1. Exadata Database Machineセキュリティ・ガイド
  2. Oracle Exadata Database Machineのセキュリティ機能

2 Oracle Exadata Database Machineのセキュリティ機能

Oracle Exadata Database Machineのハードウェアとソフトウェアが強化されました。

Oracle Exadata Database Machineを強化するために次の手順が実行されています。

  • 不要なパッケージがサーバーにインストールされないように、インストールされるパッケージのリストを縮小しました。

  • Oracle Exadata Storage Serverの不可欠なサービスのみを有効化しました。

  • ストレージ・サーバー上でファイアウォール(iptables)を有効化しました。

  • オペレーティング・システム・ユーザーの監査を有効化しました。

  • 強化されたパスワード・ポリシーを強制しました。

また、Oracleによって、サービスに対するNTPやSSHなどの推奨されるセキュアな構成も提供されます。さらに、Oracle Exadata Database Machineアーキテクチャにより、次のセキュリティ機能がコア・コンポーネントに提供されます。これらのセキュリティ機能は、階層化されたセキュリティ戦略の展開を推進する組織で最もよく採用されます。

  • システムのブートに使用するバイナリの制限
    セキュア・ブートは、カーネル・モジュール・レベル単位のトラスト・チェーンをサポートしています。
  • 分離ポリシーの使用
    Oracle Exadata Database Machineは複数の分離レベルをサポートしています。
  • データへのアクセスの制御
    アプリケーション・データ、ワークロードおよび実行の基礎となるインフラストラクチャを保護するために、Oracle Exadata Database Machineには、ユーザーと管理者の両方のための、包括的で柔軟なアクセス制御機能が備えられています。
  • Cryptographic Serviceの使用
    Oracle Exadata Database Machineには、ネットワーク暗号化サービスが含まれています。
  • Oracle Exadata Database Machineの監視と監査
    コンプライアンス・レポートのためであれ、インシデント応答のためであれ、監視と監査は、組織がIT環境の可視性を高めるために使用する必要がある重要な機能です。
  • Oracle Database Activityの監視と監査
    Oracle Databaseのファイングレイン監査のサポートによって、組織は監査レコードの生成時期を選択的に決定するポリシーを確立できます。
  • 品質サービスの保守
    アプリケーションには、境界違反やアクセス制御ポリシーの撃破以外にも様々な方法で攻撃されます。
  • セキュアな管理のためのOracle ILOMの使用
    個々のアプリケーションとサービスを適切に保護するには、セキュリティ制御および機能を組み合せる必要があります。

2.1 システムの起動に使用するバイナリの制限

セキュア・ブートでは、カーネル・モジュール・レベルまで下る信頼のチェーンがサポートされています。

セキュア・ブートは、システムを起動する際に実行できるバイナリを制限するために使用する方法です。セキュア・ブートを使用すると、システムUEFIファームウェアでは、信頼できるエンティティの暗号署名を使用するブート・ローダーの実行のみを許可します。つまり、UEFIファームウェアで実行されるすべてのものは、システムで信頼できると認識されている鍵によって署名される必要があります。サーバーを再起動するたびに、実行されるすべてのコンポーネントが検証されます。これにより、ブート・チェーン内の埋込みコードにマルウェアが隠れないようにします。

ロード可能なカーネル・モジュールは信頼できる鍵で署名されている必要があり、署名がない場合はカーネルにロードできません。

次の信頼できる鍵は、UEFI NVRAMの変数に格納されます。

  • Database (DB): 既知の鍵を含む署名データベースです。DBに対して確認できるバイナリのみが、BIOSによって実行されます。

  • Forbidden Database (DBX): ブラックリストに載っている鍵です。DBX内のエントリと一致する鍵を持つオブジェクトをロードしようとすると、拒否されます。これは、正しくない鍵を示すリストです。

  • Machine Owner Key (MOK): インストールするカーネル・モジュールのためにユーザーが追加した鍵です。

  • Platform Key (PK): ハードウェア・ベンダーによってインストールされた鍵です。この鍵は、ベンダーによってインストールされ、ILOMファームウェア内にあります。この鍵には、ホストからはアクセスできません。

