この章は、次の項目を含みます。
このマニュアルの最新バージョンは、Oracle Technology NetworkのデータベースのセクションにあるOracle Database Firewall Webサイトからダウンロードできます。URLは次のとおりです。
http://www.oracle.com/technetwork/indexes/documentation/index.html
Oracle Database Firewallは、SQLデータベースのデータを保護および監視するシステムです。これは、試行された攻撃のブロックと警告の表示、アクティビティの記録、脆弱性を評価するインテリジェント・ツールの提供を行います。
インストールするコンポーネントは、次のとおりです。
1つ以上のDatabase Firewall。各Database Firewallは次のタスクを実行します。
1つ以上のOracle、Microsoft SQL Server、Sybase Adaptive Server Enterprise(ASE)、Sybase SQL AnywhereおよびIBM DB2 LUWのデータベースからのSQLトランザクション・リクエストおよびレスポンスのリアルタイム記録および分析の処理
SQLトランザクションのカテゴリ化
ポリシーに指定された特定のSQL文をブロックする機能を持つデータ・ポリシーの強制
リアルタイム・アラートおよびイベント伝播の有効化
SQLトラフィック・ログ・データをOracle Database Firewall Management Serverに送信してローカルで削除
Oracle Linuxを使用するIntel x86サーバーに、各Database Firewallをインストールします。このLinuxサーバーは、Database Firewall用に排他的に使用されます。『Oracle Database Firewall管理ガイド』では、スタンドアロンのDatabase Firewallの管理方法について説明します。
1つ以上のOracle Database Firewall Management Server。Management Serverは次のタスクを実行します。
1つ以上のDatabase FirewallのSQLデータを集計
このSQLデータを記述するビジネス・レポート用のレポート・プラットフォームとして機能
データ制御ポリシーの配布を一元化しながら、かつ特定のデータベース用に異なるポリシーの使用を有効化
ログ・ファイルのアーカイブおよびリストアなど、ログ・ファイルの格納と管理
接続されたすべてのDatabase Firewallのリモート管理
HP ArcSight SIEMなどのサード・パーティ・アプリケーションと統合
Oracle Linuxを使用するIntel x86サーバーに、各Management Serverをインストールします。このLinuxサーバーは、Management Server用に排他的に使用されます。『Oracle Database Firewall管理ガイド』では、Oracle Database Firewall Management Serverの管理方法について説明します。
1つ以上のOracle Database Firewall Analyzer。Analyzerは、Database Firewallによって作成されたログを読み取り、データベース用にSQL文をブロック、アラート作成、記録または許可するために使用するポリシーを作成または更新します。『Oracle Database Firewallセキュリティ・ガイド』では、Analyzerの使用方法について説明します。AnalyzerはMicrosoft Windowsクライアント・コンピュータにインストールします。
これらのコンポーネントをインストールした後、監視するデータベースを追加し、データベースごとにリモートまたはローカルの監視を構成する必要があります。『Oracle Database Firewall管理ガイド』では、Oracle Database Firewallをデータベースに接続するように構成する方法を説明します。これらのデータベースでサポートされているデータベース・プラットフォームのリストについては、「サポートされているデータベース・バージョン」を参照してください。
図1-1は、Oracle Database Firewallをインストールおよび構成した後のシステムのアーキテクチャを示しています。この図は、2つのDatabase Firewallの高可用性構成を示しています。「デプロイメント・シナリオ」では、高可用性構成を含むその他の考えられるデプロイメントについて説明しています。この図は、保護されたデータベースからSQLトラフィックを直接送信できる、リモートおよびローカルのモニター構成も示しています。リモート・モニターまたはローカル・モニターを使用しているデータベースは、Database Firewallに直接接続します。Database Firewallは、ローカル・モニターを使用し、データベースに接続してデータを取得します。リモート・モニターは、データベース・ホストからDatabase Firewallへデータを送信します。
Oracle Database Firewallをインストールする一般的な手順は、次のとおりです。
サイトのニーズに最も適したネットワーク・シナリオを計画します。
「Oracle Database Firewallのインストールの計画」および「デプロイメント・シナリオ」を参照してください。
システムがこのガイドで説明している要件を満たしていることを確認します。
第2章「Oracle Database Firewallのインストール前の要件」を参照してください。
Oracle Database FirewallおよびOracle Database Firewall Management Serverをインストールします。
このプロセスの一部として、管理者パスワードを変更します。
「Database FirewallおよびDatabase Firewall Management Serverのインストール」を参照してください。
Analyzerをインストールします。
「Analyzerのインストール」を参照してください。
インストールの完了後、Database Firewall管理者は、保護されているデータベースのSQLデータを監視するようOracle Database Firewallを構成する必要があります。『Oracle Database Firewall管理ガイド』を参照してください。
Oracle Database Firewallソフトウェアを定期的に更新することが必要な場合があります。第4章「Oracle Database Firewallソフトウェアの更新」で手順を説明しています。
Oracle Database Firewallが保護されているデータベースへのすべてのネットワーク・トラフィックを監視することは非常に重要です。これは一般的に、各Database Firewallが、データベースに近いネットワーク内のポイントに接続する必要があることを意味します。この方法には、Oracle Database Firewallにおけるデータベース以外のトラフィックの処理が少なくなるという別の利点があります。
