目次

図一覧

表一覧

タイトルおよび著作権情報

はじめに

• 対象読者
• ドキュメントのアクセシビリティについて
• 関連ドキュメント
• 表記規則

このリリースでの変更点

• Oracle Audit Vault and Database Firewallリリース12.1.1の変更点

第I部 スタート・ガイド

1 Oracle Audit Vault and Database Firewallの概要

• このマニュアルの最新バージョンのダウンロード
  • プラットフォーム・サポートの追加情報の取得方法
• システムの機能および概念について
  • Audit Vault and Database Firewallの概要
  • システム要件
  • サポートされるセキュア・ターゲット
  • 管理機能
  • 監査機能
  • サード・パーティ製品との統合
• Oracle AVDFコンポーネント・アーキテクチャの概要
  • Oracle AVDFのコンポーネント
    • Oracle AVDFコンポーネントの連携
    • Audit Vault Server
    • Database Firewall
    • Audit Vault Agent
  • エンタープライズ・アーキテクチャ内でのOracle AVDFの配置
  • 高可用性モード
• 管理者のロールについて
• システム構成の計画
  • システム構成の計画の概要
  • Oracle AVDF構成ワークフローについて
    • Oracle AVDFの構成とAudit Vault Agentのデプロイ
    • Oracle AVDFの構成とDatabase Firewallのデプロイ
  • ステップ1: Audit Vault Server構成の計画
  • ステップ2: Database Firewall構成の計画
  • ステップ3: Audit Vault Agentデプロイメントの計画
  • ステップ4: 監査証跡構成の計画
    • Audit Vault Serverで監査証跡を構成するための一般的な手順
    • Audit Vault Agentプラグイン構成の計画
  • ステップ5: 統合オプションの計画
  • ステップ6: 高可用性の計画
  • ステップ7: ユーザー・アカウントおよびアクセス権限の計画
• Audit Vault ServerコンソールUIへのログイン
  • Audit Vault Serverコンソールへのログイン
  • Audit Vault Serverコンソールにおけるタブおよびメニューについて
  • UIでのオブジェクト・リストの操作
• Database FirewallコンソールUIへのログイン
  • Database FirewallコンソールUIへのログイン
  • Database Firewall UIの使用
• AVCLIコマンドライン・インタフェースの使用

2 一般的なセキュリティ・ガイドライン

• 安全なインストールとデータの保護
  • 安全なインストール
  • データの保護
• セキュリティに関する一般的な推奨事項
• ネットワークベース・ソリューションのデプロイに関する考慮事項
  • ネットワーク暗号化の処理
  • サーバー側のSQLとコンテキストの構成処理
• 様々なデータベース・アクセス・パスでのOracle AVDFの動作
• 特別な構成に関するセキュリティ上の考慮事項
  • Oracle共有サーバー構成とディスパッチャの処理
  • クライアントのIPアドレスによるTCP許可ノードへの影響
  • 注意が必要なその他の動作

3 Audit Vault Serverの構成

• Audit Vault Serverの構成の概要
• Audit Vault Serverへのログイン
• ステップ1: 各Audit Vault Serverに対する初期タスクの実行
  • サーバーの日付、時刻およびキーボード設定の指定
  • Audit Vault Serverシステム設定の指定
    • Audit Vault Serverネットワーク構成の設定または変更
    • Audit Vault Serverサービスの構成または変更
  • Audit Vault ServerのSyslog宛先の構成
• ステップ2: (オプション) 高可用性のための回復可能なペアの定義
• ステップ3: (オプション) Audit Vault Serverでの各Database Firewallの登録
• ステップ4: Audit Vault Serverのシステム操作のテスト

4 Database Firewallの構成

• Database Firewallの構成の概要
• Database Firewallへのログイン
• ステップ1: Database Firewallのネットワークおよびサービス構成の変更
  • Database Firewallのネットワーク設定の構成
  • Database Firewallのネットワーク・サービスの構成
• ステップ2: Database Firewallでの日付と時刻の設定
• ステップ3: Audit Vault Serverの証明書およびIPアドレスの指定
• ステップ4: ネットワーク上のDatabase Firewallの構成
  • ネットワーク上のDatabase Firewallの構成の概要
  • トラフィック・ソースの構成
  • Database Firewallでのブリッジの構成
  • トラフィック・プロキシとしてのDatabase Firewallの構成
• Database Firewallのステータスおよび診断レポートの表示