  • Key Exchange Key (KEK): 署名データベースの更新に必要な鍵です。

UEFI構成メニューによる鍵の追加、鍵の変更またはセキュア・ブートの有効化および無効化には、ユーザーがシステム・コンソールに物理的にアクセスできる必要があります。Linuxを実行するほとんどのUEFI対応サーバーでは、デフォルトのブート・ローダーはgrub2です。セキュア・ブートが有効になっている場合は、さらにshimブート・ローダーが必要です。セキュア・ブート・モードで起動している場合は、最初にshimloaderが呼び出されます。それは、信頼できる署名がこれに含まれているためです。shimloaderは、次にgrub2をロードします。これはその後、OSカーネル(これも署名されている)をロードします。

セキュア・ブートは、X7-2以降のデータベースおよびストレージ・サーバーで使用できます。

親トピック: Oracle Exadata Database Machineのセキュリティ機能

2.1.1 セキュア・ブートの有効化と無効化

セキュア・ブートは、BIOSでデフォルトで有効になっています。

セキュア・ブートは、BIOSで構成され、デフォルトで有効になっています。ブート処理中に[F12]を押し、EFIブート・メニューに移動し、セキュア・ブート・オプションを無効にすることで、セキュア・ブートを無効にできます。

セキュア・ブート・オプションは有効なままにしておくことをお薦めします。

セキュア・ブートが有効になっていることを確認するには、次のコマンドを使用します。

# mokutil --sb-state
SecureBoot enabled

親トピック: システムの起動に使用するバイナリの制限

2.1.2 セキュア・ブートで使用する鍵と証明書の管理

mokutilコマンドを使用して、セキュア・ブートで使用する鍵と証明書を管理できます。

証明書は、DigiCertによって署名され、.署名した日付から3年間有効になります。証明書が期限切れになっている可能性があるとしても、検証は、grubおよびカーネルが署名された日付と、証明書がその時点で有効になっていたかどうかに基づきます。

証明書を更新するには、保護されたサーバー上のカーネル、grub、およびILOMを新しい署名済バージョンで更新します。

  • 既存の鍵を問い合せるには、コマンドmokutilを使用します。
    [root@scaqae03celadm11 ~]# mokutil --list-enrolled
[key 1]
SHA1 Fingerprint: 17:62:e7:3b:f1:6c:d7:89:1f:cd:0c:49:0c:4c:02:0c:30:41:0c:d0
Certificate:
 Data:
   Version: 3 (0x2)
   Serial Number:
     0f:2d:c0:56:d7:4b:e5:54:51:9d:ef:7e:c2:33:2e:d3
 Signature Algorithm: sha256WithRSAEncryption
  Issuer: C=US, O=DigiCert Inc, OU=www.digicert.com, CN=DigiCert EV Code Signing CA (SHA2)
        Validity
            Not Before: Nov 24 00:00:00 2015 GMT
            Not After : Nov 27 12:00:00 2018 GMT
        Subject: businessCategory=Private Organization/1.3.6.1.4.1.311.60.2.1.3=US/1.3.6.1.4.1.311.60.2.1.2=Delaware/serialNumber=4028125/street=500 Oracle Parkway/postalCode=94065, C=US, ST=California, L=Redwood Shores, O=Oracle Corporation, CN=Oracle Corporation
     Subject Public Key Info:
        Public Key Algorithm: rsaEncryption
           Public-Key: (2048 bit)
           Modulus:
              00:b3:de:ff:b5:6c:6c:d1:7a:24:c5:44:de:03:e8:
              29:22:be:0c:3b:06:4a:68:a9:a2:b4:1b:1d:2a:9d:
              ...                    
           Exponent: 65537 (0x10001)
        X509v3 extensions:
          X509v3 Authority Key Identifier: 
              keyid:8F:E8:7E:F0:6D:32:6A:00:05:23:C7:70:97:6A:3A:90:FF:6B:EA:D4

         X509v3 Subject Key Identifier: 
                51:69:8E:C3:BE:0F:5E:B8:CB:A8:EC:19:7D:29:18:79:09:8F:AD:E4
         X509v3 Subject Alternative Name: 
                othername: <unsupported>
         X509v3 Key Usage: critical
                Digital Signature
         X509v3 Extended Key Usage: 
                Code Signing
         X509v3 CRL Distribution Points: 

