ヘッダーをスキップ
Oracle® Database Firewall管理ガイド
リリース5.1
B66170-01
  目次へ移動
目次		 索引へ移動
索引
前
前 		 次
次		  

12 Oracle Database FirewallとArcSight SIEMの併用

この付録の内容は、次のとおりです。

Oracle Database FirewallとArcSight SIEMの統合の概要

ArcSight Security Information Event Management(SIEM)システムは、様々なソースからsyslogメッセージを記録、分析および管理するための集中管理システムです。ArcSight SIEMを使用すると、Oracle Database Firewallでは、セキュリティ・アラートやその他の選択したイベント・タイプ(メッセージ・テキスト、優先度および攻撃者のIPアドレスを含む)の詳細を提供できます。Management Serverを使用している場合にはArcSight SIEMメッセージが送信され、それ以外の場合、イベントはスタンドアロンDatabase Firewallから送信されます。

BIG-IP ASMインタフェースも使用している場合は、攻撃がインターネットから実行されると、Database Firewallでは攻撃側Webクライアントの実際のIPアドレスを特定します。この機能によって、インターネット・ベースの攻撃のソースを特定できます。

ArcSight SIEMとDatabase Firewallを統合する場合、追加のソフトウェアをインストールする必要はありません。次の項で説明するように、Database Firewall管理コンソールを使用して統合を構成できます。

ArcSight SIEMサーバーに送信されるsyslogメッセージは、Database Firewallから送信されるその他のsyslogメッセージから独立しています。これは、標準のsyslogメッセージを異なる宛先に送信できることを意味します。

Oracle Database FirewallとArcSight SIEMの統合の有効化

Oracle Database FirewallとArcSight SIEMの統合を有効にすると、設定値は即時に有効になります。Database Firewallを再起動する必要はありません。

Oracle Database Firewallに対してArcSight SIEMを有効にする手順は、次のとおりです。

  1. スタンドアロンDatabase FirewallまたはManagement Serverの管理コンソールにログインします。

    詳細は、「管理コンソールへのログイン」を参照してください。

  2. 「System」タブを選択します。

  3. 「Connectors」メニューで、「ArcSight SIEM」を選択します。

    「ArcSight SIEM」ページが表示されます。

    ArcSight SIEMの構成
    図arcsight_config.gifの説明

  4. 次のオプションを指定します。

    • Enable ArcSight event forwarding: ArcSightインタフェースを有効にする場合に、このチェック・ボックスを選択します。

    • ArcSight destinations: 使用する通信プロトコルに応じて、「UDP」または「TCP」フィールドにArcSightサーバーのIPアドレスまたはホスト名を入力します。この設定を使用すると、syslogのログ出力を共通イベント・フォーマット(CEF)でこのArcSightサーバーに送信できます。

    • Event categories: ArcSightサーバーで必要なメッセージのタイプに応じて、syslogカテゴリの組合せを選択します。メッセージ・タイプの詳細は、「Oracle Database FirewallとArcSight SIEMのsyslogマッピング表」を参照してください。

    • Limit message length: ネットワーク上で大量のSQLテキストが送信されるのを防ぐために、メッセージの長さを指定のバイト数に制限できます。

    • Maximum message length (bytes): 任意の最大長を入力します。許容範囲は1024から1048576文字です。デフォルトは、256バイトです。

  5. 「Apply」ボタンをクリックします。

Oracle Database FirewallとArcSight SIEMのsyslogマッピング表

この項の内容は、次のとおりです。

ArcSight SIEM統合の概要

ArcSight SEIMのsyslog出力を送信できます(『Oracle Database Firewallセキュリティ・ガイド』を参照)。次の表では、ArcSight SIEMに渡されるメッセージ、および関連するArcSightキーにマップされるOracle Database Firewallメッセージのフィールドについて説明します。

表12-1に、Oracle Database FirewallからArcSight SIEMに送信されるメッセージ・タイプを示します。

表12-1 ArcSight SIEMに送信されるメッセージ・タイプ

メッセージ・タイプ イベント名 説明

DBFW:3

ハートビート

ハートビート・メッセージ。Database Firewallの実行中に、毎秒1つのメッセージが生成されます。

DBFW:4

プロパティ変更

プロパティ変更メッセージ。ユーザーが加えた構成変更が記述されます。

DBFW:8

データベース監査

データベース・オブジェクト監査メッセージ。これらは、Database Firewallのストアド・プロシージャ監査またはユーザー・ロール監査機能によって生成されます。

