プライマリ・コンテンツに移動
Oracle® Audit Vault and Database Firewall管理者ガイド
リリース12.2
E70392-19
目次へ移動
目次 		索引へ移動
索引
前
前 		次
次

6 セキュア・ターゲット、監査証跡および強制ポイントの構成

ここでのトピック

6.1 セキュア・ターゲットの構成について

セキュア・ターゲットは、Audit Vault and Database Firewallが監視するサポート対象のデータベースまたはオペレーティング・システムです。Audit Vault Agent、Database Firewall、これらの両方のいずれをデプロイするかにかかわらず、Audit Vault Serverですべてのセキュア・ターゲットを登録する必要があります。

セキュア・ターゲットから監査証跡を収集するには、ターゲットごとに監査証跡を構成し、収集を手動で開始する必要があります。

Database Firewallでセキュア・ターゲットを監視するには、そのセキュア・ターゲットの強制ポイントを作成する必要があります。

Database Firewallで監視するセキュア・ターゲット・データベースによっては、データベースに問い合せて特定のデータを収集するようにOracle Audit Vault and Database Firewallを構成できます。そのためには、セキュア・ターゲット・コンピュータでスクリプトを実行し、データベース問合せに必要な権限を構成する必要があります。

Database Firewallを使用している場合は、受信SQLトラフィックに対するセキュア・ターゲット・データベースのレスポンスを監視することもできます。次の各項では、Oracle Audit Vault and Database Firewallシステムを構成するワークフローの概要について説明します。

関連項目:

6.2 セキュア・ターゲットの登録とグループの作成

ここでのトピック

6.2.1 Audit Vault Serverでのセキュア・ターゲットの登録または削除

ここでのトピック

6.2.1.1 Audit Vault Serverでのセキュア・ターゲットについて

Oracle AVDFスーパー管理者は、セキュア・ターゲットを作成し、そのセキュア・ターゲットへのアクセス権を他の管理者に付与できます。Oracle AVDF管理者もセキュア・ターゲットを作成できますが、作成したセキュア・ターゲットにアクセスできるのはその管理者とスーパー管理者のみです。

重要: 次の手順では、サービス名またはSIDを指定すると、Database Firewallはリストされているサービス名またはSIDへのトラフィックのみ取得します。この場合、データベース・クライアントがリストされているものとは異なるサービス名またはSIDを使用して接続すると、Database Firewallはそのトラフィックを監視しません。この問題を回避するためのベスト・プラクティスとして次のガイドラインに従います。

  • 保護されているOracleセキュア・ターゲットで実行するすべてのサービスでOracleサービス名を使用するように構成とポリシーを定義します。これにいより、構成で正しいOracleサービス名に各ポリシーを適用できるようになります。

  • 常に、すべてを捕捉するセキュア・ターゲット(および関連する強制ポイント)を定義して、以前のセキュア・ターゲットに明示的に構成されていたOracleサービス名と一致しないデータベース・トラフィックを処理します。この新しいセキュア・ターゲットには同じIPアドレスとTCPポート番号を指定する必要がありますが、Oracleサービス名は空にしておいてください。また、すべてをロギングするポリシーを適用する必要があります。このようにすると、Oracleサービス名が明示的に定義されたセキュア・ターゲットでは捕捉されないトラフィックがロギングされ、調べることができます。この結果に基づいて、Oracleサービス名に届くすべてのトラフィックを明示的に捕捉できるように構成とポリシーを絞り込むことができます。

Oracle Database 12cでマルチテナント・コンテナ・データベース(CDB)を使用しない場合は、以前のバージョンのOracle Databaseと同じように、データベースのセキュア・ターゲットを登録します。CDBを使用する場合は、CDBのセキュア・ターゲットに加え、各プラガブル・データベース(PDB)のセキュア・ターゲットも登録する必要があります。

6.2.1.2 セキュア・ターゲットの登録

Audit Vault Serverでセキュア・ターゲットを登録するには:

  1. Audit Vault Serverコンソールに管理者としてログインします。
  2. 「セキュア・ターゲット」タブをクリックします。

    「セキュア・ターゲット」ページに、アクセス可能な構成済のセキュア・ターゲットがリスト表示されます。ターゲットのリストはソートまたはフィルタ処理できます。

  3. 「登録」をクリックして、新しいターゲットを登録します。
  4. 「セキュア・ターゲットの登録」ページで新しいターゲットの「新規セキュア・ターゲット名」およびオプションの「説明」を入力します。
  5. 「セキュア・ターゲット・タイプ」フィールドで、セキュア・ターゲット・タイプを選択します。たとえば、Oracle Databaseなどです。
  6. オプションとして、「セキュア・ターゲットの場所(監査用)」設定を入力します。これは監査データを収集するエージェントで必要であり、Database Firewallのみのデプロイメントでは必要ありません。

    GUID-5CEF8C59-4129-4741-B97B-057BE2C51017-default.gifの説明が続きます
    図GUID-5CEF8C59-4129-4741-B97B-057BE2C51017-default.gifの説明

    「セキュア・ターゲットの場所(監査用)」セクションで、「基本」オプションを選択します。「ホスト名」、「IPアドレス」または「ポート」に入力し、Oracle Databaseの場合は「サービス名」(または「SID」)を入力します。

    正確な接続文字列がわかる場合は、かわりに「詳細」ラジオ・ボタンをクリックして、そこに文字列を入力できます。

    たとえば、Oracle Databaseの場合、文字列は次のようになります。

    jdbc:oracle:thin:@//203.0.113.0:1521/hrdb

    エージェント・データ収集のためにOracle RACセキュア・ターゲットを構成するときは、SCANホスト名を入力します。保護のためにOracle Database Firewallを使用してOracle RACセキュア・ターゲットを構成できます。

  7. セキュア・ターゲット・タイプで必要な場合は、「ユーザー名」および「パスワード」フィールドに入力します。これらは、Oracle Audit Vault and Database Firewall用に作成したセキュア・ターゲット・ユーザー・アカウントの資格証明です。
  8. このセキュア・ターゲットをDatabase Firewallを使用して監視する場合は、「セキュア・ターゲットのアドレス(ファイアウォール用)を追加」領域でこのデータベースで使用できる各接続について次の情報を入力し、「追加」をクリックします。

    • ホスト名/IPアドレス

    • ポート番号

    • サービス名(オプション、Oracle Databaseの場合のみ)

      このフィールドで「SID」を使用することもできます。複数のサービス名またはSID (あるいはその両方)を入力するには、サービス名またはSIDごとに改行を入力し、「追加」をクリックします。

      同じデータベース上の異なるサービス名またはSIDに対して異なるDatabase Firewallポリシーを強制する場合、サービス名またはSIDごとに個別のセキュア・ターゲットを作成する必要があります。

    ノート:

    • セキュア・ターゲットがOracle Real Application Cluster (RAC)の場合、IP (またはホスト名)はクラスタ・ノードのSCAN名です。PORTは、リモート・リスナーが稼働しているポートです。Oracle RAC環境でSCAN名を構成するステップの詳細は、Oracle Grid Infrastructure SCAN リスナーを構成する方法に関する項を参照してください。

    • セキュア・ターゲットがMicrosoft SQL Serverクラスタである場合、必須のコレクション属性を設定する必要があります。詳細は、Microsoft SQL Serverの項を参照してください。

  9. 必要に応じて、「収集属性」セクションで「属性名」および「属性値」に値を入力します。「追加」をクリックします。

    セキュア・ターゲットのタイプによっては、Audit Vault Agentでコレクション属性が必要になります。

  10. このセキュア・ターゲットをDatabase Firewallを使用して監視する場合は、次のコレクション属性を追加して、このセキュア・ターゲットに割り当てる処理リソースを増やすことができます。

    属性名: MAXIMUM_ENFORCEMENT_POINT_THREADS

    属性名: 1～16の数字(デフォルトは1)

    これは、このセキュア・ターゲットに関連付けられた強制ポイントに使用できるDatabase Firewallプロセスの最大数(1～16)を定義します。Database Firewallを実行するシステムで利用できる処理コアの数よりも、監視するセキュア・ターゲットの数の方が少ない場合は、これを定義することを検討してください。不必要に値を設定すると、リソースを浪費することになります。

  11. 「保存」をクリックします。

    ノート:

    Hybrid CloudのOracle Databaseを登録するには、TCPSを構成する必要があります。エージェントとOracle Databaseセキュア・ターゲットの接続の保護を参照してください。

    関連項目:

6.2.1.3 セキュア・ターゲットの変更

セキュア・ターゲットを変更するには:

  1. Audit Vault Serverコンソールに管理者としてログインします。
  2. 「セキュア・ターゲット」タブをクリックします。

    「セキュア・ターゲット」ページに、アクセス可能な構成済のセキュア・ターゲットがリスト表示されます。ターゲットのリストはソートまたはフィルタ処理できます。

  3. 変更する対象のセキュア・ターゲットの名前を選択します。
  4. 「セキュア・ターゲットの変更」ページで変更を行い、「保存」をクリックします。

ノート:

セキュア・ターゲットの名前を変更すると、新しい名前はAudit Vault Agentを再起動するまでOracle Audit Vault and Database Firewallレポートに表示されません。

関連項目:

6.2.1.4 セキュア・ターゲットの削除

Oracle AVDFに登録されているセキュア・ターゲットが不要になった場合、コンソールまたはコマンドライン・ユーティリティを使用してそのセキュア・ターゲットを削除できます。セキュア・ターゲットをOracle AVDFから削除しても、その監査データは、保存期間内はデータ・ウェアハウスに存在し続けます(アーカイブ・ポリシー)。

セキュア・ターゲットを削除しても、その識別データはOracle AVDFに残存するため、削除されたセキュア・ターゲットのレコードは存在します。セキュア・ターゲットを削除するのは、データを収集する必要がなくなった場合または新しいホスト・コンピュータに移動した場合のみです。

セキュア・ターゲットを削除するには:

  1. Audit Vault Serverコンソールに管理者としてログインします。
  2. 「セキュア・ターゲット」タブをクリックし、削除するセキュア・ターゲットを選択します。
  3. 「削除」をクリックします。

    関連項目:

6.2.2 セキュア・ターゲット・グループの作成または変更

スーパー管理者は、個別ではなくグループとしてセキュア・ターゲットへのアクセス権を他の管理者に付与するために、セキュア・ターゲット・グループを作成できます。

セキュア・ターゲット・グループを作成するには:

  1. Oracle Audit Vault and Database Firewallコンソールにスーパー管理者としてログインし、「セキュア・ターゲット」タブをクリックします。

  2. 左側の「グループ」メニューをクリックします。

    事前構成済のグループが上部ペインに表示され、ユーザー定義のグループが下部ペインにリスト表示されます。

    下部ペインのリストの表示方法は、「アクション」メニューから調整できます。

  3. 「作成」をクリックし、グループの名前と、オプションで説明を入力します。

  4. セキュア・ターゲットをグループに追加するには、そのセキュア・ターゲットを選択して「メンバーの追加」をクリックします。

  5. 「保存」をクリックします。

    グループ・ページの下部ペインに新しいグループが表示されます。

セキュア・ターゲット・グループを変更するには:

  1. Oracle Audit Vault and Database Firewallコンソールにスーパー管理者としてログインし、「セキュア・ターゲット」タブをクリックします。

  2. 左側の「グループ」メニューをクリックします。

    事前構成済のグループが上部ペインに表示され、ユーザー定義のグループが下部ペインにリスト表示されます。

    下部ペインのリストの表示方法は、「アクション」メニューから調整できます。

  3. グループ名をクリックします。

  4. 「セキュア・ターゲットの変更」ページで、追加または削除するセキュア・ターゲットを選択した後、「メンバーの追加」または「メンバーの削除」をクリックします。

  5. オプションで、グループの名前または説明を変更できます。

  6. 「保存」をクリックします。

関連項目:

「アクション」メニューから下部ペインのリストの表示を調整するには、「UIでのオブジェクト・リストの使用」を参照してください。

6.2.3 セキュア・ターゲットおよびセキュア・ターゲット・グループへのアクセスの制御

Oracle Audit Vault and Database Firewallスーパー管理者は、セキュア・ターゲットまたはセキュア・ターゲット・グループにアクセスできる管理者を制御できます。制御できるのは、個々のユーザーに対するアクセス権、または個々のセキュア・ターゲットまたはセキュア・ターゲット・グループに対するアクセス権です。

関連項目:

セキュア・ターゲットまたはセキュア・ターゲット・グループへのユーザーのアクセス権限の管理

6.3 監査データ収集のためのセキュア・ターゲットの準備

ここでのトピック

6.3.1 セキュア・ターゲットでのNTPサービスを使用した時刻の設定

セキュア・ターゲットとAudit Vault Serverの両方でNTPサービスを使用することもお薦めします。これは、Audit Vault Serverによって生成されるアラートに関するタイムスタンプの混乱を避けるのに役立ちます。

関連項目:

NTPサーバーを使用したAudit Vault Serverの時刻の設定の詳細は、「サーバーの日付、時刻およびキーボード設定の指定」を参照してください。

6.3.2 セキュア・ターゲットで監査が有効であることの確認

セキュア・ターゲットから監査データを収集するために、そのセキュア・ターゲットで監査が有効になっていることを確認し、該当する場合はセキュア・ターゲットが使用している監査のタイプをノートにとる必要があります。セキュア・ターゲット・タイプの詳細は、製品のドキュメントを参照してください。

Oracle Databaseセキュア・ターゲットで監査が有効になっているかどうかを確認する手順は、次のとおりです。

  1. Oracleデータベースに管理権限を持つユーザーとしてログインします。次に例を示します。
    sqlplus trbokuksa
Enter password: password
Connected.
  2. 次のコマンドを実行します。 
    SHOW PARAMETER AUDIT_TRAIL

NAME                                 TYPE        VALUE
------------------------------------ ----------- -------
audit_trail                          string      DB
  3. SHOW PARAMETERコマンドの出力がNONEである場合、または変更対象の監査値である場合は、次のようにして設定を変更できます。

    たとえば、XMLに変更する場合、サーバー・パラメータ・ファイルを使用しているとき、次のように入力します。

    CONNECT SYS/AS SYSDBA
Enter password: password

ALTER SYSTEM SET AUDIT_TRAIL=XML SCOPE=SPFILE;
System altered.

SHUTDOWN
Database closed.
Database dismounted.
ORACLE instance shut down.

STARTUP
ORACLE instance started.
  4. 監査証跡設定をノートにとります。

    この情報は、Oracle Audit Vault and Database Firewallで監査証跡を構成するときに必要になります。

6.3.3 セキュア・ターゲットに対するユーザー・アカウント権限の設定

一部のセキュア・ターゲット・タイプでは、Oracle Audit Vault and Database Firewallがアクセスするための資格証明が必要です。セキュア・ターゲットから監査データを収集する場合は、ストアド・プロシージャ監査(SPA)または権限監査を実行するか、データベース問合せを有効にして、セキュア・ターゲットでユーザー・アカウントを作成する必要があります。このユーザー・アカウントには適切な権限を付与し、Oracle Audit Vault and Database Firewallが必要なデータにアクセスできるようにします。

データベース・セキュア・ターゲット用の設定スクリプト: Oracle Audit Vault and Database Firewallで提供されているスクリプトを使用して、データベース・セキュア・ターゲット・タイプ用のユーザー・アカウント権限を構成できます。

非データベース・セキュア・ターゲット: 必要な監査証跡にアクセスできる適切な権限を付与されたユーザーを作成する必要があります。たとえばWindowsセキュア・ターゲットの場合、セキュリティ・ログを読み取れるようにするため、このユーザーには管理権限が必要です。

ノート:

Oracle Audit Vault and Database Firewallでは、引用符付きのユーザー名を使用できません。たとえば、セキュア・ターゲットのAudit Vault and Database Firewallユーザー・アカウントに対して"JSmith"は有効なユーザー名ではありません。

関連項目:

データベース・セキュア・ターゲット・タイプ用のユーザー・アカウント権限を構成するスクリプトの詳細は、「セキュア・ターゲットに対するOracle AVDFアカウント権限用のスクリプト」を参照してください。

6.3.4 監査証跡のクリーンアップのスケジュール

監査証跡のクリーンアップのスケジューリングについて学習します。

Oracle Audit Vault and Database Firewallでは、Oracle Database、Microsoft SQL ServerおよびMySQLの監査証跡クリーンアップがサポートされています。