             Full Name:
               URI:http://crl3.digicert.com/EVCodeSigningSHA2-g1.crl

             Full Name:
               URI:http://crl4.digicert.com/EVCodeSigningSHA2-g1.crl

         X509v3 Certificate Policies: 
             Policy: 2.16.840.1.114412.3.2
               CPS: https://www.digicert.com/CPS
             Policy: 2.23.140.1.3

         Authority Information Access: 
             OCSP - URI:http://ocsp.digicert.com
             CA Issuers - URI:http://cacerts.digicert.com/DigiCertEVCodeSigningCA-SHA2.crt

         X509v3 Basic Constraints: critical
             CA:FALSE
   Signature Algorithm: sha256WithRSAEncryption
         6d:42:58:c7:f1:aa:db:e7:5c:7f:d3:47:29:0a:f4:b7:f7:c0:
         0e:55:29:5b:79:60:91:77:4f:f6:ec:b3:a7:9e:e1:5a:e1:79:
         ...

親トピック: システムの起動に使用するバイナリの制限

2.1.2.1 mokutilの使用によるセキュア・ブートの鍵の追加

セキュア・ブートで使用するための新しい鍵をインポートまたは追加できます。

コマンドmokutil --helpを使用してその他のオプションを表示できます。
これらのコマンドは、rootユーザーで実行する必要があります。
  1. 追加する鍵のために、DERフォーマット済のX509証明書ファイルを作成します。
  2. その鍵がすでにアクティブになっているかどうかを確認します。
    # mokutil --test-key new_target_cert.cer
  3. その鍵が現在アクティブでない場合は、鍵証明書をインポートします。
    # mokutil --import new_target_cert.cer

親トピック: セキュア・ブートセキュア・ブートで使用する鍵と証明書の管理

2.1.2.2 mokutilの使用によるセキュア・ブートの鍵の削除

セキュア・ブートで使用するための鍵を削除できます。

コマンドmokutil --helpを使用してその他のオプションを表示できます。
これらのコマンドは、rootユーザーで実行する必要があります。
  • 鍵を削除するには、次のコマンドを使用します。
    mokutil --delete key_file

親トピック: セキュア・ブートセキュア・ブートで使用する鍵と証明書の管理

2.1.3 セキュア・ブート環境のチェック

オペレーティング・システム・コマンドを使用して、セキュア・ブートが有効になっているかどうかを判定できます。

  1. rootユーザーとしてログインします。
  2. dmesgを使用して、セキュア・ブートが有効になっているかどうかを確認します。
    # dmesg | grep &quot;Secure boot&quot; 
[ 0.000000] Secure boot enabled
  3. または、odコマンドを使用して、セキュア・ブートが有効になっているかどうかを判定します。
    $ od -An -t u1 /sys/firmware/efi/vars/SecureBoot-8be4df61-93ca-11d2-aa0d-00e098032b8c/data

    このコマンドは、0 (有効でない)または1 (有効)のどちらかの値を返します。

親トピック: システムの起動に使用するバイナリの制限

2.1.4 セキュア・ブートのトラブルシューティング

セキュア・ブートが有効になっている場合、次の問題が発生する可能性があります。

証明書は、DigiCertによって署名され、.署名した日付から3年間有効になります。証明書が期限切れになっている可能性があるとしても、検証は、grubおよびカーネルが署名された日付と、証明書がその時点で有効になっていたかどうかに基づきます。

エラー
原因
エラー: ファイルに無効な署名があります。エラー: まずカーネルをロードする必要があります。
grubローダーは署名されていますが、カーネルが署名されていません。
セキュア・ブート違反: 無効な署名が検出されました。設定でセキュア・ブート・ポリシーを確認してください。
grubローダーに無効な署名があります。
エラー: 検証失敗: (15)アクセスが拒否されました。イメージのロードに失敗: アクセスが拒否されました。start_image()でAccess Deniedが返されました。
イメージにISOイメージがロードされています。サーバーが署名されていません。