DBFW:9

文アラート

文アラート。このタイプのアラートは、完全なSQL文および関連する詳細を表示するために指定します。データベース・レスポンス・モニタリングが有効な場合は、レスポンス情報がアラートに含まれます。

DBFW:10

文アラート(WAF)

Webアプリケーション・ファイアウォール(WAF)の文アラート。このタイプのアラートは、Database FirewallアプライアンスがWebアプリケーション・ファイアウォールとともに動作している場合に指定します。データベース・レスポンス・モニタリングが有効な場合は、レスポンス情報がアラートに含まれます。

DBFW:11

ログイン・アラート

ユーザーがデータベースへのログインを試みました。データベース・レスポンス・モニタリングが有効な場合は、ログイン試行の結果(成功または失敗)がアラートに含まれます。

DBFW:12

ログアウト・アラート

ユーザーがデータベースから明示的にログアウトしたか、またはユーザーのTCPセッションが閉じられました。

DBFW:system

システム・メッセージ

オペレーティング・システム形式のシステム・メッセージ。これらは、Database Firewallがインストールされているオペレーティング・システムによって生成されるアラートです。

DBFW:3(ハートビート)

DBFW:3ハートビート・メッセージは、Database Firewallの実行中に毎秒生成されます。ハートビート・メッセージには文の数が含まれます。

表12-2に、DBFW:3 CEFヘッダー・フィールドを示します。

表12-2 DBFW:3(ハートビート)CEFヘッダー・フィールド

ヘッダー名 内容 例

Version

固定整数: 0

なし

Device Vendor

固定文字列: Oracle

なし

Device Product

固定文字列: Database Firewall

なし

Device Version

Database Firewallのバージョン

5.1

SignatureID

固定文字列: DBFW:3

なし

Name

固定文字列: Heartbeat

なし

Severity

固定整数: 0

なし

表12-3に、DBFW:3拡張フィールドを示します。

表12-3 DBFW:3(ハートビート)拡張フィールド

Database Firewallフィールド 説明 ArcSightキー名 例

Monitoring point IP

監視元ポイントのIPアドレス

dvc

192.0.2.1

timestamp

イベントのタイムスタンプ。ミリ秒に変換する必要があります。

rt

1147344001516

メッセージの残りの部分

DBFW:3ハートビート・メッセージのすべてのフィールド

msg

0 0 0 6067 0 0

1147367001.097 0

DBFW:4(プロパティ変更)

DBFW:4プロパティ変更メッセージには、ユーザーがDatabase FirewallまたはManagement Serverに対して加えた構成変更が記述されます。

表12-4に、DBFW:4 CEFヘッダー・フィールドを示します。

表12-4 DBFW:4(プロパティ変更)CEFヘッダー・フィールド

ヘッダー名 内容 例

Version

固定整数: 0

なし

Device Vendor

固定文字列: Oracle

なし

Device Product

固定文字列: Database Firewall

なし

Device Version

Database Firewallのバージョン

5.1

SignatureID

固定文字列: DBFW:4

なし

Name

固定文字列: Property change

なし

Severity

固定整数: 0

なし

表12-5に、DBFW:4拡張フィールドを示します。

表12-5 DBFW:4(プロパティ変更)拡張フィールド

Database Firewallフィールド 説明 ArcSightキー名 例

Monitoring point IP

監視元ポイントのIPアドレス

dvc

192.0.2.2

timestamp

イベントのタイムスタンプ。ミリ秒に変換する必要があります。

rt

1231924678000

category

イベントのカテゴリ

cat

appliance

name

変更されたシステム・プロパティの名前

cs4

heartbeat_interval

なし

固定文字列: Property name

cs4Label

なし

value

「Value」プロパティが割り当てられます

cs2

1

なし

固定文字列: Property value

cs2Label

なし

DBFW:8(データベース監査)