あるいは、Oracle Database Firewallをクライアント・アプリケーションの後方、またはネットワーク内の戦略的なポイントに配置するという方法もあります。ただし、いずれの場合も、データベース・ネットワーク・トラフィックがOracle Database Firewallシステムをバイパスしないようにする必要があります。
文ブロックを使用していない場合、ネットワーク・トラフィックをOracle Database Firewallポートに送るために、スパニング・ポートを使用する必要があります。スパニング・ポートにより、ネットワーク・パフォーマンスに影響しない文スキャンが可能になります。Oracle Database Firewallコンポーネントは、標準ギガビット・イーサネット・ネットワーク・アダプタを使用して接続します。
文ブロックが必要な場合(DPEモード)、監視対象のデータベースとデータベース・クライアントおよびアプリケーションの間にOracle Database Firewallを配置する必要があります。Database FirewallブリッジIPアドレスを、データベースと同じサブネット上に存在させる必要もあります。万が一Oracle Database Firewallに障害が発生した場合、適切なネットワーク・ハードウェアがあれば、すべてのネットワーク・トラフィックがそれを通過し、サービスの継続性が保たれます。
注意: Oracle Database Firewallでは、デプロイを容易にするために、データベース・サーバーまたは他のネットワーク・デバイスのIPアドレスの変更を必要としません。 |
参照: ローカル監視の構成など、構成の詳細は、『Oracle Database Firewall管理ガイド』を参照してください。 |
Database FirewallおよびDatabase Firewall Management Serverを1つのサーバーにインストールします。最も単純なこのシナリオでは、Oracle Linux環境を使用する1つのサーバーにDatabase Firewallをインストールします。次に、Microsoft Windowsクライアント・コンピュータにAnalyzerをインストールします。
1つ以上のDatabase Firewallをそれぞれ独立したサーバーに、また1つのDatabase Firewall Management Serverを1つのサーバーにインストールします。このシナリオでは、Database Firewallを独立したサーバーにインストールします。これらの各サーバーは、集中管理された1つのDatabase Firewall Management Serverと通信します。そして今度は保護された各データベースがDatabase Firewallに接続します。サイトで必要な数のDatabase Firewallをインストールできます。
高可用性のために1つ以上のDatabase FirewallおよびDatabase Firewall Management Serverを構成します。このシナリオでは、高可用性のためにサーバーを追加し、前のシナリオを基礎とすることができます。たとえば、最初のDatabase Firewall Management Serverに対して追加のManagement Serverを1つ構成し、既存のDatabase Firewallごとに追加のDatabase Firewallを構成できます。一方はプライマリ・デバイスとして使用され、もう一方はセカンダリ・デバイスとして指定されます。プライマリ・サーバーは監視および通常の操作をすべて実行しますが、セカンダリ・サーバーはネットワーク・トラフィックの監視のみを実行します。セカンダリ・サーバーは、プライマリ・サーバーで障害が発生した場合にのみ警告します。
レジリエント・ペアとして使用するManagement Serverを最大2つまでシステムにインストールできます。
ローカル・モニターを構成します。ネットワークを通過しないデータベース・サーバーへの直接接続からSQLデータを監視する場合、保護されたデータベースにローカル監視ソフトウェアをインストールできます。その後、このデータベースをDatabase Firewallと直接通信するように構成しますが、Database Firewallではデータベースからデータを取得してSQLデータをManagement Serverに送信します。ローカル監視ではSQL文がブロックされないので注意してください。ローカルの監視の詳細は、『Oracle Database Firewall管理ガイド』を参照してください。
リモート・モニターを構成します。分散環境に多くの小規模データベースがあり、Oracle Database Firewallによって、これらの小規模データベースをすべて一元管理する必要がある場合、そのDatabase Firewallに送信されるすべてのデータベース・トラフィックを参照できるLinuxサーバー上に、リモート・モニターをインストールできます。(リモート監視ではSQL文がブロックされないので注意してください。)通常、Database Firewallサーバーはデータベースの近くに置かれ、スイッチのスパン・ポートに接続されます。リモート・モニターはデータベース・ホストのオペレーティング・システムから実行され、リモート・モニターのインストールを管理するDatabase Firewallに、データベースSQLトラフィックをネットワークを介して送信します。リモート監視の詳細は、『Oracle Database Firewall管理ガイド』を参照してください。
これらすべてのシナリオについて、次のガイドラインに従います。
Oracle Database Firewallは専用のIntel x86サーバーにインストールします。Database Firewallをインストールすると、ハード・ドライブがフォーマットされ、ハード・ドライブ上の既存のデータが失われます。
Oracle Database Firewallは、物理的に安全かつ制御された環境にインストールします。
データベース・ネットワークが、Database Firewallアプリケーションが動作するネットワークから論理的または物理的に切り離されていることを確認します。特に、不要なIPアドレスとの間を送受信されるトラフィックを除外するよう、ネットワーク・ファイアウォール、スイッチ、タップおよびハブを構成します。
Database Firewallが、ネットワークのルートを介して保護するデータベース・サーバーにできるだけ近いようにします。Management Serverは、他のDatabase Firewallコンポーネントにアクセスできるかぎりは、任意の場所に配置できます。
Database Firewallには少なくとも3つのネットワーク・ポートがあることを確認します。Management Serverで必要なネットワーク・ポートは1つのみです。
DPEモードでは、適用されているポリシーに関係なく、Database FirewallシステムによりすべてのIPv6トラフィックがブロックされる点に注意してください。監視モードでは、Database FirewallはIPv6トラフィックを検出しません。