PCI DSS準拠のポイント(技術的対策)①個人認証 (要件8) 識別/認証の強化• 多要素/多段階の認証• ユーザー個人を一意のIDで識別• パスワード設定/変更の管理
ユーザー

taro

masakoIDrootIPアドレス

プロトコル

アプリ

アクセス権

192.168.137.1 SSH

Tera Term○103.5.142.1

Tera Term×

SSH

sys

192.168.137.1 DBMS

SQL Plus×

root

192.168.137.1 SSH

Putty

×

sys

192.168.137.1 DBMS

SQL Plus○

OSでは個人ユーザーを作成して特権IDにスイッチさせる運用が可能だが、DBでは権限のスイッチができず、共有ID使用が避けられない場合がある

AD認証などと連携し、個人を一意に識別した形で管理する
15

Copyright © NHN JAPAN Corp.

3. PCI DSS準拠のポイント(技術的対策)①個人認証 (要件8) 識別/認証の強化• 多要素/多段階の認証• ユーザー個人を一意のIDで識別• パスワード設定/変更の管理• パスワードの複雑性(7文字以上、数字/英字の両方を含む)• これまでに使用した最後の4つのパスワード/フレーズと同じものを使用しない• 初回使用後にパスワードをリセットする• 90日に1回はパスワードを変更する• 6回以上のパスワード失敗でアカウントをロックする• リモートアクセスは使用期限を設定する
16

Copyright © NHN JAPAN Corp.

3. PCI DSS準拠のポイント(技術的対策)②アクセス制御 (要件7) 権限の最小化• 個人の職務範囲に基づくアクセス権付与• 文書化された申請/承認による利用制限• デフォルトは「すべてを拒否」

17

Copyright © NHN JAPAN Corp.

3. PCI DSS準拠のポイント(技術的対策)②アクセス制御 (要件7) 権限の最小化• 個人の職務範囲に基づくアクセス権付与• 文書化された申請/承認による利用制限• デフォルトは「すべてを拒否」
ユーザー

サーバー

インフラ担当者 Webサーバー
DBサーバー
DBA

DBサーバー

プロトコル

アクセス権

SSH

○

SSH

○

DBMS

×

SSH

×

DBMS

○

インフラ担当者はサーバーのメンテナンスのみ、DBAはDBの管理のみ

個人の職務範囲を定義し、それに応じた権限を付与
18

Copyright © NHN JAPAN Corp.

3. PCI DSS準拠のポイント(技術的対策)②アクセス制御 (要件7) 権限の最小化• 個人の職務範囲に基づくアクセス権付与• 文書化された申請/承認による利用制限• デフォルトは「すべてを拒否」
ユーザー

ID

サーバー

プロトコル

作業日時

taro

root

WEBサーバーSSH

2018/03/30 09:00-12:00

masakosys

DBサーバーDBMS

2018/03/31 17:00-19:00

申請

承認

無制限の利用を禁止することで権限悪用のリスクを軽減
19

Copyright © NHN JAPAN Corp.

3. PCI DSS準拠のポイント(技術的対策)②アクセス制御 (要件7) 権限の最小化• 個人の職務範囲に基づくアクセス権付与• 文書化された申請/承認による利用制限• デフォルトは「すべてを拒否」

職務や必要に応じた許可のないアクセスをすべて禁止
20

Copyright © NHN JAPAN Corp.

3. PCI DSS準拠のポイント(技術的対策)③ログ記録 (要件10)
 不審な操作の検知• 個人を特定した形でアクセス/操作内容を正確に記録• 申請→承認を経た正当な業務と識別• 監査ログへのアクセスの記録と保護誰がどこへ

いつ何をどうしたどこから21

Copyright © NHN JAPAN Corp.

3. PCI DSS準拠のポイント(技術的対策)③ログ記録 (要件10)
 不審な操作の検知• 個人を特定した形でアクセス/操作内容を正確に記録• 申請→承認を経た正当な業務と識別• 監査ログへのアクセスの記録と保護誰が個人の特定(特権を含む)

どこへ

時刻の同期

どこから何を
22

Copyright © NHN JAPAN Corp.

