Oracleデータベース導入時のセキュリティ対策の基本：データベースセキュリティの基礎のキソ（3）

　「第2回 データベースの設置場所および接続時の勘所」では、基本的なOracleデータベースのネットワーク設定について解説した。今回は、Oracleデータベースの導入および運用時の基本的なセキュリティ対策について説明する。なお、以下のセキュリティ対策は、Oracle9iデータベース R9.2.0以降を対象とする。

Oracleデータベースのインストール前に行う作業

　Oracleデータベースの構築前に行う必要がある作業とは、まずOSの要塞化である。

　Oracle9iデータベースを導入するサーバについて、不要なサービスや不要なアカウントをできる限り排除することで、より強固なOracleデータベースサーバが構築できる。第2回でも簡単に紹介したが、OSの要塞化のためのインストールは、Oracle9iデータベースの導入において必要な作業になる。この作業を行わずして、Oracleデータベースのセキュリティ対策はないだろう。

　なお、詳細については、「【連載】止められない基幹業務サーバの管理対策」などの記事を参考にしていただければよいだろう。

Oracleデータベースのインストール時
およびインストール後に行う作業

　Oracleデータベースを導入して、運用を始めるときにどんなセキュリティ対策を行う必要があるだろうか？ 答えとしては、Oracleデータベースのアカウントおよびテーブルなどのオブジェクトを守る必要があるだろう。それには、以下の理由が考えられる。

　1つは、Oracleデータベースに対する不正アクセスを防ぐことで、外部の攻撃からOracleデータベースに保存されている重要なデータを守るという点。もう1つは、社内のシステム利用者およびシステム管理者などOracleデータベースへのアクセスが許可されているユーザーでも、許可されていないデータベースオブジェクト（テーブルやビュー）にアクセスできないようにするということ、があるだろう。

　Oracleデータベースにおけるセキュリティ対策は、前回まで説明してきたネットワークにおけるセキュリティ対策とOSにおけるセキュリティ対策の上に成り立っており、それらの対策が完全に行われているうえで、最大限の効果を発揮できることは「第１回 データベースセキュリティの基本的な考え方」でも説明したとおりだ。

　では、まずアカウントに関するセキュリティ設定について見ていこう。

●アカウント関連のセキュリティ対策作業

　Oracleデータベースを導入する際（インストール時）に不要なアカウントを登録および放置しないというセキュリティ対策を行うことで、Oracleデータベースのユーザーアカウントに対する潜在的なセキュリティの問題が発生する可能性を大幅に下げることができる。

図1 インストール時のSYSとSYSTEMのパスワード設定画面（拡大）

　Oracle8i以降になってから、Windowsプラットフォームでの利用者も増えてきて^＊1GUIを利用すればOracleデータベースの初心者でも専用インストーラ（Oracle Universal Installer）を操作することで比較的簡単にインストールできるようになった。

　しかし、SQL Serverなどのほかのデータベースプラットフォームと同じように、デフォルトの状態ではインストール後にいくつかのチェックしなければいけない項目が存在していた。

　Oracle9iデータベース R9.2.0では、その部分をさらに一歩進めてより積極的にセキュリティを高める設定を行ってくれるようになった。これは、何年もOracleデータベースを構築・運用してきた立場からいえば、非常にありがたい機能だ。以前からセキュリティという概念はあったが、システム構築の現場でセキュリティ対策がクローズアップされるまでは、Oracleデータベースの導入においては、比較的見過ごされた領域ではないだろうか（特に、イントラネット上に構築されてきたシステムなどではそういう傾向があったのではないだろうか）。

図2 Universal Installerのアカウント設定（拡大）

ALTER USER ユーザー名 
PASSWORD EXPIRE ACCOUNT LOCK;

ALTER PROFILE DEFAULT LIMIT 
PASSWORD_LIFE_TIME 60 
PASSWORD_GRACE_TIME 10 
PASSWORD_REUSE_TIME 1800 
PASSWORD_REUSE_MAX UNLIMITED 
FAILED_LOGIN_ATTEMPTS 10 
PASSWORD_LOCK_TIME UNLIMITED
PASSWORD_VERIFY_FUNCTION VERIFY_FUNCTION;

　次に、データベースオブジェクトに関するセキュリティ設定について説明を行う。まず、基本として、各オブジェクト（テーブル、ビュー、インデックスなど）に対してユーザーごとに適切なアクセス権を設定する。

●データベースオブジェクト関連のセキュリティ対策作業

　システム権限とオブジェクト権限を確認することで、セキュリティを高めることがさらにできるだろう。この部分は、アプリケーションの作りによって、大きくポリシーが異なってくる部分でもあるので、データベース管理者とアプリケーション開発者の間での十分な調整が必要なる部分だと思われる。

●そのほかのセキュリティ対策作業
（初期化パラメータおよびセキュリティパッチの適用）

　いかがだっただろうか？ 今回の記事を読んでいただくことで、Oracle9iデータベース導入後のセキュリティ設定項目の概要を理解できたかと思う。セキュリティ対策で重要なのは、むやみやたらに対策を行うのではなく、必要最低限の作業で、最大限の効果を出すことである。特に、Oracleデータベースオブジェクトのセキュリティ対策については、PUBLIC権限の排除などが説明されている書籍もあるが、必要最低限の作業ということで紹介した。さらに、詳しい情報については、Oracle Technology Network Japan上でOracleデータベースのオンラインマニュアルなどをご覧いただくことで、詳細情報を得られるだろう。

　次回は、Oracleデータベースのより高度なセキュリティ機能を紹介したいと思う。