OCIのDataSafeについて検証してみた

2025年1月21日 Oracle Cloud

1 はじめに
2 Data Safeとは
3 Data Safeの機能紹介
4 アクティビティ監査についての検証
5 おわりに

はじめに

みなさん、こんにちは。
Oracle Cloud Infrastructure 検証チームです。

今回は、Oracle Cloud Infrastructure の機能であるData Safeについての機能紹介になります。

過去のOracle Cloud関連記事はこちら！

Data Safeとは

Oracle Data Safe は、データのセキュリティに重点を置いた完全に統合されたリージョン・クラウド・サービスです。
Data safeによって、データ、ユーザー、設定に関するセキュリテイ課題の可視化や、精密データのマスキングが可能です。
また、課題の検出や監査を自動化できるため、管理工数をかけずにクラウドで利用するデータベースのセキュリティ強化や重要なデータの保護、コンプライアンス対応の実現も可能です。

Data Safeのマニュアルは下記になります。
https://docs.oracle.com/cd/E83857_01/paas/data-safe/udscs/index.html

Data Safeには下記の機能があります。

セキュリティ・アセスメント
ユーザー・アセスメント
データ検出
データ・マスキング
アクティビティ監査
アラート
SQLファイアウォール

Data Safeの機能紹介

Data Safeの各種機能について紹介いたします。

セキュリティ・アセスメント

データベース構成のセキュリティ・リスクの評価をおこないます。
データベース構成、ユーザー・アカウント、およびセキュリティ制御を分析し、リスクを軽減または緩和するためのベスト・プラクティスに従った改善アクティビティに対する推奨事項をレポートします。

リスク・レベルやカテゴリ別に評価の結果が確認可能です。

リスク(High/Medium/Low etc)
カテゴリ(ターゲット・データベース/ユーザー・アカウント/権限およびロール/アクセス制御/データ暗号化 etc)

また、アセスメント結果の比較分析や過去の実行結果についても参照可能となっています。

ユーザー・アセスメント

ユーザー、ロール、特権に関するレポートを作成してユーザーのリスクの評価をおこないます。
不正使用または危険にさらされる可能性がある高度な特権アカウントを識別することができます。

ターゲット・データベースのデータ・ディクショナリ内のユーザーに関する情報をレビューし、各ユーザーの潜在的なリスク・スコアを計算します。
例として、ユーザー・タイプ、ユーザーの認証方法、各ユーザーに割り当てられているパスワード・ポリシー、各ユーザーがパスワードを変更してから経過した時間などを評価します。

リスク・レベルや権限・ロールごとに評価の結果が確認可能です。

リスク(Critical/High/Medium/Low)
権限・ロール(DBA/Database Vault/監査)

また、アセスメント結果の比較分析や過去の実行結果についても参照可能となっています。

データ検出

データベースに格納されている機密データ列の検出をおこないます。
データ検出によって、識別、経歴、IT、財務、医療、雇用および学業情報に関係する幅広い機密データを検索できます。

190を超える事前定義済みの機密タイプが用意されています。(本記事の執筆時点)
ユーザー独自の機密タイプの定義を追加することも可能です。

データ・マスキング

機密データを元のデータと類似した特性をもつデータへのマスキングをおこないます。
セキュリティ上のリスクを回避するために、機密データを現実的なデータに置き換え、架空のデータにすることができます。
機密データをマスキングし、検証用のデータとすることによって検証用のデータでもアプリの動作テストが可能となります。
※一度マスキングをおこなうと元の機密データに戻すことはできません。

80を超える事前定義済みのマスキング・テンプレートが用意されています。(本記事の執筆時点)

クレジットカード番号/年齢/血液型/収入 etc

ユーザー独自のマスキング定義を追加することも可能です。

アクティビティ監査

データベースの監査ログを定期的に取得し、ログ分析やレポートの提供をおこないます。
データベースのユーザー・アクティビティの監査が可能なため、データベースの使用状況をモニタリングできます。

Oracle Cloud Databaseにおいて1ターゲットごとに100万レコード/月まで無償で利用可能です。

監査プロファイル、監査ポリシー、監査証跡、監査レポートの各種設定が可能となっています。
監査レポートの定期的なスケジュール実行も可能です。

アラート

特定のユーザー・アクティビティや異常な動作の追跡および通知をおこないます。

データベースで特定の監査イベントが発生したときに通知を送信することが可能です。
データベースに対してアラート・ポリシーが有効になっているときのみアラートが生成される仕組みになっています。

SQLファイアウォール

データベースのSQLファイアウォール・ポリシーの一元的な管理や監視をおこないます。
SQLファイアウォールは、Oracle Database 23aiカーネルに組み込まれた新しいセキュリティ機能です。
SQLインジェクション攻撃や侵害されたアカウントなどのリスクから保護します。

セッション情報とSQLを組み合わせた制御が可能です。

セッション情報(IPアドレス/OSユーザー名/プログラム名)
SQL(DDL/DML)

ポリシーに登録されていないアクセスのログを記録する検知モードとしても使用可能となっています。

アクティビティ監査についての検証

今回は紹介したData Safeの機能の一つである、アクティビティ監査について検証をすすめていきたいと思います。

Data Safeならびにアクティビティ監査を利用するにあたって、下記の設定が必要となります。

Data Safeの利用前に必要な設定項目

Data Safe用のユーザーの作成と権限付与
プライベート・エンドポイントの作成
ターゲット・データベースの登録

アクティビティ監査にて設定可能な項目

監査プロファイル
監査ポリシー
監査証跡
監査レポート

今回の検証のOCI構成について

今回は、プライベート・サブネットに存在するBaseDB1台をData Safeのターゲット・データベースとして登録し、アクティビティ監査の機能について検証をすすめていきます。

