MySQL の SQL エスケープ - tmtms のメモ
この記事は MySQL Casual Advent Calendar 2013 の15日目の記事です。 今、空前の SQL エスケープブームみたいなので、このビッグウェーブに乗っかってみます。 でも面倒なのでセキュリティについての話はしません。カジュアル！ 文字列リテラルとエスケープ MySQL では SQL 中の文字列リテラルは次のように表現します。 'abc' -- シングルクォートで括る "abc" -- ダブルクォートで括る 0x616263 -- 16進数 x'616263' -- 16進数 0b011000010110001001100011 -- 2進数 b'011000010110001001100011' -- 2進数 各表記で charset を指定することができます _utf8 'abc' _utf8 "abc" _utf8 0x616263 _utf8 x'6162
「演算子のインジェクション」と「SSJI」
「演算子のインジェクション」と「SSJI」：NoSQLを使うなら知っておきたいセキュリティの話（1）（1/2 ページ） ここ数年、大量データ処理時の高速性やデータ構造の柔軟性などから、「NoSQL」が注目を集めています。それと同時に、NoSQLを使うアプリケーションに対する攻撃手法も研究されるようになりました。この記事では、NoSQLを使ったアプリケーションの脆弱性と対策について解説します。 注目集める「NoSQL」 ここ数年、NoSQLと呼ばれる種類のデータベースが注目を集めています。NoSQLはSQL言語を使用しないデータベースの総称で、大量データ処理時の高速性やデータ構造の柔軟性などのメリットがあるため、従来のリレーショナルデータベース（RDB）を補完・代替するものとして、大規模なWebアプリケーションなどにおいてNoSQLを採用する事例が増えています。 このような新しい技術が普及し
データベース・セキュリティの実装 第4回 最前線の防御を可能にするOracle Database Firewall
商品検索のWEBサイトがあったとしよう。アプリケーションは、製品を検索する画面なので当然、商品名や商品コードなどの文字が入ってくるものだという前提で作成されている。そこで、上記のようなSQLを入れてみて検索したらどうだろう。すると、本来実行されるべきSQLを強制的に書き換え、顧客情報を検索するSQLを注入(インジェクト)されてしまった。これが、SQLインジェクションである。通常のWEBサイトへのHTTPアクセスからSQLを操作し、任意のSQLを実行し、データの搾取や改ざんを行うことができてしまうのだ。実際にサイト改ざんやクレジットカード情報を含む個人情報を抜き取られてしまった事件が多く発生している。 このSQLインジェクション攻撃が成功するには、以下の二つの条件を満たす必要がある。 WEBサイトにアプリケーションの脆弱性がある データベースに格納したデータを用いてWEBページを動的に生成す
緊急提言：オンラインサービスにおけるデータベースと機密情報の保護
緊急提言： オンラインサービスにおけるデータベースと 機密情報の保護 2011年6月 データベース・セキュリティ・コンソーシアム －1－ Copyright © 2011 データベース・セキュリティ・コンソーシアム(DBSC), All Rights Reserved, 目次 はじめに ........................................................................................................................................ 2 1. オンラインサービスにおけるデータベースの保護と事業リスク........................................... 3 1.1. 定量化しやすい直接的損害の例 ....................
