OceanBase クラウドデータベース セキュリティ機能のご紹介
高度なセキュリティ体系に依拠し、開発から運用までの多層防御を構築
基幹事業（コアビジネス）をクラウドデータベースに委ねるにあたり、企業に必要なのは単なる「セキュリティ機能のリスト」ではなく、「持続的に稼働する保障メカニズム」です。具体的には、リリース前に可能な限り脆弱性を発見し、運用中に脅威をタイムリーに識別し、侵害発生時には影響をコントロールでき、データアクセスが常に保護されている状態を実現することです。
OceanBase は、数多くの大手金融機関や大規模決済基盤をはじめとする、ミッションクリティカルな金融コアビジネスシーンで豊富な導入実績とノウハウを蓄積してきました。長年培ってきた高度なセキュリティ技術と運用経験を活用し、セキュリティ要件を「開発」「デリバリー」「クラウドサービス運用」の全過程に貫徹しています。開発環境の保護、持続的なリスク調査、攻撃行動の分析と自動対処、そしてデータベースネイティブの権限管理・暗号化・監査機能を組み合わせることで、お客様の重要データに対する多層的なセキュリティ防衛線を構築します。
1. 体系的なセキュリティメカニズムを活用し、開発から運用までの全過程でリスク調査をカバー
厳格なセキュリティが求められる金融コアビジネスでの要求水準は、日常の開発および運用のあらゆるプロセスに反映されています。OceanBase はこれらの要求水準を、持続的に実行される点検・評価・修復メカニズムとして落とし込んでいます。
1. 全プロセスでのセキュリティチェックを設定（コードからリリースまで）
OceanBase は、セキュリティ開発ライフサイクル（SDL）を要件定義、アーキテクチャ設計、コーディング、テスト、リリースの各プロセスに統合しています。ソースコードのセキュリティスキャン、サードパーティ製コンポーネントの脆弱性チェック、セキュリティテストを通じて、潜在的な問題を早期に発見します。また、リリース前にはセキュリティ評価を実施してリスクが適切に処理されているかを確認し、バージョン更新に伴って脆弱性がお客様環境へ流入する可能性を低減させます。
2. リスクの侵入口を持続的に調査（内部から外部まで）
内部環境の点検と外部公開面のスキャンを組み合わせ、脆弱性や潜在的な攻撃侵入口を持続的に識別・追跡し、是正を行います。内部点検では環境内の弱点に着目し、外部スキャンでは攻撃者が接触する可能性のある侵入口からアプローチすることで、チェックの盲点を減らします。
3. セキュリティ研究と脅威インテリジェンスを結合し、防御を持続的に更新
独自の研究基盤およびセキュリティレスポンスのエコシステムを活用し、新たな脆弱性や攻撃手法を追跡します。製品やクラウドサービスへの影響を評価し、修復と検証を推進します。
お客様にとってこのメカニズムは、セキュリティチェックを一回限りのリリース作業から、サービスライフサイクル全体をカバーする持続的な取り組みへと発展させることを意味します。
2. オープンな協調作業の中で重要な開発ラインを保護し、リスク暴露面を縮小
データベースのセキュリティは、実行時の防御だけでなく、「コードがどのように製品に入り込むか」「ソフトウェアがどのようにビルドされるか」「バージョンがどのようにデリバリーされるか」にも依存します。開発ライン内の弱点は、最終的にデリバリーされるソフトウェアに影響を与える可能性があります。
1. 重要な開発環境を管理・保護の範囲内に配置
OceanBase はオープンソースとしてのオープン性を維持しつつ、重要な開発環境に対してネットワーク隔離とアクセス制御を実施しています。関連する開発活動を内部セキュリティ保護体系に組み込むことで、外部ネットワークへ直接露出する侵入口を減らし、不正アクセスや環境侵入のリスクを低減しています。
2. コードと変更内容はチェックを経てデリバリープロセスへ
コードレビュー、セキュリティスキャン、リリース基準の評価を組み合わせ、製品に組み込まれるコード、コンポーネント、変更点をチェックすることで、開発ライン内のリスクが正式バージョンへ波及する可能性を抑えます。