DBFW:8データベース監査メッセージでは、ストアド・プロシージャ監査およびユーザー・ロール監査の実行完了後に監査が取得されます。(このタイプの監査の詳細は、第5章「ストアド・プロシージャ監査の構成」および第6章「ロール監査の構成および使用」を参照してください。)

表12-6に、DBFW:8 CEFヘッダー・フィールドを示します。

表12-6 DBFW:8(データベース監査)CEFヘッダー・フィールド

ヘッダー名 内容 例

Version

固定整数: 0

なし

Device Vendor

固定文字列: Oracle

なし

Device Product

固定文字列: Database Firewall

なし

Device Version

Database Firewallのバージョン

5.1

SignatureID

固定文字列: DBFW:8

なし

Name

固定文字列: Database audit

なし

Severity

固定整数: 0

なし

表12-7に、DBFW:8拡張フィールドを示します。

表12-7 DBFW:8(データベース監査)拡張フィールド

Database Firewallフィールド 説明 ArcSightキー名 例

Monitoring point IP

監視元ポイントのIPアドレス

dvc

192.0.2.42

Target Database

監査データベースの接続文字列

request

192.0.2.43:5000/

Protected Database

データベースの名前

cs3

sales_db

なし

固定文字列: Protected database

cs3Label

なし

Audit start time

監査の開始タイムスタンプ。値は、1-Jan-1970からのミリ秒です。

start

1219414043931

Object collected time

すべての情報がデータベースから収集された時刻。値は、1-Jan-1970からのミリ秒です。

rt

1219414046031

Audit end time

監査の終了タイムスタンプ。値は、1-Jan-1970からのミリ秒です。

end

1219414047357

Database counter

検出されたデータベースの数

flexNumber1

15

なし

固定文字列: Database count

flexNumber1Label

なし

New counter

新しいアイテムの数

flexNumber2

1000

固定文字列: New

flexNumber2Label

なし

Modified counter

変更されたアイテムの数

cn1

0

なし

固定文字列: Modified

cn1Label

なし

Deleted counter

削除されたアイテムの数

cn2

0

なし

固定文字列: Deleted

cn2Label

なし

Unchanged counter

変更されていないアイテムの数

cn3

1234

なし

固定文字列: Unchanged

cn3Label

なし

DBFW:9(文アラート)

DBFW:9文メッセージ・アラートには、監査済の完全なSQL文および関連する詳細が含まれます。ユーザーがベースラインを構成した方法に応じて、文アラートはユーザーごとに異なります。データベース・レスポンス・モニタリングが有効な場合は、レスポンス情報がアラートに含まれます。データベース・レスポンス・モニタリングを有効にする方法については、第10章「データベース・レスポンス・モニタリングの構成および使用」を参照してください。

表12-8に、DBFW:9 CEFヘッダー・フィールドを示します。

表12-8 DBFW:6(文アラート)CEFヘッダー・フィールド

ヘッダー名 内容 例

Version

固定整数: 0

なし

Device Vendor

固定文字列: Oracle

なし

Device Product

固定文字列: Database Firewall

なし

Device Version

Database Firewallのバージョン

5.1

SignatureID

固定文字列: DBFW:6

なし

Name

固定文字列: Statement alert

なし

Severity

0から10の値

8

表12-9に、DBFW:9拡張フィールドを示します。

表12-9 DBFW:6(文アラート(WAF))拡張フィールド

Database Firewallフィールド 説明 ArcSightキー名 例

Monitoring point IP

監視元ポイントのIPアドレス

dvc

192.0.2.2

アクション

実行されたアクション。syslog仕様ドキュメントの語に変換する必要があります。

act

Unknown Alerted

timestamp

イベントのタイムスタンプ。ミリ秒に変換する必要があります。

rt

1231924678000

db_client

データベース・クライアントIPアドレス

src

192.0.2.3

db_server

データベース・サーバーIPアドレス

dst

192.0.2.30

user_name

データベース・ユーザー名。空白の場合は、not recordedの意味になります。

duser

Not recorded

statement

SQL文

msg

 
select dvdcatalog.*, fullpromoname,
  imageurl, imagealt, landingpageid 
from dvdcatalog, dual 
  left join promo on promo.catalog_no =
  catalog_no and sysdate 
between startdate and enddate 
where ((select count(*) from star inner
  join starlink on 
  star.starid = starlink.starid 
where starlink.catalog_no = 
  catalog_no and (starname like
  '#########' and starname like
  '########' )) > 0) and status = 0 
  and not art_type = 0 
  and not art_class = '###' 
  and rownum < 000 
order by ordered desc, title