5 ホストの登録とエージェントのデプロイ

• Audit Vault Serverでのセキュア・ターゲット・ホストの登録
  • ホストの登録の概要
  • Audit Vault Serverでのホストの登録
  • Audit Vault Serverからのセキュア・ターゲット・ホストの削除
• Oracleセキュア・ターゲット・ホストの登録
  • ステップ1: Oracleセキュア・ターゲット・データベースで監査が有効になっていることの確認
  • ステップ2: Oracle Databaseホスト・マシンの登録
  • ステップ3: Oracle Databaseホスト・マシンでのエージェントのデプロイおよびアクティブ化
  • (オプション) Oracle Databaseセキュア・ターゲット監査証跡のパージのスケジュール
• Microsoft SQL Serverセキュア・ターゲット・ホストの登録
  • ステップ1: SQL Serverセキュア・ターゲット・データベースで監査が有効になっていることの確認
  • ステップ2: SQL Serverホスト・マシンの登録
  • ステップ3: SQL Serverホスト・マシンでのエージェントのデプロイおよびアクティブ化
  • (オプション) 監査証跡のクリーンアップのスケジュール
• Sybase ASEセキュア・ターゲット・ホストの登録
  • ステップ1: Sybase ASEセキュア・ターゲット・データベースで監査が有効になっていることの確認
  • ステップ2: Sybase ASEホスト・マシンの登録
  • ステップ3: Sybase ASEホスト・マシンでのエージェントのデプロイおよびアクティブ化
• MySQLセキュア・ターゲット・ホストの登録
  • ステップ1: MySQLセキュア・ターゲット・データベースで監査が有効になっていることの確認
  • ステップ2: MySQLホスト・マシンの登録
  • ステップ3: MySQLホスト・マシンでのエージェントのデプロイおよびアクティブ化
  • ステップ4: MySQLホスト・マシンでのXML変換ユーティリティの実行
  • (オプション) 監査証跡のクリーンアップのスケジュール
• IBM DB2 for LUWセキュア・ターゲット・ホストの登録
  • ステップ1: IBM DB2セキュア・ターゲット・データベースで監査が有効になっていることの確認
  • ステップ2: IBM DB2ホスト・マシンの登録
  • ステップ3: DB2ホスト・マシンでのエージェントのデプロイおよびアクティブ化
  • ステップ4: バイナリDB2監査ファイルのASCIIテキスト・ファイルへの変換
• Solarisセキュア・ターゲット・ホストの登録
  • ステップ1: Solarisセキュア・ターゲットで監査が有効になっていることの確認
  • ステップ2: Solarisホスト・マシンの登録
  • ステップ3: Solarisホスト・マシンでのエージェントのデプロイおよびアクティブ化
• Windowsセキュア・ターゲット・ホストの登録
  • ステップ1: Windowsセキュア・ターゲットで監査が有効になっていることの確認
  • ステップ2: Windowsホスト・マシンの登録
  • ステップ3: Windowsホスト・マシンでのエージェントのデプロイおよびアクティブ化
• Linuxセキュア・ターゲット・ホストの登録
  • ステップ1: Linuxセキュア・ターゲットで監査が有効になっていることの確認
  • ステップ2: Linuxホスト・マシンの登録
  • ステップ3: Linuxホスト・マシンでのエージェントのデプロイおよびアクティブ化
• Active Directoryセキュア・ターゲット・ホストの登録
  • ステップ1: Active Directoryセキュア・ターゲットで監査が有効になっていることの確認
  • ステップ2: Active Directoryホスト・マシンの登録
  • ステップ3: Active Directoryホスト・マシンでのエージェントのデプロイおよびアクティブ化
• ACFSセキュア・ターゲット・ホストの登録
  • ステップ1: Oracle ACFSセキュア・ターゲットで監査が有効になっていることの確認
  • ステップ2: Oracle ACFSホスト・マシンの登録
  • ステップ3: Oracle ACFSホスト・マシンでのエージェントのデプロイおよびアクティブ化
• セキュア・ターゲット・ホストでのAudit Vault Agentのデプロイおよびアクティブ化
  • ステップ1: ホスト・マシンでのAudit Vault Agentのデプロイ
  • ステップ2: エージェントのアクティブ化リクエスト
  • ステップ3: エージェントのアクティブ化および起動
  • Audit Vault Agentの停止および起動
  • Audit Vault AgentのWindowsサービスとしての登録または登録解除
    • Audit Vault AgentのWindowsサービスとしての登録
    • Audit Vault AgentのWindowsサービスとしての登録解除
  • Audit Vault Agentのロギング・レベルの変更
  • Audit Vault Agentの非アクティブ化と削除
• Audit Vault Agentの更新
  • 初めてOracle AVDF 12.1.1にアップグレードした後のAudit Vault Agentの更新
  • Audit Vault Agentの自動更新
• ホスト監視の有効化
  • ホスト監視の概要
  • ホスト監視のインストールおよび有効化
    • ホスト監視の前提条件
    • ステップ1: ホスト監視を実行するコンピュータの登録
    • ステップ2: Audit Vault Agentのデプロイとホスト監視設定スクリプトの実行
    • ステップ3: ホスト監視対象のセキュア・ターゲット用のセキュア・ターゲットの作成
    • ステップ4: 強制ポイントの作成
  • ホスト監視の開始、停止およびその他の操作
    • ホスト監視の開始
    • ホスト監視の停止
    • ホスト監視のロギング・レベルの変更
    • ホスト監視のステータスの確認
  • ホスト監視における証明書ベース認証の使用
    • ファイアウォールへのホスト監視接続に署名済証明書を要求
    • Audit Vault Serverからの署名済証明書の取得
• エージェント・プラグインのデプロイとプラグイン・ホストの登録
  • エージェント・プラグインの概要
  • ステップ1: セキュア・ターゲットで監査が有効になっていることの確認
  • ステップ2: Audit Vault Serverでのプラグイン・セキュア・ターゲット・ホストの登録
  • ステップ3: プラグインのデプロイおよびアクティブ化
  • プラグインのアンデプロイ