親トピック: システムの起動に使用するバイナリの制限

2.2 分離ポリシーの使用

Oracle Exadata Database Machineは複数の分離レベルをサポートしています。

ITインフラストラクチャの統合、共有サービス・アーキテクチャの実装、およびセキュアなマルチテナント型サービスの提供を必要とする組織では、サービス、ユーザー、データ、通信およびストレージを分離すると有益です。Oracle Exadata Database Machineを使用すると、組織のニーズに基づいて、柔軟に分離ポリシーおよび戦略を実装できます。Oracle Exadata Database Machineのセキュアな分離には次のレベルがあります。

  • ネットワーク・トラフィックの分離
    Oracle Exadata Database Machineは、複数のネットワークを使用してネットワーク・トラフィックを分割します。
  • データベースの分離
    オペレーティング・システム制御とデータベース機能を使用して、データベースの分離を有効にします。
  • ストレージの分離
    Oracle Exadata Database Machineストレージは、プライベートInfiniBandネットワークを使用して、その他のアーキテクチャから分離されます。

親トピック: Oracle Exadata Database Machineのセキュリティ機能

2.2.1 ネットワーク・トラフィックの分離

Oracle Exadata Database Machineは、ネットワーク・トラフィックを分割するために複数のネットワークを使用します。

物理的なネットワーク・レベルで、クライアント・アクセスがデバイス管理およびデバイス間通信から分離されます。クライアントと管理ネットワーク・トラフィックは、個別のネットワーク上で分離されます。クライアント・アクセスは、システムで実行中のサービスへの信頼性の高い高速アクセスを可能にする、冗長10Gbps Ethernetネットワークを介して提供されます。管理アクセスは、物理的に独立した1Gbps Ethernetネットワークを介して提供されます。これにより、運用ネットワークと管理ネットワーク間の分離が実現します。

組織は、仮想LAN (VLAN)を構成することによって、クライアント・アクセスEthernetネットワーク上のネットワーク・トラフィックをさらに分割することを選択できます。VLANでは、要件に基づいてネットワーク・トラフィックを分割します。通信の機密保持と整合性を確保するために、暗号化されたプロトコルをVLAN上で使用することをお薦めします。

デバイス間通信は、冗長InfiniBandネットワークによって提供されます。InfiniBandネットワークは、Oracle Exadata Storage Serverとデータベース・サーバー間の通信用の、高パフォーマンスで低レイテンシのバックプレーンです。デフォルトでは、Oracle Exadata Storage Serverには構成済のソフトウェア・ファイアウォールが含まれます。ソフトウェア・ファイアウォールを使用してデータベース・サーバーを構成することもできます。

注意:

InfiniBandプライベート・ネットワークをパーティション分割しても、InfiniBandファブリックは保護されません。パーティション分割では、マシン間でのInfiniBandのトラフィックの分離のみを行います。

親トピック: 分離ポリシーの使用

2.2.2 データベースの分離

オペレーティング・システム制御とデータベース機能を使用して、データベースの分離を有効にします。

環境全体を単一のアプリケーションまたはデータベース専用にすることによって物理的に分離することは、最適な分離方法の1つです。ただし、費用がかかります。同じオペレーティング・システム・イメージ内の複数のデータベースを使用するという分離戦略によって、費用効果を高めることができます。複数データベースの分離は、ユーザー、グループおよびリソース制御専用の資格証明などの、データベース・レベルとオペレーティング・システム・レベルの制御を組み合せて実現されます。

Oracle Exadata Database Machineでは、Oracle Databaseのすべてのセキュリティ・オプションを使用できます。より細かい粒度でデータベースを分離する場合は、Oracle Database Vault、Oracle Virtual Private Database、Oracle Label Securityなどのソフトウェアを使用できます。

Oracle Database Vaultには、単一のデータベース内の論理レルムを使用して分離を強制する、必須アクセス制御モデルが含まれています。論理レルムは、管理アカウントによるアプリケーション・データへの非定型アクセスをブロックすることによって、既存のアプリケーション表の周囲に保護境界を形成します。Oracle Database Vaultコマンド・ルールにより、だれが、いつ、どこで、どのようにデータベースおよびアプリケーション・データにアクセスするかを制限するポリシーベースの制御が可能になります。これにより、アプリケーション・データへの信頼できるパスが作成されます。Oracle Database Vaultを使用して、時間、ソースIPアドレスおよび他の条件に基づいてアクセスを制限することもできます。

