Oracle Cloud Infrastructureドキュメント

データベース・セキュリティ構成の監視

管理対象データベースのセキュリティ・タスクの一部として、ユーザー、ロール、プロファイル、権限の使用、監査設定およびSQLファイアウォールを監視できます。

データベース・セキュリティ構成および権限の使用を監視すると、アクセス制御を評価し、潜在的なセキュリティ・リスクを特定するのに役立ちます。「セキュリティ」セクションでは、ユーザー・アクセスの確認、パスワードおよびリソース・ポリシーの適用の確認、使用済および未使用の権限の識別、監査設定の検証、SQLファイアウォールの保護および違反の監視を行うことができます。

ノート

現在、データベース管理の診断および管理のセキュリティ機能は、外部データベースおよびOracle Cloudデータベースのバージョン19c以降でのみ使用できます。Autonomous AIデータベースおよび以前のバージョンの外部データベースおよびOracle Cloudデータベースの場合、かわりに「ユーザー」セクションが表示されます。

「ユーザー」セクションは、データベース・ユーザーを監視するための古いインタフェースであり、アカウント・ステータス、アカウントの有効期限までの残り日数、有効期限、割り当てられたプロファイルなどの情報とともにユーザーをリストします。

「セキュリティ」セクションに移動してデータベース・セキュリティ構成をモニターする前に、次の権限があることを確認する必要があります: 

Grant READ ON <following database objects> TO <monitoring user>
  • DBA_USERS
  • DBA_ROLE_PRIVS
  • DBA_TAB_PRIVS
  • DBA_SYS_PRIVS
  • DBA_RSRC_CONSUMER_GROUP_PRIVS
  • PROXY_USERS
  • DBA_CONTAINER_DATA
  • DBA_PROFILES
  • DBA_USERS_WITH_DEFPWD
  • V$PWFILE_USERS

次に例を示します:

Grant READ ON DBA_USERS TO DBSNMP
ノート

権限分析を使用してSQLファイアウォールを監視するには、追加の権限が必要です。詳細は、権限分析およびSQLファイアウォールを参照してください。

「セキュリティ」セクションに移動するには、「管理対象データベースの詳細」ページに移動し、左側のペインで「管理」を展開して、「セキュリティ」をクリックします。

「セキュリティ」セクションには次のタブがあります:

  • サマリー: 管理対象データベースのセキュリティ構成の統合された概要ビューを提供します。チャートと詳細情報により、データベースのセキュリティ状態を一目で評価できます。

    「サマリー」タブには、次のセクションがあります:

    • ステータス・サマリー: アカウント・ステータスに基づいてデータベース・ユーザーがグラフィカルに分散されます。
    • 認証タイプ別のロール: 認証タイプに基づいてロールのグラフィカルな分類が表示されます。
    • ステータス別プロファイル: 現在使用中のプロファイル数と未使用のプロファイル数をグラフィカルに表示します。
    • ユーザー: アクティブなデフォルト・アカウントの数、非アクティブなユーザー・アカウント、過去24時間以内に失効またはロックされたアカウントなど、ユーザー関連のメトリックが表示されます。各メトリックの値をクリックすると、対応するパネルに追加の詳細を表示できます。
    • ロール: 様々なロールを付与されたユーザーの数など、ロール関連のメトリックが表示されます。各メトリックの値をクリックすると、対応するパネルに追加の詳細を表示できます。
    • プロファイル: 様々なプロファイルが割り当てられたユーザーの数など、プロファイル関連のメトリックを表示します。各メトリックの値をクリックすると、対応するパネルに追加の詳細を表示できます。
  • ユーザー: ユーザー・アカウントとそのセキュリティ関連属性を表示できます。これにより、アカウント・ステータス、パスワード関連の設定、ログイン・アクティビティをモニターし、レビューまたはアクションが必要なアカウントを識別できます。

    「ユーザー」タブには、次のチャートがあります:

    • ステータス・サマリー: アカウント・ステータス別のデータベース・ユーザーのサマリーがグラフィカルに表示されます。
    • ユーザー統計: 1日、1-7日、7-30日以上などの期間にわたって、選択した基準(期限切れユーザーなど)に基づいてユーザー数が表示されます。ドロップダウン・リストを使用して、基準を変更できます。たとえば、デフォルトの「期限切れユーザー」オプションのかわりに、「期限切れユーザー」または「最終パスワード変更済」オプションを選択して、各期間の対応する番号を表示できます。
    • 無制限のパラメータ・ユーザー: パスワード関連のパラメータまたはリソース関連のパラメータに無制限の値を持つプロファイルに関連付けられたユーザーの数が表示されます。ドロップダウン・リストを使用して、「パスワード」(デフォルト)パラメータと「リソース」パラメータを切り替えることができます。

