Data Safeの機能詳細

Data Safe 機能詳細 2024年11月日本オラクル株式会社

Safe harbor statement 以下の事項は、弊社の一般的な製品の方向性に関する概要を説明するものです。また、情報提供を唯一の目的とするものであり、いかなる契約にも組み込むことはできません。以下の事項は、マテリアルやコード、機能を提供することを確約するものではないため、購買決定を行う際の判断材料になさらないで下さい。オラクル製品に関して記載されている機能の開発、リリース、時期及び価格については、弊社の裁量により決定され、変更される可能性があります。 2
Copyright © 2024, Oracle and/or its affiliates

Oracle Databaseのセキュリティを強化するクラウドベースのデータベース・セキュリティ・サービス OCIコンソールから一元的にデータベースのセキュリティ状態を可視化 • 構成やユーザー情報からセキュリティ・リスクを評価 • データベース監査ログの可視化 • テスト用のマスキングデータを生成 •
SQLレベルで制御するファイアウォールの管理ターゲットとなるOracle Database • Autonomous Database, Base Database, Exadata Databased • オンプレミスまたは他社クラウド上のOracle Database • データベースのVersionは11.2～、Standard Editionでも利用可能価格 • 対象がOracle Cloud Databaseの場合は無償 (※ログは100万件/月まで) • オンプレミス、他社クラウド上のOracle Database有償 Data Safe 3 Oracle Cloud Database オンプレミス上の Oracle Database AWS, Azure上の Oracle Database Protect Audit Users Discover Assess Mask Copyright © 2024, Oracle and/or its affiliates

Data Safeが提供する機能 4 セキュリティアセスメントユーザーアセスメント機密データの検出データ
マスキングアクテビティ監査 SQL Firewall データディクショナリからデータベース全体のリスク評価過度な権限付与や休眠アカウント等のリスク評価監査ログの収集やレポート、アラート等のモニタリング 23aiの新機能 SQL Firewallを GUIで管理列定義や実データのフォーマットから機密列を検出数値や文字列をテスト用に任意の値へとマスキング Copyright © 2024, Oracle and/or its affiliates

データベースの設定をスキャンし、STIG, CIS Benchmarkなどのセキュリティ要件と比較してリスクを評価基本構成、ユーザーアカウント、権限・ロール、アクセス制御、監査、暗号化等のカテゴリで評価データ・ディクショナリから必要な情報を収集するため、データベースへの影響はなしアセスメントは、定期的なスケジュール実行が可能アセスメント結果は、ベースラインとして登録することができ、比較分析や過去の実行結果履歴が参照可能セキュリティ・アセスメント 6 Copyright
© 2024, Oracle and/or its affiliates

セキュリティ・アセスメント 7 データベースを評価した詳細レポート設定で明らかな不備のある設定は高リスクとして評価される評価レポートは、履歴として記録され、過去との差分把握が容易にできる Copyright © 2024, Oracle
and/or its affiliates

セキュリティ・アセスメント 8 設定したベースラインと特定の実行結果を比較設定された構成の追加・変更、削除の詳細を把握できる Copyright © 2024, Oracle and/or its
affiliates

ユーザー・アカウントをスキャンし、アカウントの使用状況や付与された権限・ロールからリスクを分析 DBAやDatabase Vault、Auditなどの管理者権限の付与状況を一括で可視化アカウントに付与された不要になる可能性があるシステム権限やロールを識別休眠アカウントやパスワードが失効しているユーザーを特定セキュリティアセスメントど同様に、スケジュール実行、ベースラインとの比較分析、実行履歴の参照が可能ユーザー・アセスメント 10 Copyright ©
2024, Oracle and/or its affiliates

ユーザー・アセスメント 11 検出されたユーザー・アカウント一覧付与されたロールやシステム権限ごとにリスク評価され総合的なアカウント評価になる Copyright © 2024, Oracle and/or
its affiliates

