| Oracle® Enterprise Manager Cloud Control Oracleコンプライアンス標準リファレンス 13cリリース2 E79384-03 |
|
 前へ |
 次へ |
Oracleプラガブル・データベースの基本的なセキュリティ構成標準のコンプライアンス・ルールは、次のとおりです。
説明: DBA_ROLESビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: DBA_ROLESビューには、データベースのすべてのロールの詳細が含まれます。データベースのロールの構造に関する情報は、悪質なユーザーによって利用される可能性があります。
説明: DBA_ROLE_PRIVSビューへのアクセスが制限されていることを確認します
重大度: マイナー警告
理由: DBA_ROLE_PRIVSビューにはユーザーに付与されたロールおよびその他のロールがリストされています。データベースのロールの構造に関する情報は、悪質なユーザーによって利用される可能性があります。
説明: DBA_SYS_PRIVSビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: DBA_SYS_PRIVSビューに問い合せて、ロールおよびユーザーに付与されたシステム権限を検索できます。データベースのロールの構造に関する情報は、悪質なユーザーによって利用される可能性があります。
説明: DBA_TAB_PRIVSビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: ユーザーまたはロールに付与された、データベース内のオブジェクトに対する権限がリストされています。データベースのロールの構造に関する情報は、悪質なユーザーによって利用される可能性があります。
説明: DBA_USERSビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: ユーザー・パスワード・ハッシュおよびその他のアカウント情報が含まれています。この情報にアクセスされると、総当たり攻撃に利用される可能性があります。
説明: STATS$SQLTEXT表へのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: この表には最近実行されたSQL文の完全なテキストが記載されています。SQL文から機密情報が公開される可能性があります。
説明: STATS$SQL_SUMMARY表へのアクセスが制限されていることを確認します
重大度: マイナー警告
理由: サーバーに対して発行されたほとんどのリソース集約コマンドを表すSQLテキストの最初の数行が含まれています。バインド変数なしで実行されたSQL文がここに表示され、機密情報が公開される可能性があります。
説明: SYS.AUD$表へのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: 知識のある悪質なユーザーが、機密監査情報へアクセスできる可能性があります。
説明: SYS.SOURCE$表へのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: データベースにあるすべてのストアド・パッケージ・ユニットのソースが含まれています。
説明: SYS.USER$表へのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: ユーザー名およびパスワード・ハッシュがSYS.USER$表から読み取られるため、ハッカーによる総当たり攻撃が可能になります。
説明: SYS.USER_HISTORY$表へのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: ユーザー名およびパスワード・ハッシュがSYS.USER_HISTORY$表から読み取られるため、ハッカーによる総当たり攻撃が可能になります。
説明: 既知のアカウントにデフォルト・パスワードがないことを確認します。
重大度: 警告
理由: デフォルト・パスワードを使用して、悪質なユーザーがデータベースにアクセスすることが可能です。
説明: DBMS_JOBパッケージに対するEXECUTE権限がPUBLICに付与されていないことを確認します。
重大度: クリティカル
理由: DBMS_JOBパッケージに対するEXECUTE権限をPUBLICに付与すると、ユーザーがデータベースに対してジョブをスケジュールできるようになります。
説明: DBMS_SYS_SQLパッケージに対するEXECUTE権限がPUBLICに付与されていないことを確認します。
重大度: クリティカル
理由: DBMS_SYS_SQLパッケージを使用すると、PL/SQLおよびSQLをコール元ではなくプロシージャの所有者として実行できます。
説明: プロファイルに対してPASSWORD_VERIFY_FUNCTIONリソースが設定されていることを確認します。
重大度: クリティカル
理由: 複雑性の最低要件を満たさないパスワードを使用すると、複雑なパスワードを使用する場合に比べて大幅に保護機能が低下します。
