Techopediaスタッフ、2016年10月27日
持ち帰り：ホストのエリック・カバナは、データベースのセキュリティについてロビン・ブロア、デズ・ブランフィールド、IDERAのイグナシオ・ロドリゲスと話し合います。
あなたは現在ログインしていません。ビデオを見るにはログインまたはサインアップしてください。
Eric Kavanagh：こんにちは、Hot Technologiesにようこそ。 私の名前はエリック・カバナです。 今日、私はあなたのウェブキャストのホストになります。それはホットな話題であり、ホットな話題になることは決してありません。 率直に言って、これは私たちが耳にするすべての違反のためにホットなトピックであり、私はそれが決して消えないことを保証することができます。 ですから、今日のトピック、私が言うべきショーの正確なタイトルは、「新しいノーマル：安全でない世界の現実への対処」です。それがまさに私たちが対処していることです。
本当にあなたのホストがいます。 数年前から、あなたのことを気にして、おそらく私の写真を更新する必要があります。 それは2010年でした。 いくつかの提案をしたい場合は私にメールを送ってください。 これが、Hot Technologiesの標準的な「ホット」スライドです。 このショーの全体的な目的は、実際に特定のスペースを定義することです。 ですから、今日は明らかにセキュリティについて話しています。 実際、IDERAの友人と非常に興味深い角度を取っています。
そして、私たちの聴衆メンバーとして、あなたがプログラムで重要な役割を果たすことを指摘します。 恥ずかしがらないでください。 いつでもご質問をお送りください。十分な時間がある場合は、Q&Aのキューに入れます。 今日はオンラインで、ロビン・ブルーア博士、デズ・ブランフィールド、イグナシオ・ロドリゲスの3人がオンラインにいます。彼らは未公開の場所から電話をかけています。 まず第一に、ロビン、あなたは最初のプレゼンターです。 鍵をお渡しします。 奪って
ロビン・ブロア博士：わかりました、ありがとう、エリック。 データベースの保護–企業が実際に管理している最も価値のあるデータがデータベースにある可能性があると言えます。 ですから、私たちが語ることができる一連のセキュリティ問題があります。 しかし、私がやろうと思ったのは、データベースのセキュリティ保護のテーマについて話すことです。 イグナシオが提供するプレゼンテーションから何も取り上げたくありません。
まず始めに、データセキュリティを静的なターゲットと考えるのは簡単ですが、そうではありません。 それは動く標的です。 そして、これは、ほとんどの人のIT環境、特に大企業のIT環境が常に変化しているという意味で理解することが重要です。 そして、彼らは常に変化しているため、攻撃面、つまり誰かが何らかの方法で内部または外部からデータセキュリティを侵害しようと試みることができる領域は、常に変化しています。 そして、あなたが何かをするとき、あなたはデータベースをアップグレードします、あなたがそれをすることによって、あなた自身のためにある種の脆弱性を作成したかどうかはわかりません。 しかし、あなたは気づいておらず、お粗末なことが起こるまで気付かないかもしれません。
データセキュリティの簡単な概要があります。 まず第一に、データの盗難は新しいものではなく、価値のあるデータが対象となります。 通常、組織が最も保護する必要があるデータは何かを簡単に判断できます。 奇妙な事実は、最初のコンピューター、または最初のコンピューターであると主張できるコンピューターは、第二次世界大戦中に1つの目的を念頭に置いて英国のbuilt報機関によって構築されたものです。
そのため、データ盗難は、IT業界が始まってからかなりの部分を占めてきました。 インターネットの誕生とともに、それはより深刻になりました。 私は、年々発生しているデータ侵害の数のログを見ていました。 そして、その数は2005年までに100を超えて急上昇し、その時点から毎年悪化する傾向がありました。
大量のデータが盗まれ、多数のハッキングが行われています。 そして、それらは報告されているハッキングです。 会社が何も言わないことを強制するものがないため、会社が何も言わない場合に発生する非常に多くのインシデントがあります。 したがって、データ侵害を静かに保ちます。 ハッキングビジネスには、政府、企業、ハッカーグループ、個人など、多くのプレーヤーがいます。
