Oracle Database Security
Assessment Tool ご紹介
日本オラクル株式会社

Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

データベースセキュリティ情報の紹介
今さら？今こそ！データベースセキュリティ

データベースセキュリティナビ

http://www.atmarkit.co.jp/ait/series/6445/

https://blogs.oracle.com/sec/

Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

2以下の事項は、弊社の一般的な製品の方向性に関する概要を説明するものです。また、情報提供を唯一の目的とするものであり、いかなる契約にも組み込むことはできません。
以下の事項は、マテリアルやコード、機能を提供することをコミットメント（確約）するものではないため、購買決定を行う際の判断材料になさらないで下さい。
オラクル製品に関して記載されている機能の開発、リリースおよび時期については、弊社の裁量により決定されます。

Oracleは、米国オラクル・コーポレーション及びその子会社、関連会社の米国及びその他の国における登録商標または商標です。
他社名又は製品名は、それぞれ各社の商標である場合があります。

Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

3データベース管理者の悩み情報漏えい事件はなくならないし、法律やコンプライアンス要件もいろいろあるけれども。。
データベースは安全に構成されている？
重要なデータはどこにある？
重要なデータに誰がアクセスできる？
どんなセキュリティ設定やポリシーがある？
データベースセキュリティ担当者はいる？
何がセキュリティホールか知っている？
まずやらなきゃいけないことは何？
どんなスキルが必要？

Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

4

そこで

Oracle Database Security
Assessment Tool

2018年1月 Version 2.0.1 公開

Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

5Oracle Database Security Assessment Tool (DBSAT)
攻撃者より先にデータベースのセキュリティ状況を知る
データベースは安全に構成されている？

• データベースが安全(でない)ことを見える化– セキュリティ状況概要レポート– ユーザー、権限付与状況、リスクを理解– 重要なデータをリスト化• すぐに使えるアセスメントレポート– 概要および詳細情報– 優先順位付けられた推奨事項– EU GDPRやCIS Benchmark(*)とのマッピング DBSAT2.0
新機能• すぐに簡単に実行できる独立型のツール• すべてのオラクルユーザーが無料で利用可能重要なデータが格納されている？

どんなユーザーにどんな権限が？

(*) CIS(Center for Internet Security)が作成した
安全なOracle Database構成のベストプラクティス

Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

6

DBSATの確認項目
1. セキュリティ構成状況• データの暗号化• 監査ポリシー• ファイングレインアクセスコントロール• データベースとリスナーの構成• OSファイルパーミッション• セキュリティパッチ

2. ユーザーと権限• ユーザーアカウント、権限、ロール

3. 重要なデータ• 種類、場所、数

Oracle Databases 10g以降に対応

DBSAT2.0
新機能

データディクショナリへの検索とOSファイル、パッチ確認のみでユーザーデータへのアクセスはありません
Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

7

アセスメントレポート
セキュリティ構成状況、ユーザーと権限付与状況など

HTML

DBSAT
Collector
実行

DBSAT
Reporter
実行

レポート確認

Excel

Text

出力されるレポートは英語ですが、日本オラクルで日本語化サービスを提供します
Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

8調査結果例発見したリスクのレベル
調査結果のカテゴリDBSAT2.0
新機能対応する規制調査結果の
詳細調査結果の根拠と推奨事項
規制とのマッピング

DBSAT2.0
新機能

Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

9

Use Case: データベースは安全に構成されているか？
優先付けられた調査結果のサマリー

Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

10

Use Case: ユーザーと権限付与状況の確認
DBAロールを付与されているのは誰か？

間接的な権限付与

Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

PUKUユーザーはMYDBAロール経由でDBAロールが付与されている

11

お客様の声• ベンダーに聞いても「大丈夫です」としか言われていなかったが、対策状況が可視化できた事が非常によかった• 境界防御に偏った対策をしていて、データベースでの対策ができていない事がよく分かった• 設定ミスで強力な権限を与えたまま残っていたアカウントが発見できた• 製品を買わなくても設定で直せる点も多いのは非常によい• データベースでのセキュリティ対策を今後進めていきたい

Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

12

DBSAT2.0
新機能

Use Case: 重要なデータのリスト化
どのようなデータがどこにどれくらいあるのか？
調整

パラメータの確認と編集
データベース接続
重要情報のカテゴリ
リスクレベル
除外リスト

重要データフォーマット
パターンの確認と編集

DBSAT
Discoverer
実行

レポート確認

事前定義フォーマット
重要データに関する列名やコメントを追加[BIRTHDATE]COL_NAME_PATTERN = DOB|BIRTH.*DATE|DATE.*BIRTH
COL_COMMENT_PATTERN = ¥bDOB¥b|Birth.*Date|Date.*Birth
SENSITIVE_CATEGORY = PII-Linked - Birth Details

Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

13

DBSAT2.0
新機能

Report: どのような重要なデータをどのくらい持っているか
重要データの概況サマリー

表のサマリー* 重要データか格納されている表の(重複しない)数** 重要データが格納されている列の(重複しない)数

重要なデータが格納された列の詳細

Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

14

いますぐダウンロード 可能
http://www.oracle.com/technetwork/database/security/dbsat/
もしくはDBSAT

で検索

日本語ページ作成中
Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

15データベース・セキュリティ・アセスメント・サービス
スクリプトとヒアリングをもとにリスクを可視化し、推奨する対策と優先順位をご提案
1

対象システムを選定し、スクリプトとヒアリングで、現在の状況を確認

2

発見したリスクをリストし、可視化

1 現在の状況をスクリプトとヒアリングで確認• ロールや特権の設定状況• 暗号化、アクセス制御状況• DBの初期パラメータの設定• アカウントの設定・運用状況• 監査の設定状況• ネットワーク構成 スクリプト

3

対策実施の優先順位のご提案

3

リスクの大きさと対策実施のコストから実施優先順位をご提案

4 優先対策事項のご提案

2 発見したリスクの一覧

ヒアリング

4 優先対策事項のご提案と推奨対策実施による効果の可視化

Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

16

Copyright © 2018, Oracle and/or its affiliates. All rights reserved.

17