Data Safeの利用前に必要な設定項目

Data Safe用ユーザーの作成と権限付与

Data Safeを利用するためには、Data Safeに登録するターゲット・データベースにデータベース・アカウント(DATASAFE$ADMIN)を作成し、必要な権限を付与する必要があります。
必要な権限を付与するための権限スクリプトについてはOCIコンソールのターゲット・データベースの登録画面にてダウンロードすることが可能です。(※1)

ターゲット・データベースにて、Data Safe用のユーザーを作成します。(※2)
ターゲット・データベースにて、ダウンロードした権限スクリプトを下記のように実行します。
```
@<権限スクリプトの配置先フォルダ>/datasafe_privileges.sql <データベース・アカウント名> grant all
```

※1 OCIコンソールにて、「Oracle Database」 → 「データ・セーフ・データベース・セキュリティ」 → 「ターゲット・データベース」に移動し、「データベースの登録」を選択します。
「データベース・タイプ」に「Oracle Cloudデータベース」を選択し、画面の下の方に移動して、「権限スクリプトのダウンロード」を選択すると「datasafe_privileges.sql」がダウンロードできます。

※2 OCIコンソールにて、Data Safeのターゲット・データベースを登録する際に、Data Safe用ユーザーのPWの条件として、14文字以上かつ大文字、小文字、数字および特殊文字をそれぞれ1つ以上含める必要があるため、Data Safe用ユーザー作成時にはこの条件を満たす必要があります。

プライベート・エンドポイントの作成

Data Safeとターゲット・データベースをつなぐために、プライベート・エンドポイントの作成が必要となります。

OCIコンソールにて、「Oracle Database」 → 「データ・セーフ・データベース・セキュリティ」 → 「ターゲット・データベース」に移動します。
左側の接続オプションから「プライベート・エンドポイント」を選択します。
「プライベート・エンドポイントの作成」を選択し、各種設定値を記入して「プライベート・エンドポイントの作成」を選択します。

ターゲット・データベースの登録

Data Safeにターゲット・データベースを登録します。

OCIコンソールにて、「Oracle Database」 → 「データ・セーフ・データベース・セキュリティ」 → 「ターゲット・データベース」に移動します。
「データベースの登録」を選択します。
「データベース・タイプ」に「Oracle Cloudデータベース」を選択します。
各種設定値を記入して「登録」を選択します。(※)
※ 「データベース・サービス名」には、ターゲット・データベースとして登録するCDBまたはPDBのサービス名を入力します。

上記の設定まで完了するとData Safeの各種機能が利用可能になります

アクティビティ監査にて設定可能な項目

監査プロファイル

OCIコンソールにて、「Oracle Database」 → 「データ・セーフ・データベース・セキュリティ」 → 「アクティビティ監査」 → 「監査プロファイル」に移動し、対象のターゲット・データベースを選択します。

グローバル保持設定

「保持の更新」を選択します。
設定を選択/入力し、「保持の更新」を選択します。
状態が「UPDATING」から「ACTIVE」に変化し、オンライン保持/オフライン保持の値が設定値となっていることを確認します。

監査証跡の検出

「証跡の検出」を選択します。
「証跡の検出」のダイアログの「確認」を選択します。
状態が「UPDATING」から「ACTIVE」に変化したら完了です。

グローバル有料使用設定

「有料使用の更新」を選択します。
設定を選択/入力し、「有料使用の更新」を選択します。
状態が「UPDATING」から「ACTIVE」に変化し、有料使用の値が設定値となっていることを確認します。

監査ボリュームの計算

下記の監査レコードの数を確認することができます。
同様の機能が監査証跡の画面からも使用可能です。

ターゲット・データベース内の月次使用可能データ
毎月収集されたオンライン監査データ(Oracle Data Safe)
毎月収集されたオフライン監査データ(Oracle Data Safe)

「ターゲット・データベースで使用可能」もしくは「データ・セーフで取集済」を選択します。
「ターゲット・データベースで使用可能」を選択した場合は「開始日」を選択し、
「データ・セーフで収集済」を選択した場合は「開始月」と「終了月」を選択して「表示」を選択します。
「監査レコードの計算」の表にデータが表示されていることを確認します。
関連する監査証跡の画面にも同様の表示が連携されます。

監査ポリシー

OCIコンソールにて、「Oracle Database」 → 「データ・セーフ・データベース・セキュリティ」 → 「アクティビティ監査」 → 「監査ポリシー」に移動し、対象のターゲット・データベースを選択します。

監査ポリシーの更新とプロビジョニング

「更新とプロビジョニング」を選択します。
ポリシーの有効/無効を選択します。
ポリシーの有効化の対象や操作時の監査を変更したいポリシーは、対象のポリシー名の右にあるリンクを選択します。
ポリシーの構成を編集し、「保存」を選択します。
ポリシーの有効化の対象や操作時の監査が変更されていることを確認し、「更新とプロビジョニング」を選択します。
ポリシーが変更されていることを確認します。

監査証跡

OCIコンソールにて、「Oracle Database」 → 「データ・セーフ・データベース・セキュリティ」 → 「アクティビティ監査」 → 「監査証跡」に移動し、対象のターゲット・データベースを選択します。
監査証跡が複数表示される場合は、「証跡の場所」が「UNIFIED_AUDIT_TRAIL」のものを選択します。
※統合監査の監査モードが混合モードの場合は、ターゲット・データベースごとに3つの監査証跡が表示されるため注意が必要です。(SYS.AUD$/SYS.FGA_LOG$/UNIFIED_AUDIT_TRAIL)