データベースを保護する

著者：Jim Pickel
IBM Software Group, Information Management,
DB2 for z/OS Connectivity, DRDA, Software Architect

脅威やぜい弱性の急激な発生に伴い、企業は絶え間なくデータの保護方法を検討する必要に迫られています。データベース・セキュリティー機能は、攻撃に対処すべく急速に進化しているので、その新しいセキュリティー技術を理解して、データの安全性を確保することが重要になっています。

たとえば、動的SQLを使うSQLインジェクション攻撃が、Webアプリケーションのぜい弱性の主なものとして、クロスサイト・スクリプティングに取って代わっています。最新の脅威の傾向について、研究開発チームのIBM X-Forceが調査とモニターを行いました。この組織は、年に2回、その傾向とリスクに関するレポートを作成しています。最新の調査で、データベース攻撃として使用されるSQLインジェクションが134％増に跳ね上がっていることが明らかになりました。

IT企業のあらゆる側面に、DB2(*)が管理するデータのセキュリティー問題が関わってきています。トランザクションが1つの企業の境界を越えて行われるビジネスの世界において、ひとつの企業がどこで終わり、他の企業がどこから始まるのかを識別することは困難です。セキュリティーが緊急の課題となっている場合、この業界で最高のデータベースと考えられているのがDB2です（DB2®はz/OS®*のセキュリティー機能を最大限に活用しています。）。

DB2 9 for z/OSは、今までにないセキュリティー基盤を提供しています。たえば、アプリケーションに対するより優れたアクセス制御、特権ユーザー、向上した監査機能などがそれにあたります。長年の実績があり、高度に集中化した、マルチ・ユーザー環境を持つz/OSアーキテクチャー上にDB2は構築されているため、DB2のセキュリティー機能はそれを引き継いでいます。データ・アクセスは多種多様です。ｚ/OSプラットフォームは、法令に準拠した、柔軟性を持つセキュリティー・ソリューションを実現するために、次のような多くの特長を備えています。

• 仮想化と仮想パーティションの整合性の向上：DB2 for z/OSは、最も強固なセキュリティー認証を備えた唯一のサーバーです。
• ネットワーキング：DB2 9は、侵入防止機能を備え機能向上した統合セキュリティーを提供し、インターネット関連のオープンなセキュリティー標準をサポートしています。
• 保全性：IBMは、データへのすべてのアクセスを制御するために、特権および権限を使用してデータ・プライバシーを向上させてきました。すべてのレイヤーに組み込まれている特権と権限により、データ保全性を確保して、悪意のあるソフトウェアおよびユーザーからの侵入を防止します。
• アクセス：リソースへのアクセスが集中的に管理されています。より強力な監査機能を備えたリモート・アプリケーションも備えています。
• データ保護：非常に強力な暗号化ソリューションのサポートにより、保管時および転送時のデータ保護に対応しています。
• DB2 9は、z/OSに組み込まれている、より高速なハードウェア暗号化およびフォールト・トレラントな鍵保護を使用しています。

DB2セキュリティーは、「認証」、「権限」、「監査」、「暗号化」という4つの領域に分けられます。詳細については、「データベース周辺のセキュリティー」を参照してください。

認証は、DB2 for z/OSを使用しているときに最初に接するセキュリティー機能です。ユーザーは、ユーザー識別と認証が行われた後でなければ、いかなるDB2 for z/OSサービスも使用することはできません。DB2 for z/OSは、RACF®(*)またはSystem Authorization Facility（SAF）相当の機能を備えるz/OS Security Serverを使用して、任意のDB2サブシステムへのアクセスの認証と権限付与を実行します。

現在のネットワーク環境は、多くのシステムとアプリケーションが複雑に構成されており、結果的に複数のユーザー・レジストリーを管理する必要が生じています。典型的な異機種混合の構成では、DB2にアクセスする前にユーザーを認証するさまざまなプラットフォームが存在します。これにより、リモート・アプリケーションがDB2への接続を確立するためには、共通のユーザーIDを使用せざるを得ない状況になっています。その結果、DB2とz/OSの監査ログには、データ・アクセスに関連する実際のユーザー情報が含まれないことになります。

たとえRACFユーザーIDでなくても、今はエンド・ユーザーIDを伝搬するようにアプリケーション・サーバーを構成できるようになりました。指定すれば、接続を確立するために使用した共通IDではなく、データ・アクセスに関連した実際のユーザーをDB2アカウンティングとRACF監査の記録に含めることができます。その結果、DB2は、機密データにアクセスしている実際のエンド・ユーザーの情報を監査員に提供できます。それによりガバナンス要件とその他のセキュリティー要件に準拠できるようになりました。

上に戻る

• 特権は、権限IDまたはロールを使用して、明示的に特権を付与したり取り消したりします。DB2には、1次権限ID、2次権限ID（1次権限IDに関連付けられているグループ）、SQL ID、およびロールが存在します。1つのタイプのIDまたはロールのみに関連付けられる特権もあれば、複数のIDまたはロールに関連付けられる特権もあります。DB2カタログには、IDに付与されている特権およびIDが所有するオブジェクトが記録されます。
  
  
• 所有権は、暗黙的な特権を管理し、関連する一連の特権を所有します。DB2は、オブジェクトの作成と所有権に対して別々の制御を提供します。
  
  
• パッケージ実行の意味は、DB2データへのアプリケーション・アクセスにはパッケージの使用が必要であり、SQLステートメントの実行にはパッケージが必要であるということです。すべてのパッケージは、それに関連付けられた所有者またはロールを持ちます。パッケージにバインドされているSQLステートメントを実行するには、パッケージに関連付けられたSQL IDまたはロールが、実行特権を持っている必要があります。このアプローチにより、パッケージで使用されるすべてのオブジェクトに対してすべてのユーザーを許可する必要がなくなります。
  
