日本オラクルが2012年1月に発表した「Oracle Audit Vault and Database Firewall」は、WindowsやOracle SolarisといったOS、Active Directoryなどのログが収集可能。アクアシステムズの「AUDIT MASTER」は、時期は未定だがOSログの管理を可能にする予定だ。

　クラウドコンピューティング環境で動作するデータベースを監視可能にする動きもある。アクアシステムズのAUDIT MASTERは、米Amazon Web Servicesのクラウド環境で動作するSaaS版を用意。Amazon EC2、Amazon RDS環境で動作するOracle Databaseのログを収集／管理可能にした。

データベースファイアウォール製品：Hadoop対応の動きも

　データベースファイアウォール製品は、アプリケーションサーバとデータベースサーバの間に配置し、アプリケーションが発行するSQL文を監視する。実行が許可されていない不正なSQLを検知すると、アラートを発したりブロックする。SQLインジェクションなど、データベースの不正操作を狙った攻撃に有効だ。パケット中の文字列のパターンマッチングを基にしたホワイトリストやブラックリストで攻撃を検知するWebアプリケーションファイアウォールと異なり、SQL文の文法解析などを利用し、攻撃の検知精度を高めているのが特徴である。

　監査と防御を同時に実現したいというニーズに応え、データベースファイアウォール製品はデータベースログ管理の機能を併せ持つケースがほとんどである。例えば、日本オラクルのOracle Audit Vault and Database Firewallは、従来別々に販売していたデータベースログ管理製品「Oracle Audit Vault」とデータベースファイアウォール製品「Oracle Database Firewall」を組み合わせた。

　保護対象をリレーショナルデータベース（RDB）以外に広げる動きもある。日本IBMの「IBM InfoSphere Guardium」は、Oracle DatabaseやIBM DB2といったRDBに加え、Hadoopで管理するデータへのアクセスを監視／制御できる。

データベース脆弱性診断製品：サービス提供が進む

　データベースに潜む脆弱性の早期発見に役立つのが、データベース脆弱性診断製品だ。データベースを定期的に自動診断し、改善すべき項目をリポートとして整理、提案する機能を持つ。LAN内に存在するデータベースのインスタンスを自動的に発見するデータベース脆弱性診断製品もある。

　データベース脆弱性診断を実現する製品には、Imperva Japanの「SecureSphere Discovery and Assessment Server」などの単機能ツールに加え、アイピーロックス ジャパンの「IPLocks」など、データベースログ管理やデータベースファイアウォール機能を備えたデータベースセキュリティのスイート製品もある。その他、米McAfeeが「McAfee Vulnerability Manager for Databases」を発表済みであり、国内提供の可能性が高い。

　新システムの稼働前やバージョンアップ時など、一時的な診断のニーズに応えるべく、データベース脆弱性診断をサービスとして提供する動きもある。一般的なデータベース脆弱性診断サービスは、以下のような内容で構成される。

• システム環境のヒアリング
• ツールや手作業による検査
• 検査結果リポートの作成
• リポートに関する報告会の開催

　主要なデータベース脆弱性診断サービスには、インターネットイニシアティブの「IIJデータベースセキュリティ監査ソリューション」、グローバルセキュリティエキスパートの「データベース脆弱性検査」などがある。