| Oracle® Exadata Database Machineセキュリティ・ガイド 12c リリース1 (12.1) E52919-07 |
|
 前 |
 次 |
この章では、Oracle Exadata Database Machineをセキュアに保つためのポリシーと手順について説明します。内容は次のとおりです。
Oracle Exadata Database Machineのインストール後、ハードウェアを保護する必要があります。ハードウェアは、ハードウェアへのアクセスを制限し、シリアル番号を記録することによって保護できます。アクセスを制限する措置として、次のことをお薦めします。
Oracle Exadata Database Machineと関連装置は、アクセスが制限された鍵の掛かった部屋に設置します。
ラック内のコンポーネントでサービスが必要でない場合は、ラックのドアに鍵を掛けます。
コンポーネントは設計によって容易に削除できるため、ホットプラガブル対応またはホットスワップ対応デバイスへのアクセスを制限します。
予備の現場交換可能ユニット(FRU)または顧客交換可能ユニット(CRU)は鍵の掛かったキャビネットに保管します。鍵の掛かったキャビネットへは、認可された人のみがアクセスできるように制限します。
SSHリスナー・ポートを管理ネットワークおよびプライベート・ネットワークに制限します。
SSHが許可される認証メカニズムを制限します。本質的にセキュアでない方法は無効化されます。
すべての主要なコンピュータ・ハードウェア項目(FRUなど)にマークを付けます。
ハードウェアのアクティベーション・キーとライセンスは、システム緊急時にシステム・マネージャが簡単に取り出せる安全な場所に保管します。
Oracle Exadata Database Machineのコンポーネントのシリアル番号を記録し、安全な場所に保管します。Oracle Exadata Database Machineのすべてのコンポーネントにシリアル番号があります。
|
関連項目:
|
多くの場合、ハードウェアのセキュリティは、ソフトウェアを通じて実装されます。ソフトウェアとハードウェアを保護するには、次のガイドラインを実施します。
サイトでシステムをインストールしたときに、すべてのデフォルトのパスワードを変更してください。Oracle Exadata Database Machineでは、初期インストールおよびデプロイメントに、よく知られたデフォルトのパスワードが使用されます。デフォルトのパスワードでは、装置に不正にアクセスできる可能性があります。ネットワーク・スイッチなどのデバイスには、複数のユーザー・アカウントが設定されています。必ずラック内のコンポーネントのすべてのアカウント・パスワードを変更します。
rootスーパーユーザー・アカウントの使用を制限します。Oracle Integrated Lights Out Manager (ILOM)ユーザー・アカウントを各ユーザーに作成および使用して、監査証跡での積極的な識別を可能にし、管理者がチームまたは会社を離れた場合のメンテナンスを軽減します。
Oracle Exadata Database Machineが、Oracle Grid InfrastructureとOracle Databaseソフトウェアのインストールに個別のソフトウェア所有者アカウント使用してデプロイされるようにします。
不要なプロトコルおよびモジュールをオペレーティング・システムで無効化します。
USBポート、ネットワーク・ポートおよびシステム・コンソールへの物理的なアクセスを制限します。サーバーおよびネットワーク・スイッチには、システムに直接アクセスできるポートおよびコンソール接続があります。
ネットワークを介してシステムを再起動する機能を制限します。
ドキュメントを参照し、使用可能なセキュリティ機能を有効化します。
|
関連項目: 『Oracle Databaseセキュリティ・ガイド』 |
Oracle Exadata Database Machineは、レガシー・プラットフォームにインストールされたOracle Databaseで使用できるすべてのセキュリティ機能を活用できます。Oracle Databaseのセキュリティ製品および機能には次のものがあります。
Oracle Advanced Security
Oracle Audit Vault
データ・マスキング
Oracle Database Firewall
Oracle Database Vault
Oracle Label Security
Oracle Secure Backup
Oracle Total Recall
Oracle特権ユーザーおよび多元的なアクセス制御、データ分類、透過的データ暗号化、監査、監視およびデータ・マスキングを使用して、顧客は既存のアプリケーションに対する変更を必要としない信頼性の高いデータ・セキュリティ・ソリューションをデプロイできます。
セキュリティ措置を実装した後、それらを維持してシステムをセキュアに保つ必要があります。ソフトウェア、ハードウェアおよびユーザー・アクセスを定期的に更新およびレビューする必要があります。たとえば、組織はOracle Exadata Database Machineにアクセスできるユーザーと管理者、およびそのデプロイされたサービスをレビューし、アクセスおよび権限のレベルが適切であるかどうかを確認する必要があります。レビューしない場合、ロールの変更やデフォルト設定の変更によって、個人に付与されたアクセス・レベルが意図せず高くなることがあります。操作および管理タスクのアクセス権をレビューして、各ユーザーのアクセス・レベルがロールおよび職責に合わせて調整されていることを確認してください。
組織で未認可の変更や構成のずれを検出するツールを活用し、セキュリティ・パッチ適用の準備を整えることをお薦めします。Oracle Enterprise Manager Grid Controlは、ハードウェア、デプロイされたアプリケーションおよびサービスの操作の問題に対処する統合されたソリューションを提供します。
|
関連項目:
|
