Oracle Database 23cに組み込まれたSQL Firewall (2023/08/29)

Oracle Database 23cに組み込まれたSQL Firewall (2023/08/29)

https://blogs.oracle.com/cloudsecurity/post/sql-firewall-now-built-into-oracle-database-23c

投稿者： Vipin Samar | Senior Vice President, Database Security


SQLインジェクション攻撃と危殆化されたアカウントは、データベースに格納されている機密データへのフル・アクセスを敵が得るために最も一般的な2つの手法です。ユーザーおよび開発者の教育は役に立ちますが、成功は依然として制限されています。場合によっては、アプリケーション・コードの修正が、特にパッケージ化されたアプリケーションやレガシー・アプリケーションに対して実行できないことがあります。Webアプリケーション・ファイアウォール(WAF)は、SQLインジェクション攻撃を軽減するために主張しますが、攻撃者はこれらのパターンマッチング・アプローチをバイパスできます。許可リストベースおよびネットワークベースのSQL Firewall、ローカルおよび暗号化トラフィックのためではなく、より強力な軽減を提供します。さらに、SQL問合せを完全に分析するために必要なフル・ランタイム・コンテキストはありません。


データベースに格納されたデータの高い価値を考慮するには、SQL Firewallが必要です。SQL Firewallは、例外が発生した場所に関係なく、すべてのSQLトラフィックを包括的にスキャンします。SQLをフル・コンテキストで理解できるファイアウォールの機能に左右されます。このコンテキストは、シノニム、オブジェクト名または動的に生成された名前、現在のユーザー・コンテキストを解決するステップなど、SQL文の実行中にデータベースが構築するものです。セキュリティを実践するには、ファイアウォールをワイヤ・スピードで実行し、1つのデータベースのみでなくデータベースのフリートを簡単に管理および監視できるようにする必要があります。



Oracle Database 23cのSQL Firewall統合


Oracle Databaseセキュリティ・チームが対応できないというのは、まさにこの課題でした。強力なSQL FirewallをOracle Database 23cに直接統合して、SQLインジェクション攻撃とアカウントの危殆化の問題に効果的に対処することを発表できることを嬉しく思います。同じくエキサイティングなのは、パフォーマンスへの影響を最小限に抑えることができる簡単なソリューションを提供することです。


新しいOracle SQL Firewallには、次の機能と利点があります。


  • Oracle SQL Firewallは、PL/SQL (OracleのSQLプロシージャ拡張)からの接続およびSQL文を含むすべての受信データベース接続およびSQL文を、ローカルかネットワーク経由かに関係なく、暗号化されたテキストまたはクリア・テキストで検査します。明示的に認可されたSQLのみが許可されます。その他すべてのSQLでは、問題のある文がログに記録され、違反が発生します。この文は、認可ユーザーがまだ実行していないSQLインジェクション攻撃または新しいSQL文である可能性があります。
  • お客様は、不正なSQLをブロックするか、ログのみを記録するかを決定できるため、攻撃の処理方法を柔軟に行うことができます。
  • Oracle SQL Firewallは、完全なSQLおよび処理コンテキストを評価します。Oracle Databaseサーバー内で実行することで、ファイアウォールでは、SQL文、シノニム、動的に生成されたオブジェクト名、およびPL/SQLユニットで動的に生成されたSQL文のエンコーディングを簡単に処理できます。
  • Oracle SQL Firewallは、認可されたSQL文および関連する信頼できるデータベース接続パスの許可リストを利用し、残りをブロックします。SQL Firewallをトレーニングするには、アプリケーション・アカウントの認可されたSQL文を取得するだけです。その後、ファイアウォールは、認可されていないSQLおよび潜在的なSQLインジェクション攻撃を検出して防止します。
  • Oracle SQL Firewallでは、信頼できるIPアドレス、オペレーティング・システム・ユーザー名またはプログラム名からの接続をブロックすることもできます。この関数は、アプリケーションの許可リストの作成中に、保護をすぐに実施する場合に便利です。この機能により、データベースへの直接アクセスが、信頼できるエンドポイントからのみ許可されます。


Oracle SQL Firewallをデータベース内に構築し、その実装を合理化することで、Oracle SQL Firewallのパフォーマンス・オーバーヘッドは無視できるので、すべての本番ワークロードに適しています。Oracle SQL Firewallはデータベース内にあるため、外部コンポーネントのデプロイや管理が不要になり、デプロイメントが大幅に簡素化されます。