説明: すべてのプロファイルでPASSWORD_GRACE_TIMEが適切な日数に設定されていることを確認します。
重大度: クリティカル
理由: PASSWORD_GRACE_TIMEパラメータの値が高く設定されていると、ユーザーが同じパスワードを長時間使用できるため、データベースのセキュリティ上の重大な問題が発生する可能性があります。
説明: すべてのプロファイルでPASSWORD_LIFE_TIMEが適切な日数に設定されていることを確認します。
重大度: 警告
理由: パスワード存続期間が長いと、ハッカーにパスワードを推測する時間を多く与えることになります。そのため、データベースのセキュリティ上の重大な問題が発生する可能性があります。
説明: すべてのプロファイルでPASSWORD_LOCK_TIMEが適切な日数に設定されていることを確認します。
重大度: 警告
理由: 小さい値を指定すると、サービス拒否攻撃の可能性が増加します。
説明: PUBLICがUTL_HTTPパッケージに対する実行権限を持たないことを確認します。
重大度: クリティカル
理由: PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。悪質なユーザーによって、EXECUTE権限を使用され、電子メール、ネットワークおよびHTTPモジュールにアクセスされる可能性があります。
説明: PUBLICがUTL_SMTPパッケージに対する実行権限を持たないことを確認します。
重大度: クリティカル
理由: PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。悪質なユーザーによって、EXECUTE権限を使用され、電子メール、ネットワークおよびHTTPモジュールにアクセスされる可能性があります。
説明: PUBLICがUTL_TCPパッケージに対する実行権限を持たないことを確認します。
重大度: クリティカル
理由: PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。悪質なユーザーによって、EXECUTE権限を使用され、電子メール、ネットワークおよびHTTPモジュールにアクセスされる可能性があります。
Oracleデータベース標準の構成のベスト・プラクティスのコンプライアンス・ルールは、次のとおりです。
説明: STATISTICS_LEVEL初期化パラメータがBASICに設定されているかどうかをチェックします。
重大度: クリティカル
理由: 自動統計収集は、オプティマイザによる正確な実行計画の生成を可能にし、またパフォーマンスの問題を特定および修正する場合に必要です。STATISTICS_LEVELは、デフォルトでTYPICALに設定されます。STATISTICS_LEVEL初期化パラメータをBASICに設定すると、Oracleデータベースの機能に必要な多くの重要な統計の収集が無効になります。
説明: PGA_AGGREGATE_TARGET初期化パラメータの値が0であるかどうか、またはWORKAREA_SIZE_POLICYの値がMANUALであるかどうかをチェックします。
重大度: 警告
理由: 自動PGAメモリー管理は、PGAメモリーの割当て方法を簡略化し向上させます。有効にすると、DBAが設定したPGA_AGGREGATE_TARGET制限を保持したまま、作業領域専用のPGAメモリーの一部がOracleによって動的に調整できるようになります。
説明: STATISTICS_LEVEL初期化パラメータがALLに設定されているかどうかをチェックします。
重大度: マイナー警告
理由: 自動統計収集は、オプティマイザによる正確な実行計画の生成を可能にし、またパフォーマンスの問題を特定および修正する場合に必要です。STATISTICS_LEVEL初期化パラメータは、現在、ALLに設定されています。これは指定時間に動作する追加のOSおよび計画実行統計が収集中であることを意味します。これらの統計は必要なく、またシステムに追加のオーバーヘッドを作成します。
説明: TIMED_STATISTICS初期化パラメータがFALSEに設定されているかどうかをチェックします。
重大度: クリティカル
理由: TIMED_STATISTICSをFALSEに設定すると、時間関連の統計(各種の内部操作の実行時間など)は収集されません。これらの統計は、診断やパフォーマンス・チューニングに役立ちます。TIMED_STATISTICSをTRUEに設定すると、時間関連の統計を収集できます。また、トレース・ファイルに記録される値も増えることで、長時間の操作についてより正確な統計を生成できます。
Oracleプラガブル・データベース標準の高度なセキュリティ構成のコンプライアンス・ルールは、次のとおりです。
説明: %_CATALOG_%の付与が制限されていることを確認します。
重大度: クリティカル
理由: %_CATALOG_%ロールには、データベース・オブジェクトに対するクリティカル・アクセスが可能です。このため、データベース・システム内の重要情報が公開される可能性があります。