Oracle Virtual Private Databaseを使用すると、データベースの表とビューへの、行および列レベルのファイングレイン・アクセスを強制するポリシーを作成できます。Oracle Virtual Private Databaseでは、ポリシーがデータベース・オブジェクトに関連付けられ、データへのアクセス方法に関係なく自動的に適用されるため、セキュリティのポータビリティが提供されます。データベース内で粒度の細かい分離を実現するために、Oracle Virtual Private Databaseを使用できます。

Oracle Label Securityは、データの分類、および分類に基づいたそのデータへのアクセスの仲介に使用されます。組織は、組織のニーズを最適にサポートする、階層や非結合などの分類計画を定義します。この機能を使用すると、異なる分類レベルで格納された情報を単一の表領域内の行レベルで分離できます。

親トピック: 分離ポリシーの使用

2.2.3 ストレージの分離

Oracle Exadata Database Machineストレージは、プライベートInfiniBandネットワークを使用して、その他のアーキテクチャから分離されます。

Oracle Exadata Storage Serverによって管理されるストレージは、Oracle Automatic Storage Management (Oracle ASM)を使用してさらに分割し、個別のディスク・グループを作成できます。各ディスク・グループに独自のセキュリティ・ポリシーを設定できます。

親トピック: 分離ポリシーの使用

2.3 データへのアクセス制御

アプリケーション・データ、ワークロードおよび実行の基礎となるインフラストラクチャを保護するために、Oracle Exadata Database Machineには、ユーザーと管理者の両方のための、包括的で柔軟なアクセス制御機能が備えられています。

制御機能には、ネットワーク・アクセス、データベース・アクセスおよびストレージ・アクセスが含まれます。

  • ネットワーク・アクセスの制御
    単純なネットワーク・レベルの分離を超えて、デバイス・レベルでファイングレイン・アクセス制御ポリシーを設定できます。
  • データベース・アクセスの制御
    職務の分離は、共謀行動のリスクを減らし、不測のエラーを防止するために、アーキテクチャのすべてのレイヤーで重要です。
  • ストレージ・アクセスの制御
    Oracle Exadata System Softwareは、オープン・セキュリティ、Oracle ASMを有効範囲にしたセキュリティ、およびデータベースを有効範囲にしたセキュリティのアクセス制御モードをサポートしています。

親トピック: Oracle Exadata Database Machineのセキュリティ機能

2.3.1 ネットワーク・アクセスの制御

単純なネットワーク・レベルの分離を超えて、デバイス・レベルでファイングレイン・アクセス制御ポリシーを設定できます。

Oracle Exadata Database Machineのすべてのコンポーネントには、ネットワーク分離などのアーキテクチャの手法を使用するか、またはパケット・フィルタリングおよびアクセス制御リストを使用して、コンポーネント間、サービス間、またはコンポーネントとサービスの間の通信を制限することによって、サービスへのネットワーク・アクセスを制限する機能があります。

親トピック: データへのアクセス制御

2.3.2 データベース・アクセスの制御

職務の分離は、共謀行動のリスクを減らし、不測のエラーを防止するために、アーキテクチャのすべてのレイヤーで重要です。

たとえば、異なるオペレーティング・システム・アカウントを使用して、Oracle Automatic Storage Management (Oracle ASM)をサポートする管理者を含むデータベース管理者とストレージ管理者のロールを分離します。Oracle Database内では、ユーザーがアクセスを認可されているデータ・オブジェクトにのみアクセスできるように、ユーザーに特定の権限およびロールを割り当てることができます。明示的に許可されないかぎり、データを共有することはできません。

パスワード・ベース認証に加え、Oracle Databaseは、公開鍵証明書、RADIUSおよびKerberosもサポートします。Oracle Enterprise User Securityを使用して、データベースを認証および認可用の既存のLDAPリポジトリに統合できます。これらの機能によって、データベースにアクセスするユーザーのIDがより確実に保証されます。