興味深いのは、モスクワに行ったとき、約4年前のことだと思います。モスクワでのソフトウェア会議でした。データハッキングの分野に特化したジャーナリストと話していました。 そして彼は主張しました-そして彼は正しいと確信していますが、彼が私に言及した唯一の人である以外はそれを知りませんが、-ロシアのビジネスネットワークと呼ばれるロシアのビジネスがあります名前ですが、私はそれが英語の翻訳だと思います、それは実際にハックするために雇われています。
あなたが世界のどこかで大規模な組織であり、競争に損害を与えるために何かをしたい場合、これらの人々を雇うことができます。 そして、あなたがこれらの人々を雇うならば、あなたはハックの後ろに誰がいたかに関して非常にもっともらしい否定を得るでしょう。 ハックの背後にいる者がまったく発見された場合、それはおそらくロシアの誰かがそれをしたことを示すからです。 そして、あなたがライバルにダメージを与えようとしていたようには見えません。 そして、ロシアのビジネスネットワークは実際に政府に雇われて、銀行にハッキングしてテロ資金がどのように動いているかを調べようとしています。 そして、それは政府が実際にそれを実際に行ったことを決して認めない政府によるもっともらしい否認で行われました。
攻撃と防御のテクノロジーが進化します。 昔、私はカオスクラブに行っていました。 これはドイツで登録できるサイトであり、さまざまな人々の会話をフォローして、利用可能なものを確認することができました。 そして、私はセキュリティ技術を見ているときにそれをしました、2005年頃だと思います。そして、その時何が起こっているのかを見るためにそれをしました。私が驚いたのは、基本的にオープンソースシステムであるウイルスの数私は続けていましたが、ウイルスや強化されたウイルスを書いた人は、だれでも使用できるようにコードをそこに貼り付けていました。 そして、ハッカーが非常に賢くなり得るということはその時に私には起こりましたが、必ずしも賢くはないが、スマートなツールを使用しているハッカーが非常にたくさんいます。 そして、それらのツールのいくつかは非常にスマートです。
そして最後のポイントは、企業がデータを所有しているかどうかにかかわらず、データに対して注意を払う義務があるということです。 そして、私はそれが以前よりもますます実現していると思います。 そして、ビジネスが実際にハッキングを受けるのはますます高価になっています。 ハッカーについては、どこにでもいる可能性があります。適切に特定されたとしても、裁判にかけるのは難しいかもしれません。 それらの多くは非常に熟練しています。 かなりのリソース、彼らはあちこちにボットネットを持っています。 最近発生したDDoS攻撃は、10億を超えるデバイスから発生したと考えられていました。 それが本当なのか、それとも単なるラウンド番号を使用するレポーターなのかはわかりませんが、DNSネットワークで攻撃を行うために多数のロボットデバイスが使用されたことは確かです。 いくつかの収益性の高い企業、政府グループ、経済戦争、サイバー戦争、すべてがそこに起こっている、そしてそれはありそうにない、私たちはプレショーで言っていたと思う、それは永遠に続くことはありそうにない。
コンプライアンスと規制–実際に行われていることはたくさんあります。 セクターベースのコンプライアンスイニシアチブはたくさんあります。医薬品セクター、銀行セクター、健康セクターなど、人々が従うことができる特定のイニシアチブ、さまざまな種類のベストプラクティスがあるかもしれません。 しかし、法律であるため、法律に違反している人には罰則が課せられる多くの公式規制もあります。 米国の例は、HIPAA、SOX、FISMA、FERPA、GLBAです。 いくつかの標準がありますが、PCI-DSSはカード会社の標準です。 ISO / IEC 17799は、共通の標準を取得しようとすることに基づいています。 これはデータの所有権です。 各国の規制は、ヨーロッパであっても国によって異なります。また、特に混乱を招くようなヨーロッパでは、言うまでもないでしょう。 また、GDPRがあります。GDPRは、現在ヨーロッパと米国の間で規制の調和を図るために交渉されているグローバルなデータ保護規制です。あなたのデータは国際的だとは思いませんが、あなたが国外に移動したため、クラウドに入ってすぐに国際化されました。 したがって、これらは、データ保護に対処するために何らかの方法で交渉されている一連の規制です。 そして、そのほとんどは個人のデータに関係しています。これにはもちろん、ほとんどすべてのIDデータが含まれます。