セキュリティ・ガイドラインに基づいてネットワークを構成した後は、定期的なレビューおよびメンテナンスが必要です。管理ネットワーク・スイッチの構成ファイルはオフラインで管理し、構成ファイルへのアクセスは認可された管理者のみに制限する必要があります。構成ファイルには各設定の説明がコメントとして含まれています。構成ファイルの静的コピーをソース・コード制御システムに保持することを検討してください。セキュアなホスト設定およびILOM設定が変更されておらず、有効であることを確認するには、クライアント・アクセス・ネットワークの定期的なレビューが必要です。さらに、設定の定期的なレビューによって、それらが変更されておらず、有効であることが確認されます。
システムへのローカル・アクセスとリモート・アクセスのセキュリティを確保するために、次のガイドラインに従ってください。
未認可アクセスを禁止することを明記したログイン・バナーを作成します。
必要に応じて、アクセス制御リストを使用して制限を適用します。
拡張セッションのタイムアウトを設定し、特権レベルを設定します。
スイッチへのローカル・アクセスとリモート・アクセスには、認証、認可、アカウンティング(AAA)機能を使用します。
侵入検知システム(IDS)のアクセスには、スイッチのポートのミラー化機能を使用します。
MACアドレスに基づいてアクセスを制限するには、ポート・セキュリティを実装します。Oracle Exadata Database Machineに接続されたスイッチのすべてのポートで自動トランキングを無効化します。
リモート構成を特定のIPアドレスに制限するときは、SSHを使用します。
最小限のパスワードの複雑度ルールとパスワードの有効期限ポリシーを設定することによって、ユーザーに強力なパスワードを使用することを要求します。
ロギングを有効にし、専用のセキュアなログ・ホストにログを送信します。
NTPおよびタイムスタンプを使用して正確な時間情報を含めるようにロギングを構成します。
可能性があるインシデントをログで確認し、組織のセキュリティ・ポリシーに従ってそれらをアーカイブします。
標準のFIPS 140 (連邦情報処理標準)はセキュリティと暗号化に関連しています。FIPS 140は、米国商務省の米国標準技術局(National Institute of Standards and Technology: NIST)によって発行されている一連の標準です。FIPS 140は遷移中のデータおよび保存データを保護します。コンピューティング環境内における暗号化コンポーネントのセキュリティ標準を規定します。FIPS 140は、コンピューティング環境が公開されたセキュリティ・レベルに準拠していることを文書化する必要のある組織にとって役立ちます。多数の政府機関や金融機関でFIPS 140認定システムが使用されています。
Oracle DatabaseレベルでFIPS 140を構成すると、Secure Sockets Layer (SSL)、透過的データ暗号化(TDE)、DBMS_CRYPTO PL/SQLパッケージおよびExadata Smart ScanでFIPS 140暗号モジュールを使用できるようになります。これにより、Exadata Smart Scanのオフロード操作の処理中にデータが保護されます。
関連項目:
『Oracle Databaseセキュリティ・ガイド』
『Oracle Database Advanced Securityガイド』
『Oracle Exadata Database Machineシステム概要』
新しいリリースとパッチ・セットを介して、セキュリティの強化が導入されます。効果的でプロアクティブなパッチ管理はシステム・セキュリティの重要な部分です。ソフトウェアの最新のリリース、およびすべての必要なセキュリティ・パッチを装置にインストールすることをお薦めします。Oracle推奨パッチおよびセキュリティ・パッチを適用することは、ベースライン・セキュリティを確立するためのベスト・プラクティスです。
Exadata Storage Serverオペレーティング・システムおよびカーネルの更新は、Oracle Exadata Storage Server Softwareの更新によって行われます。Oracle Exadata Database Machineデータベース・サーバーは、yum機能を使用して更新されます。配電ユニット(PDU)ファームウェアの更新は、ソフトウェアおよび他のファームウェアの更新とは別に処理されます。PDUでOracle Exadata Database Machineの最新の承認済ファームウェアが実行されていることを確認してください。PDUファームウェアの更新は頻繁には発行されないため、通常は、Oracle Exadata Storage Server Softwareのアップグレード時にPDUファームウェア・リリースをチェックすれば十分です。
|
注意: ネットワーク・スイッチなどのデバイスに搭載されたファームウェアには、パッチやファームウェア更新が必要なものもあります。 |
|
関連項目: 『Oracle Exadata Database Machineメンテナンス・ガイド』 |
Oracle Exadata Database Machineの外部にあるデータは、重要なデータをバックアップすることによって保護できます。その後、データをオフサイトの安全な場所に保管する必要があります。組織のポリシーおよび要件に従ってバックアップを保持します。
古いハード・ドライブを廃棄するときは、ドライブを物理的に破壊するか、ドライブ上のすべてのデータを完全に消去してください。ファイルを削除したり、ドライブを再フォーマットしても、ドライブ上のアドレス・テーブルのみが削除されます。ファイルが削除されたり、ドライブが再フォーマットされた後でも、情報はドライブから回復できます。Oracle Exadata Database Machineのディスク保存サポート・オプションを使用すると、置き換えたすべてのハード・ドライブとフラッシュ・ドライブをオラクル社に返却しないで保存できます。
CellCLI DROP CELLDISKコマンドには、データを上書きすることによってデータをセキュアに消去するオプションが含まれています。Exadata Storage Serverドライブに再デプロイメントまたは別の目的で消去する必要がある機密データが含まれている場合は、ストレージ・セルでセキュアな消去機能を使用する必要があります。ERASEオプションによって、すべてのデータがランダム・データで上書きされ、最大7回消去されます。これにより、確実にデータが回復できなくなり、データは完全に消去されます。
