内部統制に効く! データベースセキュリティ

第1回資産を守るために必要不可欠なデータベースセキュリティ

なぜデータベースセキュリティが必要なのか

最近は企業の情報資産を保護することの重要性が理解されてきましたが、ネットワークやアプリケーションでの対策に比べ、企業の資産となる重要データが格納されているデータベースのセキュリティ対策状況は十分とは言えません。

そのような状態のデータベースが不正にアクセスされたり、内部関係者が悪意を持って犯行に及んだりした場合、被害は深刻なものになりかねません。そのような被害を受けないために、データベースセキュリティ対策は必要であり、内部関係者の不正からデータベースを守ることは、内部統制の一部となります。

内部犯行対策に有効なデータベースセキュリティ

内部関係者は、日々の業務でアプリケーションを利用してデータベースの重要情報にアクセスしています。DB管理者やDB運用者は強力な権限を持つアカウントを使用し、直接データベースにログインして作業することもあり、業務の特性上、データベースの構成や重要データの所在を熟知しています。

つまり、データベースセキュリティ対策を実施していない場合、内部関係者は比較的簡単に重要データを盗みだすことが可能であり、不正行為に対して非常に脆い状態です。

そこで、業務に不要な権限の剥奪や重要データへのアクセス制御、操作ログを取得して監視や分析などを行うデータベースセキュリティは、外部からの不正アクセスだけでなく、内部犯行に対しても非常に有効であり且つ、抑止につながります。

内部関係者による犯行を防ぐ
内部関係者による犯行を防ぐ

対策箇所が多岐に渡るデータベースセキュリティの特徴

データベースセキュリティの特徴として、対策箇所がデータベースだけにとどまらず、多岐に渡るという点があり、対策箇所別に見た場合、大きく分けて以下の3種類に分類できます。

  1. データベースで実施する対策
  2. データベース以外(OSやネットワーク、アプリケーション、設備など)で実施する対策
  3. 運用で実施する対策とセキュリティレベルを維持するための運用

今回は「1.データベースで実施する対策」について解説します(3分類の意味と残りの2.3.については次回以降で解説します⁠⁠。

データベースで実施する対策には、脆弱性をなくしたり、付与する権限は業務上の必要最小限に留めたりする事前の対策と、不正アクセスされた場合の被害を最小限に抑えたり、被害を受けた場合の原因究明や犯人の特定、被害範囲の把握などに備える事後の対策があります。

しかし、これらの対策を無闇に設計・実施してしまうと、データベースの可用性やパフォーマンスに大きな影響を与えかねませんので、設定から運用までを考慮した、事前の綿密な検討・設計が重要となります。

データベースで行うセキュリティ対策例

以降にデータベースで行うセキュリティ対策の例をいくつか挙げます。

必要最小限の機能のみ導入(不要な機能、サンプルDBは導入しない)
業務上、必要のない機能を利用された不正アクセスを防ぎます。DBMSが提供するパッケージやストアドプロシージャなどで脆弱性が発見される場合は少なくありません。
パッチの適用
既知の脆弱性を突かれた不正アクセスを防ぎます。しかし、クライアントPCと違って簡単にパッチを適用できないことが多いため、テスト環境で適用可否の確認後、迅速な対応が重要です。
セキュアな認証方式
より強固な認証を行うことで、なりすましや許可されていない者がデータベースにログインすることを防ぎます。
必要最小限のアカウント
不要なアカウント(退職者のアカウントやデフォルトでインストールされたアカウントなど)を利用した不正アクセスを防ぎます。
必要最小限の権限付与
業務上、必要のない権限を利用した重要データへのアクセスや改ざんなどを防ぎます。
接続元の制限
許可されていない端末からの接続を制限し、不正アクセスを防ぎます。
パスワードルールの設定(複雑性、有効期間、ロック)
複雑なパスワードを使用していることでパスワードを推測されたり、パスワードクラックされてログインされたりすることを防ぎます。
デフォルトポート番号の変更
攻撃者による情報収集、許可されていない者からのアクセスや、ワームによる攻撃の可能性を低減します。
プロトコルの制限
許可されていない者からのアクセスや、ワームによる攻撃の可能性を低減します。
重要データの分散
重要データを分散配置しておくことで、万が一情報漏えいした場合でも、有用な形でデータを盗られる可能性を低減します。
データの暗合化
重要なデータは暗合化し、規定のアプリケーションや機能を使用せずに参照された場合はデータの中身がわからないようにします。
DB監査ログの取得
不正アクセスが行われてしまった場合の犯人特定や被害範囲の把握、原因究明など、また、あらかじめ定義された規定、運用ルールなどへの遵守状況を監査できるようにDB監査ログを取得します。 なお、DB監査ログについては第4、5回で詳しく解説します。

データベースで実施すべきセキュリティ対策だけでも多数ありますが、これらは周辺環境の対策をすり抜けて、データベースに脅威が及んだ時の防御手段です。さらには、内部犯行対策にも非常に有効であり、内部統制につながることになります。被害を受けてしまう前に、これらの対策を実施することをお奨めします。

次回はデータベース以外で実施する対策について解説します。

なお、弊社ラック/データベースセキュリティ研究所では、実施すべき対策を網羅した「セキュアDBマトリクス」を公開していますので、こちらもご覧ください。

セキュアDBマトリクス
http://www.lac.co.jp/business/laboratory/dbsl/matrix/index.html

おすすめ記事

記事・ニュース一覧