記事つっこみ

データベースセキュリティ

データベース

現在のネット環境において、企業や団体、法人単位では、少なからず機密性の高い情報を保持しているだろう。その情報を具体的に管理しているのはデータベースシステムであることは自明だ。しかし、この当たり前のシステムが、セキュリティに関してはいまひとつきちんと管理が行われていない場合が意外と多く見受けられるといわれている。

データベースセキュリティ

アクセス権を適切に付与または制限しておらず、権限のないユーザーによって機密データをのぞかれ、詐取されてしまったりすることが問題となっている。データベースの安全性を確保するには、機密データへの権限のないユーザーからのアクセスの防止やデータの不当な削除・改ざんなどの破壊行為の防止 、データに対するユーザーアクセスの監視などの対策が必要である。

tv-noise式記事では、Oracle9iのセキュリティ機能を中心に、データベースのセキュリティを強化するために役立つ情報を説明していく。企業情報、セキュアなシステム構築において重要な位置を占める、データベースのセキュリティ対策としての基本を学んでいただければ幸いです。

今回は、データベースソフトウェアとしてWindows、UNIXプラットフォームを問わず広く利用されているOracleデータベースについてのセキュリティ対策の手法とOracleデータベースが提供しているセキュリティ対策機能についてOracle9i（Oracle 9.2.0）をベースに説明していきます。

データベースのセキュリティ対策の重要性は、SQL Slammerで新たに注目されだした分野だが、基本的なセキュリティ対策の考え方は、Webサーバやメールサーバなどと同じように(意図した利用方法以外でサーバの無断使用をさせないようにする事)（不正アクセスを防ぐ）というところではないだろうか

ただ、Oracleデータベースにおけるセキュリティの重要性はデータベースに登録されているデータ管理という部分では、Webサーバなどのほかのアプリケーションとは少しその性質が異なるかもしれない◎Webサーバは、情報を操作するためのインターフェイスとして利用されるので、多くの場合、ほかのサーバへの攻撃手段に利用されないような対策が必要だが、Oracleデータベースサーバの場合は、情報を蓄積・管理しているため、この蓄積・管理された情報（データベースに登録されているデータ）が外部に流失することを防ぐための対策が必要になる。当然、外部（インターネット）からの不正アクセスだけではなく、社内（イントラネット）からの不正アクセスに対しても有効な対策を行う必要がある。◎しかし、実際のところ、Webサーバやアプリケーションサーバの攻撃については、最終的にデータベースサーバから情報を取り出すためであったりすることもあるのだが・・

例えば、多くのOracleデータベースサーバには、重要な顧客データやクレジットカード番号などがデータとして保存されている。このような場合、インターネットからの不正アクセスを完全に防いでいても、イントラネットからの不正アクセスに対しては、それほど有効な対策を打っていない場合が多いのではないだろうか。これは、Oracleデータベースに登録されているデータの内容にもよるが、Oracleデータベースへのアクセスが許可されたユーザーに対するアクセスコントロールや監査を含めたセキュリティ対策についても有効な対策を行う必要性が出てくるかもしれない。こういった機能については、Oracleデータベースが標準で提供しているいくつかの機能を利用することでセキュリティ対策を行うことができる。

データベースサーバセキュリティの精度を上げるために

システム開発の現場でも、いまはそれほどでもないと思われるが、以前は「決済情報や顧客情報は、やはりOracleデータベースを利用した方がいい」という会話がシステム開発会社の担当者から聞かされたりすることがあったと思う。そのような場合、商用データベースであるOracleデータベースに対する信頼性や過去の経験などが採用の大きな要因になっているかもしれない（決してほかの商用データベースやPostgreSQLのフリーソフトウェアに問題があるのではなく、担当者の経験のあるプラットフォームをデータベース製品として提案するのが多いというのが実際のところだろうか。皆さんいかがだろう）。

また、データベースシステムのセキュリティを向上させるためには、Oracleデータベースだけではなく、アプリケーションサーバ、さらに、アプリケーションサーバにつながっているWebサーバも含めたシステム全体の対策が必要になる。

