製品

Cyclone データベース脆弱性分析ソリューション

概要

Cycloneは、データベースに内在する脆弱性やデータベースの運用において考慮すべき事項を多角的に点検し診断を行うツールです。セキュリティ管理者やDB管理者に対し、セキュリティホールを除去し、更にシステムの全体的なセキュリティレベルを向上させるための最善の解決策を提供します。

Cycloneは、「データベース自動探索」「模擬ハッキング」「内部診断」の実行、および「修正スクリプト」「パッチガイド」「脆弱性分析レポート」作成の6つのステップにより、データベースの脆弱性診断を行います。

対応DBMS
  • Oracle: 11g
  • Microsoft SQL Server: 2008
  • IBM DB2 V9.7
  • Sybase SQL Server & Sybase Adaptive Server Enterprise 15.5
  • Mysql for Linux, Unix and Windows 5.5
動作環境
  • CPU :Pentium p4, 2.4GHz
  • メモリ : 1GB
  • ディスク: 10GB以上推奨
  • OS: Windows NT • Windows 2000 • Windows XP • Windows 2003 • Windows Vista
  • ネットワーク:100Mbps

Cyclone 概要

主な機能

データベース自動探索 (Information Gathering)

ネットワーク上に設置された診断対象データベースのバージョン情報、環境設定オプション、主要なファイルパスなどの情報を収集します。

データベース自動探索 (Information Gathering)

模擬ハッキング (Penetration Test)

診断対象データベースに対し仮想的な攻撃を行うことにより、外部からの攻撃による情報侵害の脅威に対する脆弱性を検出します。

模擬ハッキング (Penetration Test)

TNS Attack (TNS 攻撃)
OracleデータベースコンポーネントのTNS リスナーには、遠隔の第三者が認証なしにデータベースサービスを登録できる脆弱性が存在することが公開されています。この脆弱性を悪用すると、攻撃者は遠隔からリスナーにアクセスしてOracleのバージョンを調べたり、リスナーにシェルコードを挿入して動作させることが可能となります。Cycloneはこの種の攻撃を防ぐためにリスナーをチェックし、よりセキュリティの高いリスナーに設定する方法を提供します。
Password Attack (パスワード攻撃)
診断対象データベースに対し、Cycloneは、総当り攻撃、辞書攻撃および類推攻撃を試行することにより、安全でないパスワードが使用されているかどうかを確認します。模擬ハッキングでは既定のID リストを対象に上記のような仮想攻撃を行います。
Buffer overflow (バッファ オーバーフロー)
データベースは、設計上のエラーやデータバッファサイズの確認チェック漏れなどが原因で、サーバが誤作動したり強制終了する可能性があります。Cycloneは、このような問題が生じる可能性があるデータベースモジュールのパッチガイドを作成します。また実際の攻撃を通してサーバが誤作動したり強制終了したりするかどうか確認を行います。
Denial of Services (DoS攻撃)
データベースシステムは非常に多くのサービスが連携して機能するため、1つのサービスが正常に動作しない場合は、他のサービスも影響を受け易いという弱点があります。この弱点を利用して、攻撃者は外部から特定のサービスに対してDoS攻撃を行いデータベースを停止させたり、強制終了させたりします。Cycloneは、既知の脆弱性に対する仮想的なDoS攻撃や、ベンダーが公開したパッチバージョンのチェックを行い、パッチガイドを提供します。
Configurations
データベースシステムは、設置されたシステム環境や、様々な機能を実行するために必要な環境設定が原因で、セキュリティホールが生じる可能性があります。Cycloneは、このようなセキュリティホールに対するチェックを行い、パッチガイドを提供します。
Vulnerabilities (脆弱性)
脆弱性には、セキュリティ上危険な結果をもたらすプログラミングエラーが含まれている場合があります。Cycloneは、プログラミングエラーに関する既知の脆弱性に対するパッチバージョンのチェックを行い、パッチガイドを提供します。

内部診断 (Security Auditing)

内部診断は、既知の脆弱性の点検に加え、データベースがセキュリティ上安全にインストールされ、運用されているかを点検します。データベースと、データベースを構成するファイルとテーブルスペース、およびデータベースが動作しているOSを対象に、バックアップ、構成、およびモニタリングの観点からの診断を行います。
模擬ハッキングと同様に、総当り攻撃、辞書攻撃あるいは類推攻撃などによる点検は、診断に長時間を要する場合があります。

内部診断 (Security Auditing)

Authentication (認証)
脆弱な認証ポリシー(簡単なパスワードの使用、インストール時に提供される使用していないアカウントの放置)は、攻撃者にユーザ権限や管理者権限を取得されたり、迂回される原因となります。Cycloneはパスワードとプロファイル設定をセキュリティ上安全に設定し、強固な認証ポリシーを確立するための修正スクリプトおよびガイドを提供します。
Access Control (アクセス制御)
データベースシステムの権限濫用は、権限昇格やSQLインジェクションのような攻撃を可能とする原因となります。Cycloneは、データベースシステムの権限チェックを行い、アカウントとロールに対する権限がユーザに対しどのように付与されているかを確認します。
Application Integrity (無欠性)
データベースの無欠性が維持されているかをチェックします。Cycloneは、DBMSで使用されるオブジェクトに対するバッファオーバーフローやパラメータエラーが起こる可能性があるかをチェックし、脆弱性に対するパッチガイドを提供します。
Audit Trail (監査証跡)
DBMSのAudit Trail機能が作動しているか確認します。
Networking (ネットワーク)
データベースのコミュニケーションプロトコール上の脆弱性、侵入の可能性、セキュリティ設定などをチェックします。
OS Integrity
不正アクセスにより、データベースサーバのOSの整合性が侵害される可能性があるかをチェックします。
Patch Management
DBMSベンダーが公開するセキュリティパッチが適切に適用されているか確認し、常に最新のパッチ適用を維持するためのガイドを提供します。
Backup/Availability
バックアップポリシーの設定、およびバックアップデータの可用性の侵害が生じる可能性をチェックし、バックアップデータの露出を防止します。

修正スクリプト (Fix Scripts)

Cycloneの内部診断により検出された脆弱性を除去するための修正スクリプトを自動作成します。

修正スクリプト (Fix Scripts)

脆弱性分析レポート

Cycloneは、検出した診断対象データベースの脆弱性に関し、様々な分析レポートを作成します。脆弱性分析レポートは、検査項目毎にリスト化し、脆弱性の種別、件数、危険度を表示します。

脆弱性分析レポート

特徴

模擬ハッキング

Cycloneは、診断対象データベースに対して仮想的な攻撃を試行し、外部からの攻撃に対する脆弱性を検出します。

多角的な脆弱性診断

公開された脆弱性に関するパッチバージョンの点検のみならず、データベースの設置環境、構成、設定、OSの脆弱性などさまざまな観点からセキュリティホールの検出を行います。

修正スクリプト/パッチガイドを自動生成

検出したセキュリティホールを除去するための修正スクリプトや最新パッチの適用ガイドを自動生成し、セキュリティ強化対策を容易に適用することができます。

脆弱性分析レポート

検査項目毎に検出した脆弱性の種別、件数、危険度を整理し、表やグラフを使用した見やすいレポートを提供します。