Oracle Databaseの監査ログを定期的に収集し、ログ分析やレポートを提供対象は、データベースの監査表のみ (Unified Audit, Database Vault, SQL Firewallの違反ログ等) Data
Safeまたはオンプレミス・コネクターがターゲットDBに直接アクセスして監査ログを収集 Data Safeのコンソールからデータベースへの監査ポリシーの設定が可能 • 変更履歴やログイン失敗などの定義済みポリシー • ユーザー・アクティビティ • CISベンチマークやSTIGなどのコンプラインス対応向けポリシーコンプライアンス要件に対応する監査ログの長期保管 • オンライン保持期間は1～12カ月 • リストア可能なアーカイブとして最大6年保持可能目的ごとにプリセットされたアクティビティ・レポートアラートによるプロアクティブな情報連携月あたり100万レコードまでは無償 (超えると1万レコードごとに課金) アクティビティ監査 13 Data Safe Oracle Database AUD$ FGA_LOG$ Unified Audit On-Premises Connector 監査ポリシーの取得・反映監査ログの収集アップロード監査ポリシーとログの取得 ※オンプレミスの場合は必要 Copyright © 2024, Oracle and/or its affiliates

監査およびアラート構成のウィザード 14 2024年10月新機能 ①アラート・ポリシーの選択 ②監査ポリシーの作成ユーザー・アクテビティ監査はログ量の増大・パフォーマンスへの影響があるため使用には注意 (※後述の補足資料参照) Data
Safeユーザーのアクティビティは出力させない Data Safeが提供する独自の監査ポリシー Oracle Databaseのデフォルト監査ポリシー Copyright © 2024, Oracle and/or its affiliates

監査およびアラート構成のウィザード 15 2024年10月新機能 ③監査ログ取得の開始日の指定 ④監査ログの保持期間の指定 ⑤ターゲットDBに設定を反映 100万レコードを超える有料利用の場合はチェック監査レコードが多い場合表示に時間がかかる
Copyright © 2024, Oracle and/or its affiliates

カスタム・アラートの作成と通知 17 ユーザー自身によるカスタム・アラートの作成が可能にアラート条件の指定が可能な監査ログ・フィールド • クライアント・ホスト名、IPアドレス、プログラム名 • DB/OSユーザ、オブジェクト名 • イベント
(CREATE/DROP/ALTER TABLE, LOGON, SELECT/UPDATEなど) • エラーコード (ORA-XXXX)、実行結果 (SUCCESS/FAILURE) INやLIKE演算子、複数フィールドの組み合わせをサポート SQLテキスト・フィールドへの条件指定はできないしきい値を設定しアラート通知を制限 • 例)1000を超えるアラートが5分間で発生した等生成されたアラートは、Eventsのアラート生成として検知され Notificationsと連携し、アラート・メール等の外部連携が可能 Events Notifications フィールド値に対するアラート設定監査ログ Data Safe アラート生成のイベントを検知 <独自ルール> 例)特定の表に対するDML 2024年8月新機能 Copyright © 2024, Oracle and/or its affiliates

Unified Audit オブジェクト、権限、ユーザー・アクション等、監査対象をグループ化したポリシーベースの監査必要な監査項目を包括した定義済みの監査ポリシーを提供監査ログはAUDSYSスキーマのAUD$UNIFIED表に格納され、UNIFIED_AUDIT_TRAILビューで参照可パフォーマンスの影響やストレージの肥大を抑制するために、監査対象をできるだけ限定するのが推奨 • 特定の操作(SELECTやINSERT等DMLやDDL)、機密表・列を対象に限定 • アプリケーションの通常アクセスは除くなど、セッション情報(IPアドレス、プログラム名等)を組み合わせて対象を限定
Recovery Manager、Data Pump、SQL*Loader等のユーティリティのログも対象 DBMS_AUDIT_MGMTパッケージでログの定期削除をスケジューリング Data SafeやLogging Analytics等のサービスと連携したログのビジュアライズや長期保管 CREATE AUDIT POLICY Policy1 ACTIONS UPDATE ON HR.EMP, DELETE ON HR.EMP_EXD; AUDIT POLICY Policy1; 例) 表に対するDML監査ポリシー 19 Copyright © 2024, Oracle and/or its affiliates

Unified Auditの定義済みポリシーポリシー名ポリシーの内容デフォルト ORA_LOGON_FAILURES ログイン失敗のみ Yes (DBCAでDB作成時) ORA_SECURECONFIG
セキュリティ監査の必須要件として求められる基本的なデータベースの構成管理に関連した操作 Yes (DBCAでDB作成時) ORA_DATABASE_PARAMETER データベースのパラメータ変更に関連した操作 No ORA_ACCOUNT_MGMT ユーザー・アカウントの変更や権限に関連した操作 No ORA_CIS_RECOMMENDATIONS CISベンチマークで求められる監査要件に関連した操作 No ORA_RAS_POLICY_MGMT, ORA_RAS_SESSION_MGMT Real Application Securityに関連した操作 No ORA_DV_AUDPOL Oracle Database Vaultの DVSYS, LBACSYSスキーマのオブジェクトに関連した操作 No ORA_DV_AUDPOL2 Database Vaultのレルムやコマンドルールに関連した操作 No 20 Copyright © 2024, Oracle and/or its affiliates

