SQL Server パフォーマンスチューニング、コンサルティング、アドバイス、相談、定期診断、トレーニング

ホーム＞技術情報＞ SQL Server 2012 自習書セキュリティ

SQL Server 2012 自習書「No.18 セキュリティ」（HTML 版）

松本美穂と松本崇博が執筆した完全オリジナル SQL Server 2012 自習書シリーズの「No.18 セキュリティ」の HTML 版です。日本マイクロソフトさんの Web サイトで Word または PDF 形式でダウンロードできますが、今回、HTML 版として公開する許可をいただきましたので、ここに掲載いたします。[2013年12月29日]

目次へ | 前のページへ | 次のページへ

4.4　データベースに対する操作履歴の監査

◆ データベースに対する操作履歴の監査

SQL Server Audit では、SQL Server に対するあらゆる操作を監査することができるので、データベースに対する操作（SELECT や INSERT、UPDATE、DELETE など）も、もちろん監査（ログ記録）することができます。

◆ Let's Try

それでは、これを試してみましょう。ここでは、NorthwindJ データベース内の「得意先」テーブルに対して「SELECT」ステートメントが実行されたことをログへ記録する監査（Audit）を作成してみましょう（NorthwindJ データベースのセットアップ方法については、Step 1.4の手順を参考にしてください）。

1．まずは、［データベース］フォルダーの［NorthwindJ］データベースを展開して、［セキュリティ］フォルダーの［データベース監査の仕様］を右クリックし、［新しいデータベース監査の仕様］をクリックします。

00149

これにより、「データベース監査の仕様の作成」ダイアログが表示されるので、［監査］で前の手順で作成した「AuditTest」を選択し、［監査アクションの種類］で「SELECT」を選択します。

2．次に、［オブジェクト名］の［...］をクリックして、次のように「オブジェクトの選択」ダイアログで［参照］ボタンをクリックして、「得意先」テーブルを選択します。

00150

3．続いて、次のように［プリンシパル名］の［...］をクリックして、「オブジェクトの選択」ダイアログで［参照］ボタンをクリックして、「dbo」データベースユーザーを選択します。

00151

このように設定することで、NorthwindJ データベース内の「得意先」テーブルに対して、「dbo」ユーザーから「SELECT」ステートメントが実行された場合に、ログへ記録できるようになります。設定を確認後、［OK］ボタンをクリックして、ダイアログを閉じます。

4．次に、作成したデータベース監査の仕様（既定では DatabaseAuditSpec ～ という名前）を右クリックして［データベース監査の仕様の有効化］をクリックします。

00152

以上で監査の設定が完了です。

◆ 監査ログの記録とログの参照

1．次に、監査対象の「得意先」テーブルに対して、次のように SELECT ステートメントを実行して、監査ログへ記録されるかどうかを確認します（この手順は、dbo ユーザーにマッピングされている SQL Server の管理者アカウントから実行してください）。

00153

2．続いて、監査ログを参照します。［セキュリティ］フォルダーの［監査］フォルダーにある監査（AuditTest）を右クリックして、［監査ログの表示］をクリックします。

00154

ログの中で、［アクションID］へ「SELECT」と表示されているイベントを確認することができます。この中身を参照すると、前の手順で実行した SELECT ステートメントが記録され、そのステートメントを実行したユーザー（ログインID）と実行した時刻などを確認することができます。

このように、SQL Server Audit を利用すると、データベースに対するあらゆる操作を監査（ログ記録）できるので、「得意先」や「顧客」テーブルなどを監査すれば、顧客情報（クレジットカードや個人情報など）の漏えいが発生した場合の証跡を残せるようになります。また、特権ユーザー（管理者権限を持ったアカウント）の操作履歴（SQL Server に対する管理操作やデータ操作）をすべて監査しておけば、不正利用（管理者アカウントを悪用したデータの盗難やトロイの木馬の設置など）を監視できるようになります。

以上のように、SQL Server Audit は、J-SOX 法（日本版 SOX 法）や内部統制、PCI DSS（クレジットカード情報のセキュリティ基準）などのコンプライアンス（法令遵守）の実現およびセキュリティの強化には、不可欠な機能になります。従来のバージョンのプロファイラー（SQL Server Profiler）でも、同様に監査ログを記録することができますが、プロファイラーとの違いは、SQL Server Audit のほうが設定が容易で、かつパフォーマンスが良い（監査のオーバーヘッドがプロファイラーよりも小さい）という点です。ぜひ、活用してみてください。

プロファイラーと SQL Server のパフォーマンス比較については、SQL Server 2008 徹底検証シリーズの以下のドキュメントに詳しく記載されています。

「コンプライアンス実現のためのガイドライン」
http://www.microsoft.com/ja-jp/sqlserver/2008/r2/technology/cqi.aspx

目次へ | 前のページへ | 次のページへ