DBセキュリティの第1歩、アカウント管理と認証
なぜアカウント管理と認証が大切なのか 個人情報保護法の施行や、内部統制におけるIT統制の要求、相変わらず多く発生している情報漏えいや改ざん事件などをきっかけに、データベース（DB）に保存されている重要な情報資産を保護するための、DBセキュリティ対策が求められています。 DBセキュリティ対策の1つとして、今回は「アカウント管理と認証」について解説します。なお、当記事では、DBにログインする際に使用するIDのことを「アカウント」と表記します。 システム管理部門において、DB管理業務に使用するアカウントを共有していたとしましょう。その部署に複数の人が所属していれば、管理職や実務担当など、それぞれの役割があります。このため、おのずと「やっていい操作」と「やってはいけない操作」が存在するはずです。 しかし、全員で同じアカウントを共有していた場合、不都合が生じてしまいます。個人の役割に沿った必要な権限
SELinuxのアクセス制御をデータベースでも － ＠IT
第1回 SELinuxのアクセス制御をデータベースでも 海外 浩平 日本SELinuxユーザ会 2007/8/3 セキュアOSを実務で使うことに食指が動かない理由は、もしかしたら「キラーアプリの不在」なのではないだろうか。本連載では「日本のセキュアOSを支える5つのプロジェクト」でも取り上げられている、セキュアOSのキラーアプリになりうる可能性を秘めた日本発の拡張機能「SE-PostgreSQL」を紹介する。（編集部） SE-PostgreSQLが目指すもの 情報システムのセキュリティを確保するうえで、アクセス制御はその中核となる技術です。 身近なところでは、ファイルの所有者とパーミッションによるアクセス制御はその典型例ですし、データベースに対してはSQLのGRANT／REVOKE構文を用いてアクセス制御リスト（ACL）を設定することができます。 しかし、これらの機能は各コンポーネントが独
MySQLで機密データを保護するための6ステップ - builder by ZDNet Japan
テクノロジーを基盤とした組織において最も重要な資産は、データベースに含まれている顧客や製品の情報であるのが普通だ。そのため、そのような組織でのデータベース管理におけるクリティカルな部分では、外部からの攻撃やハードウェア、ソフトウェアの障害からデータベースを保護することが必要となる。 多くの場合、ハードウェアやソフトウェアの障害は、データのバックアップを正しく管理することで対処できる。多くのデータベースにはその作業すべてを自動で行うツールが用意されているので、この種の作業は比較的簡単に行うことができ、エラーも発生しにくい。しかしながら、そう単純に行かないのはパズルの2つ目、つまり、外部からハッカーがシステムに侵入するのを防ぎ、システム内部に含まれている情報が盗まれたり破壊されたりしないようにすることだ。残念ながら、この問題を自動的に解決するような方法はないのが普通である。システム管理者である
株式会社フーバーブレイン
製品・サービスの テクニカルサポートについて ご購入前の製品に関する技術的なご質問や製品評価時のご質問につきましては、弊社代理店または弊社営業担当までお問い合わせください。
「DBセキュリティとWebアプリケーションファイアウォールはベストマッチング」－米Imperva CTO
米Impervaは、データセキュリティアプライアンス「SecureSphere」を提供するセキュリティベンダ。同社の特徴は、Webアプリケーションファイアウォール（WAF）とデータベースセキュリティ製品という、ほかにない組み合わせのソリューションを提供していることで、セキュリティ業界では非常に注目されている企業の1つである。今回は同社のアミカイ・シャルマンCTOと、アジア太平洋地域 セールス担当副社長のミハエル・リュー氏に、同社の製品が提供する価値について話を聞いた。 ―まず、Imperva製品のすぐれているところを教えてください。 シャルマンCTO WAF製品では、アーキテクチャが優位点です。プロキシではなく透過型で導入できますし、競合する製品と比べて、パフォーマンスははるかに優れています。また、セキュリティモデルを自動で作成するダイナミックプロファイリング機能もあります。 データベース
データベース・セキュリティにおける「監査」の重要性
前回，データベース管理システムのアカウント管理の重要性について解説した（関連記事）。しかしセキュリティを確保するためには，それだけでは十分とは言えない。Webシステムのような階層構造になると，データベース・サーバーへのアクセス元はWebサーバー（あるいはアプリケーション・サーバー）になり，操作の内容を把握しなければ不正を見分けられないためである。 そこで重要になるのが，不正な操作を見付ける「監査」である。ただそのためには，例えばテーブルへのアクセス履歴やSQL分の実行履歴といった監査ログの記録が欠かせない。そこで今回は，OracleとSQL Serverを例に，監査ログ記録のポイントを解説する。 Oracleの監査機能 Oracleの場合，監査を実行するにはAudit Trail機能を使用する。ログイン，データベースに対する操作など，Oracleに関わるすべての行動を監査対象とすることがで