これにより、オープンな協調作業と重要開発プロセスのセキュリティ管理が統合されます。コミュニティ参加と技術のオープン性を維持しながら、企業顧客が懸念するソフトウェアサプライチェーンに対して明確な保護境界を設定しています。
3. 多層センシングと自動レスポンスにより、脅威を早期発見・制御
複雑な攻撃に対しては、入口での防御だけでは不十分です。OceanBase は独自開発の侵入防止プラットフォームを活用し、多層的な行動センシング、攻撃チェーン分析、自動レスポンスを組み合わせることで、異常の発見と対処の効率を高めています。
1. 多層行動センシング：分散した異常シグナルを検出
独自開発の「セキュリティ・パラレルアスペクト（安全平行切面）」技術に基づき、OS、ネットワーク、アプリケーション、端末などの多層的な行動ログを収集・関連分析します。層を跨いだ監視を行うことで、単一の監視ポイントでは見落としがちな疑わしい行動の発見をサポートし、侵入の兆候を識別する根拠を提供します。
2. ATT&CK 攻撃チェーン分析：異常の背景にある攻撃ルートを判断
MITRE ATT&CK フレームワークに基づき、リアルタイムの脅威インテリジェンスと連携した関連分析を実施します。分散した異常行動を攻撃チェーンの中に位置付けて分析・判断することで、セキュリティチームが攻撃の段階、意図、影響範囲を判断し、より的確な措置を講じられるよう支援します。
3. SOAR 自動レスポンス：発見から対処までのタイムラグを短縮
Security Orchestration, Automation and Response（SOAR）プラットフォームを通じて、インシデントの判定と対処プロセスを連携させます。あらかじめ設定されたプレイブック（標準手順書）に基づく対応操作の実行をサポートし、カナリア検証（段階的適用）とロールバックメカニズムを組み合わせて、対処による影響をコントロールします。
確認された脅威に対してはタイムリーに遮断・隔離を行い、攻撃の持続的な活動、横展開（ラテラルムーブメント）、さらなるデータ窃盗のリスクを低減します。
このメカニズムにより、「能動的な調査」「異常発見」「脅威判定」「インシデント対処」がクローズドループとしてつながり、セキュリティチームがより早期介入してインシデントの影響を極力抑えることが可能になります。
4. 製品固有の「ハードアイソレーション（強固な隔離）」でコアデータを保護
開発や運用の保護に加え、セキュリティは運用の仕組みであると同時に、基礎アーキテクチャにおける「強固な制約」でもあります。OceanBase はアクセス制御、データ暗号化、操作監査を通じて、データそのものに対して多層的な保護を設定しています。
1. 細粒度の権限管理によるデータアクセス範囲の制限
本人認証、ロールベースアクセス制御（RBAC）、ネットワークアクセス制限を通じ、最小権限の原則に従って「誰がデータベースに接続できるか」「オブジェクトにアクセスできるか」「どのような操作を実行できるか」を制限し、権限逸脱アクセスのリスクを低減します。
2. 転送時・保管時の暗号化による状態に応じたデータ保護
- 転送層: TLS/SSL に対応し、通信の盗聴リスクを低減します。
-
保管層: 透過的データ暗号化（TDE）に対応し、ディスクに書き込まれた（落盤）データを保護します。
データキーとマスターキーを分離して管理する2階層の鍵管理体系を採用しており、クラウドサービスの機能に応じた鍵管理サービス（KMS）との連携をサポートし、暗号鍵の管理と保護を強化しています。
3. 詳細な監査による重要操作の追跡可能性確保
データベース監査を通じて関連ユーザー、オブジェクト、操作情報を記録します。これにより、お客様が日常のセキュリティチェック、異常アクセスの調査、インシデント追跡を行うための根拠を提供するほか、内部監査やコンプライアンスチェックもサポートします。
まとめ
開発環境からクラウドサービスの運用まで、攻撃侵入口からデータアクセスまで——OceanBase は金融分野をはじめとする過酷なビジネス現場で培ったセキュリティ経験を、実行可能なプロセスと技術的措置へと落とし込んでいます。リスクの侵入口を持続的に減らし、脅威の発見・対処能力を向上させることで、お客様のコアビジネスに系統的（システム的）なセキュリティ保障を提供します。