いつどうした3. PCI DSS準拠のポイント(技術的対策)③ログ記録 (要件10)
 不審な操作の検知• 個人を特定した形でアクセス/操作内容を正確に記録• 申請→承認を経た正当な業務と識別• 監査ログへのアクセスの記録と保護作業と承認完了のログを突合して、業務の正当性を証明
23

Copyright © NHN JAPAN Corp.

3. PCI DSS準拠のポイント(技術的対策)③ログ記録 (要件10)
 不審な操作の検知• 個人を特定した形でアクセス/操作内容を正確に記録• 申請→承認を経た正当な業務と識別• 監査ログへのアクセスの記録と保護• 監査ログへのアクセス権限の管理• 監査ログへのアクセス/操作の記録• ログファイルの保護• ログファイルの安全なバックアップ• ログファイルの整合性の監視

監査ログ変更による不正アクセスの証拠隠滅を防ぐ
24

Copyright © NHN JAPAN Corp.

4. Aegis Wallのご紹介

NHNテコラスからのご提案

25

Copyright © NHN JAPAN Corp.

4. Aegis Wallのご紹介

Aegis Wallの設計思想
ソフトウェア制御によるゲートウェイ構成により、監視対象サーバーへの負荷ゼロで、厳密な個人認証に基づくDB/サーバーOSのアクセス管理/ログ記録が可能
管理対象ユーザー

監視対象サーバー(OS/DB)

NODEWALL Agent(サーバーエージェント)

PC Assist (クライアントエージェント)または Web GUI

個人認証

管理サーバー

ADと連携可能★共用せざるをえないDBのID(特権ID, アプリ用IDなど)でも可能

Aegis Wall Server

アクセス管理とログ記録
行き/戻り両方の通信を監視
26

Copyright © NHN JAPAN Corp.

迂回アクセス遮断とローカル接続記録

4. Aegis Wallのご紹介

Aegis Wallが提供するソリューション
ログ記録

Log Auditor
6. Aegis Wallのご紹介

1. 操作端末の認証情報から個人を一意のIDで特定
2. いつ/誰が/何をしたか、正確で分かりやすいログ
3. リモートアクセスのGUI操作を動画で記録
4. 多種/大量のサーバーのログを一元管理

アクセス管理 Access Controller
1. コマンドの種類やテーブルなど細かな制御
2. OTP(ワンタイムパスワード)による二段階認証
3. 重要データのマスキング
4. 申請/承認ワークフローによる制御
27

Copyright © NHN JAPAN Corp.

4. Aegis Wallのご紹介

機能デモ動画28

Copyright © NHN JAPAN Corp.

4. Aegis Wallのご紹介
国内

海外

2015年3月～ 国内で10社以上に導入
NHN Japanグループ

インターネット

1,000人以上

監査（ITGC）対応

霧島酒造

製造

500人以上内部統制（委託業者管理）

国境なき医師団

NPO

100人以下

情報漏えい対策（非公開）

インターネット

1,000人以上

内部統制（J-SOX対応）

（非公開）

信用金庫

1,000人以上

内部統制（金融庁検査対応）

（非公開）

地方銀行

1,000人以上

PCI DSS対応

（非公開）

製造

1,000人以上

内部統制（J-SOX対応）

（非公開）

アパレル

1,000人以上

内部統制（J-SOX対応）（非公開）

ASP事業者

100人以下ユーザーの内部統制対応

（非公開）

旅行代理店

500人以下PCI DSS対応（非公開）

インターネット

500人以下内部統制（委託業者管理）

（非公開）

人材派遣

1,000人以上

内部統制

（非公開）

データセンター100人以下監査（SOC2)対応（非公開）

地方公共団体1,000人以上

内部統制

2004年～ 韓国の1,000以上の企業・政府機関で導入
政府・自治体

製造

金融

情報・通信

小売

ソウル特別市

現代自動車

釜山銀行

三星SDI

イーマート

国家情報院

ルノー三星自動車

農協銀行

郵政事業情報センター

現代デパート

金融決済院

ロッテ製菓

メットライフ生命

新世界I&C

GSリテール

国税庁

LG

ハナSKカード

防衛事業庁
29

Copyright © NHN JAPAN Corp.