  
• ロールは、割り当てられた特権および権限によってオブジェクト・アクセスを制御できます。ロールには、トラステッド・コンテキストによって割り当てが行われます。トラステッド・コンテキストとは、ユーザー接続と同時にセキュア・アプリケーションとDB2間に信頼を確立する機能です。信頼できる接続が確立されると、コンテキストに基づいてロールに特殊な特権が付与されます。ロールとトラステッド・コンテキストの詳細については、「DB2 9 Features Help Ensure Compliance（US）」を参照してください。
  
  
• セキュリティー・ラベルにより、オブジェクトを分類して、ユーザーを階層セキュリティー・レベルと非階層セキュリティー・カテゴリーに基づかせることができます。マルチレベル・セキュリティーにより、無許可ユーザーが自分の権限より上の機密区分で情報にアクセスすることや機密扱いを解除することが防止されます。マルチレベル・セキュリティーは、表のデータを保護するために、表の各行に関連付けられているセキュリティー・ラベルに基づく強制アクセスを提供します。
  
  

DB2およびz/OSに統合されている監査機能を使用して、DB2データベース・システムでのユーザー操作を追跡できます。監査員は、DB2に組み込まれているフィルタリング機能を使用して、本番システムに影響を与えることなくリアルタイム監査を行えるようになりました。また、監査員は、データを収集、監査して、監査リポジトリーに保管してから、IBM DB2 Audit Management Expert for z/OSを使用して、そのデータの表示や分析をしたり、データに関する包括的なレポートを作成したりできます。ユーザーまたはオブジェクトごとに、選択的にSELECT、INSERT、UPDATE、およびDELETEアクティビティーをフィルタリングして、それらのフィルターをエクスポートして別のDB2サブシステムで使用できます。

上に戻る

DB2 9 for z/OSはすべての暗号化レベルに対応しており、ネットワークを転送されているときやディスクに保管されているときのデータの機密性を保護するのに有効です。データ転送時の機密性については、z/OS Application Transparent Transport Layer Securityがリモート・アプリケーションとDB2間に安全な接続を提供します。データ保管時の暗号化については、2つのオプションがあります。表内のデータを暗号化するために使用されるData Encryption for IMS and DB2 Databasesツールと、自己暗号化DS8000ディスクです。自己暗号化機能を使用することで、パフォーマンスやアプリケーションに影響することなく、容易に規制を遵守できます。また、バックアップ・ログとアーカイブ・ログをオフロードするときに、テープ装置は、ドライブに組み込まれている暗号化機能により、アーカイブ・テープを保護します。これらはすべて、より優れたパフォーマンスと非常に強力なセキュリティーを提供するように設計されたz/OSサーバーの組み込み機能であるSystem z* Cryptoハードウェア機能によって達成されています。

IBMは、既存のデータベース・アプリケーションにセキュリティー機能をコスト的に実装しやすくするために、DB2セキュリティー・ソリューションを引き続き拡張していく予定です。管理者は、データベース内でセキュリティー・ポリシーやセキュリティー・ロジックを設定して、データベースにアクセスするすべてのアプリケーションとツールに対してセキュリティー制御を実行できます。これらの機能を使用することで、セキュリティー・ロジックがアプリケーション・ロジックから分離されるので、企業は既存のアプリケーションを変更することなく新しい規制を遵守できるようになります。また、データへのすべてのSQLアクセスに対して自動的にセキュリティー・ロジックが実装されるため、セキュリティー・ポリシーの変更をより簡単に実装できるようにもなります。これらの制御により、ビューやアプリケーション・セキュリティー・ロジックをバイパスさせるためにSQLを使用することを防止できます。また、SQLインジェクションを使用したデータベース攻撃も防止できます。

これまで企業は、データベースを外部のユーザーから保護していましたが、新しい規制ができたことで、現在は社内ユーザーまたは特権ユーザーからデータベースを保護することが義務付けられています。機密データを特権ユーザーから保護するために、データベース内の拡張された制御機能を利用できます。今後のDB2リリースでは、カスタマイズ可能なより細かい管理権限が予定されています。新たな規制では、セキュリティー管理をデータベース管理から分離することが義務付けられています。管理者はデータベース管理を実施できても、そのセキュリティー・ポリシーを管理する権限を持たなくなります。データにアクセスするには、必要な特権を取得するために、複数の人が必要で、データ漏洩を最小限に抑えることができます。

セキュリティーは、多くの観点で可用性に非常によく似ています。これは、決して侵害されてはならない基本的な要件です。堅固なセキュリティー戦略の重要な要素は、適切な投資、計画、導入です。DB2 9 for z/OSは、進化する外部の脅威、さらに内部の脅威に対して今までにないセキュリティー基盤を提供します。

上に戻る

IBM、IBM ロゴ、ibm.com、DB2、RACFおよびz/OSは、世界の多くの国で登録されたInternational Business Machines Corp.の商標です。他の製品名およびサービス名等は、それぞれIBMまたは各社の商標である場合があります。現時点での IBM の商標リストについては、www.ibm.com/legal/copytrade.shtml (US)をご覧ください。
他の会社名、製品名およびサービス名等はそれぞれ各社の商標です。