6 セキュア・ターゲット、監査証跡および強制ポイントの構成

• セキュア・ターゲットの構成の概要
• セキュア・ターゲットおよびグループの構成
  • Audit Vault Serverでのセキュア・ターゲットの登録または削除
    • セキュア・ターゲットの登録
    • セキュア・ターゲットの削除
  • セキュア・ターゲット・グループの作成および変更
  • セキュア・ターゲットおよびセキュア・ターゲット・グループへのアクセスの制御
• 監査証跡収集の構成
  • Audit Vault Serverでの監査証跡の構成
  • Audit Vault Serverでの監査証跡の開始および停止
  • Audit Vault Serverでの監査証跡のステータスの確認
  • 監査証跡の削除
• 強制ポイントの構成
  • セキュア・ターゲットの強制ポイントの構成の概要
  • 強制ポイントの構成
  • 強制ポイントの変更
  • 強制ポイントの管理
  • 強制ポイントによって使用されるポート番号の確認方法
• ストアド・プロシージャ監査(SPA)の構成
• データベース問合せの構成および使用
  • データベース問合せの概要
    • SQL ServerデータベースおよびSQL Anywhereデータベースでのデータベース問合せの使用
    • Oracle Advanced Securityを使用するOracle Databaseでのデータベース問合せの使用
  • SQL ServerおよびSQL Anywhere用のデータベース問合せの構成
    • Microsoft SQL Serverデータベースでのデータベース問合せ権限の設定
    • Sybase SQL Anywhereデータベースでのデータベース問合せ権限の設定
    • SQL ServerデータベースまたはSQL Anywhereデータベースに対するデータベース問合せの有効化
  • Oracle Advanced Securityを使用するデータベース用のデータベース問合せの構成
    • ステップ1: 指定されたパッチのOracle Databaseへの適用
    • ステップ2: Oracle Advance Security統合スクリプトの実行
    • ステップ3: Oracle DatabaseへのDatabase Firewall公開鍵の指定
    • ステップ4: Oracle Databaseのデータベース問合せの有効化
  • データベース問合せの有効化
  • データベース問合せの無効化
• データベース・レスポンス・モニタリングの構成および使用
  • データベース・レスポンス・モニタリングの概要
  • データベース・レスポンス・モニタリングの構成
    • データベース・レスポンス・モニタリングの有効化
    • ファイアウォール・ポリシーでのログインおよびログアウト・ポリシーの設定

