用途2：Webアプリケーションセキュリティ

　「SQLインジェクション」はデータベースに対する攻撃である。攻撃者はアプリケーションを通じて侵入するが、攻撃されるのはデータベースであり、この10年、依然として最も一般的な3大攻撃経路の1つである。ほとんど全てのWebアプリケーションはデータベースに支えられているが、外部に面しているのはアプリケーションであるという理由で、データベースは二の次となり、アプリケーション開発者によって保護されないまま放置されることが多い。

　「Webアプリケーションファイアウォール」は、SQLインジェクションをある程度は阻止できる。ただし、必ずしも保護対象とするデータベースの仕様を完全に理解しているとは限らない。従って、危険なものを安全だと判断したり、安全なものを危険だと判断したりする誤検知が起こりやすいという重大な制約がある。

DAM製品やデータベースファイアウォールは、データベースベンダーに加え、Impervaなどのサードパーティーベンダーが提供している（画面はImperva Japanの製品紹介サイト）《クリックで拡大》

　DAM製品や「データベースファイアウォール」はこうした問題に対処可能だ。SQLインジェクションやスクリプティングの脆弱性を排除するために、アプリケーションのコードを書き換えるといったコストの掛かる作業も必要ない。

　セキュリティ問題に対処するために企業のアプリケーションに手を加えることになれば、そのアプリケーション本来の開発コストを上回るコストが発生することもある。現行の担当者の水準では修正に何十年もかかるかもしれない。そうした理由から、企業はこうした課題に対処できるアドオンツールに目を向けている。

　例えば、クエリのホワイトリスト化ツールは、新しいクエリやパターンが検出されると管理者に警告したり、アプリケーションが何を送信すべきかを学習して他は全て自動的にブロックしたりできる。市販ツールの中には、違反をWebアプリケーションファイアウォールに送り返して不審なセッションについて警告を発したり、またはそのようなセッションを強制終了させたり、問題のあるIPアドレスを遮断したりできるものもある。

用途3：管理と社内監査の変更

　基幹データベースがダウンするのは、攻撃よりも、パッチと更新サイクルの変更管理の不手際が原因となることの方が多い。アプリケーションのコード変更と違って、管理者は本番環境のデータベースに対して、簡単に障害を発生させるようなやり方で直接的にデータを操作してしまいがちだ。トラブルチケットシステムなど、DAM製品がサポートする自動の変更管理システムを追加すれば、変更の際の不手際が発生する確率を低減できる。また、たとえ共有のログイン情報が使われていた場合でも、信頼性は大幅に高まる。

　アセスメントツールはデータベースをスキャンし、セキュリティ／コンプライアンスチームはデータベース管理者の仕事内容を検証できる。DAM製品を利用すれば、管理者の行動が特定の変更チケットにひも付いているかどうかを自動的に確認／検証し、同時にモニタリングによって全SQLコマンド、そして場合によっては戻り値のログも確認できる。

　DAM製品は一般的にイベント収集と分析に利用される。その情報はコンプライアンスリポートと「セキュリティ情報・イベント管理」（SIEM）システムに送られ、監査チームは必要なイベントデータを入手できる。そうしたシステムを不正なクエリから守るために、DAM製品と動的なマスキングを使う企業も増えている。これでアプリケーションやデータベースに変更を加えることなくセキュリティポリシーを実装できる。

用途4：レガシーデータベースのセキュリティ

　現実問題として、社内にはデータやデータベースセキュリティソフトウェアのことなど誰も考えなかったころに設計されて導入されたデータベースが存在する。そうしたデータベースは、外部に保存されているプロシージャなど危険なものに依存していたり、社会保障番号（米社会保障局が米市民や永住者、外国人就労者に発行する9桁の番号）をデータベースの鍵として使う仕様を採用したりしている。

　こうしたデータベースインスタンスは、「基幹業務プロセスを支えている」という理由で存在し続けている。問題は、組織がレガシーアプリケーションを最新化し、何もかも十分に機能させる方法が分かる人材を採用できたとしても、そしてそのための予算を確保できたとしても、ハードウェアとソフトウェアがあまりに古いと、システムに触れればたちまち障害が発生してしまうことだ。

　データベースセキュリティ製品の成長分野の1つに、レガシーデータベースセキュリティがある。特に、必要な変更を施せばデータベースが機能しなくなるという理由でデータベースサーバのセキュリティが確保できない場合には、こうしたツールが適している。

データベースセキュリティソフトウェアで恩恵を受けるのは

　大部分の企業にとって、リレーショナルデータベースやRDBMSを守る必要があるかどうかという段階はとうに過ぎている。一方で、ネットワークやエンドポイントセキュリティ製品では社内のデータベースをカバーできないことにも組織は気付いている。さらに、RDBMSベンダーが提供する汎用セキュリティ製品は、データベースもカバーするとうたっていながら、ポリシーは標準以下で、イベント収集にもむらがあることも分かってきた。要するに、汎用製品では通常の利用と悪意のある利用を区別することも、設定とパッチレベルを適切に評価することもできない。データ機能と分析機能が欠如しているからだ。

　このデータを必要とするステークホルダー（例えばセキュリティチームや社内監査チームなど）にそれを収集する技術経験がないことも問題を複雑にしている。IT部門とデータベース管理者は、そうしたシステムの安定化を損なうことへの不安から、アプリケーションやデータベースに手を加えることに二の足を踏む。

　データベースセキュリティ製品が真価を発揮できる部分はそこにある。ユーザーは実際のデータベースに手を加えたり、データベースのパフォーマンスに悪影響を与えたりすることなくセキュリティを確保し、何が必要かを判断できる。真の課題は組織が直面している問題に対処するための適切なデータベースセキュリティソフトウェアを選定することだ。