ORA_SECURECONFIGポリシー主にデータベース管理に関連する操作に対して監査ポリシー表などのオブジェクトに対する監査設定はされていないので、ユーザー用途に応じたDML監査を追加する ALTER ANY TABLE CREATE ANY TABLE DROP
ANY TABLE ALTER ANY PROCEDURE CREATE ANY PROCEDURE DROP ANY PROCEDURE GRANT ANY PRIVILEGE GRANT ANY OBJECT PRIVILEGE GRANT ANY ROLE CREATE USER DROP USER ALTER USER ALTER DATABASE ALTER SYSTEM AUDIT SYSTEM ALTER ANY SQL TRANSLATION PROFILE CREATE ANY SQL TRANSLATION PROFILE DROP ANY SQL TRANSLATION PROFILE CREATE ANY LIBRARY CREATE ANY JOB CREATE EXTERNAL JOB CREATE SQL TRANSLATION PROFILE CREATE PUBLIC SYNONYM DROP PUBLIC SYNONYM EXEMPT ACCESS POLICY EXEMPT REDACTION POLICY TRANSLATE ANY SQL PURGE DBA_RECYCLEBIN LOGMINING ADMINISTER KEY MANAGEMENT BECOME USER CREATE PROFILE ALTER PROFILE DROP PROFILE CREATE ROLE ALTER ROLE DROP ROLE SET ROLE CREATE DATABASE LINK ALTER DATABASE LINK DROP DATABASE LINK CREATE DIRECTORY DROP DIRECTORY EXECUTE ON DBMS_RLS ALTER DATABASE DICTIONARY CREATE PLUGGABLE DATABASE DROP PLUGGABLE DATABASE ALTER PLUGGABLE DATABASE 21 Copyright © 2024, Oracle and/or its affiliates

条件による監査対象の絞り込み WHEN句で、IPアドレスがNULL(ローカル接続)の場合のみの条件を追加 CREATE AUDIT POLICY Policy1 ACTIONS UPDATE ON
EMPLOYEES, DELETE ON EMP_EXTENDED; AUDIT POLICY Policy1 BY UserX, UserY; CREATE AUDIT POLICY Policy2 ACTIONS UPDATE ON EMPLOYEES, DELETE ON EMP_EXTENDED WHEN 'SYS_CONTEXT(''USERENV'',''IP_ADDRESS'') IS NULL’ AUDIT POLICY Policy2; 特定のユーザーのUPDATE,DELETE文のDMLを監査 Actions ALLだけれども、JDBC接続の特定のAPサーバのアクセスは除く条件を指定 CREATE AUDIT POLICY Policy3 ACTIONS ALL ON EMPLOYEES WHEN 'SYS_CONTEXT(''USERENV'',''HOST'') IN ‘’xxxxx.jp.oracle.com,xxxxx.jp.oracle.com‘’ AND SYS_CONTEXT(''USERENV'',''MODULE'') NOT IN ''JDBC Thin Client''' AUDIT POLICY Policy3; 22 Copyright © 2024, Oracle and/or its affiliates

表の列に限定した監査 (23ai～) SELECT * from EMPLOYEES; SELECT ID FROM EMPLOYEES;
SELECT ID, SALARY FROM EMPLOYEES; EMPLOYEES SALARY列監査アクションの対象を従来の表単位から列単位での特定が可能 CREATE AUDIT POLICY ポリシー名 ACTIONS DML(カラム名) ON テーブル名例) EMPLOYEES表のSALARY列のSELECT, UPDATEを対象 CREATE AUDIT POLICY policy1 ACTIONS SELECT(SALARY), UPDATE(SALARY) ON HR.EMPLOYEES; AUDIT POLICY policy1; 23 Copyright © 2024, Oracle and/or its affiliates

