ZDNet Japan Brand Site:
ZDNet Japan
builder
スペシャル » 特集 » DBセキュリティをセルフチェック

DBセキュリティをセルフチェック--第1回：DBセキュリティの現状

システムを構成する要素の中で最も重要なもの「データベース」--しかし残念ながら、現状はDBに厳重なセキュリティ対策が施されているとは言えない。ありがちな4つの誤解から、DBセキュリティの実態と現状をみていこう。

大野祐一（ラック データベースセキュリティ研究所）  2007年11月6日 15時21分

データベースの重要性

　情報システムを構成する要素の中で最も重要なものは何か？と問われれば、たいていの技術者は「データベース」（以下、DB）と答えるはずである。なぜなら、DBには、組織にとっての重要な情報が格納されているからである。それらの情報が外部に流出したり、改ざんされたり、必要なときに情報を参照、更新できないという状況になった場合、規模にもよるが組織は少なからず損失を被るはずである。

無防備なDB

　それだけ重要なDBには、厳重なセキュリティ対策が施されていると思われがちだが、残念ながらそうとはいえない。特に個人情報保護法があまり意識されていない3、4年前にリリースされたシステムのほとんどのDBは、以下のような脆弱な設定や運用状態であることが多い。

  • デフォルトパスワードの特権アカウントが存在する
  • 製品と一緒に導入される不要なデフォルトアカウントが無効化されていない
  • DB管理者グループの間でDBアカウントが共有されている
  • リリース後に公開されたセキュリティパッチが適用されていない
  • DB管理者や運用担当者は責任者の承認なくDBに接続できる
  • DBにおいてアクセスログが収集されていない

DBは本当に安全か！？

　一方、組織内のシステム利用者の大半は、重要な情報はDBに入れてしまえば安全であり、何かあったとしても、ウイルス発生と同じようにすぐに気付く（検知できる）と思っているようである。

  1. DBは攻撃されない
  2. DBには侵入できない
  3. DB管理者は、自社の従業員と機密保持契約を交わした関係者なので安心
  4. 仮にDBが何かしらの攻撃を受けてもすぐに気付くはず
図1 図1 一般的なシステム構成

　次ページで、上記1〜4のそれぞれの項目について、実態をみてみよう。

関連情報

「セキュリティ」 の新着情報

「DBセキュリティをセルフチェック」 のバックナンバー

ホワイトペーパー

もっと見る »

もっと見る »

もっと見る »

http://japan.zdnet.com/sp/feature/07dbsec/story/0,3800082190,20360380,00.htm
DBセキュリティをセルフチェック--第1回：DBセキュリティの現状

Intel Video Series

sponsored by Intel

新着企業動向

話題のタグ

ZDNet Japan ニューズレター

企業情報システムの選択、導入、運用管理に役立つ情報を毎朝メール配信します。

ニューズレターの登録・登録情報変更　»