データベース セキュリティの始め方

データベース管理者（DBA）として、システムを自信を持って運用するためには、データベース セキュリティの基本をしっかり理解しておく必要があります。データベース セキュリティに関する確かな知識があれば、ベストプラクティスに従い、セキュリティ プロトコルを遵守することで、組織の機微な情報およびビジネス上重要な情報を保護できます。

データベース セキュリティとは？

「データベース セキュリティ」という言葉は、データベース の完全性、可用性、機密性 を確立し、維持するために設計されたすべてのツールを指しています。データベースに保存されているデータが常に安全であることを保証することは、あらゆる DBA にとって最も重要な責任の 1 つです。

データベース セキュリティには次が含まれます：

• データベース内のデータストア
• データベース管理システム（DBMS）
• データベースのデータにアクセスするアプリケーション
• 物理サーバー
• クラウドベースのサーバーを含む仮想データベースサーバー
• ネットワーク接続ポイント

データベースのセキュリティを維持するには、繊細な配慮が必要です。data security を優先する必要がある一方で、データはビジネスに価値をもたらすため、アクセス可能でなければなりません。データベースに保存されたデータへのアクセス権を増やすほど、そのデータはより脆弱になります。しかし、完全に漏れない（防水のような）データベースは、機能的でも現実的でもありません。この逆説は、時に「Anderson’s Rule」と呼ばれることがあります。

セキュリティとアクセス性のバランスを適切に取るための最善の方法は、慎重に設計されたセキュリティプロトコルを確立し、データアクセスを階層化して割り当て、堅牢なセキュリティおよびデータベースアクティビティ監視プラットフォームに投資することです。

なぜデータベースのセキュリティが重要なのですか？

組織の評判、財務面での将来、法令遵守、そして全体的な機能は、収集したデータを安全に保存し、移動し、管理できるかどうかにすべて左右される、と言っても過言ではありません。安全性の低いデータベースは、2019年に発生したいくつかの著名な重大インシデント の中心にあり、その結果、何百万人ものユーザーのパスワードやクレジットカード情報が盗まれ、大量の機密情報が漏えいし、さらに巨額の罰金が科されました。

残念ながら、データベース侵害は、資金に余裕がある大企業や、広報の専門家チームがいて世間の混乱を片付けられるような企業だけに限られるわけではありません。あらゆる規模の企業がリスクにさらされています。侵害を受けた中堅企業であっても、最終的に 数百万ドル を、法的費用、罰金、データ復旧の取り組み、ユーザーへの通知、そしてダウンタイムに費やすことになりかねません。さらに、侵害は将来の収益にも影響します。なぜなら、顧客やパートナーは、信頼できない、あるいは技術的に遅れていると見なす企業との取引を避ける可能性が高まるからです。

知的財産が侵害された場合、影響はさらに深刻になることがあります。営業秘密、発明、そして会社が社内でどのように運営されているかに関する情報が不正な第三者の手に渡れば、会社そのものの存続さえ危うくなる可能性があります。

データベースにおけるセキュリティ脅威と課題のよくある種類

さまざまな要因によって、データベースはセキュリティ侵害に対して脆弱になり得ます。ここでは、備えておくべき最も一般的なセキュリティ脅威を紹介します。

インサイダー・スレッド（内部不正の脅威）

最も分かりやすい insider threat は、危害を加える意図を持つ悪意のあるユーザーです。しかし、この用語には、データベースを攻撃にさらしたままにしてしまうようなミスを起こし得る権限を持つユーザーも含まれます。実際、 すべてのデータ侵害の半数近く が、2018 年に報告されたのは、弱いメールまたはデータベースのパスワードを選ぶこと、パスワードを共有すること、作成されたデータベースの資格情報を不注意に保管することなど、人為的なミスによるものでした。insider threat には第三のタイプもあります。すなわち、フィッシングなどの手口によって有効なユーザー資格情報を入手する外部の攻撃者です。

データベース管理がずさんであること、とりわけ、多くの従業員にデータベースへの高レベル権限を付与していることは、insider threat がもたらすリスクを高めます。

データベースソフトウェアの脆弱性

ハッカーは、データベース管理ソフトウェアを含むプラットフォームやソフトウェアに存在するセキュリティ脆弱性を見つけて標的にするため、絶えず活動しています。セキュリティパッチがリリースされたらすぐに適用しないと、攻撃にさらされる可能性が高まります。

SQL/NoSQL インジェクション攻撃

攻撃者は、Web アプリケーションが提供するデータベースクエリや HTTP ヘッダーに特定の文字列を挿入することで、SQL または NoSQL データベースを狙うことができます。

バッファオーバーフローの悪用

攻撃者は、バッファオーバーフローで生じた余剰データを攻撃を開始するための土台として利用できます。バッファオーバーフローは、プロセスが、保持できる量よりも多くのデータを固定長のメモリ領域に書き込もうとしたときに発生します。

サービス拒否攻撃

攻撃者がターゲットのサービスに対して大量のリクエストを送り付けると、サーバーは正当なユーザーが生成するリクエストに追いつけなくなります。こうしたサービス拒否（DoS）攻撃により、Web サイトが不安定になったり、完全にクラッシュしたりすることがあります。