7 高可用性の構成

• Oracle AVDFにおける高可用性構成の概要
• Audit Vault Serverの回復可能なペアの構成
  • Audit Vault Serverのペア作成と前提条件の概要
  • ステップ1: セカンダリAudit Vault Serverの構成
  • ステップ2: プライマリAudit Vault Serverの構成
  • ステップ3: Audit Vault Serverの高可用性ペアの起動
  • Audit Vault Serverの高可用性ステータスの確認
  • Audit Vault Serverペアのフェイルオーバーの処理
• Database Firewallの回復可能なペアの構成

8 BIG-IP ASMとの統合の構成

• Oracle AVDFとBIG-IP ASMの統合の概要
• 統合による動作
• Oracle AVDFとBIG-IP ASMの統合のデプロイ
  • デプロイメントの概要
  • システム要件
  • F5と連携して機能するためのOracle AVDFの構成
  • BIG-IP ASMの構成
    • ロギング・プロファイル
    • ポリシー設定
  • BIG-IP ASM iRuleの開発
    • syslogメッセージの必要な形式
    • syslog-ng.confの構成
• Oracle AVDFレポートでのF5データの表示

9 ArcSight SIEMとの統合の構成

• ArcSight SIEMとの統合の概要
• Oracle AVDFとArcSight SIEMの統合の有効化

第II部 一般的な管理タスク

10 電子メール通知サービスの構成

• Oracle AVDFにおける電子メール通知の概要
• 電子メール通知サービスの構成

11 ユーザー・アカウントおよびアクセス権の管理

• Oracle AVDF管理アカウントの概要
• Audit Vault Serverの管理アカウントの構成
  • Oracle AVDFユーザー・アカウントの保護に関するガイドライン
  • Audit Vault Serverの管理アカウントの作成
  • Audit Vault Serverのユーザー・アカウント・タイプの変更
  • Audit Vault Server管理者アカウントの削除
• セキュア・ターゲットまたはセキュア・ターゲット・グループへのユーザー・アクセスの管理
  • ユーザー・アクセスの管理の概要
  • ユーザーによるアクセス権の制御
  • セキュア・ターゲットまたはセキュア・ターゲット・グループによるアクセス権の制御
• Oracle AVDFでのユーザー・パスワードの変更
  • Audit Vault and Database Firewallユーザー・パスワードの概要
  • Audit Vault Server管理者ユーザー・パスワードの変更
  • Database Firewall管理者パスワードの変更

12 Audit Vault ServerおよびDatabase Firewallの管理

• Audit Vault Serverの設定、ステータスおよびメンテナンス操作の管理
  • サーバー・ステータスの確認
  • Audit Vault Serverの証明書および公開鍵へのアクセス
    • サーバー証明書へのアクセス
    • サーバー公開鍵へのアクセス
  • Audit Vault Serverの再起動および電源オフ
  • キーボード・レイアウトの変更
• ジョブの監視
• Audit Vault Serverのネットワーク構成またはサービス構成の変更
• Audit Vault Serverのバックアップとリストア
• Database Firewallの管理
  • Database Firewallのネットワーク構成またはサービス構成の変更
  • Database Firewallでのネットワーク・トラフィックの表示および取得
  • Database Firewallの再起動および電源オフ
  • Audit Vault ServerからのDatabase Firewallの削除
  • Database Firewallの診断情報のダウンロード
• プラグインの管理
• サーバーの表領域の領域使用量の監視
• サーバーのアーカイブ・ログのディスク領域使用量の監視
• サーバーのフラッシュ・リカバリ領域の監視
• Oracle RACに対するAudit Vault Agentの接続の管理
• AVCLIコマンドライン・インタフェースのダウンロードおよび使用
  • AVCLIコマンドライン・インタフェースの概要
  • AVCLIコマンドライン・ユーティリティのダウンロード
  • AVCLIの起動
  • AVCLIのヘルプ情報およびバージョン番号の表示
  • AVCLIでのスクリプトの実行
  • AVCLIのログ・レベルの指定

