Oracle Cloud Infrastructureドキュメント

アラートの概要

ターゲット・データベースのアラートを有効にして、特定のユーザー・アクティビティおよび異常な動作をトラッキングして通知できます。

データベース・パラメータや監査ポリシーが変更されたとき、管理者によるログイン失敗が発生したとき、ユーザーの権限が変更されたとき、ユーザーが作成または削除されたときにアラートを受け取ることを選択できます。

Oracle Data Safeのアラートについて

ターゲット・データベースで特定の監査イベントが発生すると、アラート・メッセージが通知されます。アラートは、Oracle Data Safeで有効にしたアラート・ポリシーに基づいています。

アラート通知のための前提条件として、有効な監査ポリシーが必要です。このポリシーは、監査イベントを生成するポリシーです。生成された監査イベントがターゲット・データベースで有効になっているアラート・ポリシーと一致する場合、アラートが発生します。

Oracle Data Safeアラート・ポリシー

セキュリティ・センターでは、ターゲット・データベースにカスタム・アラート・ポリシーと事前定義済アラート・ポリシーをプロビジョニングできます。アラート・ポリシーは、モニターするデータベース・イベントを定義します。アラート・ポリシーはルールベースであり、収集した監査データからトリガーされます。デフォルトでは、アラートの保持ポリシーは3か月です。

たとえば、ORA_LOGON_FAILURES統合監査ポリシーがターゲットのデータベースにプロビジョニングされている場合、管理者がターゲット・データベースへのサインインに失敗すると、このポリシーにより、ログインに失敗の監査レコードが生成されます。生成された監査レコードは、Oracle Data Safeによって収集されます。ターゲットに対してアラート・ポリシーFailed Logins by Admin Userが有効になっている場合、失敗したログイン監査レコードについてOracle Data Safeによってアラートが生成されます。

カスタムアラート

カスタム・アラート・ポリシーを使用すると、アラートの対象となるデータベースの変更をカスタマイズできます。アラートを構成できるシナリオには、次のものがあります。

  • 不明なクライアント・ホストからのデータベース・パラメータの変更を検出します

  • 許可リストに記載されていないユーザーからの重要な表に対するデータ・アクセスの検出

  • 不要なロジックを実行するためのストアド・プロシージャ定義の変更の検出

  • 機密アプリケーション・スキーマでのDatabase Vaultレルム違反の検出

  • 機密表からのデータ抽出の試行の検出

詳細は、Create and Manage Custom Alert Policiesを参照してください。

事前定義アラート

次の表に、Oracleの事前定義済アラート・ポリシー、その重大度レベル、その説明および各アラートの基準を示します。

事前定義されたアラート 重大度レベル 説明 アラートをトリガーするために必要な監査ポリシー
監査ポリシーの変更 高 CREATE、ALTER、DROP、AUDIT、NOAUDITなどの監査ポリシーの変更、およびDBMS_AUDIT_MGMTまたはDBMS_FGAパッケージの実行 これらは、Oracle Databaseの必須監査によって取得されます。
データベース・パラメータの変更 高 ALTER SYSTEM文を使用したデータベース・パラメータの変更 クリティカルなデータベース・アクティビティまたはORA_DATABASE_PARAMETER監査ポリシー
データベース・スキーマを変更 中 データベース・スキーマ・オブジェクトに対するCREATE、ALTER、DROPまたはTRUNCATEなどのデータ定義言語(DDL)アクションに対する変更* データベース・スキーマの変更または同様の監査ポリシー
管理ユーザーによる失敗ログイン クリティカル 管理ユーザーまたはシステム権限のいずれかを持つ管理者ユーザーによる失敗したすべてのログイン試行 ORA_LOGIN_FAILURES (26aiの場合はORA_LOGIN_LOGOUT)または同様のポリシー
プロファイル変更 クリティカル ユーザー・プロファイルに対する変更(CREATE、ALTER、DROPなど) クリティカルなデータベース・アクティビティまたは類似の監査ポリシー
ユーザーの作成/変更 中 CREATE、ALTER、DROPなどのデータベース・ユーザーに対する変更 クリティカル・データベース・アクティビティ、ORA_ACCOUNT_MGMTまたは同様のポリシー
ユーザー権限の変更 中 任意のデータベース・オブジェクトに対する権限(GRANTやREVOKEなど)のユーザー権限データに対する変更 クリティカル・データベース・アクティビティ、ORA_ACCOUNT_MGMTまたは同様のポリシー
SQLファイアウォール違反 クリティカル SQLファイアウォールは、データベース接続またはSQLコマンド実行の一致しないシナリオごとに、SQLファイアウォール・ポリシーの有効な許可リストのルール内のエントリに対して違反をリアルタイムに報告します。 データベース・ユーザーのSQLファイアウォール・ポリシーをデプロイおよび適用する際の監査の有効化