考慮すべき事項：データベースの脆弱性。 データベースベンダーが発見し、可能な限り迅速にパッチを適用したときに既知であり、報告されている脆弱性のリストがあります。そのため、すべてあります。 脆弱なデータを識別するという点でそれに関連するものがあります。 支払いデータに対する大規模かつ最も成功したハッキングの1つは、支払い処理会社に対して行われました。 それが引き継がれたのは、清算を行わなければならなかったので引き継がれましたが、運用データベースのいずれからもデータが盗まれなかったからです。 データはテストデータベースから盗まれました。 開発者は、テストデータベースで実際のデータであるデータのサブセットを取得し、保護なしで使用したばかりでした。 テストデータベースがハッキングされ、そこから非常に多くの人々の個人的な財務情報が取得されました。
セキュリティポリシー、特にデータベースに関するアクセスセキュリティ、読み取り、書き込み、アクセス許可の付与に関するセキュリティポリシーについては、だれでもこれを回避できる方法はありますか？ それからもちろん、データベースからの暗号化がそれを可能にします。 セキュリティ違反の費用があります。 組織内の標準的な慣行であるかどうかはわかりませんが、最高セキュリティ責任者などが、セキュリティ侵害のコストが実際に発生した後ではなく、実際に何であるかを役員に提供しようとしていることを知っています。 そして彼らは、組織を守るために適切な予算を確保するために、そうする必要があります。
そして、攻撃対象領域。 攻撃対象は常に拡大しているようです。 攻撃対象は年々増加しているようです。 要約すると、範囲は別のポイントですが、データセキュリティは通常、DBAの役割の一部です。 しかし、データセキュリティも共同作業です。 セキュリティを実行している場合は、組織全体のセキュリティ保護について十分に理解する必要があります。 そして、これには企業ポリシーが必要です。 企業ポリシーがない場合は、断片的なソリューションになります。 ご存知のように、ゴムバンドとプラスチックは、セキュリティの発生を阻止しようとしています。
そうは言っても、私はおそらくあなたにさまざまな戦争の話をするであろうデズに引き渡すと思います。
エリック・カバナ：取り去ってください、デズ。
Dez Blanchfield：ありがとう、ロビン。 従うのは常につらい行為です。 スペクトルの反対側から、あなたが直面している課題の規模と、ただ座ってこれに注意を払う以上のことをする理由を教えてください。 。 スケール、量、ボリューム、これらのことが起こっている速度、で今見ている課題は、CIOだけでなく、確かに多くのCXOがいる場所の周りで聞いていることですCIOは、データの侵害が急速に標準になっていることを考慮しているという点で、投資が停止する場所にいる人たちです。 それは彼らが起こることをほとんど期待しているものです。 それで、彼らは、「さて、私たちが侵害されたとき-そうではなく-侵害されたとき、私たちはこれについて何をする必要がありますか」という観点からこれを見ています。従来のエッジ環境とルーター、スイッチ、サーバー、侵入検知、侵入検査で何をしているのでしょうか？ システム自体で何をしているのですか？ 彼らはデータで何をしていますか？ そして、それはすべて、彼らが彼らのデータベースで行ったことに戻ります。
多くの人々の想像力を捕らえたこれらの事柄のいくつかの例に触れて、それらを少しずつ掘り下げてみてください。 だから私たちはニュースでヤフーを聞いたことがあります-おそらく人々が聞いた最大の数は約50万人ですが、実際にはそれは非公式には10億人であることがわかりました-私は30億人の異様な数を聞いたが、それはほぼ世界人口の半分なので、それは少し高いと思います。 しかし、関連分野の多くの人々から、Yahooから侵害されたレコードが10億を超えていると信じています。 そして、これは驚くべき数字です。 さて、一部のプレイヤーは見た目も考えも、それは単なるウェブメールアカウントであり、大したことではありませんが、それから、これらのウェブメールアカウントの多くと、予想以上に多くの不思議な数字が実際に有料アカウントであるという事実を追加します。 広告にうんざりしていて、広告がないウェブメールやクラウドストレージサービスを月に4ドルまたは5ドル購入するので、人々はクレジットカードの詳細を入力し、広告を削除するために支払います、そして私はそのうちの1人であり、クレジットカードを接続する3つの異なるプロバイダーにまたがっています。