SQL Firewall SQLレベルで制御するデータベース・ネイティブのファイアーウォール SQL単位でデータベースのアクセスを制御するファイアーウォールデータベース・ネイティブなので如何なる手段でもバイパスできないアクセス許可されるSQLは、列名や条件を含めて完全一致しなければならず SQLインジェクションや不必要なデータ参照を防止実行されるSQLを収集しファイアーウォール・ポリシーを作成 • SQL:
DDL, DML • セッション・コンテキスト: IPアドレス、OSユーザー名、プログラム名非常に軽微なCPUオーバーヘッドポリシー違反のアクセスをブロックまたはログ記録だけの検知としても使用可能違反したログは、 DBA_SQL_FIREWALL_VIOLATIONSビューで参照 Oracle Database 23aiから利用可 AVDFまたはDatabase Vaultオプションが必要 (※Cloudの場合、FreeもしくはBaseDB EE-HP以上) 25 Oracle Database 23ai SQL Firewall Program OS User IP Address Copyright © 2024, Oracle and/or its affiliates

SQL Firewallの管理インターフェース 26 2つの管理オプション DBMS_SQL_FIREWALL パッケージ • PL/SQLによる基本のCLI管理 Oracle Data
SafeのSQL Firewall管理機能 • Data SafeのインタフェースからGUI管理 • SQL Firewallの設定や違反ログなどビジュアライズされたGUIによる直感的な操作 • EventsとNotificationsと連携することで、違反が発生した場合のアラート通知が可能 Copyright © 2024, Oracle and/or its affiliates

Data Safeを利用したSQL Firewallの設定フロー 1 Collect DB管理者やアプリケーションが実行するSQLを一定期間網羅的にキャプチャする 2
Review & Modify キャプチャログから SQLおよびユーザー接続情報をレビューし SQL Firewallポリシーを作成する 3 Enforce デフォルト・アクション (ブロックの有無)を指定を指定してポリシーを有効化する 4 Monitor ポリシー違反したSQL やセッション情報をレビューし、必要に応じてチューニングする 27 Copyright © 2024, Oracle and/or its affiliates

Collect Data Safeを利用したSQL Firewallの設定フロー 28 Data Safeに登録しているターゲットDBのSQL Firewallのステータスが有効になっていること
SQLをキャプチャするユーザーを選択して収集開始 Copyright © 2024, Oracle and/or its affiliates

Review & Modify Data Safeを利用したSQL Firewallの設定フロー 29 Collectにて収集した SQLとセッション情報をベースにポリシーのひな型を作成
許可しないSQLはポリシーから削除許可するセッション情報を追加・削除 Copyright © 2024, Oracle and/or its affiliates

Enforce Data Safeを利用したSQL Firewallの設定フロー 30 SELECT ID, NAME, EMAIL, PHONE,
SALARY EMPLOYEES SELECT ID, PHONE, EMAIL EMPLOYEES SELECT ID, SALARY EMPLOYEES SQLリスト 172.16.0.0/21 %user% sqlplus@db4demo (TNS V1-V3), JDBC% セッション情報ポリシーのデプロイ違反ログスコープ, Blockの有無, 監査ログの有無を選択してデプロイ SQL> select * from employees; ERROR at line 1: ORA-47605: SQL Firewall violation Help: https://docs.oracle.com/error-help/db/ora-47605/ Copyright © 2024, Oracle and/or its affiliates

Monitor Data Safeを利用したSQL Firewallの設定フロー 31 ブロックされたSQLを選択してポリシーに追加できる違反ログの一覧を参照可能予期せぬSQLのブロックのチューニングとして以下の方法がある
- 違反ログからSQLをポリシーに追加 - 再度Collectを実行してSQLを収集、ポリシーを更新する Copyright © 2024, Oracle and/or its affiliates

データベース内の機密データの列を検出する検出方法は、以下の2パータン • NAME, ID, PASSWORDといった機密列を示すキーワードを含んでいる列 • メールやクレジット番号といったデータ形式が一般的に固定化されておりかつ推測できる列 200以上の定義済みの機密タイプ
ユーザー独自の機密タイプの定義を追加可能 • マイナンバー, 運転免許証番号, 携帯電話, 社員番号など日本語の列名にも対応検出された機密タイプは、機密データ・モデルとしてData Safeに登録され任意の値にマスキングができる機密データ検出 33 ABC Table Emp No 1234567 Column 2 xxxxxxx First Name Oracle Last Name Taro Column 5 xxxxxxx Card No 4123123488990121 Copyright © 2024, Oracle and/or its affiliates