関連項目:

監査証跡のクリーンアップ

6.4 監査証跡収集の構成および管理

監査証跡収集の構成および管理について学習します。

6.4.1 Audit Vault Serverでの監査証跡の追加

監査データの収集を開始するには、Audit Vault Serverでセキュア・ターゲットごとに監査証跡を構成した後、監査証跡収集を手動で開始する必要があります。

この手順では、Audit Vault Agentがセキュア・ターゲットと同じホスト・コンピュータにインストールされていることを前提としています。

前提条件

セキュア・ターゲットの監査証跡を構成する前に、次のことを実行する必要があります。

セキュア・ターゲットの監査証跡を構成するには:

  1. 「セキュア・ターゲット」タブをクリックします。

  2. 「監視」で「監査証跡」をクリックします。

    「監査証跡」ページが表示され、構成済の監査証跡とそのステータスがリスト表示されます。

  3. 「監査証跡」ページで、「追加」をクリックします。

  4. 「監査証跡のタイプ」ドロップダウン・リストから、次のいずれかを選択します。

    • CUSTOM

    • DIRECTORY

    • EVENT LOG

    • NETWORK

    • SYSLOG

      この証跡タイプは、syslogまたはrsyslogファイルから収集できます。両方が存在する場合、rsyslogファイルから監査データを収集するには、正確な「証跡の場所」を指定する必要があります(ステップ7で)。詳細は、表B-23を参照してください。

      重要: rsyslogによって生成されるレコードに、「収集ホスト」で実行されているAudit Vault Agentと同じタイムゾーン情報が存在することを確認します。

    • TABLE

    • TRANSACTION LOG

      この監査証跡タイプの場合、セキュア・ターゲット・データベースに完全修飾データベース名があることを確認します。表C-1のGLOBAL_NAMESの設定を参照してください。

    特定のセキュア・ターゲット・タイプに対して収集できる監査証跡のタイプの詳細は、表B-17を参照してください。

  5. 「収集ホスト」フィールドで、上向き矢印アイコンをクリックして検索ボックスを表示し、Audit Vault Agentがデプロイされているホスト・コンピュータを検索して選択します。

  6. 「セキュア・ターゲット」フィールドで、上向き矢印アイコンをクリックして検索ボックスを表示し、セキュア・ターゲットを検索して選択します。

  7. 「証跡の場所」フィールドに、セキュア・ターゲット・コンピュータ上の監査証跡の場所(sys.aud$など)を入力します。

    証跡の場所は、セキュア・ターゲットのタイプによって異なります。

    ノート1: 「監査証跡のタイプ」で「DIRECTORY」を選択した場合、証跡の場所はディレクトリ・マスクにする必要があります。

    ノート2: 「監査証跡のタイプ」にSYSLOGを選択し、syslogおよびrsyslogの両方のタイプのファイルが存在する場合は、syslogまたはrsyslogのいずれかのファイルの正確なディレクトリの場所を入力します。詳細(重要)は、表B-23を参照してください。

  8. このタイプのセキュア・ターゲットのプラグインをデプロイした場合、「収集プラグイン」ドロップダウン・リストからプラグインを選択します。

  9. 「保存」をクリックします。

    監査証跡は「監査証跡」ページのリストに追加されます。収集のステータスに、初期状態で赤の下向き矢印(停止)が表示されます。監査証跡は、追加直後に自動的に開始されます。

関連項目:

6.4.2 Audit Vault Serverでの監査証跡の停止、開始および自動起動

監査証跡は、追加直後に自動的に開始されます。監査証跡を開始するためには、ホスト・コンピュータでAudit Vault Agentが実行されている必要があります。

Audit Vault Agentが再起動されるか、またはAudit Vault Serverの更新によって更新された場合は、開始されていた監査証跡は自動的に再開されます。

セキュア・ターゲットが一時的に停止されたときなどに、監査証跡が停止することがあります。自動起動では、監査証跡が停止した場合に、システムが自動的に再起動を試みます。自動起動は、手動で証跡を停止している場合を除き、通常は有効になっています。AVCLIユーティリティを使用して、いつ、何回、システムが自動起動を試行するかのパラメータを設定できます。

セキュア・ターゲットの監査証跡収集を開始または停止するには:

  1. Audit Vault Serverコンソールに管理者としてログインします。
  2. 「セキュア・ターゲット」タブをクリックします。
  3. 「監査証跡」をクリックします。
  4. 開始または停止する監査証跡を選択して、「停止」または「開始」をクリックします。

    Audit Vault Agentの更新中は監査証跡を開始できません。

    ノート:

    100万以上の監査ファイルがある場合など、収集する監査ファイルが多い場合は監査証跡の開始までに数分かかることがあります。

    関連項目:

6.4.3 Audit Vault Serverでの監査証跡のステータスの確認

監査証跡のステータスを確認するには:

  1. Audit Vault Serverコンソールに管理者としてログインします。

  2. 「セキュア・ターゲット」タブをクリックします。

  3. 「監査証跡」をクリックします。

    「監査証跡」ページに監査証跡がリストされ、その他の詳細とともに、「収集のステータス」列にそのステータスが表示されます。ステータスは、次のいずれかです。

    • アイドル: 証跡は稼働中で、収集する新しい監査データはありません。この状態では、証跡はセキュア・ターゲットによって新しい監査データが生成されるのを待機しています。

    • 開始中: 収集処理を開始しています。

    • 収集中: 証跡は現在アクティブに監査データを収集しています。

    • 停止中: 収集処理を停止しています。

    • 停止済: 証跡は現在停止しています。

    • リカバリ中: 証跡は監査データのバッチを収集した後、Audit Vault Serverでチェックポイントを設定しています。サーバーの負荷によっては、この処理にしばらく時間がかかることがあります。

    • 到達不能: ハートビート・タイムアウトが発生しました。直前の2分間、証跡からハートビート・メッセージを受信しなかったことを意味します。証跡がクラッシュしていなければ、このステータスは一時的です。

    • アーカイブ・データ・ファイルが必要(リンク): このリンクが表示される場合は、新規の監査証跡にはアーカイブする必要のある期限切れの監査レコードが含まれており、それに必要なアーカイブ・データ・ファイルが使用できないことを意味しています。

    「証跡自動起動詳細」列は、証跡の自動起動が有効になっているかどうか、障害が発生した監査証跡(たとえば、セキュア・ターゲットが一時的に停止した場合)の再起動が試行されているかどうかを示します。

ヒント: 監査証跡リストはソートおよびフィルタ処理できます。

ノート:

特定のエージェント・ホストの監査証跡のステータスを表示するには、「ホスト」タブをクリックし、そのホストの「エージェントの詳細」列で「監査証跡の表示」をクリックします。

ノート:

監査証跡の開始に失敗した場合、「エラー・メッセージ」列を表示することで、さらに多くの情報を得ることができます。

  1. 「監査証跡」ページで、「アクション」ボタンをクリックして「列の選択」をクリックします。

  2. 左にある「エラー・メッセージ」をダブルクリックし、「レポート」ボックスにある「表示」に移動して、「適用」をクリックします。

関連項目:

6.4.4 新規の監査証跡と期限切れ監査レコードの処理

監査証跡の収集が確立すると、監査データは、保存(アーカイブ)ポリシーの「オンラインだった月数」の期間、Audit Vault Serverで保持されます。この期間の後、データ・ファイルはアーカイブ可能となります。その後データは、保存ポリシーの「アーカイブされていた月数」の間、アーカイブ内に保存され、その期間中、Audit Vault Serverへの取得に使用できます。

ただし、既存のセキュア・ターゲットに新規の監査証跡を追加した場合、収集された監査データに、このセキュア・ターゲットに割り当てられている保存ポリシー内の「アーカイブされていた月数」期間に該当するレコードが含まれることがあります。つまり、これらの監査レコードのオンライン期間は期限切れのため、保存ポリシーに従ってアーカイブする必要があります。

この場合、Oracle Audit Vault and Database Firewallでは、新規の監査証跡の収集中に自動的にこれらの期限切れレコードのアーカイブが試行されます。場合によっては、監査証跡が収集を完了できるように、アーカイブ・データ・ファイルを使用可能にする必要があります。

