WAFとデータベース暗号化の役割

ペンタセキュリティシステムズ株式会社
代表取締役社長 桜田仁隆

January  22nd  ,  2014

IPA発表「2013年版  10大脅威タイトル	
第1位 クライアントソフトの脆弱性を突いた攻撃	

第2位 標的型諜報攻撃の脅威	
第3位 スマートデバイスを狙った悪意あるアプリの横行	
第4位 ウイルスを使った遠隔操作	
第5位 金銭窃取を目的としたウイルスの横行	
第6位 予期せぬ業務停止	

第7位 ウェブサイトを狙った攻撃	

第8位 パスワード流出の脅威	

第9位 内部犯行	
第10位 フィッシング詐欺	

身近に忍び寄る脅威」

説明	
クライアントソフトの脆弱性を悪用されることにより、ウイルスに感染したり、システム内の情報が窃取されるなどの被害の可能性があります。	
政府機関や宇宙航空産業への攻撃が報道され、機密として扱われている政府関連情報や特殊技術情報の流出が疑われています。	

ペンタの対応		◯	

個人情報を収集する手口がより巧妙化しています。		

ウイルスに感染したPCは、これまでもスパムの送信やDDoS攻撃のために悪用されてきました。	
2012年からは国内のインターネットバンキングでも同様の手口による被害が確認されだしています。	
システムのクラウド化が進む中、2012年は、レンタルサーバー企業において人為的ミスによる大規模障害が発生しました。	
ウェブサイトを狙った攻撃は、旧来から認識されている脅威ですが、残念ながら被害が後を絶ちません。ウェブサイト内の個人情報窃取や、ウェブサイトの改ざんによるウイルス配布など、組織や個人ユーザーに影響を及ぼす脅威です。	
オンラインサービスの増加に伴い、ユーザーが複数のパスワードを管理する必要が生じています。その結果、同一のID/パスワードを使い回すユーザーが多くなり、一つのウェブサイトでパスワードが漏えいすることで、複数のウェブサイトで成りすましの被害に遭ってしまいます。	
内部の人間による故意の情報漏えいや不正操作による被害が報告されています。	
フィッシング詐欺によってインターネットバンキングのパスワードを奪われると、知らないうちに口座から預金を引き出されてしまう恐れがあります。		

2		◎	◯	◯	◯	

75%ofのハッカーはWeb
ALL threats target t
he Web Application layer
アプリケーションを狙ている。	

WAPPLES  Introduction  &  the  Futu
3
reGartner
Gartner

93% 過去2年、	セキュア―ではない	Webアプリケーションを介して	ハッキングされていた。	
Ponemon Institute
WAPPLES  Introduction  &  the  Futu
4
re止まらないWeb改ざん！！

Webサーバの保護やデータベースの暗号化は非常に重要な防犯対策です。

情報セキュリティ

システムの各領域に適したソリューションにてセキュリティ対策を実現*** DLP(data  loss  preventionあるいはdata  leak  prevention)システムを導入し全ての侵入経路に対しモニタリングをすることは可能だが、この方法はとてもコストが高くつき運用が難しいた
め、システム上複雑な侵入経路がある場合管理から外れてしまい安全ではない状態で運用されることが多々ある  (Global  Data  Leakage  Report,  2009,  infowatch)
1. 重要なデータへの不正なアクセスや情報の露出のような脆弱性に対しての対策としては、OS、ネットワーク、アプリケーション、DBなど、各領域に適したセキュリティソリューションを実現することが必須
1) 加えて、アカウント管理、認証、権限管理などにわたり、全社的認識が要犯罪手口の確認
犯罪者	

Webサーバ	

利用社PC	

Data Base	

脆弱性スキャン	
脆弱性検出	
改ざん・インジェクション	DBインジェクション攻撃	
Drive by download	
情報漏洩	
情報入力	
情報漏洩	
ウイルス植付	DBアクセス	
情報漏洩	