Oracle Database Vaultを使用して、管理および特権ユーザー・アクセスを管理し、アプリケーション・データにどのように、いつ、どこでアクセスできるかを制御できます。Oracle Database Vaultは、盗まれたログイン資格証明の悪用、アプリケーション・バイパス、およびアプリケーションとデータに対する未認可の変更(アプリケーション・データのコピー作成の試みを含む)を阻止します。Oracle Database Vaultは、ほとんどのアプリケーションおよび日常業務に対して透過的です。多元的な認可ポリシーをサポートし、企業活動を中断することなくポリシーのセキュアな強制を可能にします。

Oracle Database Vaultでは、職務分離を強制し、アカウント管理、セキュリティ管理、リソース管理および他の機能が、それらの権限を持つことを認可されたユーザーにのみ許可されるようにできます。

親トピック: データへのアクセス制御

2.3.3 ストレージ・アクセスの制御

Oracle Exadata System Softwareは、オープン・セキュリティ、Oracle ASMを有効範囲にしたセキュリティ、およびデータベースを有効範囲にしたセキュリティのアクセス制御モードをサポートしています。

  • オープン・セキュリティでは、データベースがどのグリッド・ディスクにもアクセスできます。

  • Oracle ASMを有効範囲にしたセキュリティでは、1つ以上のOracle ASMクラスタに割り当てられた複数のデータベースで特定のグリッド・ディスクを共有できます。

    Oracle ASMは、そのアクセス制御モード全体に加えて、ディスク・グループおよびファイル・レベルでのアクセス制御をサポートし、認可されたユーザーのみがディスクに格納されたコンテンツにアクセスできるようにします。

    注意:

    • /etc/oracle/cell/network-config/cellkey.oraファイルは、Oracle Grid Infrastructureの特定の一意のグループ(asmadminなど)に所属するソフトウェア・インストールの所有者のみが読み取れるようにする必要があります。

    • Oracle Grid Infrastructureホーム内のkfodユーティリティを使用してトラブルシューティングを行うか、クラスタでアクセス可能なディスクを確認します。

  • データベースを有効範囲にしたセキュリティは、粒度が最も細かいレベルのアクセス制御であり、特定のデータベースのみが特定のグリッド・ディスクにアクセスできます。

    データベースを有効範囲にしたセキュリティは、コンテナ・レベルで機能します。これは、グリッド・ディスクをコンテナ・データベース(CDB)または非CDBのDB_UNIQUE_NAMEで使用可能にする必要があることを意味します。そのため、プラガブル・データベース(PDB)単位でデータベースを有効範囲にしたセキュリティを設定することはできません。

    注意:

    データベースを有効範囲にしたセキュリティの設定は、Oracle ASMを有効範囲にしたセキュリティを構成およびテストしてから行ってください。

デフォルトでは、ストレージ・サーバーでSSHが有効化されています。必要に応じて、SSHアクセスをブロックするためにストレージ・サーバーをロックできます。その場合でも、計算ノード上で実行されている、HTTPSおよびREST APIの使用によりセル上で実行されているWebサービスと通信するexacliを使用して、ストレージ・サーバーでの操作は実行できます。これは、CellCLIでユーザーおよびロールを作成してからremoteLoginを無効にすることで、高いレベルで実現されます。

関連項目:

『Oracle Exadata System Softwareユーザーズ・ガイド』の次のトピックを参照してください。

親トピック: データへのアクセス制御

2.4 暗号化サービスの使用

Oracle Exadata Database Machineにはネットワーク暗号化サービスが含まれています。

保存済、移動中および使用中の情報を保護および検証するための要件では、多くの場合、暗号化サービスが採用されます。暗号化と復号化からデジタル・フィンガープリントと証明書検証まで、暗号化はIT組織で最も広く採用されるセキュリティ制御の1つです。