データベース・セキュリティで業界団体がガイドライン公開
日本オラクルやラックなど25社からなる団体「データベース・セキュリティ・コンソーシアム」は11月8日、データベースのセキュリティ対策のためのガイドラインをWebサイトで公開した。セキュリティ・ポリシーの策定や対策作業の際に、実施すべき具体的な内容を提示する。 公開した「データベースセキュリティガイドライン」では、大きく二つのフェーズに分けて、推奨する対策内容を示す。ポリシー策定や教育を実施する「基本方針の策定」と、データベースに対策を施す「DBセキュリティ対策」である。 「基本方針の策定」では、重要情報の定義、リスク分析、アカウント管理やログ記録のポリシー策定などについての実施内容を、「必須」と「推奨」の2種類に分けて示す。「必須」は基本的にすべてのユーザーが実施すべき内容、「推奨」は可能であれば実施する内容である。ログの記録であれば、「ログに出力する内容を整理する」は必須、「DBに関する
データベースに必要なセキュリティ対策を一望できるドキュメント，ラックが無償公開
セキュリティ・ベンダーのラックは10月20日，データベースに必要なセキュリティ対策をまとめたドキュメント「セキュアデータベースマトリックス」を公開した。データベースを安全に保つために一般的に必要とされる技術的または人的な対策を網羅的に示している点が特徴だ。これまでデータベース・セキュリティに関しては，暗号化や監査ログの取得といった特定の技術や方法論についての解説は数多くあったが，必要な対策を網羅的に示した資料は多くなかった。ドキュメントの作成を主導した研究開発本部データベースセキュリティ研究所所長の大野祐一氏は，「対策状況を確認するモノサシとして使ってほしい」と語る。 ドキュメントは，ソフト，ハード，ファシリティ（施設・設備），人といったデータベースの維持に必要な構成要素を縦軸に，構築フェーズと運用フェーズで考慮すべきポイントを横軸に取る。このマトリクスの中で，計192項目もの対策を整理し
顧客DBの暗号化、実施率35％だが9割の企業が必要性を認識 - ニュース - nikkei BPnet
顧客DBの暗号化、実施率35％だが9割の企業が必要性を認識 サイファーゲートとマイボイスは9月4日、顧客データベースの暗号化に関する共同調査の結果を発表した。それによると、顧客データベースの暗号化を実施している企業は35％にとどまるが、90％以上が「暗号化は必要」と考えている。 データ漏えい対策として、「ファイヤウォール、IDS、SSLなどのネットワーク・セキュリティ対策」をほぼ完了している企業は89％、「サーバー・ルーム内の監視カメラや入退出管理などの物理的セキュリティ対策」をほぼ完了している企業は75％にのぼった。 しかし、重要な顧客情報が格納されるデータベースのセキュリティ対策は保険・金融業界では先行しているが、サービス業では遅れている。実際、「データベースへのアクセス制御対策」の実施率は、保険・金融で78％、運輸・通信業界で73％、サービス業で61％。「データベースへのアクセ
DataBase Security Consortium Top
「DB内部不正対策ガイドライン 第0.9版」公開及び ガイドラインに対するパブリックコメント募集について(締め切りました)
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
入り口からの侵入を止められないなら出口を固めよ― LAC 新井氏に訊くこれだけはやっておきたいデータベースセキュリティ
日本オラクル、不正なSQLコマンドを遮断する「Oracle Database Firewall」提供開始 | RBB TODAY
第2回 DBセキュリティの第2弾、アクセス・コントロールと権限管理 | Think IT
PostgreSQL データベースにおけるトータル・セキュリティー
[LAC]ラックのデータベースセキュリティ研究所が提供するデータベース安全ガイド![[LAC]ラックのデータベースセキュリティ研究所が提供するデータベース安全ガイド](https://cdn-ak-scissors.b.st-hatena.com/image/square/f56929744b18665abe82c2f039aa259a251e6a46/height=288;version=1;width=512/https%3A%2F%2Fwww.lac.co.jp%2Fcommon%2Fimg%2Fimg_ogp01.jpg)
http://www.tdsecurity.jp/press/release2006/20060711databasecheck.html