ウリ投資証券

ピザハット

内部統制の強化（信用金庫）
導入目的

金融庁検査に備えて、DBとWindowsサーバの個人を識別したログを記録するためアクセス権の申請・承認業務のシステム化

環境・構成

Windowsサーバ＋DB監視
Gatewayで特権ユーザーの操作内容、NODEWALLで一般ユーザーのアクセスを監視

選定ポイントRDP接続の動画ログを記録できる他社製品と比べて安価ワークフローを含めたアクセス制御とコマンド制御まで1製品だけでカバー
社内ネットワーク
Aegis WallManager

ポリシー設定とログの管理・監視

セキュリティ管理者

AegisWall
Gateway

開発担当者
PC Assist

SSH接続

SSH/RDPのアクセスログを記録

ワークフローで申請/許可された操作のみに制限

APサーバと迂回アクセスのログを記録
NODEWALL AgentRDP接続
NODEWALL Agent

DB

外部委託業者WEB

30

Copyright © NHN JAPAN Corp.

FTP

PDC

File Server

AP

一般ユーザー

大規模システムの監視（NHN Japan グループ）
IT全般統制に対応するため、内部の証跡記録を行う

導入目的

Linux/Windows合わせて3,000台のサーバーを監視
Gatewayで特権ユーザー操作、NodewallでLinux/Windowsサーバーへのアクセスを監視

環境・構成
選定ポイント

アクセスログ管理ポイントの一元化による監査対応の効率化
AegisWall
Gateway

PC Assist

システム管理者

社内ネットワーク

特権ユーザーの個人認証とログ、アクセス制御
NODEWALL
Agent

Linuxユーザーの操作ログ

DBエンジニアLinux
DB ･Oracle･MySQL

Kerberos
NODEWALL
Agent

Windows
ユーザーの動画ログ

サーバエンジニア
RD Gateway

31

Copyright © NHN JAPAN Corp.

委託業者の管理（霧島酒造）
内部統制強化の一環で、外部委託業者からのリモートアクセスを監視するため

導入目的

環境・構成

DB監視
Gatewayで特権ユーザーの操作内容を監視

選定ポイント

安価でテキストログ/動画の記録、レポート作成までカバー可能
複数事業者からの作業申請・承認の管理にワークフロー機能が有用
社内ネットワークWebサーバー

NODEWALL
Agent

DB管理者

RDPの動画と迂回アクセスのログを記録

PC Assist
外部委託業者

DB接続

PC Assist

VPN
AegisWall
Gateway
PC Assist

32

Copyright © NHN JAPAN Corp.

RDP接続
VPN

不正操作の検知（国境なき医師団）
導入目的

委託元から要求されたセキュリティ要件を満たすため（アクセスログの記録）

環境・構成

アプリケーションサーバ＋DB監視
DBへの直接アクセス、およびWEBサーバ⇔DB間の通信をSniffing構成で監視選定ポイント

DBへの操作内容に基づいたアラート発信が可能
ホスティングサービスのサポート体制への満足度
社内ネットワーク

アラート発信条件のポリシー設定とログの管理・監視

外部委託業者
PC Assist

Aegis WallManager
セキュリティ管理者

DB
ミラーポートでパケットを取得
アラートの発信外部オフィスおよびコールセンター

33

Copyright © NHN JAPAN Corp.

アプリサーバーAegisWall
Sniffing
DBへのアクセスと操作内容を記録

お問い合わせ窓口

NHN JAPAN株式会社
Aegis Wall事業部
TEL：03-6263-1830
03-6263-1830
MAIL：dl_aegiswall@nhn-japan.com※全て税抜き価格となります。

https://aegis-wall.com
イージスウォール

34

Copyright © NHN JAPAN Corp.

検索