    表には、「ユーザー」タブのチャートに加えて、管理対象データベースに作成されたユーザーが、ユーザー・アカウント・ステータス、アカウントの有効期限までの残り日数、最終ログイン日などの情報とともにリストされます。使用可能なフィルタ基準を使用するか、チャートをクリックして、データをフィルタできます。

    ユーザーの名前をクリックすると、「ユーザー詳細」ページに移動し、ユーザーに関連する情報を表示できます。「ユーザーの詳細」ページで、左側のペインの「リソース」の下にあるオプションをクリックすると、ロール、システム権限、オブジェクト権限、コンシューマ・グループの権限、プロキシ・ユーザーとそのユーザーが代理として機能できるクライアント、およびそのユーザーに関連付けられたデフォルトのコンテナ・データ・アクセスを表示します。

  • ロール: データベース・ロールとそのセキュリティ関連の特性を可視化します。これは、ロール認証タイプ、ロール・スコープおよびロール使用状況を確認し、さらに確認する必要があるロールを識別するのに役立ちます。

    「ロール」タブには、次のチャートがあります。

    • 認証タイプ別のロール: 認証タイプに基づいてロールのグラフィカルな分布を表示します。
    • タイプ別のロール: スコープ別に分類されたロールの数(「共通」および「ローカル」)が表示されます。
    • ユーザーに付与されたロール: 各ロールに付与されたユーザーの数別に上位ロールを表示します。

    表には、「ロール」タブのチャートに加えて、管理対象データベースに作成されたロールと、その認証タイプや有効範囲などの情報がリストされます。使用可能なフィルタ基準を使用するか、チャートをクリックして、データをフィルタできます。

    ロールの名前をクリックすると、「ロール詳細」ページに移動し、ロールに関連する情報を表示できます。「ロール詳細」ページで、左ペインの「リソース」の下にあるオプションをクリックして、ロールに関連付けられたロール、システム権限、オブジェクト権限およびコンシューマ・グループを表示します。

  • プロファイル: データベース・プロファイルとその構成を表示できます。これは、プロファイル使用状況の確認、未使用のプロファイルの識別、およびセキュリティまたはリソース管理リスクを引き起こす可能性のある無制限のパスワードまたはリソース・パラメータを持つプロファイルの検出に役立ちます。

    「プロファイル」タブには、次のチャートがあります:

    • ステータス別プロファイル: 現在使用中のプロファイルと未使用のプロファイルのサマリーがグラフィカルに表示されます。
    • プロファイル使用状況: 最上位プロファイルを使用状況別に表示します。
    • 無制限のプロファイル・パラメータ: 様々なパスワード関連パラメータまたはリソース関連パラメータに無制限の値を持つプロファイルの数が表示されます。ドロップダウン・リストを使用して、「パスワード」(デフォルト)パラメータと「リソース」パラメータを切り替えることができます。

    表には、「プロファイル」タブのチャートに加えて、管理対象データベースに作成されたプロファイルと、プロファイルが共通かどうか、継承されるかどうかなどの情報がリストされます。

    プロファイルの名前をクリックすると、「プロファイル詳細」ページに移動し、プロファイルに関連する情報を表示できます。「プロファイル詳細」ページで、左ペインの「リソース」の下にあるオプションをクリックして、パスワードおよびリソース関連のプロファイル・パラメータとその値を表示します。

  • 権限分析: 使用済および未使用のデータベース権限を可視化し、最小権限レビューをサポートします。権限分析ポリシーを作成して、権限の使用を取得し、選択したスコープの結果をレビューできます。「期間」適用済フィルタを使用して、選択した期間の情報を表示します。
    ノート

    一度に実行できる権限分析取得は1つのみです。ただし、データベース全体の取得は、1つの非データベース全体の取得と同時に実行できます。データベース全体の複数の取得を順番に実行するには、データベース管理を使用して、現在の取得を停止するようにスケジュールし、別の取得を後で開始するようにスケジュールします。

    権限を分析するには、モニタリング・ユーザーがCAPTURE_ADMINロールをデフォルト・ロールとして有効にし、必要なデータ・ディクショナリ・ビューにアクセスできる必要があります。CDBの場合、次の例では、ロールを付与し、モニタリング・ユーザーのデフォルト・ロールにロールを含める方法を示します。 