13 監査データのアーカイブおよびリストア

• Oracle AVDFでのデータのアーカイブおよびリストアの概要
• アーカイブ・ポリシーの作成
• Oracle AVDF監査データのアーカイブ
  • アーカイブ場所の定義
  • アーカイブ・ジョブの開始
• Oracle AVDF監査データのリストア

第III部 一般的なリファレンス

A AVCLI管理コマンド・リファレンス

• AVCLIコマンドの概要
• AVCLIエージェント・ホスト・コマンド
  • REGISTER HOST
  • ALTER HOST
  • LIST HOST
  • DROP HOST
  • ACTIVATE HOST
  • DEACTIVATE HOST
• AVCLI Database Firewallコマンド
  • REGISTER FIREWALL
  • DROP FIREWALL
  • LIST FIREWALL
  • REBOOT FIREWALL
  • POWEROFF FIREWALL
  • CREATE RESILIENT PAIR
  • SWAP RESILIENT PAIR
  • DROP RESILIENT PAIR
  • ALTER FIREWALL
  • SHOW STATUS FOR FIREWALL
• AVCLI強制ポイント・コマンド
  • CREATE ENFORCEMENT POINT
  • DROP ENFORCEMENT POINT
  • LIST ENFORCEMENT POINT
  • START ENFORCEMENT POINT
  • STOP ENFORCEMENT POINT
  • ALTER ENFORCEMENT POINT
• AVCLIサーバー管理コマンド
  • ALTER SYSTEM SET
  • SHOW CERTIFICATE
• AVCLIセキュア・ターゲット・コマンド
  • REGISTER SECURED TARGET
  • ALTER SECURED TARGET
  • LIST ADDRESS FOR SECURED TARGET
  • LIST SECURED TARGET
  • LIST SECURED TARGET TYPE
  • LIST ATTRIBUTE FOR SECURED TARGET
  • LIST METRICS
  • DROP SECURED TARGET
• AVCLI監査証跡収集コマンド
  • START COLLECTION FOR SECURED TARGET
  • STOP COLLECTION FOR SECURED TARGET
  • LIST TRAIL FOR SECURED TARGET
  • DROP TRAIL FOR SECURED TARGET
• AVCLIコレクタ・プラグイン・コマンド
  • DEPLOY PLUGIN
  • LIST PLUGIN FOR SECURED TARGET TYPE
  • UNDEPLOY PLUGIN
• AVCLI SMTPコマンド
  • REGISTER SMTP SERVER
  • ALTER SMTP SERVER
  • ALTER SMTP SERVER ENABLE
  • ALTER SMTP SERVER DISABLE
  • ALTER SMTP SERVER SECURE MODE ON
  • ALTER SMTP SERVER SECURE MODE OFF
  • TEST SMTP SERVER
  • LIST ATTRIBUTE OF SMTP SERVER
  • DROP SMTP SERVER
• AVCLIセキュリティ管理コマンド
  • GRANT SUPERADMIN
  • REVOKE SUPERADMIN
  • GRANT ACCESS
  • REVOKE ACCESS
  • GRANT ADMIN
  • REVOKE ADMIN
• AVCLI汎用コマンド
  • CONNECT
  • -HELP
  • -VERSION
  • QUIT