既存のセキュア・ターゲットの新規の監査証跡を収集するときに、監査証跡の「収集のステータス」に「アーカイブ・データ・ファイルが必要」リンクが表示された場合は、次の手順に従います。

アーカイブ・データ・ファイルにアクセスできるようにするには:

  1. Audit Vault Serverコンソールに管理者としてログインします。
  2. 「セキュア・ターゲット」タブをクリックし、「監査証跡」をクリックします。
  3. 「収集のステータス」列で、該当する場合は、「アーカイブ・データ・ファイルが必要」リンクをクリックします。

    必要なアーカイブ・データ・ファイルがリストされます。

  4. アーカイブの場所で、必要なデータ・ファイルが使用可能であり、その場所への接続が正しく設定されていることを確認します。
  5. 必要なデータ・ファイルを使用可能にした後で、この監査証跡を再起動します。

関連項目:

6.4.5 監査証跡の削除

監査証跡を削除するには、次のステップに従います。

  1. Audit Vault Serverコンソールに管理者としてログインします。
  2. 監査証跡が停止していることを確認します。
  3. 「セキュア・ターゲット」タブをクリックします。
  4. 「監査証跡」をクリックします。
  5. 削除する監査証跡を選択し、「削除」をクリックします。

6.4.6 収集のための監査レコード・フォーマットの変換

一部のデータベースの監査レコードは、Oracle Audit Vault and Database Firewallコレクタによって直接読み取ることができない形式です。このような監査レコードは、まず読取り可能な形式に変換されてから収集されます。

MySQL監査用XML変換ユーティリティの実行

MySQLセキュア・ターゲットの場合、Oracle Audit Vault and Database Firewallに含まれている変換ユーティリティで、MySQLのXML監査フォーマット・ログ・ファイルを監査データの収集で利用できる形式に変換します。監査証跡を追加する前に、このユーティリティをMySQLホスト・マシンで実行する必要があります。

ノート:

この手順は古い監査フォーマットでのみ利用できます。MySQL 5.5および5.6のデフォルト監査フォーマットは古いです。MySQL 5.7のデフォルト監査フォーマットは新しいです。監査フォーマットはMySQL Serverで構成を変更することで変更できます。

前提条件

XML変換ユーティリティを実行するには:

  1. MySQLホスト・コンピュータで、AGENT_HOME/av/plugins/ com.oracle.av.plugin.mysql/bin/ディレクトリに移動します。
  2. 次のコマンドを実行します。
    MySQLTransformationUtility.bat inputPath=path_to_log_folder 
outputPath=path_to_converted_xml agentHome=path_to_AGENT_HOME 
interval=interval_in_minutes xslPath=XSL_file_path securedTargetName=registered_secured_target_name

    このコマンドには次の変数が含まれます。

    • path_to_log_folder:

      • 5.7.21より前のMySQLバージョンの場合: my.iniにリストされているMySQLログ・フォルダへのパス

      • MySQLバージョン5.7.21以降の場合: my.ini\<audit file name>.*.logにリストされているMySQLログ・フォルダへのパス

    • path_to_converted_xml - 変換後のXMLファイルが格納されるフォルダへのパス。このパスは、このMySQLセキュア・ターゲットの監査証跡をAudit Vault Serverで作成する際またはAVCLIコマンドラインを使用して監査証跡収集を開始する際に、証跡の場所として使用します。

    • path_to_AGENT_HOME - Audit Vault Agentのインストール・ディレクトリへのパス。

    • interval_in_minutes - (オプション) 次の変換処理までの待ち時間(分)。指定しなかった場合のデフォルトは60分です。変換ユーティリティを1回実行するには、この引数に-veを指定します。

    • XSL_file_path - (オプション) 変換に使用するXSLファイルへのパス。

    • registered_secured_target_name - Audit Vault Serverに登録するMySQLセキュア・ターゲットの名前。

    例:

    5.7.21より前のMySQLバージョンの場合: MySQLTransformationUtility.bat inputPath=D:\MySQLLog outputPath=D:\ConvertedXML agentHome=E:\MySQLCollector interval=1 securedTargetName=MYSQL_DEV

    MySQLバージョン5.7.21以降の場合: MySQLTransformationUtility.bat inputPath=D:\MySQLLog\audit.*.log outputPath=D:\ConvertedXML agentHome=E:\MySQLCollector interval=1 securedTargetName=MYSQL_DEV

6.4.6.1 バイナリ監査ファイルのASCII形式への変換

IBM DB2監査のためのバイナリ監査ファイルのASCII形式への変換

IBM DB2では、監査ログ・ファイルがDB2データベースとは別のバイナリ・ファイル形式で作成されます。IBM DB2セキュア・ターゲットの場合、DB2データベースの監査データを収集する(監査証跡を開始する)たびに、この項で説明するスクリプトを使用して、事前にバイナリ・ファイルをASCIIファイルに変換する必要があります。

原則として、このスクリプトを定期的に実行するようにスケジュールします。DB2監査証跡によってすでに収集されている古いテキスト・ファイルがスクリプトによって検出されると、それらのファイルは削除されます。スクリプトを実行するたびに、タイムスタンプが設定されたASCIIテキスト・ファイルが新しく作成されます。オプションで、出力監査ファイルをパージするスクリプトを設定できます。

ノート:

別のディレクトリで各データベースおよび各インスタンスの監査ログ・ファイルを抽出することをお薦めします。Oracle AVDFでは、各データベースおよび各インスタンスに対して別の監査証跡を構成する必要があります。

バイナリのDB2監査ファイルをASCIIファイルに変換するには:

  1. db2auditコマンドを実行する権限を持つユーザーを識別します。

    このユーザーはバイナリ・ファイルをテキスト・ファイルに抽出します。

  2. ステップ1で識別したユーザーに、Oracle AVDFディレクトリから変換スクリプトを実行する権限を付与します。スクリプト名は、次のとおりです。

    • DB2リリース8.2データベース: DB282ExtractionUtil(Microsoft Windowsでは、このファイルはDB282ExtractionUtil.batになります。)

    • DB2 9.5リリース・データベース: DB295ExtractionUtil (Microsoft Windowsでは、このファイルはDB295ExtractionUtil.batになります。)

  3. ステップ1で識別したユーザーに、$AGENT_HOME/av/atcディレクトリおよびその内容の読取り権限を付与します。
  4. IBM DB2データベースをインストールしたサーバーで、SYSADM DB2ユーザーとしてシェルを開きます。
  5. 次の変数を設定します。

    • AGENT_HOME (これは、Audit Vault Agentインストール・ディレクトリです。)

    • DB2AUDIT_HOME(このディレクトリは、db2auditコマンドを含むメイン・ディレクトリを示します。)

  6. エージェント・プロセスのOracle AVDF所有者が、抽出ユーティリティで生成される監査テキスト・ファイルの読取り権限を持っていることを確認します。
  7. 「IBM DB2 for LUWの設定スクリプト」で指定したDB2ユーザーとしてログインします。
  8. インストールしたDB2のバージョンに応じて、次のいずれかのスクリプトを実行します。

    • DB2リリース8.2データベースの場合:

      DB282ExtractionUtil -extractionpath default_DB2_audit_directory -audittrailcleanup yes/no

      • default_DB2_audit_directory: DB2監査ディレクトリの場所へのフル・ディレクトリ・パスを入力します。通常、このディレクトリは次の場所にあります。

        UNIX: DB2_HOME/sqlib/security/auditdata

        Microsoft Windows: DB2HOME\instance\security\auditdata

      • yes/no: yesまたはnoを入力し、監査証跡クリーンアップを有効または無効にします。yesを入力すると、Oracle AVDF DB2監査証跡によって収集された最新の監査レコードまで、IBM DB2監査ファイルが削除されます。この値を省略した場合、デフォルトはnoです。

      たとえば、監査ファイルを抽出し、監査証跡クリーンアップを有効にするには、次のように実行します。

      DB282ExtractionUtil -extractionpath /home/extract_dir -audittrailcleanup yes

      このスクリプトにより、ファイルの作成日時を示す次の書式を使用して、auditdataディレクトリにASCIIテキスト・ファイルが作成されます。

      db2audit.instance.log.0.YYYYDDMMHHMMSS.out

    • DB2リリース9.5データベースの場合:

      DB295ExtractionUtil -archivepath archive_path -extractionpath extraction_path -audittrailcleanup yes/no -databasename database_name

      詳細は、次のとおりです。

      • archive_path: db2auditユーティリティを使用して構成されるDB2アーカイブ・パスです。

      • extraction_path: DB2抽出ユーティリティが変換済のASCIIテキスト・ファイルを配置するディレクトリです。このファイルはdb2audit.instance.log.0.YYYYDDMMHHMMSS.outまたはdb2audit.db.database_name.log.0.20111104015353.outの形式で作成されます。

      • yes/no: yesまたはnoを入力し、監査証跡クリーンアップを有効または無効にします。yesを入力すると、Oracle AVDF DB2監査証跡によって収集されたアーカイブ済のIBM DB2監査ファイルが削除されます。この値を省略した場合、デフォルトはnoです。

      • database_name: (オプション)監査レコードが格納されているデータベースの名前(複数の場合はスペース区切りの名前)です。

        このユーティリティでは、コマンドに名前が指定されたデータベースごとに個別のASCIIファイルが作成されます。このパラメータを省略すると、インスタンスのバイナリがASCIIファイルに変換されます。このパラメータを使用すると、表の作成や削除を取得するオブジェクト・メンテナンス(objmaint)レコードなど、監査レコードのカテゴリを収集できます。

        重要: このコマンドに複数のデータベース名を入力した場合は、コマンドを実行した後に、各データベースのASCIIファイルを必ず個別のディレクトリに入れてください。

      例1: 次のコマンドでは、TOOLSDBデータベースのASCIIファイルが作成され、/home/extract_dirディレクトリにファイルが置かれて、監査データを収集した後にアーカイブ・ファイルが削除されます。 

      DB295ExtractionUtil -archivepath /home/archive_dir -extractionpath /home/extract_dir -audittrailcleanup yes -databasename TOOLSDB

      例2: 次のコマンドでは、データベース・インスタンスのASCIIファイルが作成され、/home/extract_dirディレクトリにファイルが置かれて、監査データを収集した後にアーカイブ・ファイルが削除されます。 

      DB295ExtractionUtil -archivepath /home/archive_dir -extractionpath /home/extract_dir -audittrailcleanup yes

スクリプトを自動的に実行するようにスケジュールする場合、次のガイドラインに従ってください。

  • UNIX: crontab UNIXユーティリティを使用します。スクリプトを通常どおりに実行するときに前述のパラメータを使用して指定したのと同じ情報を指定します。

  • Microsoft Windows: Windows Schedulerを使用します。アーカイブ・ディレクトリ・パス(リリース9.5データベースの場合のみ)、抽出パスおよびセキュア・ターゲット・データベース名をスケジュールしたタスクに指定します。

6.4.7 Oracle Real Application Clusters用の監査証跡収集の構成

Oracle Real Application Clusters (Oracle RAC)用に監査証跡収集を構成できます。

RAC用にSCANリスナーを構成し、ターゲット登録時にSCANリスナーIPを単一IPとして使用します。

Oracle Real Application Clusters (RAC)用に監査証跡収集を構成するには、次のガイドラインに従います。

監査証跡のタイプ 監査証跡の数

TABLE

Oracle RAC環境からの表証跡監査データ収集を構成するには、1つの監査証跡で十分です。

DIRECTORY

Oracle RAC環境からのディレクトリ監査データ収集を構成するには、別の監査証跡が必要です。証跡の場所は、Oracle RAC環境の共有記憶域内の別のディレクトリである必要があります。

TRANSACTION LOG (REDO)

Oracle RAC環境からのトランザクション・ログ(REDO)監査データ収集を構成するには、1つの監査証跡で十分です。

関連項目:

監査証跡を構成するには、「Audit Vault Serverでの監査証跡の追加」を参照してください。

6.4.8 CDBおよびPDBの監査証跡収集の構成

Oracle Databaseは、コンテナ・データベース(CDB)またはプラガブル・データベース(PDB)として動作できます。PDBは、Oracle Netクライアントに非CDBとして表示されるスキーマ、スキーマ・オブジェクトおよび非スキーマ・オブジェクトのポータブル・コレクションです。Oracle Database 12cより前のすべてのOracleデータベースは非CDBです。

PDBおよびCDBは、セキュア・ターゲットとして登録することもできます。Oracle Audit Vault and Database Firewallは、CDBおよびPDBレベルの監査収集をサポートしています。CDB内の複数のPDBインスタンスから監査データを収集するには、PDBインスタンスごとに個別のセキュア・ターゲットを作成する必要があります。

CDB_UNIFIED_AUDIT_TRAILからは、マルチテナント環境におけるすべてのPDBインスタンスからの監査レコードが提供されます。CDB_UNIFIED_AUDIT_TRAILからの監査収集のパフォーマンスは、各PDBインスタンスのUNIFIED_AUDIT_TRAILからの監査収集よりも低くなります。CDB_UNIFIED_AUDIT_TRAILの1日当たりに生成される監査レコードの数が800万より多い場合は、すべてのPDBインスタンスのUNIFIED_AUDIT_TRAILからの監査収集を構成します。

CDBまたはPDBの監査証跡収集を構成するには、次のガイドラインに従います。

監査証跡のタイプ ガイドライン

TABLE

  • 監査レコードは、CDBの監査表から収集できます。これらには、CDBのみのアクティビティの監査詳細が含まれています。

  • すべてのPDBには、互いに独立している監査データを格納するための独自の監査表があります。このため、監査データを収集するには、各PDB用に別々の監査証跡が必要です。

  • PDBの監査のCDBレベルの監査収集はサポートされていません。

ノート:

CDB_UNIFIED_AUDIT_TRAILからの監査収集はサポートされていません。

DIRECTORY

  • ディレクトリの証跡の場所を<value of AUDIT_FILE_DEST> (データベース・パラメータ)として指定することにより、CDBに対してディレクトリ証跡からの監査を収集できます。

  • ディレクトリ証跡の場所を<value of AUDIT_FILE_DEST>/<GUID of the PDB>として指定することにより、各PDBに対してディレクトリ証跡からの監査を収集できます。

ノート:

Oracle Database 12cでマルチテナント・コンテナ・データベース(CDB)を使用している場合、CDBに対して、CDBおよびすべてのPDBに対するターゲットを登録する必要があります。

TRANSACTION LOG (REDO)

トランザクション・ログ収集は、PDBまたはCDBに対してサポートされていません。

監査ポリシーの取得とプロビジョニング

すべてのPDBを独立したセキュア・ターゲットとして処理することにより、監査ポリシーをプロビジョニングまたは取得できます。

関連項目:

監査証跡を構成するには、「Audit Vault Serverでの監査証跡の追加」を参照してください。

6.5 強制ポイントの構成

強制ポイントの構成について学習します。

ノート:

透過的アプリケーション・フェイルオーバー(TAF)、高速アプリケーション通知(FAN)またはOracle Notification Service (ONS)を使用している場合、SQLコマンドはこのチャネルを介して送信されません。Oracle Database Firewallを介してルーティングする必要はありません。ONS通信では、Database FirewallをバイパスしてONSリスナーに直接接続します。宛先ホストおよびポートを含むONS通信は、ONSサーバーにあるons.configプロパティ・ファイルで構成されます。

6.5.1 セキュア・ターゲットの強制ポイントの構成について

1つのDatabase Firewallで各データベースを監視している場合は、ファイアウォールで監視するすべてのセキュア・ターゲット・データベースに対して1つの強制ポイントを構成する必要があります。強制ポイントの構成では、ファイアウォールの監視モード(監視のみまたはブロック)、監視対象のセキュア・ターゲット・データベース、そのデータベースに対するネットワーク・トラフィック・ソースおよび強制ポイントに使用するDatabase Firewallを指定できます。

強制ポイントを構成する前に、データベース・ファイアウォール構成の一環としてネットワーク・トラフィック・ソースを構成します。

関連項目:

ネットワーク上のDatabase Firewallおよびそのトラフィック・ソースの構成

6.5.2 強制ポイントの作成および構成

Audit Vault Serverコンソールで各強制ポイントを構成します。Audit Vault Serverの回復可能なペアを構成している場合は、プライマリ・サーバーで強制ポイントを構成する必要があります。