    GRANT CAPTURE_ADMIN TO <monitoring_user> CONTAINER=ALL;

ALTER USER <monitoring_user> DEFAULT ROLE
  <existing_default_roles>, CAPTURE_ADMIN
  CONTAINER=CURRENT;

    「権限分析」タブには、次の情報およびチャートがあります:

    • ステータス・サマリー: 準備状況ステータス、準備状況が最後にチェックされた時間、および最新の取得とそれに関連付けられたポリシーの詳細が表示されます。
    • 未使用権限数別の上位レポート: 未使用権限数が最も多いレポートが表示されます。
    • 取得開始別の生成済レポート: 取得開始時間別にグループ化された生成済レポートが表示されます。
    • 状態別のレポート: 「生成されたレポート」や「失効」などの状態別のレポートの分布が表示されます。
    • アクティブ・ポリシー: アクティブ・ポリシーの数が表示されます。
    • 完了したポリシー: 完了したポリシーの数が表示されます。
    • 未使用の結果: 未使用権限の結果の数が表示されます。
    • 使用された結果: 使用された権限の結果の数が表示されます。

    情報およびチャートに加えて、「最近の権限分析の取得」表には、ポリシー、取得名、タイプ、スコープ、状態、開始時間および終了時間、レポート生成時間、イニシエータ、取得期間、未使用の権限数などの詳細を含む取得がリストされます。表を検索するには、「検索」フィールドを使用します。

    権限解析ポリシーを作成するには:

    1. 「権限分析」タブで、「ポリシーの作成」をクリックします。
    2. 「ポリシー詳細」ステップで、ポリシー名と説明を入力し、取得名を確認して、「次」をクリックします。
    3. 「スコープの取得」ステップで、次のいずれかのオプションを選択します:
      • データベース: 現在のデータベース全体での取得権限の使用。
      • ロール: 選択したデータベース・ロールに対する取得権限の使用。含めるロールを選択します。
      • コンテキスト: 指定したUSERENV条件に一致するセッションによる取得権限の使用。各条件について、属性と演算子を選択し、必要な値を入力します。「条件の追加」をクリックして、追加の条件を指定します。
      • ロールおよびコンテキスト: 指定したUSERENV条件に一致するセッションで、選択したロールに対する取得権限の使用。ロールを選択し、条件を指定します。「条件の追加」をクリックして、追加の条件を指定します。
    4. 次のオプションのいずれかを選択し、取得の開始時間を指定します。
      • 即時: ポリシーの作成直後に最初の取得を開始します。
      • 後で: 将来の日時で開始するように取得をスケジュールします。
    5. 「データベース資格証明」で、「資格証明タイプ」ドロップダウン・リストから使用可能なオプションのいずれかを選択し、管理対象データベースに接続するためのデータベース資格証明を指定します。資格証明タイプの詳細は、資格証明を使用した診断および管理タスクの実行を参照してください。
    6. オプションで、「SQLの表示」をクリックしてSQL文を確認します。
    7. 「作成」をクリックします。

    権限分析の詳細は、Oracle AI Databaseセキュリティ・ガイドの権限分析の実行による権限の使用の識別を参照してください。

  • 監査設定: データベース監査構成を可視化します。これにより、監査モード、監査ポリシーおよび監査証跡アクティビティを確認して、セキュリティおよびコンプライアンスの要件に従って監査が有効になり、構成されていることを確認できます。

    「監査設定」タブには、次の一般情報およびチャートがあります:

    • 一般: 監査モード、監査ポリシーの数、表領域の使用状況など、監査構成のサマリーが表示されます。
    • コンポーネント別監査証跡: 選択した期間に監査コンポーネントによって生成された監査レコードのサマリーがグラフィカルに表示されます。ドロップダウン・リストを使用して、期間を変更できます。
    • ポリシー別の監査証跡: 選択した期間における監査ポリシー別の監査レコードのグラフィカルな内訳が表示されます。ドロップダウン・リストを使用して、期間を変更できます。

    表には、「監査設定」タブの一般情報およびチャートに加えて、管理対象データベースに作成された監査ポリシーと、ポリシーが有効かどうか、ポリシーが適用されるユーザーまたはロールなどの情報がリストされます。

    監査ポリシーの名前をクリックすると、「監査ポリシーの詳細」ページに移動し、ポリシーに関連する情報を表示できます。「監査ポリシーの詳細」ページで、左ペインの「リソース」の下にあるオプションをクリックして、ポリシーで監査される権限、ポリシーでカバーまたは監査されるアクション、およびポリシーが有効なエンティティを表示します。