分散型サービス拒否攻撃（DDoS）は、複数のWebサーバーを大量のリクエストで溢れさせることで発生します。これらの攻撃は、一度開始されると特に止めるのが難しいため、予防策が重要です。

マルウェア

マルウェア攻撃は多くの場合、エンドポイント端末で始まりますが、データベースへ簡単に広がることもあります。モノのインターネット（IoT）デバイスは、オフィスにある主要なハードウェアほど頻繁にセキュリティパッチが適用されないことが多いため、特にマルウェアの影響を受けやすいです。

バックアップ攻撃

適切に保護されていないバックアップデータは攻撃に対して脆弱です。これは物理ドライブに保存されている古いバックアップだけでなく、近年より一般的になっているクラウドベースのバックアップにも当てはまります。

変化する企業環境とリソース

目に見えにくい複数の脅威が、データベースの脆弱性を高める可能性があります：

• 企業はこれまで以上に多くのデータを保存・処理しており、その結果、データベース構造がより複雑になっています。
• ネットワークには、クラウド環境へのアクセスやクラウド環境からのアクセスなど、より多くの接続ポイントがあります。

データベースのセキュリティ対策

データベース管理者は、データベース侵害を軽減するのに役立つさまざまな種類のデータベース セキュリティ コントロールを把握しておく必要があります。これらのコントロールは、データが転送中および保管中に改ざんされないようにすることで、データベースの整合性（インテグリティ）を確保するのにも役立ちます。

アクセスの制限

アクセス制御は 最小特権の原則 に基づいて付与する必要があります。これは、ユーザー アカウントおよびコンピューティング プロセスに対するシステム権限を、割り当てられた機能を実行するために必要な権限のみに制限することを求めるものです。

データベース監査

定期的なデータベース監査は、データベースの脆弱性や不審な活動を明らかにできるほか、データベース セキュリティ対策がデータベース セキュリティの標準や規制に準拠していることを証明するのにも役立ちます。理想的には、監査プロセスがデータベースのパフォーマンスを低下させないように、これらのソリューションはエージェントレスであるべきです。

認証

認証は、許可されていないユーザーがデータやシステムにアクセスするのを防ぐために、ユーザーおよびアカウントの身元を確認します。 ネットワークセキュリティ のプロトコルには 認証のための対策を 会社全体のネットワークにわたって含める必要があります。

外部アプリケーションのセキュリティ対策

データベースのセキュリティには、データベースにアクセスできるすべてのアプリケーションを保護することも含まれます。初期設定はスムーズなインストール体験を可能にするために設計されていますが、悪意のある攻撃者にとっては周知の内容であるため、安全ではありません。あなたの仕事は、業務が適切に運用できるようにしつつ、アプリケーションのセキュリティ設定を可能な限り最高のレベルにすることです。基盤となるOS（オペレーティングシステム）を保護する場合も、同じ考え方が当てはまります。たとえば、SQLデータベースはWindows Serverに依存しているため、データベースのセキュリティを維持するにはWindows Serverを安全に保つ必要があります。

その他のセキュリティ対策

データの暗号化により、ハッカーが盗み取ったデータを悪用することがより難しくなります。バックアップをオフラインで保存することで、ハッカーがそれらにアクセスできる可能性を下げられます。さらに、包括的で（定期的にテストされた）災害復旧計画があれば、侵害や重大な事故・災害の後にデータベースを迅速に復旧するのに役立ちます。

重要なデータベース セキュリティのベストプラクティス

一部の データ セキュリティのベストプラクティス はデータベースの直接的な管理に関係し、その他はデータベースへのアクセスに関するルールに焦点を当てます。検討すべき具体的なベストプラクティスには、次のようなものがあります：

• データベースを強化すること（Hardening）。これには、データベースにアクセスするすべてのアプリケーションやシステムに対してファイアウォールを設置することに加え、サーバーを安全で施錠された部屋に保管するなどの物理的なセキュリティ対策を含めることができます。
• データベースを含め、データが存在するあらゆる場所でデータを暗号化します。
• 最小権限の原則を徹底し、 権限を定期的に見直すことで、従業員の変化やアクセスニーズに対応し、データベースへのアクセスを制御します。
• 疑わしい変更や アクセス試行を確認するために、データベースのアクティビティを監査し、監視します。
• アクセス可能な状態で保持しなければならないデータだけを保存することで、データベースの価値を最小化します。価値の低いデータベースは悪意のある攻撃者にとって魅力が下がり、侵害が起きても被害はより小さくなります。
• 強力なパスワードの要求や、フィッシング攻撃に関するトレーニングの提供など、システムとデータを守るための一般的なベストプラクティスを徹底します。

自社のニーズを考慮する

データベースをどのように保護するか計画し始める際は、自社の独自のニーズを必ず考慮してください。従業員や第三者がデータにアクセスするために必要な具体的な方法、そして保存・アクセス・送信されるデータ量について情報を収集しましょう。予測される成長や新しい技術の導入に対応できるよう、サイバーセキュリティ対策は拡張性と柔軟性を備えていることが重要です。