*データベース・スキーマ・オブジェクトには、PROCEDURE, PACKAGE, PACKAGE BODY, FUNCTION, TRIGGER, LIBRARY, SYNONYM, TABLE, DATABASE LINK, INDEX, OUTLINE, CONTEXT, ATTRIBUTE DIMENSION, DIMENSION, INDEXTYPE, OPERATOR, JAVA, MINING MODEL, TYPE BODY, TYPE, MATERIALIZED VIEW, MATERIALIZED VIEW LOG, MATERIALIZED ZONEMAP, VIEW, ANALYTIC VIEW, SEQUENCE,およびCLUSTERが含まれます。

ターゲット・ポリシーのアソシエーション

ターゲット・データベースまたはターゲット・データベース・グループにアラート・ポリシーを適用すると、Oracle Data Safeによってターゲットまたはターゲット・グループとアラート・ポリシーとの間にアソシエーションが作成され、ポリシーが自動的に有効になります。アソシエーションは、ターゲット・ポリシー・アソシエーション・ページで確認できます。アラート・ポリシーを必要に応じて無効化または再有効化し、ターゲットとポリシーのアソシエーションを削除できます。アラート・ポリシーを無効にしても、監査収集は一時停止されません。監査イベントのポリシー評価は一時停止されます。

これは一般的なユース・ケースです。メンテナンス・ウィンドウ中に、データベース内の特定のアクティビティによって監査イベントが生成されることがわかっており、このウィンドウ中にアラート通知を管理者に送信したくありません。アラート評価をしばらく無効にすることで一時停止できます。

注意:ターゲット・データベースの監査データ収集を開始する前または開始後にアラート・ポリシーを適用できます。ただし、アラートの生成を開始する場合は、適切な監査ポリシーが構成されていること、監査証跡に対して監査収集が有効になっていること、およびOracle Data Safeがターゲット・データベースから監査データを収集していることを最初に確認してください。

スロットル・アラート

10分間隔で1000以上のアラートが生成されると、カスタムおよび事前定義済アラート・ポリシーはData Safeによって自動的にスロットルされ、一時的に一時停止されます。

監査ポリシーまたはアラート・ポリシーの不適切な構成、または監査イベントを生成するアプリケーション・ワークロードの変更によって発生する可能性のあるアラートが多数発生しないようにするため、Data Safeは、10分間隔でターゲット・データベースの1つの監査証跡から監査収集データに基づいて1000以上のアラートを生成すると、アラート・ポリシーをスロットル、一時的に一時停止します。これらの10分間隔は、Data Safeによって、1時間の先頭から10分ごとに指定されています。

アラートポリシーがスロットルされている場合は、スロットルされたアラートポリシーを知らせる Alert Generation Throttledアラートを受信します。アラートポリシーがスロットルされると、アラートが生成されたのと同じ10分間隔の残りで最大10分間一時的に一時停止されます。これにより、この異常な量のアラートが、監査ポリシーまたはアラートポリシーでのアカウントの構成ミスによるものか、または潜在的な違反の兆候によるものかを分析する時間を確保できます。10分間隔の終了時にスロットルが完了すると、アラート・ポリシーが再度有効になります。

たとえば、アラートポリシーによって08:03から08:07までの間に1000を超えるアラートが発生した場合、8:07に Alert Generation Throttledアラートを受信し、アラートは08:09:59までスロットルされ、08:00:00から08:09:59は指定された10分間隔になります。ただし、アラートポリシーで08:05から08:09:59までの間に501アラートが発生し、さらに08:10から08:15までの間に501アラートが発生した場合、ほかのアラートがないと仮定すると、アラートポリシーは08:00:00から08:09:59まで、および08:10:00から08:19:59までの間隔で1000以上のアラートが発生しなかったため、スロットルされません。