Oracle Exadata Database Machineでは、可能な場合は常にIntel AES-NIおよびOracle SPARCによって提供されるプロセッサ・チップ上のハードウェアベースの暗号化エンジンが使用されます。暗号化操作にハードウェアを使用すると、ソフトウェアでその操作を実行するよりも、パフォーマンスが大幅に高くなります。どちらのエンジンでもハードウェアで暗号化操作を実行でき、かつ、どちらもデータベース・サーバーおよびストレージ・サーバー上のOracleソフトウェアによって活用されます。

ネットワーク暗号化サービスでは、暗号で保護されたプロトコルを使用することによって通信の機密保持および整合性が保護されます。たとえば、セキュア・シェル(SSH)アクセスでは、システムおよびIntegrated Lights Out Manager (ILOM)へのセキュアな管理アクセスが提供されます。SSL/TLSは、アプリケーションと他のサービス間のセキュアな通信を可能にできます。

データベースの暗号化サービスは、Oracle Advanced Securityから使用できます。Oracle Advanced Securityはデータベース内の情報を透過的データ暗号化(TDE)機能を使用して暗号化します。TDEでは、アプリケーション表領域の暗号化、および表内の個々の列の暗号化がサポートされます。一時表領域に格納されたデータ、およびREDOログも暗号化されます。データベースがバックアップされると、データは宛先メディアで暗号化されたままになります。これにより、物理的にどこに格納された場合にも、保存済の情報が保護されます。格納されたデータベース・コンテンツの機密保持、データベースの暗号化(表領域レベルまたは列レベル)に関心のある組織では、Oracle Advanced Securityを検討する必要があります。

さらに、Oracle Advanced Securityは、ネイティブ暗号化またはSSLを使用してOracle Net ServicesおよびJDBCトラフィックを暗号化し、ネットワークでの移動中に情報を保護できます。管理接続とアプリケーション接続の両方を保護し、移動中のデータが保護されるようにできます。SSLの実装では、匿名(Diffie-Hellman)、X.509証明書を使用したサーバーのみの認証、X.509による相互(クライアント-サーバー)認証などの一連の標準認証方式がサポートされます。

親トピック: Oracle Exadata Database Machineのセキュリティ機能

2.5 Oracle Exadata Database Machineの監視および監査

コンプライアンス・レポートのためであれ、インシデント応答のためであれ、監視と監査は、組織がIT環境の可視性を高めるために使用する必要がある重要な機能です。

監視と監査が行われる程度は、多くの場合、環境のリスクまたは重要度に基づきます。Oracle Exadata Database Machineは、サーバー、ネットワーク、データベースおよびストレージ・レイヤーで包括的な監視および監査機能を提供し、組織の監査およびコンプライアンス要件をサポートする情報を組織が使用できるように設計されています。

Oracle Exadata System Softwareリリース19.1.0では、Exadataシステム上のファイルへの不正アクセスを防止するために、Advanced Intrusion Detection Environment (AIDE)のサポートが追加されました。AIDEは、システムに対する悪質な変更または計画外の変更をレポートするセキュリティ機能です。AIDEは、システム上にファイルのデータベースを作成し、そのデータベースを使用してファイルの整合性を確認して、システム侵入を検出します。AIDEの詳細は、https://en.wikipedia.org/wiki/Advanced_Intrusion_Detection_Environment参照してください。

親トピック: Oracle Exadata Database Machineのセキュリティ機能

2.6 Oracle Databaseアクティビティの監視および監査

Oracle Databaseのファイングレイン監査のサポートによって、組織は監査レコードの生成時期を選択的に決定するポリシーを確立できます。

ポリシーを確立すると、組織は他のデータベース・アクティビティに集中し、監査アクティビティに関連付けられることの多いオーバーヘッドを削減できます。

Oracle Audit Vaultはデータベース監査設定の管理を一元化し、セキュアなリポジトリへの監査データの統合を自動化します。Oracle Audit Vaultには、特権ユーザーのアクティビティやデータベース構造への変更を含む広範なアクティビティを監視するための組込みレポートが含まれています。Oracle Audit Vaultで生成されるレポートによって、様々なアプリケーションおよび管理データベースのアクティビティを可視化し、アクションのアカウンタビリティをサポートする詳細な情報を取得できます。