200以上の定義済みの機密タイプ 34 氏名, 住所, 電話番号, EMAIL, 性別, 銀行口座, ID, 生年月日,
学歴, 職歴, パスポート番号, 社会保障番号(US) マイナンバー, 社員番号, ユーザーID等 Identification Biographic IT Financial Healthcare Employment Academic SSN Name Email Phone Passport DL Tax ID … Age Gender Race Citizenship Address Family Data Date of Birth Place of Birth … IP Address User ID Password Hostname GPS location … Credit Card CC Security PIN Bank Name Bank Account IBAN Swift Code … Provider Insurance Height Blood Type Disability Pregnancy Test Results ICD Code … Employee ID Job Title Department Hire Date Salary Stock … College Name Grade Student ID Financial Aid Admission Date Graduation Date Attendance … Copyright © 2024, Oracle and/or its affiliates

機密データ・タイプの設定例 35 列名のパターン: 列名に含まれるキーワードを特定する正規表現列データのパターン: データのフォーマットを特定する正規表現 ※列データのパターンは5行フェッチし4/5(80%)が正規表現と一致する場合に機密タイプとして検出検索タイプ: 列名と列データの条件がAND
or ORで一致日本独自の機密タイプ: 運転免許証番号、マイナンバー Copyright © 2024, Oracle and/or its affiliates

機密データ・モデル 36 機密データの検出を実行すると結果は機密データ・モデルとして作成される Copyright © 2024, Oracle and/or its
affiliates

機密性の高いデータを不可逆な形式にてマスキングデータベースの特性を考慮したアーキテクチャ • 表の制約や表の親子関係を認識した一貫性のあるマスキング • 列データの要素数、分布、件数など、本番データの特性を維持 • マスキングはデータベース内でPL/SQLスクリプトとして実行される GUIで自由に定義できる様々なマスキング・タイプを提供 60を超える定義済みのマスキング・テンプレート
• 各ブランドのクレジット・カード番号, Eメール, URL, 郵便番号, マイナンバーユーザー独自のマスキング定義を作成可能 • 携帯番号, 社員番号, パスポート番号等の日本独自のデータ形式条件分岐や日本語を含む複雑なマスキングはユーザー定義関数で対応注意事項 • マスキング中は一時的にマスキングする表の数倍の表領域の空きが必要 • マスキング実行前にはDBのバックアップ、表の複製等の対応が必須データ・マスキング 38 Oracle Database Data Safe Copyright © 2024, Oracle and/or its affiliates

様々なマスキング形式を提供 39 固定数値固定文字列ランダム桁数ランダム数値ランダム文字列配列リストシャッフル置換
SQL式 NULL値切り捨て部分文字列表の列の値ユーザ定義関数正規表現暗号化ランダム文字ランダム数値＋固定文字列シャッフル ID NAME 1 SMITH 2 ALLEN 3 JONES 4 CLARK 5 ADAMS ：： ID NAME 1 akeskaf 2 oweiks 3 daikels 4 ilekdik 5 oetdjgqk ：： ID CARDNUMBER 1 7488-2984-1736-7400 2 4033-6177-0089-6401 3 6141-5126-0475-8802 4 1139-4145-6222-3703 5 8337-6263-1608-0104 ：： ID CARDNUMBER 1 5870-2967-9149-5700 2 9634-7334-4874-2301 3 8430-8214-6445-1102 4 1573-9537-1503-5503 5 0606-3321-6271-8304 ：： ID COUNTRY 1 US 2 JP 3 US 4 UK 5 FR ：： ID COUNTRY 1 US 2 FR 3 UK 4 FR 5 JP ：： Copyright © 2024, Oracle and/or its affiliates

正規表現を用いたマスキング 40 正規表現置換する値意味対象データマスキング結果 ¥d *
すべての数字を＊で置換東京都港区1-992 Oracleビル103号室東京都港区*-*** Oracleビル***号室 ¥d{4} * 連続した4桁の数字を＊で置換 080-1234-5678 080-****-**** ¥d{4}/¥d{2}/¥d{2} ¥1/**/** 西暦はそのままで年月日を＊で置換 1975/10/12 1975/**/** ¥w+@(¥w) ****@¥1 @より前方は＊で置換 [email protected] m ****@oracle.com Copyright © 2024, Oracle and/or its affiliates

