セキュリティの脅威とは、情報資産に対し、“1.2 セキュリティの要件”で示した「機密性」、「完全性」、「可用性」を脅かすものと定義します。データベースへのアクセスなど技術的な脅威を対象とし、物理的な破壊は含みません。
脅威は、脅威の発生元である登場人物、守るべき情報資産、手口、不正アクションの組合せで考えます。たとえば、「一般利用者が、データベース管理情報を、データベースの脆弱性を悪用して情報を入手し、情報を改ざんする」などが脅威となります。
セキュリティ対策を考える上で、まず、どのような脅威があるかを明確にする必要があります。ここでは、想定される脅威の一覧を以下に示します。登場人物、守るべき情報資産の定義については、それぞれ、“登場人物について”および“情報資産について”を参照してください。
想定される脅威
登場人物 | 情報資産 | 手口 | 不正アクション |
|---|---|---|---|
一般利用者 社内利用者 システム責任者 システム開発者 システム管理者 システム運用者 | データベース管理情報 | パケットの盗聴 | 情報の不正入手(参照) 情報の不正改ざん、破壊(更新) |
パスワードの辞書攻撃 | |||
ソーシャルエンジニアリングによるID/パスワードの不正入手 | |||
設定を悪用した情報の不正入手 | |||
データベースの脆弱性を悪用した情報の不正入手 | |||
不正ルートで入手 | |||
一般利用者 社内利用者 | データベース一般情報 | 通常ルートで入手 | 入手できる情報の悪用(持ち出し) |
業務妨害を狙ったSQL発行 | 業務妨害(リソース枯渇) | ||
一般利用者 社内利用者 | データベース一般情報 | パケットの盗聴 | 情報の不正改ざん、破壊(更新) |
パスワードの辞書攻撃 | |||
ソーシャルエンジニアリングによるID/パスワードの不正入手 | |||
設定ミスを悪用した情報の不正入手 | |||
データベースの脆弱性を悪用した情報の不正入手 | |||
不正ルートで入手 | |||
システム責任者 システム開発者 システム管理者 システム運用者 | データベース一般情報 | パケットの盗聴 | 情報の不正入手(参照) 情報の不正改ざん、破壊(更新) |
パスワードの辞書攻撃 | |||
ソーシャルエンジニアリングによるID/パスワードの不正入手 | |||
設定ミスを悪用した情報の不正入手 | |||
データベースの脆弱性を悪用した情報の不正入手 | |||
不正ルートで入手 | |||
システム開発者 | データベース管理情報 | バックドアの作成 | 情報の不正入手(参照) 情報の不正改ざん、破壊(更新) |
データベース一般情報 | |||
システム責任者 システム管理者 | データベース管理情報 | 不正なデータベース管理者アカウントの作成による情報の不正入手 | 情報の不正入手(参照) 情報の不正改ざん、破壊(更新) |
データベース一般情報 | |||
システム責任者 システム運用者 | データベース管理情報 | データベース関連ファイル(定義ファイル、物理ファイルなど)改ざんによる情報の不正入手 | 情報の不正入手(参照) 情報の不正改ざん、破壊(更新) |
データベース一般情報 | |||
データベース管理者 | データベース管理情報 | 通常ルートで入手後、情報の悪用（持ち出し) | 入手できる情報の悪用(持ち出し) |
管理情報からID/パスワードの不正利用 | 入手できる情報の改ざん、破壊 | ||
管理情報の改ざんによる情報の不正入手 | |||
業務妨害を狙ったSQL発行 | 業務妨害(リソース枯渇) | ||
データベース一般情報 | パケットの盗聴 | 情報の不正入手(参照) 情報の不正改ざん、破壊(更新) | |
不正ルートで入手後、情報の悪用(持ち出し) | |||
データベース運用者 | データベース管理情報 | パケットの盗聴 | 情報の不正入手(参照) 情報の不正改ざん、破壊(更新) |
パスワードの辞書攻撃 | |||
ソーシャルエンジニアリングによるID/パスワードの不正入手 | |||
設定ミスを悪用した情報の不正入手 | |||
データベースの脆弱性を悪用した情報の不正入手 | |||
不正ルートで入手 | |||
データベース一般情報 | 通常ルートで入手 | 入手できる情報の悪用(持ち出し) | |
業務妨害を狙ったSQL発行 | 業務妨害(リソース枯渇) |
登場人物について
データベースセキュリティでは、データベースに関わる人物とその役割を以下のように定義します。
登場人物 | 役割 |
|---|---|
システム責任者 | 開発者、管理者、運用者の管理 |
システム開発者 | データベース周辺のネットワーク構築 データベースサーバ構築 |
システム管理者 | データベース周辺のネットワーク機器の運用 データベースサーバの運用 |
システム運用者 | データベース周辺のネットワーク運用 |
データベース管理者 | データベースシステムの構築 データベースシステムの運用 |
データベース運用者 | 業務の運用 |
社内利用者 | 社内のエンドユーザー |
一般利用者 | 社外のエンドユーザー |
情報資産について
データベースセキュリティでは、データベースサーバに格納する情報資産を保護する必要があります。
保護すべき情報資産を以下のように定義します。
データベース構成情報(システムカタログ、ユーザーID/パスワードなど)
データベースログ(アクセスログなど)
業務データ
アプリケーション