Oracle Audit Vaultを使用すると、未認可アクセスの試みやシステム権限の不正使用を示す可能性のあるアクティビティのプロアクティブな検出および警告が可能になります。これらの警告には、特権ユーザー・アカウントの作成や機密情報を含む表の変更などの、システム・イベントとユーザー定義イベントの両方を含めることができます。

Oracle Database Firewall Remote Monitorは、リアルタイムのデータベース・セキュリティ監視を提供できます。Oracle Database Firewall Remote Monitorはデータベース接続を問い合せて、アプリケーション・バイパス、未認可のアクティビティ、SQLインジェクション、その他の脅威などの悪意のあるトラフィックを検出します。Oracle Database Firewallは正確なSQLグラマーベースのアプローチを使用することによって、疑わしいデータベース・アクティビティを組織が迅速に識別できるようにします。

親トピック: Oracle Exadata Database Machineのセキュリティ機能

2.7 品質サービスの管理

アプリケーションに対する攻撃には、境界違反やアクセス制御ポリシーの破壊以外にも様々な方法があります。

Oracle Exadata Database Machineには、リソースを枯渇させる攻撃、DoS攻撃、およびサービスとデータの可用性に影響する可能性がある偶発的または故意の障害の検出と防止に役立つ、数多くの機能が備えられています。

Oracle Exadata System Softwareには、データベース間のI/Oリソースおよびデータベース内のI/Oリソースを管理するI/Oリソース管理(IORM)が含まれます。IORMにより、異なるパフォーマンス要件を持つ様々なデータベースで共通のOracle Exadata Storage Serverプールを共有できます。同じデータベース内の複数のワークロードに独自のリソース・ポリシーを定義できます。この柔軟なアーキテクチャによって、組織では統合アーキテクチャでの操作時に重要なワークロードおよびデータベースでI/Oリソースを共有できます。

Oracle Databaseには、複数のデータベースが同じオペレーティング・システムで稼働できるようにするツールが含まれています。Oracle Database Resource Managerおよびインスタンス・ケージングでは、粒度の細かい方法を使用してCPUリソースへのアクセスを動的に制御する機能をサポートしています。Oracle Database Resource Managerは、並列度の程度、アクティブなセッションの数および他の共有リソースを制御して、共有データベース・アーキテクチャで必要なリソースを1つのデータベースが独占することを防止できます。

Oracle Database Quality of Service Management (Oracle Database QoS Management)は、システム全体のワークロード・リクエストを監視する自動化されたポリシーベースのソリューションです。Oracle Database QoS Managementは正確なランタイム・パフォーマンスとリソース・メトリックを相互に関連付け、データを分析してボトルネックを特定し、動的な負荷状態でパフォーマンス目標を維持する推奨リソース調整を作成します。

親トピック: Oracle Exadata Database Machineのセキュリティ機能

2.8 セキュアな管理のためのOracle ILOMの使用

個々のアプリケーションとサービスを適切に保護するには、セキュリティ制御および機能を組み合せる必要があります。

デプロイされたサービスおよびシステムのセキュリティを維持するための包括的な管理機能を持つことも、同様に重要となります。Oracle Exadata Database MachineではILOMのセキュリティ管理機能が使用されます。

ILOMは、多数のOracle Exadata Database Machineコンポーネントに組み込まれたサービス・プロセッサです。次のようなバンド外管理アクティビティを実行するために使用されます。

  • データベースおよびストレージ・サーバーのセキュアな停電管理を実行するためのセキュアなアクセスの提供。アクセスには、SSLによって保護されたWebベースのアクセス、セキュア・シェルを使用したコマンドライン・アクセス、IPMI v2.0プロトコルおよびSNMPv3プロトコルが含まれます。

  • ロールベースのアクセス制御モデルを使用した職務要件の分離。各ユーザーは、実行できる機能が制限された特定のロールに割り当てられます。

  • すべてのログオンおよび構成変更の監査レコードの提供。各監査ログ・エントリには、アクションを実行しているユーザーおよびタイムスタンプが表示されます。これにより、組織は未認可のアクティビティや変更を検出し、それらのアクションを特定のユーザーと関連付けることができます。

親トピック: Oracle Exadata Database Machineのセキュリティ機能