DBFW:10(文アラート(WAF))

DBFW:10Webアプリケーション・ファイアウォール(WAF)の文メッセージ・アラートは、Database FirewallがWebアプリケーション・ファイアウォールとともに動作している場合に生成されます。データベース・レスポンス・モニタリングが有効な場合は、レスポンス情報がアラートに含まれます。データベース・レスポンス・モニタリングを有効にする方法については、第10章「データベース・レスポンス・モニタリングの構成および使用」を参照してください。

表12-10に、DBFW:10 CEFヘッダー・フィールドを示します。

表12-10 DBFW:7(文アラート(WAF))CEFヘッダー・フィールド

ヘッダー名 内容 例

Version

固定整数: 0

なし

Device Vendor

固定文字列: Oracle

なし

Device Product

固定文字列: Database Firewall

なし

Device Version

Database Firewallのバージョン

5.1

SignatureID

固定文字列: DBFW:10

なし

Name

固定文字列: Statement alert (WAF)

なし

Severity

0から10の値

4

表12-11に、DBFW:10拡張フィールドを示します。

表12-11 DBFW:7(文アラート(WAF))拡張フィールド

Database Firewallフィールド 説明 ArcSightキー名 例

Monitoring point IP

監視元ポイントのIPアドレス

dvc

192.0.2.2

アクション

実行されたアクション。syslog仕様ドキュメントの語に変換する必要があります。

act

Known Alerted

db_client

データベース・クライアントIPアドレス

src

192.0.2.31

db_server

データベース・サーバーIPアドレス

dst

192.0.2.40

user_name

データベース・ユーザー名。空白の場合は、not recordedの意味になります。

duser

sa

web user name

Webアプリケーションで使用されるユーザー名

suser

purchase@amazon

HTTP request

完全なHTTPリクエスト

request

POST /faq.asp?dummy=yes HTTP/1.1\x0d\x0aReferer: http://10.190.0.203/faq.asp\x0d\x0aContent-Type: application/x-www-formurlencoded\x0d\x0aUA-CPU:x86\x0d\x0a

Http Method

HTTPメソッド

requestMethod

POST

Http Protocol

プロトコル

app

http

Policy Name

Policy Name

cs1

toolshed_policy

なし

固定文字列: Policy Name

cs1Label

なし

Session Cookies

セッションCookie

requestCookies

ASPSESSIONIDQASTDTDC=OCOPOPDAOLMPKMOGNDDLHFJN;TS10da7b=868388b6d3c881a3342f0f7d2d2a3be38453eb9d2627f7b048edb424f5ff84534d7fb9f2

Http Referer

参照URL

requestContext

http://10.190.0.203/faq.asp

Http User Agent

ブラウザ・タイプ

requestClientApplication

Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1)

Cardinal IP Address

送信元WebクライアントのIPアドレス

sourceTranslatedAddress

192.0.2.41

statement

SQL文

msg

 
SELECT * FROM \"A_updates\"
WHERE id = '10'

DBFW:11(ログイン・アラート)

DBFW:11ログイン・メッセージ・アラートは、ユーザーがデータベースへのログインを試みた場合に表示されます。データベース・レスポンス・モニタリングが有効な場合は、ログイン試行の結果(成功または失敗)がイベントに含まれます。データベース・レスポンス・モニタリングを有効にする方法については、第10章「データベース・レスポンス・モニタリングの構成および使用」を参照してください。

