| Oracle Database Applianceセキュリティ・ガイド リリース12.1.2.5.0 E69894-01 |
|
 前 |
 次 |
Oracle Database Applianceを導入する前に、セキュリティ・プラクティスを用意する必要があります。デプロイ後は、そのセキュリティ・プラクティスを定期的に見直して調整し、組織のセキュリティ上の要件に合せて最新の状態に維持する必要があります。この章は次の項で構成されています:
Oracle Database Applianceには多くのレイヤー化されたセキュリティ制御が含まれており、組織の独自のポリシーおよび要件に合せて調整できます。組織では、これらの機能の最適な利用方法を評価して、既存のITセキュリティ・アーキテクチャに統合する必要があります。効果的なITセキュリティでは、信頼できるリスク管理と管理プラクティスを提供するために、人、プロセスおよびテクノロジを考慮する必要があります。Oracle Database Applianceの計画、インストールおよびデプロイメントの各段階で、プラクティスとポリシーを設計し確認する必要があります。
Oracle Database Applianceのコンポーネントおよびデプロイされたサービスを、組織の既存のIDおよびアクセス管理アーキテクチャに統合するときは、IDおよびアクセス管理のための統一されたアプローチを使用する必要があります。Oracle Databaseは多くのオープンで標準的なプロトコルをサポートしているため、既存のIDおよびアクセス管理デプロイメントへの統合が可能です。アプリケーションの可用性を保証するには、統一されたIDおよびアクセス管理システムを利用できる必要があり、利用できない場合はOracle Database Applianceの可用性が危険にさらされる可能性があります。
Oracle Database Applianceの導入前に、次に示すセキュリティに関する考慮事項について検討してください。これらの考慮事項は、Oracle Database Applianceのためのベスト・プラクティスに基づいています。
Oracle Database Applianceに入出力するネットワーク・トラフィックを監視するための、データベース・サーバーでの侵入防止システムの使用。このようなシステムは、不審な通信、攻撃の可能性のあるパターンおよび認可されていないアクセスの試みの識別を可能にします。
Oracle Database Appliance内の可視性を向上するための、ホストベースの侵入検知および防止システムの使用。Oracle Databaseのファイングレイン監査機能を使用すると、ホストベースのシステムが不正なアクションおよび認可されていないアクティビティを検知する可能性が高くなります。
Oracle Database Applianceに入出力する情報を保護するための、アプリケーション・ファイアウォールおよびネットワーク・レイヤー・ファイアウォールの使用。ネットワーク・ポートのフィルタリングは、システムおよびサービスへの認可されていないアクセスを防ぐための第一線になります。
イーサネットの仮想ローカル・エリア・ネットワーク(VLAN)を使用したネットワークレベルのセグメント化と、ホストベースのファイアウォールが、ホストレベルでインバンドおよびアウトバウンドのネットワーク・ポリシーを強制します。セグメント化を使用することで、Oracle Database Applianceのコンポーネント間の通信のファイングレイン制御が可能になります。Oracle Database Applianceはソフトウェア・ファイアウォールを使用して構成できます。
Transparent Data Encryption (TDE)、Oracle Recovery Manager (RMAN)によるバックアップの暗号化、Oracle Advanced SecurityによるOracle Data Guardスタンバイ・データベースへのトラフィックの暗号化などの、暗号化機能の使用。
Oracle Database Applianceに統合されている機能の多くは、デフォルトでセキュアなデプロイメント用に構成されていますが、組織には独自のセキュリティ構成標準があります。Oracle Database Applianceコンポーネントのセキュリティ設定の変更をテストする前に、Oracleのセキュリティ情報を確認することが重要です。具体的には、どこで既存の標準を向上できるか、またサポート問題によって所定のコンポーネントに対する変更が制限される可能性があるのはどこかを特定しておくことが重要です。
データおよびシステムのセキュリティは、弱いネットワーク・セキュリティによって低下します。イーサネットのネットワーク・セキュリティを最大化するために、次のガイドラインに従うことをお薦めします。
現在のポリシーに合った暗号化プロトコルおよび鍵長が使用されうように管理・運用サービスを構成します。Oracle Database Applianceが提供する暗号化サービスは、ハードウェア・アクセラレーションのメリットを利用して、パフォーマンスに影響を及ぼすことなくセキュリティを向上させます。
Oracle Database Applianceのスイッチを、ネットワーク上のデータ・トラフィックから分離して管理します。この分離を「帯域外」とも呼びます。
システムでセキュリティ上重要なクラスタを、仮想ローカル・エリア・ネットワーク(VLAN)使用時にはネットワークの他の部分から分離します。こうすることで、このようなクライアントおよびサーバー上にある情報にユーザーがアクセスする可能性を低減します。
静的なVLAN構成を使用します。
未使用のスイッチ・ポートは無効にして、未使用のVLAN番号を割り当てます。
トランク・ポートに一意のネイティブVLAN番号を割り当てます。
トランクを介したトランスポートが可能なVLANは、厳密に必要とされるもののみに制限します。
可能であれば、VLAN Trunking Protocol (VTP)を無効にします。可能でない場合は、VTP用の管理ドメイン、パスワードおよびプルーニングを設定します。また、VTPを透過モードに設定します。
TCPのスモール・サーバー、HTTPなどの不要なネットワーク・サービスを無効にします。必要なネットワーク・サービスのみを有効にし、安全に構成します。
ネットワーク・スイッチは、様々なレベルのポート・セキュリティ機能を提供します。可能であれば、ポート・セキュリティ機能を次のように使用します。
1つ以上の接続デバイスのMedia Access Control (MAC)アドレスを、スイッチ上の物理ポートにロックします。スイッチ・ポートが特定のMACアドレスにロックされていると、スーパーユーザーは不正なアクセス・ポイントを使用してネットワークへのバックドアを作成することができません。
指定されたMACアドレスのスイッチへの接続を無効にします。
各スイッチ・ポートの直接接続を使用して、現在の接続に基づいてスイッチがセキュリティを設定できるようにします。
次の表に、Oracle Database Applianceコンポーネントのデフォルトのユーザーとパスワードを示します。すべてのデフォルト・パスワードを、Oracle Database Applianceのデプロイメント後に変更する必要があります。
| コンポーネント | ユーザー名とパスワード |
|---|---|
| Oracle Database Applianceサーバー |
|
| Oracle Database |
|
Oracle Database Applianceソフトウェアは、多くのデフォルトのセキュリティ設定を使用してインストールされます。可能かつ現実的である場合は、安全なデフォルト設定を選択して構成する必要があります。Oracle Database Applianceでは次のデフォルトの設定が使用されます。
攻撃される領域を小さくするための、最小限のソフトウェア・インストール。
Oracleのベスト・プラクティスを使用して開発および実装された、Oracle Databaseのセキュアな設定。
最小限のパスワードの複雑さを強制するパスワード・ポリシー。
設定された失敗回数を超えてログインに失敗するとロックアウトが発生します。
オペレーティング・システムのすべてのデフォルトのシステム・アカウントがロックされて、ログインできなくなります。
重要なセキュリティ関連の構成ファイルおよび実行可能ファイルに対する制限されたファイル権限。
管理ネットワークおよびプライベート・ネットワークに制限されたSSHリスニング・ポート。
v2プロトコルに限定されたSSH。
セキュリティ保護されていないSSH認証メカニズムの無効化。
構成済の特定の暗号法による暗号。
不要なプロトコルおよびモジュールは、オペレーティング・システムのカーネルから無効化されます。