ユーザー定義関数を用いたマスキング 41 /* ランダムでひらがな５文字を生成する関数 CREATE OR REPLACE FUNCTION RANDOM_HIRAGANA( RID
IN VARCHAR2 , COLUMN_NAME IN VARCHAR2 , ORIG_VAL IN VARCHAR2 ) RETURN VARCHAR2 AS data varchar2(1000); type array1 is array(999) of varchar2(4); data_array array1 := array1(); i number:=0; max_num number:=0; return_str varchar2(10); ID フリガナ 1 あべたろう 2 とうきょうはなこ 3 すずきいちろう ID フリガナ 1 あきこしさ 2 なにとあい 3 さとしあいランダムひらがなでマスキング BEGIN data := 'あいうえおかきくけこさしすせそたちつてとはひふへほはひふへほやゆよつわあいうえおかきくけこさしすせそたちつてとはひふへほはひふへほやゆよつわ'; max_num :=LENGTH(data); For i IN 1..max_num loop data_array.extend; data_array(i) := SUBSTR(data,i,1); End loop; for i IN 1..5 loop return_str := return_str || data_array(round(dbms_random.value(1,max_num))); end loop; RETURN return_str; END RANDOM_HIRAGANA; Copyright © 2024, Oracle and/or its affiliates

データマスキングの特徴 44 ID NAME CID 1 SMITH 1 2 ALLEN
4 3 JONES 1 4 CLARK 2 5 ADAMS 3 ：：： CID COUNTRY_NAME 1 UNITED_KINGDOM 2 UNITED_STATES 3 AUSTRALIA 4 IRELAND 5 CANADA ：： ID NAME CID 1 Aaafeh 83 2 Aafhed 65 3 Aaaafhe 83 4 Bodofa 39 5 aaahfied 9 ：：： CID COUNTRY_NAME 83 UNITED_KINGDOM 39 UNITED_STATES 9 AUSTRALIA 65 IRELAND 7 CANADA ：：参照整合性を維持したマスキング (ランダム文字列＋ランダム数値) 外部キー制約を自動的に検知し一貫性のあるマスキングを実行キー / 一意 / 参照整合性制約を維持したマスキング Copyright © 2024, Oracle and/or its affiliates

データマスキングの特徴 45 ID NAME CID 1 ABC Material SMITH 2
ZZZ Manifacture CLARK 3 B&C Inc JONES 4 OPQ World CLARK 5 YYY Corp ADAMS ：：： CID COUNTRY_NAME CLARK UNITED_KINGDOM JONES UNITED_STATES SMITH AUSTRALIA KEITH IRELAND ADAMS CANADA ：： ID NAME CID 1 ABC Material cccchfk 2 ZZZ Manifacture aaaafdk 3 B&C Inc bbbeoh 4 OPQ World aaaafdk 5 YYY Corp 99999k ：：： CID COUNTRY_NAME aaaafdk UNITED_KINGDOM bbbeoh UNITED_STATES cccchfk AUSTRALIA 1234akf IRELAND 99999k CANADA ：：参照関係を維持したマスキング (ランダム文字列) 外部キー制約を指定していないがアプリケーションで関連付けている場合は手動で参照関係を指定することで一貫性のあるマスキングを実行明示的な参照関係によるマスキング Copyright © 2024, Oracle and/or its affiliates

OCIにあるOracle Databaseへの接続 (プライベート・エンドポイント) 47 Autonomous DB, Cloud Database System, Database
on Compute Oracle Cloud Infrastructure Customer VCN Private Subnet Oracle Data Safe Private Endpoint Data Safeは、プライベート・エンドポイントを経由して使ってターゲットDBに接続する Oracle Cloud内のクローズドなアクセス Security ListもしくはNetwork Security GroupにData Safeとのinbound/outbound通信の許可が必要 Copyright © 2024, Oracle and/or its affiliates

オンプレミスにあるOracle Databaseへの接続 (プライベート・エンドポイント) 48 On-premises, Cloud@Customer Oracle Cloud Infrastructure Customer
VCN Private Subnet Private Endpoint FastConnect / VPN Connect Oracle Data Safe FastConnectまたはVPN接続で、オンプレミス上にあるデータベースはOCIのPrivateサブネットの延長線上にあるという構成 Data Safeは、プライベート・エンドポイントを経由して使ってターゲットDBに直接接続するターゲットDBのネットワークは、 Data Safeからのinbound/outbound通信の許可が必要 Copyright © 2024, Oracle and/or its affiliates