図1 外部との間にファイアウォールを配置する一般的なシステム構成

また、攻撃手法としては、近年バッファオーバーフローという手法が一般的だ。この攻撃は、バッファと呼ばれるソフトウェアのデータ格納領域を想定量以上の大量のデータであふれさせ、誤動作させることを利用する手法である。侵入者は、事前にこのようなセキュリティホールを調べ、侵入を試みる。それによって、root権限の奪取などによるホームページの改ざんが可能になる。データベースシステムにおいては、データを取り出すアプリケーションサーバを攻撃して、データベースサーバから重要な情報を取り出すという攻撃が行われている。とすれば、最終的にデータベースへの不正アクセスを防ぐことがOracleデータベースサーバセキュリティの本質だろう。

通常、Oracleデータベースが導入されているシステムにファイアウォールを導入しているケースは、多いのではないだろうか。その場合、以下のようなネットワーク図が考えられる。

Oracleデータベースを導入しているシステムだけに限らず、ひと昔前は、よく「ファイアウォールを入れているからうちのOracle データベースは安全だよ」ということを社内の情報システム担当者から聞かされただろう。確かにファイアウォールを入れることで、許可されていないポートへの攻撃に対してセキュリティを高めることができる。

しかし、ファイアウォールの最大の課題は、「許可されたポートに対しては、自由にアクセスできる」ということだ。このことは、問題点ではないが、この部分を利用して、攻撃者は、セキュリティパッチなどが当たっていないセキュリティ上問題があるサーバに対して、先ほど説明したようなバッファオーバーフローという攻撃手法を利用して、攻撃を行う。

確保したメモリ領域（バッファ）を超えてデータが入力された場合に、データがあふれてプログラムが暴走してしまうこと。バッファオーバーランともいう。

バッファオーバーフロー攻撃とは、バッファに対して許容量を超えるデータを送り付けてシステムを機能停止にしたり、意図的にバッファをオーバーフローさせ、あふれ出たデータを実行させてしまう攻撃。

＊＊＊バッファオーバーフローは最も代表的なセキュリティ・ホールであり、昔からさまざまなOSやアプリケーションに多く存在している問題である。現在OSで見つかっているセキュリティ・ホールの半数以上はバッファオーバーフローによるものといわれている

グルジア紛争 その２

.　　　　　　　　　　　　ロシアに対する見返り　　　　　　　　　　　　.

資源工作

ロシアは天然ガスを欧州各国に輸出している。日本ではあまり知られていないのだが、ロシアが国外に売る天然ガスの価格には４段階あるのだ。この価格は、ロシアとの距離の置き方で決まってくると言っていい。下の図を見ていただきたい。ロシアからの天然ガスの輸出価格である。

グラフを見れば一目瞭然、西欧諸国向けに販売する価格（グリーンの部分）が一番高い。バルト三国は、既にEUに加盟しているものの、昔はソ連の一部であった。そういうよしみに加えて国自体も決して豊かではない、ロシア系住民も多い、ということもあり西欧諸国よりもぐっと安い価格に設定されている。

それより安いのがウクライナとベラルーシである。だがウクライナ（青い部分）は、年を追うごとに急騰してきていることが分かるだろう。ウクライナが親欧米路線を突き進むにつれ、毎年価格が上がっていった。今では2005年の価格の４倍に跳ね上がって、バルト三国とほぼ同じようなランクだ。ロシアにしてみれば「これまでは仲間のよしみで安くしてやったけど、EUに入るのであれば天然ガスの価格はEUと同じだね」「NATOに入ったらまさにEU並みにしてやるから」と、どんどん価格を上げていったのだ。

逆に、安さを維持しているのはベラルーシだ。ベラルーシの独裁者ルカシェンコ大統領は、親ロシアを隠そうともしない。CIS（独立国家共同体※）にいるだけではなく、ロシアとの再統合の可能性も口にする。また国中に情報網を張り、大統領の悪口を言う人間をすぐに逮捕したり、野党ができても議員は一人も当選しないなど、およそ民主主義からはかけ離れた為政者だ。「アイラブユー」とすり寄ってくるベラルーシは、ロシアにとって非常に「かわいい子分」の国である。そのためガス価格もEUの1/3という破格の扱いだ。

麻生大臣のウクライナ訪問：ティモシェンコ次期首相表敬2006/6/30の貴重な写真
ティモシェンコはオレンジ革命をユーシェンコと戦った同志であり、連立政権を組んで親西欧路線を進んでいると見られてきた。しかし、今度はいよいよ大統領になる可能性が出てきたので、一気に連立離脱を図ると同時に、ロシアとの距離を縮め、東部の票を取り込む作戦に出たのだ。ロシアとはガスの価格交渉で有利な条件を引き出し、国民に恩恵をアピールできる立場に立った。