表12-12に、DBFW:11 CEFヘッダー・フィールドを示します。

表12-12 DBFW:11(ログイン・アラート)CEFヘッダー・フィールド

ヘッダー名 内容 例

Version

固定整数: 0

なし

Device Vendor

固定文字列: Oracle

なし

Device Product

固定文字列: Database Firewall

なし

Device Version

Database Firewallのバージョン

5.1

SignatureID

固定文字列: DBFW:11

なし

Name

固定文字列: Login Alert

なし

Severity

0から10の値

8

表12-13に、DBFW:11拡張フィールドを示します。

表12-13 DBFW:11(ログイン・アラート)拡張フィールド

Database Firewallフィールド 説明 ArcSightキー名 例

Enforcement point IP

強制元ポイントのIPアドレス

dvc

192.0.2.44

アクション

アクション

act

AlwaysAlert

timestamp

イベントのタイムスタンプ。ミリ秒に変換する必要があります。

rt

1231924678000

db_client

データベース・クライアントIP

src

192.0.2.22

db_server

データベース・サーバーIP

dst

192.0.2.123

user_name

データベース・ユーザー名。空白の場合は、not recordedの意味になります。

duser

not recorded

db_resp

Database Firewallのデータベース・レスポンスの解析を表す文字列

cs2

DB Success

なし

固定文字列: Execution result

cs2Label

なし

db_resp_code

データベースから返された符号付き整数コード

cn1

4002

なし

固定文字列: Database response code

cn1Label

なし

db_resp_text

データベースから返されたレスポンス・テキスト

cs5

Login failed.

なし

固定文字列: Database response text

cs5Label

なし

db_resp_detail

データベースから返された詳細なレスポンス・テキスト

cs6

Severity: 14

なし

固定文字列: Database response detail text

cs6Label

なし

DBFW:12(ログアウト・アラート)

DBFW:12ログアウト・メッセージ・アラートは、ユーザーがデータベースから明示的にログアウトした場合、またはユーザーのTCPセッションが閉じられた場合に表示されます。

表12-14に、DBFW:12 CEFヘッダー・フィールドを示します。

表12-14 DBFW:12(ログアウト・アラート)CEFヘッダー・フィールド

ヘッダー名 内容 例

Version

固定整数: 0

なし

Device Vendor

固定文字列: Oracle

なし

Device Product

固定文字列: Database Firewall

なし

Device Version

Database Firewallのバージョン

5.1

SignatureID

固定文字列: DBFW:12

なし

Name

固定文字列: Logout Alert

なし

Severity

固定整数: 0

なし

表12-15に、DBFW:12拡張フィールドを示します。

表12-15 DBFW:12(ログアウト・アラート)拡張フィールド

Database Firewallフィールド 説明 ArcSightキー名 例

Enforcement point IP

強制元ポイントのIPアドレス

dvc

192.0.2.55

timestamp

イベントのタイムスタンプ。ミリ秒に変換する必要があります。

rt

1231924678000

db_client

データベース・クライアントIP

src

192.0.2.32

db_server

データベース・サーバーIP

dst

192.0.2.56

user_name

データベース・ユーザー名。ユーザー名が定義されていない場合、文字列はnot recordedとなります。

duser

not recorded

DBFW:system(システム・メッセージ(オペレーティング・システム・アラート))

DBFW:systemメッセージ・アラートは、Database Firewallがインストールされているオペレーティング・システムによって、オペレーティング・システムのファイル形式で生成されます。このタイプのアラートの例には、ハードウェア障害通知があります。

表12-16に、DBFW:system CEFヘッダー・フィールドを示します。

表12-16 DBFW:system(システム・メッセージ)CEFヘッダー・フィールド

ヘッダー名 内容 例

Version

固定整数: 0

なし

Device Vendor

固定文字列: Oracle

なし

Device Product

固定文字列: Database Firewall

なし

Device Version

Database Firewallのバージョン

5.1

SignatureID

固定文字列: DBFW:system

なし

Name

固定文字列: System message

なし

Severity

固定整数: 0

なし

表12-17に、DBFW:system拡張フィールドを示します。

表12-17 DBFW:system(システム・メッセージ)拡張フィールド

Database Firewallフィールド 説明 ArcSightキー名 例

Monitoring point IP

監視元ポイントのIPアドレス

dvc

192.0.2.44

timestamp

イベントのタイムスタンプ。ミリ秒に変換する必要があります。

rt

1231924678000

syslogメッセージ全体

syslogメッセージ全体

msg

Mar 23 12:06:39 multi-1u kernel: br0: port 1(eth0) entering forwarding state


  前
前 		 次
次
  目次へ移動
目次		 索引へ移動
索引