アラート・ポリシーはData Safeの監査収集時に評価されるため、実際の監査イベントが過去にターゲット・データベースで生成された可能性があります。たとえば、新しく登録されたデータベースの監査証跡収集を開始して1年分の監査データを取り込む場合、Data Safeは次に基づいてアラート・ポリシーを評価します: 監査データの解析中に10分以内に1000個以上のアラートを生成した場合、収集された監査データは1年前のもので、アラート・ポリシーが抑制されます。より具体的には、過去6時間の監査データを解析すると、Data Safeが10:02から10:07に取得され、アラート・ポリシーに対して1000を超えるアラートがトリガーされた場合、そのアラート・ポリシーは10:09:59までスロットルされます。

スロットルアラートレポート

スロットル・アラート・ポリシーの詳細は、レポートで使用可能なスロットル・アラート・レポートを参照してください。スロットル・アラートの一般情報に加えて、次の列が表示されます。

  • 作成済: アラート・ポリシーが最初にスロットルされた時刻。

  • スロットル終了時間: アラート・ポリシーがスロットルされた時間。

詳細は、View and Manage Alert Reportsを参照してください。

「すべてのアラート」レポート

Oracle Data Safeには、アラートの概要を示す対話型の「すべてのアラート」レポートがあります。フィルタの設定、レポート列の表示と非表示、カスタム・レポートとしての変更の保存、PDFおよびXLSレポートの生成とダウンロードを行うことができます。カスタム・レポートからPDFおよびXLSレポートを更新、削除および生成できます。「すべてのアラート」レポートは削除できません。

アラート・ワークフロー

ターゲット・データベースに適用するための一般的なステップは、次のとおりです:

  1. Oracle Cloud Infrastructure Identity and Access Management (IAM)で権限を取得して、ターゲット・データベースを検査し、関連するコンパートメントのアラート機能を使用します。

  2. ターゲット・データベースを登録します。 デフォルトの監査プロファイル、監査ポリシーおよび監査証跡が自動的に作成されます。

  3. ターゲット・データベースのデフォルトの監査ポリシーを確認および変更して、監査データ保持設定および有料使用設定をカスタマイズします。

  4. ターゲット・データベースのデフォルトの監査ポリシーを確認および変更して、関心のあるアクティビティをトラッキングするのに適した統合監査ポリシーがターゲット・データベースで有効になっていることを確認します。 これらのポリシーの中で、アラートを介したプロアクティブ・モニタリング用に構成する監査イベントを決定します。

  5. ターゲット・データベースの監査証跡を確認し、それらが開始されていることを確認して、監査データを収集できるようにします。これらは「収集中」または「アイドル」状態である必要があります。

  6. カスタム・アラート・ポリシーを作成します。

  7. ターゲット・データベースまたはターゲット・データベース・グループにアラート・ポリシーを適用します。

    • アラート・ポリシーが有効であると、そのポリシーのアラートを受信できます。

    • アラート・ポリシーが無効であると、アラート・ポリシー評価は一時停止されます。監査ポリシーおよび監査データ収集は何も変更されません。

アラートを使用するための前提条件

次に、アラートを使用するための前提条件を示します:

  • アラート機能で使用するターゲット・データベースを登録します。

  • Oracle Data Safeのアラート機能を使用するためのOracle Cloud Infrastructure Identity and Access Management (IAM)の権限を取得します。OCI管理者は、必要に応じて次のリソースに対するviewまたはmanage権限を付与できます:

    • data-safe-alerts

    • data-safe-alert-policies

    • data-safe-target-alert-policy-associations

    • data-safe-report-definitions

    • data-safe-work-requests (作業リクエストとその詳細のリストを表示します)

権限を選択的に付与するかわりに、関連するコンパートメントのdata-safe-alert-familyに対する権限を付与できます。これには、前述のすべてのリソースに対する権限が含まれます。data-safe-alert-family Resourceを参照してください。