説明: ALL_SOURCEビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: ALL_SOURCEビューにはデータベースにあるすべてのストアド・パッケージのソースが含まれています。
説明: SELECT権限がどのDBA_ビューにも付与されていないことを確認します。
重大度: 警告
理由: DBA_*ビューを使用すると、データベースの権限およびポリシーの設定にアクセスできます。これらのビューの一部では、セキュリティ・ポリシーを理解するために使用できる重要なPL/SQLコードを表示することもできます。
説明: ROLE_ROLE_PRIVSビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: 他のロールに付与されたロールがリストされています。データベースのロールの構造に関する情報は、悪質なユーザーによって利用される可能性があります。
説明: LINK$表へのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: 知識のある悪質なユーザーが、SYS.LINK$表からユーザー・パスワードにアクセスできる可能性があります。
説明: USER_ROLE_PRIVSビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: 現在のユーザーに付与されたロールがリストされています。データベースのロールの構造に関する情報は、悪質なユーザーによって利用される可能性があります。
説明: USER_TAB_PRIVSビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: ユーザーが所有者、権限付与者または権限受領者のオブジェクトに対する権限がリストされています。データベース内の権限に関する情報は、悪質なユーザーに利用される可能性があります。
説明: SELECT権限がどのV$ビューにも付与されていないことを確認します。
重大度: クリティカル
理由: V$表にはOracleデータベースに関する機密情報が含まれており、システム管理者しかアクセスできないようにする必要があります。アクセス権を持つユーザーがいないか確認し、可能であれば取り消します。
説明: すべてのユーザーに対するアクセスによりALTER ANY TABLE権限が監査されていることを確認します。
重大度: クリティカル
理由: ALTER ANY TABLEの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりALTER USER権限が監査されていることを確認します。
重大度: クリティカル
理由: ALTER USERの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりCREATE ANY LIBRARY権限が監査されていることを確認します。
重大度: クリティカル
理由: CREATE ANY LIBRARYの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりCREATE LIBRARY権限が監査されていることを確認します。
重大度: クリティカル
理由: CREATE LIBRARYの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりCREATE ROLE権限が監査されていることを確認します。
重大度: クリティカル
理由: ロールの作成の監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりCREATE SESSION権限が監査されていることを確認します。
重大度: クリティカル
理由: CREATE SESSIONの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりCREATE USER権限が監査されていることを確認します。
重大度: クリティカル
理由: CREATE USERの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりDROP ANY PROCEDURE権限が監査されていることを確認します。
重大度: クリティカル
理由: DROP ANY PROCEDUREの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりDROP ANY ROLE権限が監査されていることを確認します。
重大度: クリティカル
理由: ロールの作成の監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりDROP ANY TABLE権限が監査されていることを確認します。
重大度: クリティカル
理由: DROP ANY TABLEの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりEXECUTE ANY PROCEDURE権限が監査されていることを確認します。
重大度: クリティカル