B プラグイン・リファレンス

• Oracle AVDFプラグインの概要
• サポートされているセキュア・ターゲット製品
• セキュア・ターゲットに対するOracle AVDFアカウント権限用のスクリプト
  • Oracle AVDFアカウント権限を設定するためのスクリプトの概要
  • Oracle Databaseの設定スクリプト
  • Sybase ASEの設定スクリプト
    • Sybase ASEの設定スクリプトの概要
    • Sybase ASEセキュア・ターゲットの監査データ収集権限の設定
    • Sybase ASEセキュア・ターゲットのストアド・プロシージャ監査権限の設定
  • Sybase SQL Anywhereの設定スクリプト
  • Microsoft SQL Serverの設定スクリプト
    • SQL Serverの設定スクリプトの概要
    • SQL Serverセキュア・ターゲットの監査データ収集権限の設定
    • SQL Serverセキュア・ターゲットのストアド・プロシージャ監査権限の設定
  • IBM DB2 for LUWの設定スクリプト
    • IBM DB2 for LUWの設定スクリプトの概要
    • IBM DB2 for LUWの監査データ収集権限の設定
    • IBM DB2 for LUWセキュア・ターゲットのSPA権限の設定
  • MySQLの設定スクリプト
• 接続文字列
• コレクション属性
  • コレクション属性の概要
  • Oracle Databaseのコレクション属性
  • IBM DB2 for LUWのコレクション属性
  • MySQLのコレクション属性
  • Oracle ACFSのコレクション属性
• 監査証跡構成
  • サポートされているセキュア・ターゲットの監査証跡タイプ
  • Oracle Databaseの監査証跡構成
    • DIRECTORY監査証跡タイプ
    • TABLE監査証跡タイプ
    • TRANSACTION LOG監査証跡タイプ
    • NETWORK監査証跡タイプ
    • SYSLOG監査証跡タイプ
    • EVENT LOG監査証跡タイプ
  • Sybase ASEの監査証跡構成
  • Microsoft SQL Serverの監査証跡構成
  • IBM DB2 for LUWの監査証跡構成
  • Oracle Solarisの監査証跡構成
  • Microsoft Windowsの監査証跡構成
• 監査証跡の場所
• 監査証跡のクリーンアップ
  • Oracle Database監査証跡クリーンアップ
    • Oracle Databaseセキュア・ターゲット監査証跡のパージの概要
    • 自動パージ・ジョブのスケジューリング
  • SQL Server監査証跡クリーンアップ
  • MySQL監査証跡クリーンアップ

C REDOログ監査データ収集リファレンス

• REDOログから収集するための推奨設定の概要
• Oracle Database 11g リリース2 (11.2)および12cのセキュア・ターゲット監査パラメータの推奨事項
• Oracle Database 11g リリース1 (11.1)のセキュア・ターゲット監査パラメータの推奨事項
• Oracle Database 10g リリース2 (10.2)のセキュア・ターゲット監査パラメータの推奨事項

D Audit Vault and Database Firewallで使用されるポート

• Database Firewallをセキュア・ターゲット用にデプロイするときに必要となるポート
• Audit Vault Serverによって提供されるサービス用のポート
• Database Firewallによって提供されるサービス用のポート
• Audit Vault Serverによる外部ネットワーク・アクセスのためのポート
• Database Firewallによる外部ネットワーク・アクセスのためのポート
• AVDFの内部TCP通信用ポート

E Oracle Audit Vault and Database Firewallのトラブルシューティング

• トラブルシューティングのヒント
  • Database Firewallで監視しているOracle Databaseで、一部またはすべてのトラフィックを確認できない
  • RPMアップグレードに失敗する
  • AVCLIを使用したエージェントのアクティブ化リクエストでエラーが返される
  • ホスト監視の作成またはOracle Database証跡の収集に失敗する
  • Windowsマシンで'java -jar agent.jar'に失敗する
  • Audit Vault AgentのWindowsサービスをアンインストールできない
  • エージェントをWindowsサービスとしてインストールしようとしたときにアクセス拒否エラーが発生する
  • コントロール パネルの「サービス」アプレットでエージェントを開始できない
  • エージェント開始時のエラー
  • ホスト監視の設定時のエラー

索引