図1は、Oracle SQL FirewallがOracle Database 23cカーネル内でインラインで動作し、受信するすべてのSQL文をオリジンに関係なく評価する方法を示しています。Oracle SQL Firewallは、ルール違反を検出すると、常に違反ログを生成します。ただし、SQL文の違反を許可またはブロックするようにSQL Firewallを構成できます。


図1: Oracle Databaseカーネルに組み込まれたOracle SQL Firewall



Oracle SQL Firewallの管理


Oracle SQL Firewallポリシーは、アプリケーション・アカウントか直接データベース・ユーザー(レポート・ユーザーやデータベース管理者など)かに関係なく、データベース・アカウント・レベルで機能します。この柔軟性により、データベース管理者またはアプリケーション・アカウントのどちらかから、データベースの保護レベルを段階的に構築できます。


Oracle SQL Firewallは複数の方法で管理できます。スタンドアロン実装があり、コマンドによる管理に精通している場合は、SYS.DBMS_SQL_FIREWALLパッケージのPL/SQLプロシージャをお薦めします。


UIベースの管理または複数のOracle SQL Firewallを一元的に管理する場合は、Oracle Data Safeが回答となります。ユーザーおよびセキュリティ評価、アクティビティ監査、機密データ検出およびデータ・マスキングでOracle Data Safeを使用しているお客様の場合は、同じData Safeクラウド・サービスを使用してOracle SQL Firewallを管理し、投資を保持できるようになりました。


Data Safe統合コンソールが、SQL Firewallを管理するために拡張されました。管理者はコンソールを使用して、アプリケーション・アカウントのSQLアクティビティの収集、収集の進捗のモニター、取得したSQLアクティビティからの許可リスト・ルール(許可されたコンテキスト、許可されたSQL文)を含むOracle SQL Firewallポリシーの作成、およびSQLファイアウォール・ポリシーの有効化を行うことができます。ファイアウォール・ポリシーが有効になっている場合、Data Safeはデータベースからファイアウォール違反ログを自動的に収集し、それらをData Safeに格納します。これらのログは、図2に示すように、データベース・フリート全体のオンライン分析およびレポートに使用できます。


Data Safe REST API、ソフトウェア開発者キット(SDK)、CLI、およびTerraformを使用して、さらなる自動化と統合を行うことができます。より大規模なOracle Cloud Infrastructure (OCI)エコシステムを使用して、Oracle SQL Firewallの違反とそのアラートおよび通知を統合することもできます。


図2: Oracle Data SafeのSQL Firewallダッシュボード


Oracle SQL Firewallは、認証、アクセス制御、暗号化および監査のために、業界をリードするデータベース・セキュリティ機能をOracle Database内で補完し、すべての着信SQL文を検査し、認可されたSQL文のみを許可します。Oracle SQL Firewallソリューションは、Data Safeを介して比類のないセキュリティと管理の利便性を提供します。



今すぐ始めましょう


Oracle Database 23cでOracle SQL Firewallを管理するためのOracle Data Safeの限定的可用性プログラムにご参加いただけます。一般公開前に試してみるには、「Oracle SQL Firewall Limited Availability Program」というタイトルのOracle Data Safeでサービス・リクエストを開きます。


Oracle Database 23cのOracle SQL Firewallのデモは、『Oracle Database 23c FreeでのSQL Firewallの使用』を参照してください。PL/SQLまたはOracle Data Safeを使用してSQL Firewallを管理することもできます。Data Safeを使用したSQL Firewallの管理のデモは、Oracle Database 23cの新しいセキュリティ機能であるSQL Firewallの概要を参照してください。

To learn more, see to the following resources:

コメント

コメントを投稿

このブログの人気の投稿

Oracle APEXのInteractive Gridで、Oracle Formsと比較して、重複行の検証を制御/通過させる方法 (2022/07/21)

イメージ
Oracle APEXのInteractive Gridで、Oracle Formsと比較して、重複行の検証を制御/通過させる方法 (2022/07/21) https://medium.com/oracledevs/how-to-control-or-pass-validation-for-duplicate-rows-in-interactive-grid-of-oracle-apex-as-compare-18f453f750bf 投稿者： Jignesh oracle Formsでは、データブロックの重複行を制御するのは非常に簡単ですが、IGの検証を制御するにはどうすればよいでしょうか。 必要な出力 ステップ1：インタラクティブグリッドのある白紙ページを作成します（私は1つの領域「IG」を作成し、インタラクティブグリッドとしてタイプを選択しました） ステップ 2: リージョンに Static ID を定義する (私の場合、リージョンは IG で、Static ID も IG です) ステップ3：複製を制御したいカラムのStatic IDを定義します ステップ4：関数とグローバル変数に移動します コード： var validity, message, ui = this.data; (function($) { function update(model) { var projKey = model.getFieldKey(“PROJECT_ID”), recObj = [], recArray = []; model.forEach(function(record, index, id) { var projid = parseInt(record[projKey], 10), // record[salKey] should be a little faster than using model.getValue in a loop meta = model.getRecordMetadata(id); if (!isNaN(projid) && !meta.deleted && !meta.agg) { recObj = {ID: id, project_id: projid}; recArray.push(recObj)
続きを読む