  • SQLファイアウォール: 管理対象データベースのSQLファイアウォール・ステータス、ポリシー保護および最新のSQLファイアウォール・アクティビティを可視化します。
    ノート

    現在、SQLファイアウォールの監視は、「完全管理」オプションが有効になっているOracle Cloud Databasesバージョン26ai以降でのみ使用できます。外部データベースおよびAutonomous AIデータベースでは使用できません。

    SQLファイアウォールを監視するには、監視ユーザーにSQL_FIREWALL_VIEWERまたはSQL_FIREWALL_ADMINロールと、次のSQLファイアウォール・ビューへのアクセス権も必要です。

    • DBA_SQL_FIREWALL_STATUS
    • DBA_SQL_FIREWALL_CAPTURES
    • DBA_SQL_FIREWALL_ALLOW_LISTS
    • DBA_SQL_FIREWALL_VIOLATIONS
    • DBA_SQL_FIREWALL_CAPTURE_LOGS
    • DBA_SQL_FIREWALL_SESSION_LOGS
    • DBA_SQL_FIREWALL_ALLOWED_SQL
    • DBA_SQL_FIREWALL_ALLOWED_IP_ADDR
    • DBA_SQL_FIREWALL_ALLOWED_OS_USER
    • DBA_SQL_FIREWALL_ALLOWED_OS_PROG

    「SQLファイアウォール」タブには、次の情報およびチャートがあります:

    • ステータス・サマリー: SQLファイアウォール・ステータス、ステータスが最後に更新された時間およびジョブが除外されるかどうかが表示されます。
    • ポリシー保護サマリー: 「保護済」、「監視のみ」、「許可リストなし」および「無効」など、SQLファイアウォール保護ステータスに基づいてデータベース・ユーザーのグラフィカル・サマリーが表示されます。
    • 違反の傾向: 選択した期間のSQLファイアウォール違反を表示します(「ブロック済」および「許可済」に分類されます)。
    • 違反: 「期間」適用済フィルタで選択した期間のSQLファイアウォール違反の数が表示されます。値をクリックすると、データベース・ユーザー、SQLテキスト、クライアント情報、違反の原因、実行されたアクション、違反が発生した時間などの詳細が表示されます。
    • 取得: SQLファイアウォール取得の数が表示されます。値をクリックして、データベース・ユーザー、取得ステータス、取得が最後に開始または停止された日時などの取得詳細を表示します。
    • 取得ログ: SQLファイアウォール取得ログの数が表示されます。値をクリックして、取得されたSQLアクティビティおよび関連するユーザーおよびクライアント情報の詳細を表示します。
    • 許可されたSQL: 許可されたSQL文の数が表示されます。値をクリックすると、許可されたSQLの詳細(データベース・ユーザー、SQLテキスト、アクセスされたオブジェクトなど)が表示されます。
    • 許可されたIPアドレス: SQLファイアウォール・ターゲット・ユーザーがデータベースに接続するために使用することを許可されているIPアドレスの数が表示されます。値をクリックして、データベース・ユーザーおよび許可されるクライアントIPアドレスを表示します。
    • 許可されたOSユーザー/プログラム: SQLファイアウォール・ターゲット・ユーザーがデータベースへの接続に使用できるOSユーザーおよびプログラムの数が表示されます。値をクリックして、データベース・ユーザー、および許可されているOSユーザー名とOSプログラム名を表示します。

    表には、「SQLファイアウォール」タブの情報およびチャートに加えて、次の情報を含むデータベース・ユーザーがリストされています。「フィルタ」および「検索」フィールドを使用して、表の情報を検索またはフィルタできます。

    • DBユーザー: データベース・ユーザーの名前を入力します。
    • 取得ステータス: データベース・ユーザーに対してSQLファイアウォール取得が有効か無効かが表示されます。
    • 許可リスト: データベース・ユーザーに対して許可リストが有効か無効かが表示されます。
    • 強制: SQLファイアウォールの強制設定が表示されます。
    • モード: SQLファイアウォールが「監視」モードと「ブロック」モードのどちらで動作しているかが表示されます。
    • 所有アプリケーション: データベース・ユーザーに関連付けられているアプリケーションが表示されます(使用可能な場合)。
    • 違反: 選択した期間のSQLファイアウォール違反の数が表示されます。
    • 最後の違反: 選択した期間の最新のSQLファイアウォール違反の時間が表示されます。