  情報セキュリティの領域
Data  Privacy  &  Security  データベース層の保護  Web  Application  Firewall

アプリケーション層の保護

Secure  OS  &  Anti  Virus

システム・ＯＳ層の保護  Firewall,  VPN,  SSL

ネットワーク・レベルの保護

ネットワーク・レベルやシステムOSに偏った                情報セキュリティ対策の現状

シグネチャ型WAFの限界••

シグネチャに無いもの条件は検出出来ない•シグネチャが比較検知方式である性質上、ホワイトでもブラックでも、リストに無いものには対応出来ない。

•非存在であるため不可知

パフォーマンスの経年劣化•••

シグネチャ型のWAFはパケット単位でデータを参照するため、仕組み上シグネチャの増加とともに、参照回数が増加しデータベースの成長と反比例して、パフォーマンスは劣化致します。

誤検知のリスク•

シグネチャでは1ビットのズレが誤検知を引き起こすため、非シグネチャ型と比べ、どうしても誤検知率は高くなります。

•

検知率を高めるためには、より詳細なシグネチャが必要となり、パフォーマンス劣化へと、悪循環へと入っていきます。

仮想環境への負担•

WAFをクラウドサービス等に実装した際には、ユーザトラフィックだけでなく、シグネチャの増加するために、同等のパフォーマンスを担保するため、プラットフォーム要件を改善する必要があります。必然的にコストが増えてまいります。

10ペンタセキュリティだけが出来ること•シグネチャに依存しない次世代のWAF•

超高速転送処理•低いリソーススペック•

シグネチャの管理不要•

高い検出力と低い誤検知•

データ漏洩を最後の線で守る•

データベースの暗号化

•

認証管理

•

ログ収集

11

暗号化ソリューション種類
ユーザ認証暗号化  /  区間暗号化  /  ファイル暗号化  /  DB暗号化
サーバ

クライアントアプリケーション
サーバ

データベース

暗号化種類
クライアント
認証暗号化

クライアント
認証暗号化

転送区間暗号化

転送区間暗号化

区間暗号化

ファイル暗号化

ファイル暗号化

ファイル暗号化

クライアント
認証暗号化

機密情報
暗号化

暗号化キー管理(格納およびアクセスコントロール)

暗号化キー管理(格納およびアクセスコントロール)

アクセスコントロール

暗号化キー管理(格納およびアクセスコントロール)

ユーザ認証暗号化

DB暗号化

キー管理

暗号化ソリューションの選定
暗号化ソリューションの重要な選定は暗号化機能に加え、アクセス制御や監査そしてキーの管理が重要となります。
Data

暗号化

アクセス制御Key

キー管理

暗号化、アクセスコントロール、監査、キー管理のトータルソリューション

監査
セキュリティ
ソリューション

DB暗号化

DB暗号化製品の選定
暗号化ソリューションの選定にはセキュリティ(堅牢性)やパフォーマンス(利便性)、機能性(柔軟性)が重要な要素となります。
1. DB暗号化ソリューションの導入は、本来の機能であるセキュリティ機能だけでなく、導入前後のパフォーマンス劣化、その他管理者のため機能等を全て加味して判断されます。
→DAmoはデータベースのトータルセキュリティソリューションです。

セキュリティ

パフォーマンス機能性(堅牢性)

（利便性)

(柔軟性)

DBMS暗号化ソリューション

ペンタセキュリティの優位性
q エンジンレベルの暗号化ソリューション
セキュリティ

パフォーマンス

機能性l DB管理者(DBA)とセキュリティ管理者の権限分離l 暗号化カラムに対しDBアカウントおよびIPごとのアクセスコン
トロールl ログの偽造および改ざんの防止機能l 暗号化カラムに対し監査機能l 重要データに対し「選択的」カラム単位の暗号化
l 暗号化データに対し順次維持およびインデックス検索対応

l
l
l
l
l

アプリケーションに対しての独立性
重要データに対し「選択的」カラム単位の暗号化
暗号化データに対し順次維持およびインデックス検索対応
アプリケーションに対しての独立性  認証情報(パスワードなど)の暗号化のためのハッシュ対応

護らなければいめないのは	t    h    a    n    k       y    o    uCopyright  (C)  2006-2013  Penta  Security  Systems  K.K,  All  Rights  Reserved.

Penta  Security  Systems  K.K.  
Ascend  Akasaka  Bldg.  3F,  3-2-8  Akasaka,  Minato-Ku,  Tokyo  107-0052  Japan  Tel.  81-3-5573-8191    Fax.  81-3-5573-8193  /  www.pentasecurity.co.jp