Oracle APEX 24.1の一般提供の発表 (2024/06/17)

イメージ
Oracle APEX 24.1の一般提供の発表 (2024/06/17) https://blogs.oracle.com/apex/post/announcing-oracle-apex-241 投稿者： Ashish Mohindroo | Vice President, Product Management APEX Low Code Application Platform Oracle APEX 24.1は、 ダウンロード が一般的に可能になり、世界中のOCI APEX Application DevelopmentおよびAutonomous Database Cloud Serviceリージョンにロールアウトされています。この最新リリースで、GenAIを使用して最初のローコード・アプリケーションを構築する方法を学習します。リリースのお知らせのリプレイはこちらからご覧いただけます。 このリリースでは、優れたエンタープライズ・グレードのアプリケーションを簡単に構築できるイノベーションの3つの主要な柱(AI支援アプリケーション開発、Oracleの次世代データ・プラットフォームのパワー活用、高度なWebおよびモバイル・アプリケーションを構築するための強力なエンタープライズ・グレードのコンポーネント)が提供されています。 AI支援アプリ開発 このリリースでは、AIをローコード開発に直接取り込み、すべての開発者が高度なクラウドおよびモバイル・アプリケーションを簡単に構築できるようにしています。開発者は、AIをアシスタントとして使用して、時間と労力を削減してアプリを構築できるようになりました。APEX AIアシスタントを使用すると、開発者は複数のウィンドウを使用して表名と列名を検索する必要がなくなります。 APEX 24.1 では、クラウドおよびモバイル・アプリの自然言語ベースの開発を可能にするネイティブAI搭載APEX AIアシスタントを導入しました。APEX AIアシスタントを使用すると、すべての開発者は自然言語を使用してSQLを生成できるため、アプリケーションをより簡単に構築したり、ワンクリックで構文修正を実行したり、表名を覚える必要がなくなります。開発者は、自然言語プロンプトを使用して目的の機能とコンポーネントを指定し、直感的な会話型インタフェースを使用し
続きを読む

Oracle Cloudのデータベースをオブジェクト・ストレージにバックアップする3つの方法 (2021/12/13)

イメージ
Oracle Cloudのデータベースをオブジェクト・ストレージにバックアップする3つの方法 (2021/12/13) https://database-heartbeat.com/2021/12/13/three-ways-backup-cloud/ はじめに Oracle Cloudでは、ボタンをクリックするだけで自動バックアップを有効にするオプションが用意されています。バックアップの要件が異なる場合でも、手動でバックアップ設定を行い、コマンドライン・ツールやRMANを直接使用してバックアップを作成する柔軟性があります。これは、VM DB Systems、Exadata Cloud Service、およびExadata Cloud at Customerに適用されます。 このブログ記事では、Oracle Cloud Object Storageをバックアップ先として使用する場合の、さまざまなバックアップ・オプションの主な違いと、それに伴うコストについて紹介します。Object Storageは、内蔵されたトリプル・ミラーリングと99.999999%(イレブンナイン)の耐久性を提供します。 ハイブリッド・クラウドとマルチ・クラウド Oracle Cloud Object StorageへのOracle Databaseのバックアップは、Oracle Cloud上のOracle Databaseに限らず、ハイブリッドクラウド上のオンプレミスのOracle Databaseや、マルチクラウド環境のOracle以外のクラウド上で稼働しているOracle Databaseに対しても、RMANを介して実装することができます。 プライベートおよび専用のネットワーク接続は、FastConnect、Azure Interconnect、またはサードパーティのネットワーク接続プロバイダを介して提供できます。マルチクラウド環境では、クラウドプロバイダー、リージョン、転送するデータ量に応じて、追加のアウトバウンドトラフィックコストが発生する可能性があります。オラクルをはじめとする多くのクラウドプロバイダーは、すでに Bandwidth Alliance に参加しており、ネットワークエグレス料金を削減または排除しています。 環境について     Oracle Cloud VM DB Sy
続きを読む