オンプレミスにあるOracle Databaseへの接続 (オンプレミス・コネクター) 49 On-premises, Cloud@Customer Oracle Cloud Infrastructure Oracle
Data Safe Data Safe On- Premises Connector TLS Tunnel Data Safe On- Premises Connector On-Premises Connectorをインターネット通信が可能なサーバにインストールする On-Premises Connectorは、オンプレミス上のターゲットDBにアクセスし、その情報をData Safeにアップロードする通信はOn-Premises Connectorが起点となるため、Data SafeからのInbound通信は発生しない On-Premise ConnectorターゲットDBのネットワークは、 Data Safeへのoutbound通信の許可が必要 Copyright © 2024, Oracle and/or its affiliates

ハードウェア要件 • 2CPU, Memory: 16GB, Storage: 5GB, Network: 1GBps 以上
• Port: 443 Data Safeとの通信で利用ソフトウェア要件 • Oracle Linux 7, Python 3.5, Java 7 以上インストール手順 1. On-Premises ConnectorをData Safeコンソールからダウンロード 2. zipファイルをターゲットのデータベースにコピーし解凍 3. 以下コマンドを実行 $ python setup.py install --connector-port=<port> [--https-proxy=<proxy:port>] 例) $ python setup.py install --connector-port=1560 --https-proxy=https://www-proxy.domain.com:80 On-Premises Connectorのインストール要件 50 Copyright © 2024, Oracle and/or its affiliates

サポートされるターゲット・データベース 52 Oracle Cloud Database Versions Autonomous Data (Shared Exadata
Infrastructure) latest version Autonomous Data (Dedicated Exadata Infrastructure) latest version Base Database, Exadata on Dedicated Infrastructure - Oracle Database Edition (SE, EE, EEHP, EEEP) 11.2.0.4*, 12.1*, 12.2.0.1 or later Oracle Database on Compute instance - Oracle Database Edition (Standard, Enterprise) 11.2.0.4*, 12.1*, 12.2.0.1 or later On-Premises Oracle Database - Oracle Database Edition (Standard, Enterprise) 11.2.0.4*, 12.1*, 12.2.0.1 or later Oracle Databae@Azure 19c Amazon RDS for Oracle 19c, 21c Copyright © 2024, Oracle and/or its affiliates

価格 53 サービス名単価単位 1 Data Safe for Database
Cloud Service (*) 無償 2 Data Safe for Database Cloud Service – Audit Record Collection Over 1 Million Records ¥15.5 1万レコード/ターゲット/月 3 Oracle Cloud Infrastructure - Data Safe for On-Premises Databases (**) ¥31,000 1DBあたり 4 Oracle Cloud Infrastructure - Data Safe for On-Premises Databases – 10,000 Audit Records Per Target Per Month ¥15.5 1万レコード/ターゲット/月 * 監査機能は、 100万レコード/ターゲット/月まで無償、その他の機能は無償 **監査機能は、 100万レコード/ターゲット/月まで利用可能、その他の機能は追加コストなく利用可能最初の100ターゲットまで。100ターゲット以上は単価が下がるため、詳しくは価格リストを参照 Copyright © 2024, Oracle and/or its affiliates

OCI上のDatabase Cloudサービス群は無償 Data Safe Oracle databases on compute and in
3rd party clouds Oracle cloud databases Oracle on-premises databases Oracle Cloud@Customer databases 無償※ 1DBごとに有償 ※1DBあたり100万レコード/ターゲット/月まで New! Oracle Database @Azure 無償※ 1DBごとに有償 54 Copyright © 2024, Oracle and/or its affiliates

TIPS 57 OCI DataSafeでBaseDB/ExaDB-Dの監査ログを取り込んで分析する以下の内容は古くなっていますので、OCIのコンソールが異なる場合があります Oracle Data Safeを有効化する https://qiita.com/western24/items/ce12012acfc429b363a7 Data
Safeのデータ・マスキングを試してみる https://qiita.com/western24/items/3fb5bfd0515864b06b22 Data Safeのアクティビティ監査で操作ログを記録する https://qiita.com/western24/items/ca090b9b40509e7449ba プライベートIPアドレスでData SafeにDBを登録する https://qiita.com/western24/items/d3b10acf3fcb15b8687c Oracle Data SafeでオンプレミスのOracle Databaseを管理する https://qiita.com/western24/items/7b9a43a5bf63f5590403 Copyright © 2024, Oracle and/or its affiliates

Data Safeの機能詳細

Data Safeの機能詳細

More Decks by oracle4engineer

Featured

Transcript