理由: ロールの作成の監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりSELECT ANY DICTIONARY権限が監査されていることを確認します。
重大度: クリティカル
理由: SELECT ANY DICTIONARYの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりGRANT ANY PRIVILEGE権限が監査されていることを確認します。
重大度: クリティカル
理由: GRANT ANY PRIVILEGEの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: 重要なデータ・オブジェクトについて挿入の失敗が監査されていることを確認します。
重大度: 警告
理由: 重要なデータ・オブジェクトについて挿入の失敗を監査しないと、悪質なユーザーがシステムのセキュリティに侵入する可能性があります。
説明: すべてのユーザーに対するアクセスによりSELECT ANY DICTIONARY権限が監査されていることを確認します。
重大度: クリティカル
理由: SELECT ANY DICTIONARYの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: ユーザー・プロファイル設定CONNECT_TIMEが、特定のデータベースおよびアプリケーションに対して適切な値に設定されていることを確認します。
重大度: クリティカル
理由: 複数のセッションがオープンのままになっている期間が長すぎると、システム・リソースが消費され、Oracleデータベースの他のユーザーに対するサービス拒否が生じる可能性があります。CONNECT_TIMEパラメータでは、セッションをオープン状態にしておける期間の上限を制限します。このパラメータは、分単位で指定します。接続時間を超過したセッションは中断され、ロールバックされます。
説明: すべてのプロファイルでCPU_PER_SESSIONがCPUサイクルの適切な数に設定されていることを確認します。
重大度: クリティカル
理由: 単一のアプリケーションまたはユーザーに過剰なCPUリソースの消費を許すと、Oracleデータベースに対するサービス拒否が生じることになります。
説明: DBMS_LOBパッケージに対するEXECUTE権限がPUBLICグループに付与されていないことを確認します。
重大度: クリティカル
理由: DBMS_LOBパッケージを使用すると、Oracleソフトウェア・インストールの所有者としてシステム上のファイルにアクセスできます。
説明: PUBLICがUTL_FILEパッケージに対するEXECUTE権限を持たないことを確認します。
重大度: クリティカル
理由: PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。UTL_FILE権限を付与すると、悪質なユーザーがシステム内の任意のファイルを読取り/書込みできるようになります。
説明: PUBLICがSYS.DBMS_EXPORT_EXTENSIONパッケージに対する実行権限を持たないことを確認します。
重大度: クリティカル
理由: PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。DBMS_EXPORT_EXTENSIONにより、SQLインジェクションが許可されます。このため、悪質なユーザーが利用できるようになります。
説明: PUBLICがSYS.DBMS_RANDOMパッケージに対する実行権限を持たないことを確認します。
重大度: クリティカル
理由: PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。DBMS_RANDOMにより、SQLインジェクションが許可されます。このため、悪質なユーザーが利用できるようになります。
説明: SELECT ANY PRIVILEGEがどのユーザーまたはロールにも付与されていないことを確認します。
重大度: 警告
理由: SELECT ANY TABLE権限は、ユーザーまたはロール自身が所有していない表のデータを表示できるようにするために使用できます。この権限を持つユーザー・アカウントへのアクセス権を持つ悪質なユーザーは、これを利用して機密データにアクセスできます。
説明: ユーザー・プロファイル設定LOGICAL_READS_ PER_SESSIONが、特定のデータベースおよびアプリケーションに対して適切な値に設定されていることを確認します。
重大度: クリティカル
理由: 単一のアプリケーションまたはユーザーにディスクに対する過剰な読取りの実行を許すと、Oracleデータベースに対するサービス拒否が生じることになります。
説明: データベース・アカウントはOS認証に依存しないことを確認します
重大度: クリティカル
理由: ホスト・オペレーティング・システムのデータベース・アカウントに、パスワードがEXTERNALに設定されている必須ユーザーIDが存在する場合、資格証明の確認はこれ以上実行されません。ホストが認証を行っていることを前提としているため、ユーザーの確認を行わずデータベースへのアクセスを許可します。