前提条件

強制ポイントを構成するには:

  1. 「セキュア・ターゲット」タブをクリックし、「監視」メニューから「強制ポイント」をクリックします。

    「強制ポイント」ページに、構成済の強制ポイントとそのステータスのリストが表示されます。

  2. 「作成」をクリックします。
  3. この強制ポイントの名前を入力します。
  4. 監視モードを選択します。

    • データベース・ポリシー強制(DPE): SQL文をブロックまたは置換する場合に選択します。

    • データベース・アクティビティ監視(DAM): SQL文のログへの記録およびアラートの発生のみを実行する場合に選択します。

  5. 「監視するセキュア・ターゲットの選択」セクションで、セキュア・ターゲットを選択します。

    ここには、指定したファイアウォールを保有するセキュア・ターゲットがリスト表示されます。指定したポリシーにSQLブロック・ルールが含まれているのにDAMモード(監視のみ)を選択した場合、SQL文はブロックされません。そのため、ポリシー・ルールによってSQL文をブロックする場合は、セキュア・ターゲットのブロック・ポリシーと強制ポイントのDPE監視モードの両方を設定する必要があります。

  6. 「ファイアウォールの選択」セクションで、この強制ポイントを処理するDatabase Firewallを選択します。

    「ファイアウォールの選択」セクションの下に、「トラフィック・ソースの選択」が表示されます。

  7. 「ブリッジ・インタフェース」または「プロキシ・インタフェース」領域のいずれかで、トラフィック・ソースを選択します。

    ノート: プロキシ・トラフィック・ソースを選択した場合、他のトラフィック・ソースは選択できません。また、プロキシを選択すると、監視モードはDPEになります。

  8. 「保存」をクリックします。

    新しい強制ポイントが「強制ポイント」リストに表示され、自動的に開始します。

  9. 強制ポイントを停止または再開するには、「強制ポイント」リストからその強制ポイントを選択して「停止」または「開始」をクリックします。

ノート:

DPEモードでDatabase Firewallを使用する場合、IPアドレスまたはMACアドレスのスプーフィング検出ルールを使用する外部デバイスを正しく構成し、それらのデバイスがDatabase Firewallによって行われたデータベースのIPアドレスまたはMACアドレスの変更を無視するように設定する必要があります。

関連項目:

6.5.3 強制ポイントの変更

作成した強制ポイントは、その設定を変更したり、データベース・レスポンス監視、データベース問合せ、ホスト監視のいずれか(あるいはすべて)を有効にするために変更できます。

強制ポイントの詳細設定によって、BIG-IP Application Security Manager (ASM)とともに動作するようにOracle Audit Vault and Database Firewallを構成できます。

強制ポイントを変更するには:

  1. Audit Vault Serverコンソールに管理者としてログインします。
  2. 「セキュア・ターゲット」タブをクリックします。
  3. 「監視」メニューから「強制ポイント」をクリックした後、変更する強制ポイントの名前をクリックします。
  4. 「強制ポイントの変更」ページで、次の設定を変更できます。

    • セキュア・ターゲット: 監視する別のセキュア・ターゲットを選択します。

    • 監視モード: 代替監視モードを選択します。

      ノート: DAMモードからDPEモードに切り替える場合、クライアントからセキュア・ターゲット・データベースへの既存の接続を維持するかどうかを選択します。このオプションを選択した場合、既存の接続は中断されませんが、DPEモードで監視するには、セキュア・ターゲット・データベースに再接続する必要があります。

    • トラフィック・ソース: 別のトラフィック・ソースを有効にします。

    • データベース・レスポンス: データベース・レスポンス・モニタリングを有効にする場合に選択します。

    • データベース問合せ: データベース問合せを有効にする場合に選択します。

  5. 「保存」をクリックします。

6.5.4 強制ポイントの開始、停止または削除

強制ポイントを管理するには:

  1. Audit Vault Serverコンソールに管理者としてログインします。
  2. 「セキュア・ターゲット」タブをクリックし、「監視」で「強制ポイント」をクリックします。
  3. 目的の強制ポイントを選択し、次のボタンのいずれかをクリックします。

    • 開始: 強制ポイントを開始する場合

    • 停止: 強制ポイントを停止する場合

    • 削除: 強制ポイントを削除する場合

    関連項目:

    Audit Vault ServerコンソールUIへのログイン

6.5.5 強制ポイントのステータスの表示

強制ポイントのステータスを表示するには:

  1. Audit Vault Serverコンソールに管理者としてログインします。
  2. 「セキュア・ターゲット」タブをクリックし、「監視」で「強制ポイント」をクリックします。

    強制ポイントとそのステータスのリストが表示されます。ステータスの値は次のとおりです。

    • 稼働中: 強制ポイントは稼働中で、エラーはありません。

    • 一時停止: 強制ポイントはユーザーによって停止中で、エラーはありません。

    • 停止中: エラーなどが発生したため、強制ポイントが稼働していません。

    • 到達不能: Database FirewallとAudit Vault Server間で通信エラーが発生しました。

    関連項目:

    Audit Vault ServerコンソールUIへのログイン

6.5.6 強制ポイントによって使用されるポート番号の確認方法

強制ポイントによって使用されるポート番号を確認するには:

  1. Audit Vault Serverコンソールに管理者としてログインします。
  2. 「セキュア・ターゲット」タブをクリックし、「監視」で「強制ポイント」をクリックします。
  3. 目的の強制ポイントを選択し、「強制ポイントの変更」ページで「詳細」をクリックします。

    「DBFW TCPポート」の横にポート番号が表示されます。

    関連項目:

    Audit Vault ServerコンソールUIへのログイン

6.6 ストアド・プロシージャ監査(SPA)の構成

ストアド・プロシージャ監査(SPA)を使用すると、Oracle Audit Vault and Database Firewall監査者は、セキュア・ターゲット・データベースのストアド・プロシージャに対する変更を監査できます。Oracle Audit Vault and Database Firewallは、スケジュールされた間隔でデータベース・サーバーに接続し、ストアド・プロシージャに対して行われた変更または追加があればそれを検出します。SPAは、Oracle Audit Vault and Database Firewallでサポートされるすべてのデータベース・セキュア・ターゲットに対してサポートされます。

SPAを有効にするには、Oracle Audit Vault and Database Firewallがストアド・プロシージャ監査をセキュア・ターゲットで実行するのに必要なユーザー・アカウント権限を構成するだけです。Oracle Audit Vault and Database Firewallには、これらの権限を設定するスクリプトが用意されています。セキュア・ターゲット・タイプに固有のスクリプトを実行します。

Oracle Audit Vault and Database Firewall監査者は、セキュア・ターゲット構成でストアド・プロシージャ監査を有効にすると、ストアド・プロシージャに対する変更をレポートで確認できます。

関連項目:

6.7 データベース問合せの構成および使用

データベース問合せの構成および使用について学習します。

6.7.1 データベース問合せについて

データベース問合せを使用すると、サポートされるデータベース・セキュア・ターゲットにDatabase Firewallが特定の情報を問い合せることができます。収集される情報は、データベースのタイプによって異なります。この項では、データベース問合せを使用する、次の2つの方法について説明します。

6.7.1.1 SQL ServerデータベースおよびSQL Anywhereデータベースでのデータベース問合せの使用

データベース問合せを使用すると、SQL文を作成したデータベース・ユーザーの名前、オペレーティング・システムおよびクライアント・プログラムの情報をネットワーク・トラフィックから取得できない場合に、Microsoft SQL ServerとSybase SQL Anywhereの監視対象データベースに問い合せて取得できます。この情報は、Audit Vault and Database Firewallのレポートで使用できます。

これら2つのデータベース用にデータベース問合せを構成するには、次のことを実行する必要があります。

  • データベースでAudit Vault and Database Firewallデータベース問合せ用のユーザー・アカウントを作成します。このユーザー・アカウントに特定の権限を付与します。

  • Audit Vault and Database Firewallで、セキュア・ターゲット・データベースを監視する強制ポイントでデータベース問合せを有効にします。

関連項目:

6.7.1.2 ネットワーク暗号化を使用するOracle Databaseでのデータベース問合せの使用

Database Firewallを使用して、ネットワーク暗号化を使用するOracle Databaseセキュア・ターゲットを監視している場合、そのデータベースに対する送信文および受信レスポンスを復号化して分析できるようにするためにデータベース問合せを使用する必要があります。

Oracleデータベースの文の復号化に関する制限

ネットワーク暗号化を使用してトラフィックを復号化するようにAudit Vault and Database Firewallを構成する際には、次の制限があります。

  • ネットワーク暗号化のチェックサムを使用する場合、Audit Vault and Database Firewallで文の置換は行われません。

  • ネットワーク暗号化のRC4暗号はサポートされません。

  • サポートされているバージョンのOracle Database。

関連項目:

ネットワーク暗号化を使用するデータベース用のOracle Database Firewallの構成

6.7.2 SQL ServerおよびSQL Anywhere用のデータベース問合せの構成

ここでのトピック

6.7.2.1 Microsoft SQL Serverデータベースでのデータベース問合せ権限の設定

Microsoft SQL Server (バージョン2005、2008または2012)データベースのユーザー・アカウントを設定する手順は、次のとおりです。

  1. 問い合せるデータベースでAudit Vault and Database Firewallデータベース問合せ用のユーザー・アカウントを作成します。(このデータベースはAudit Vault and Database Firewallのセキュア・ターゲットである必要があります。)

    このアカウントのユーザー名およびパスワードをノートにとります。

  2. ステップ1で作成したユーザー・アカウントに次の権限を付与します。

    • VIEW ANY DEFINITIONおよびVIEW SERVER STATE(SQL Server 2005以降)

    • master.dbo.sysdatabases表に対するSELECT

  3. ステップ1で作成した資格証明を使用して、このセキュア・ターゲット・データベースを監視する強制ポイントでデータベース問合せを有効にします。

6.7.2.2 Sybase SQL Anywhereデータベースでのデータベース問合せ権限の設定

ノート: Sybase SQL Anywhereを使用するには、Linux用のSQL Anywhere ODBCドライバをダウンロードしてインストールする必要があります。

Sybase SQL Anywhereデータベースのデータベース問合せのユーザー権限を設定するには:

  1. 問い合せるデータベースでAudit Vault and Database Firewallデータベース問合せ用のユーザー・アカウントを作成します。(このデータベースはAudit Vault and Database Firewallのセキュア・ターゲットである必要があります。)

    このアカウントのユーザー名およびパスワードをノートにとります。

  2. ステップ1で作成したユーザー・アカウントに次の権限を付与します。

    • CONNECT

    • システム表に対するSELECT

      sys.sysuser
sys.sysuserauthority
sys.sysremoteuser
sys.sysloginmap
sys.sysgroup
  3. ステップ1で作成した資格証明を使用して、このセキュア・ターゲット・データベースを監視する強制ポイントでデータベース問合せを有効にします。

6.7.3 データベース問合せの有効化

データベース問合せを有効にするには、この手順を使用します。

前提条件

Audit Vault Serverコンソールに管理者としてログインします。詳細は、「Audit Vault ServerコンソールUIへのログイン」を参照してください。

強制ポイントでデータベース問合せを有効にするには:

  1. 「セキュア・ターゲット」タブをクリックした後、「監視」メニューから「強制ポイント」をクリックします。
  2. 問合せ対象のセキュア・ターゲットを監視する強制ポイントを探し、その強制ポイントの名前をクリックします。

    「強制ポイントの変更」ページが表示されます。

  3. ページの「データベース問合せ」セクションで、「データベース問合せの有効化」チェック・ボックスを選択します。

    追加の入力フィールドが表示されます。


    GUID-D9810831-41B3-40CB-B27D-E857405553A4-default.gifの説明が続きます
    図GUID-D9810831-41B3-40CB-B27D-E857405553A4-default.gifの説明

  4. 次の値を入力します。

    • データベース・アドレスおよびポート: 問合せ対象のセキュア・ターゲット・データベースのIPアドレスおよびポート番号を入力します。

    • データベース名: データベースまたはデータベース・インスタンスの名前を入力します。

    • ユーザー名: このセキュア・ターゲット用に設定したデータベース問合せユーザー名を入力します。

      関連項目:

      SQL ServerおよびSQL Anywhere用のデータベース問合せの構成

    • パスワードおよびパスワードの再入力: データベース問合せユーザー名のパスワードを入力します。

  5. 「保存」をクリックします。

6.7.4 データベース問合せの無効化

データベース問合せを一時的に無効にできます。Audit Vault and Database Firewallでは、作成した構成情報が、次回データベース問合せを有効にするときのために保存されます。

データベース問合せを無効にするには:

  1. Audit Vault Serverコンソールに管理者としてログインします。
  2. 「セキュア・ターゲット」タブをクリックした後、「監視」メニューから「強制ポイント」をクリックします。

    「強制ポイント」ページが表示され、強制ポイントとそのステータスがリスト表示されます。このリストはソートまたはフィルタ処理できます。

  3. データベース問合せを無効にする強制ポイントを探し、その強制ポイントの名前をクリックします。

    「強制ポイントの変更」ページが表示されます。

  4. ページの「データベース問合せ」セクションで、「データベース問合せの有効化」チェック・ボックスをクリアします。
  5. 「保存」をクリックします。

    関連項目:

6.8 ネットワーク暗号化を使用するデータベース用のOracle Database Firewallの構成

ネットワーク暗号化を使用するデータベースでのOracle Database Firewallの構成について学習します。

ネットワーク暗号化を使用するOracle Database用にデータベース問合せを構成するには、この項のステップに従います。

6.8.1 ステップ1: 指定されたパッチのOracle Databaseへの適用

Oracle Databaseにパッチを適用する方法について学習します

ノート:

Oracle Databaseバージョン11.2.0.4以降の場合、このステップは必要ありません。11.2.0.4より前のすべてのバージョンについては、ネットワーク暗号化を使用しているOracle Databaseに、この項で示されたパッチを適用します。

パッチを適用するには:

  1. Oracleデータベースを停止します。
  2. バグ番号13051081のパッチを取得します。

    パッチ・ファイルはp13051081_OracleVersion_Platform.zipという形式になります。例: p13051081_112030_Linux-x86-64.zip

  3. 任意のディレクトリ(以下、Patch_Directory)に、パッチの.zipファイルを解凍します。
  4. ディレクトリPatch_Directory/13051081に移動します。
  5. 次のコマンドを実行します。

    $ opatch apply

  6. Oracle Databaseを起動します。

6.8.2 ステップ2: Oracle Advance Security統合スクリプトの実行

ネットワーク暗号化統合スクリプトを実行するには:

  1. Oracle AVDFユーティリティ・ファイルdbfw-utility.zip (Oracle AVDFソフトウェアを使用してダウンロード)から、パッチを適用するOracle Databaseに接続できる場所にdatabaseディレクトリをコピーします。
  2. その場所で、database/ddiディレクトリに移動し、2つのoracle圧縮ファイル(どちらも同じ内容)のいずれかをoracleというディレクトリ(推奨)に解凍します。

    これで、このディレクトリには、解凍されたadvanced_security_integration.sqlというファイルが格納されます。

  3. インストールされているバージョンが12.2.0.11.0以前のリリースである場合は、ユーザーの作成および権限の付与を実行する権限を持つユーザーとして次のコマンドを実行します。

    sqlplus / as sysdba @advanced_security_integration schema password

    schemaには、既存のスキーマの名前を使用するか、新しいスキーマの名前を選択します。SYSTEMまたはSYSをターゲット・スキーマとして使用することをお薦めしません。スキーマが存在しない場合、ユーザーおよびスキーマが作成されます。

    このコマンドにより、create session権限およびresource権限がスキーマ・ユーザーに付与されます。

    スキーマのパスワードは、passwordに設定されます。

    ネットワーク暗号化統合をサポートするパッケージがschemaにインストールされます。

  4. インストールされているバージョンが12.2.0.12.0以降のリリースである場合は、ユーザーの作成および権限の付与を実行する権限を持つユーザーとして次のコマンドを実行します。これは、リリース12.2.0.12.0以降で使用できるOracle Databaseターゲットのセッション情報を取得するためのDDI拡張です。これは、監視およびブロック・モードまたは監視のみモードでのDatabase Firewallで使用できます。

    sqlplus / as sysdba @advanced_security_integration <param1> <param2> <param3>

    <param1>は、スキーマまたはユーザー名です

    <param2>は、ユーザー名に設定されるパスワードです

    <param3>の有効値は、ASOとSESSION_INFOです

    ASOは、Oracleのネイティブ・ネットワーク暗号化キーおよびセッション情報を取得します

    SESSION_INFOは、セッション情報を取得します

    ノート:

    3つ目のパラメータ(<param3>)は必須です。これがない場合、ヘルプ・メッセージが表示されます。

    3つ目のパラメータ(<param3>)の値が正しくない場合は、次のヘルプ・メッセージが表示されます。

    Invalid value is provided for <param3>
The valid values are ASO, SESSION_INFO.
ASO retrieves oracle native network encryption key and session information
SESSION_INFO retrieves session information

6.8.3 ステップ3: Oracle DatabaseへのDatabase Firewall公開キーの指定

データベース問合せを使用してデータベース・トラフィックを復号化するには、ネットワーク暗号化を使用しているOracle DatabaseにDatabase Firewall公開キーを指定する必要があります。

Oracle Databaseに公開キーを指定するには:

  1. このOracle Databaseを監視するDatabase Firewallの管理コンソールで、「システム」メニューの「公開キー」をクリックします。


    GUID-5A17929E-C65B-409D-B14E-1AEBE59AFE35-default.gifの説明が続きます
    図GUID-5A17929E-C65B-409D-B14E-1AEBE59AFE35-default.gifの説明

  2. 「Oracle Advanced Security復号化」に表示される公開キーをコピーし、dbfw_public_key.txtなどのテキスト・ファイルに貼り付けます。

    Database Firewallはそれぞれ独自の公開キーを保持しています。Database Firewallの高可用性または強制ポイントの回復性を設定している場合、複数のDatabase Firewallがこのセキュア・ターゲットを監視しているとき、それぞれのDatabase Firewall公開キーをコピーしてdbfw_public_key.txtファイルに追加する必要があります。

    ノート: セキュリティのため、dbfw_public_key.txtファイルにはOracle Databaseサーバー上のsqlnet.oraファイルと同じアクセス権限が必要です。

  3. Oracle Databaseのsqlnet.oraファイルを変更して、公開キーを挿入し、ネットワーク暗号化のネイティブ・トラフィック暗号化を必須にします。

    1. ステップ2で作成したファイルをOracle Databaseサーバーのsqlnet.oraファイルと同じディレクトリ(推奨)に配置します。

    2. sqlnet.oraファイルを開き、次のパラメータを追加します(この例では、公開キー・ファイルはdbfw_public_key.txtです)。

      SQLNET.ENCRYPTION_TYPES_SERVER=AES256
SQLNET.DBFW_PUBLIC_KEY="/path_to_file/dbfw_public_key.txt"
SQLNET.ENCRYPTION_SERVER=REQUIRED

      ノート: sqlntet.oraファイルにオプション・パラメータSQLNET.ENCRYPTION_CLIENTが含まれている場合、その値をREJECTEDにすることはできません。そうしないと、エラーが発生します。

    3. sqlnet.oraファイルを保存して閉じます。

関連項目:

ネットワーク暗号化の詳細は、『Oracle Databaseセキュリティ・ガイド』を参照してください。

6.8.4 ステップ4: Oracle Databaseのデータベース問合せの有効化

「データベース問合せの有効化」の手順に従って、ネットワーク暗号化を使用するOracle Databaseに対するデータベース問合せの設定を完了します。

6.9 データベース・レスポンス・モニタリングの構成および使用

ここでのトピック

6.9.1 データベース・レスポンス・モニタリングについて

データベース・レスポンス・モニタリング機能を有効にすると、図6-1に示すように、データベース・クライアントから送信されたログイン・リクエスト、ログアウト・リクエストおよびSQL文に対するセキュア・ターゲット・データベースのレスポンスをDatabase Firewallで記録できます。この機能を使用すると、データベースでログイン、ログアウトおよび文が正常に実行されたかどうかを判別でき、監査およびフォレンジック目的の有用な情報を提供できます。

図6-1は、データベース・レスポンス・モニタリングのプロセス・フローを示しています。

図6-1 データベース・レスポンス・モニタリング

図6-1の説明が続きます
「図6-1 データベース・レスポンス・モニタリング」の説明

Oracle AVDF監査者は、データベース・レスポンスを監査レポートで確認できます。

データベース・レスポンス・モニタリングでは、Database Firewallポリシーによってログに記録されたすべてのSQL文、ログインおよびログアウトに対するデータベース・レスポンスが記録されます。

記録される情報には、Oracle AVDFで解析されるレスポンス(「文の失敗」など)、データベースからの詳細なステータス情報、およびデータベース・レスポンス・テキスト(データベース・クライアントで表示可能)が含まれます。

6.9.2 データベース・レスポンス・モニタリングの構成

ここでのトピック

6.9.2.1 データベース・レスポンス・モニタリングの有効化

セキュア・ターゲットに対してデータベース・レスポンス・モニタリングを有効にするには:

  1. Audit Vault Serverコンソールに管理者としてログインします。
  2. 「セキュア・ターゲット」タブをクリックした後、「監視」メニューから「強制ポイント」をクリックします。

    「強制ポイント」ページが表示され、強制ポイントとそのステータスがリスト表示されます。このリストはソートまたはフィルタ処理できます。

  3. セキュア・ターゲットを監視する強制ポイントを探し、その強制ポイントの名前をクリックします。

    「強制ポイントの変更」ページが表示されます。

  4. ページの「データベース・レスポンス」セクションで、「データベース・レスポンスの有効化」チェック・ボックスを選択します。

    また、フル・エラー・メッセージ注釈を選択すると、データベースで生成された詳細なエラー・メッセージ・テキストがエラー・コードとともにログに記録されます。

  5. 「保存」をクリックします。

    関連項目:

6.9.2.2 Oracle Database Firewallでのログイン・ポリシーとログアウト・ポリシーの設定

Oracle Database Firewallのログイン・ポリシーおよびログアウト・ポリシーの設定方法を学習します。

ログインおよびログアウトのポリシーは、Oracle Audit Vault and Database Firewallに格納され、ファイアウォール・ポリシーで構成する必要があります。

関連項目:

『Oracle Audit Vault and Database Firewall監査者ガイド』

6.10 エージェントとOracle Databaseセキュア・ターゲットの接続の保護

デフォルトでは、AVDFエージェントとOracle Databaseセキュア・ターゲット間のデータ・セキュリティは、TCP接続を介したネットワーク暗号化によって達成されます。データ・セキュリティは、TCPS/SSL接続を使用することでも達成できます。

セキュア・ターゲットがTCPS/SSL接続を受け入れるように設定されている場合は、次のステップを実行してエージェントを構成します。

  1. セキュア・ターゲットのsqlnet.oraファイルで、次のパラメータが設定されていることを確認します。

    • SQLNET.ENCRYPTION_SERVER = REQUESTED、REJECTED、またはデフォルトのACCEPTED。

    • SQLNET.CRYPTO_CHECKSUM_SERVER = REJECTEDまたはデフォルトのACCEPTED

  2. Audit Vault Serverコンソールに管理者としてログインします。

  3. 「セキュア・ターゲット」タブをクリックします。

  4. 変更する対象のセキュア・ターゲットの名前を選択します。

  5. 「セキュア・ターゲットの変更」ページで、次の手順を実行します。

    1. 「セキュア・ターゲットの場所(監査用)」領域で、「ホスト名 / IPアドレス」に詳細を入力し、「TCPS」プロトコル、「サーバーDN」を選択し、ウォレット・ファイルをアップロードします。

    2. または、「詳細」オプションを選択し、「TCPS」プロトコルを選択し、ウォレット・ファイルをアップロードしてから、「セキュア・ターゲットの場所」フィールドにTCPS接続文字列を指定します。

      次に例を示します。

      jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=host_ip)(PORT=port_number))(CONNECT_DATA=(SERVICE_NAME=service_name)(SERVER=DEDICATED))(SECURITY= (SSL_SERVER_CERT_DN="dn")))

    3. 「保存」をクリックします。

関連項目:

前
前 		次
次
目次へ移動
目次 		索引へ移動
索引