説明: ユーザーのPRIVATE_SGAプロファイルの設定が、特定のデータベースおよびアプリケーションに対して適切な値に設定されていることを確認します。
重大度: クリティカル
理由: 単一のアプリケーションまたはユーザーに過剰なシステム・グローバル領域の消費を許すと、Oracleデータベースに対するサービス拒否が生じることになります。
説明: すべてのプロファイルでPASSWORD_REUSE_MAXが適切な回数に設定されていることを確認します。
重大度: 警告
理由: 現在のパスワードを推測する場合、旧パスワードが通常最も多く使用されます。PASSWORD_REUSE_MAXパラメータの値が低いと、ユーザーが旧パスワードを何度も使用できるため、データベースのセキュリティ上の重大な問題が発生する可能性があります。
説明: すべてのプロファイルでPASSWORD_REUSE_TIMEが適切な日数に設定されていることを確認します。
重大度: クリティカル
理由: PASSWORD_REUSE_TIMEパラメータの値が低いと、ユーザーが旧パスワードを何度も使用できるため、データベースのセキュリティ上の重大な問題が発生する可能性があります。
説明: プロキシ・アカウントの権限が制限されていることを確認します。
重大度: 警告
理由: プロキシ・ユーザーが必要なのはデータベースへの接続のみです。接続した後は、代理で接続している元のユーザーの権限を使用します。CREATE SESSION権限以外の権限をプロキシ・ユーザーに付与することは、不要であり誤用を招くおそれがあります。
説明: すべてのプロファイルでSESSIONS_PER_USERが適切な数に設定されていることを確認します。
重大度: クリティカル
理由: 1ユーザー当たりのセッション数を無制限に許すと、Oracleリソースが消費され、サービス拒否が生じる可能性があります。個々のユーザーのセッション数を制限してください。
説明: PUBLICにSYSTEM権限が付与されていないことを確認します。
重大度: クリティカル
理由: PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。すべてのユーザーにSYSTEM権限が付与されることになるため、セキュリティ上のリスクがあります。
Oracleデータベース標準の記憶域のベスト・プラクティスのコンプライアンス・ルールは、次のとおりです。
説明: ディクショナリ管理表領域をチェックします
重大度: マイナー警告
理由: これらの表領域はディクショナリ管理されています。パフォーマンスの向上および領域管理の簡略化のために、自動セグメント領域管理を使用して、ローカル管理表領域を使用することをお薦めします。
説明: 表領域SYSTEM、SYSAUXおよびSYSEXT内にあって、システム以外のユーザーが所有しているデータ・セグメントをチェックします。
重大度: マイナー警告
理由: システム・ユーザー以外に属するこれらのセグメントは、システム表領域(SYSTEM、SYSAUXまたはSYSEXT)に格納されています。この違反状態では、これらのデータ・セグメントの管理がより困難になり、システム表領域のパフォーマンス低下の原因となる場合があります。これはセキュリティ上の問題でもあります。システム以外のユーザーがシステム表領域にデータを格納している場合、システム表領域内のすべての使用可能な領域が消費されるため、データベースが停止する可能性があります。
説明: SYSTEMまたはSYSAUXをデフォルト表領域として使用しているシステム以外のユーザーをチェックします
重大度: マイナー警告
理由: これらのシステム以外のユーザーが、システム表領域をデフォルト表領域として使用しています。この違反状態では、システム以外のデータ・セグメントがシステム表領域に追加されるため、これらのデータ・セグメントの管理がより困難になり、システム表領域のパフォーマンス低下の原因となります。これはセキュリティ上の問題でもあります。システム表領域内のすべての使用可能な領域が消費されるため、データベースが停止する可能性があります。
説明: デフォルト・エクステント・サイズが不均一なディクショナリ管理表領域または移行されたローカル管理表領域がないかどうかをチェックします
重大度: マイナー警告
理由: 均一でないデフォルト・エクステント・サイズを使用しているディクショナリ管理表領域または移行されたローカル管理表領域が見つかりました。1つの表領域内に様々なサイズのエクステントが存在すると、フラグメンテーションが発生し、領域が適切に使用されず、パフォーマンスの低下を招きます。
説明: 手動セグメント領域管理を使用しているローカル管理表領域をチェックします
重大度: マイナー警告
理由: 自動セグメント領域管理は、セグメント内の領域を管理する、より簡単で効率的な方法です。表領域に作成されるスキーマ・オブジェクトの記憶域パラメータPCTUSED、FREELISTSおよびFREELIST GROUPSの指定やチューニングを行う必要はまったくありません。RAC環境では、空きリスト・グループを使用する場合の領域の難しいパーティション化を回避できるという利点もあります。