それで、チャレンジはもう少し注目を集めるようになります。なぜなら、「ああ、ヤフーは5億から10億のアカウントを失った」と一言で言うだけではないからです。非常に大きく聞こえますが、ウェブメールアカウントがありますが、クレジットカードの詳細、名、姓、メールアドレス、生年月日、クレジットカード、ピン番号、好きなもの、パスワード、そしてそれはさらに恐ろしい概念になります。 そして再び人々は私に「はい、しかしそれはただのウェブサービスであり、それはただのウェブメールであり、大したことではありません」と言います。そして私は言います。それから、もっと面白くなります。 そして、ドリルダウンを開始すると、これは実際には自宅のママとパパや、メッセージングアカウントを持つティーンエイジャー以上のものであることに気づきます。これは実際に人々がビジネストランザクションを行っている場所です。
これがスペクトルの一端です。 スペクトルのもう一方の端は、オーストラリアの非常に小規模で一般的な医療サービスプロバイダーが約1, 000件のレコードを盗んだことです。 社内での仕事で、誰かが去り、好奇心were盛で、ドアから出て行きました。この場合は3.5インチフロッピーディスクでした。 それは少し前のことですが、メディアの時代を伝えることはできますが、それらは古い技術に基づいていました。 しかし、彼らがデータを取得した理由は、誰がそこにいるのか知りたがっているだけだったことが判明しました。 彼らは私たちの首都であるこの小さな町に、政治家である非常に多くの人々がいたからです。 そして、彼らは誰がそこにいて、彼らの人生がどこにあるのか、そしてあらゆる種類の情報に興味がありました。 したがって、内部で行われた非常に小さなデータ侵害により、オーストラリア政府の詳細のかなり多くの政治家が一般に公開されたと思われます。
検討すべきスペクトルの2つの異なる目的があります。 現実には、これらの事柄の膨大なスケールが非常に驚異的であり、ここに非常にすばやくジャンプするスライドがあります。 あらゆる種類のデータを一覧表示するWebサイトがいくつかありますが、この特定のWebサイトは、メールアドレスまたは名前を検索して検索できるWebサイトを持っていたセキュリティスペシャリストのものであり、すべてのデータインシデントを表示します過去15年間に彼が手を差し伸べることができなかったことに違反し、データベースにロードして検証すると、用語どおり、pwnedされたかどうかがわかります。 しかし、これらの数字のいくつかを調べ始めたとき、このスクリーンショットはヤフーなどのカップルを含む彼の最新バージョンで更新されていません。 ただし、ここでサービスのタイプを考えてください。 Myspace、LinkedIn、Adobeがあります。 人々がよく見て、考えて、Adobeが何を意味するので、Adobeは面白いですか？ 何らかの形式のAdobe Readerをダウンロードしている私たちのほとんどは、多くの人が1億5200万人のクレジットカードを使用してAdobe製品を購入しています。
さて、以前のロビンのポイントに、これらは非常に大きな数字であり、それらに圧倒されるのは簡単です。 359百万のアカウントが侵害された場合はどうなりますか？ さて、いくつかのことがあります。 ロビンは、そのデータは常に何らかの形のデータベースにあるという事実を強調しました。 これが重要なメッセージです。 私が知っているこの惑星では、どんな形のシステムを実行する人もほとんど誰もデータベースに保存しません。 しかし、興味深いのは、そのデータベースに3種類のデータがあることです。 ユーザー名やパスワードなど、通常は暗号化されるセキュリティ関連のものがありますが、常にそうでない例がたくさんあります。 ヘルスレコードであるか、電子メールまたはインスタントメッセージであるかを問わず、作成したプロファイルおよびデータの周りに実際の顧客情報があります。 そして、実際の埋め込みロジックがあるので、これはストアドプロシージャであり、+ this + then + thatの場合、ルールの束になる可能性があります。 そして、それは常にASCIIテキストであり、データベースにはまり込んでおり、そこに座っている人はほとんどいません。「まあ、これらはビジネスルールです。これがデータの移動と制御の方法です。モーションを解読してメモリに保存することもできます」と考えていますが、理想的には同様にそうすべきです。
しかし、この重要な点に戻って、このデータはすべて何らかの形のデータベースにあり、ほとんどの場合、焦点は、歴史的に、ルーターやスイッチ、サーバー、さらにはストレージにあり、常にデータベースにあるわけではありませんバックエンド。 私たちはネットワークの端をカバーしており、それはある種の典型的な古い、ある種の城に住んでいて、あなたはその周りに堀を置いて、悪者が行かないことを願っています泳げます しかし、その後、突然、悪者は延長されたはしごを作り、堀の上にそれらを投げ、堀を乗り越えて壁を登る方法を考え出しました。 そして、突然あなたの堀はほとんど役に立たない。
そのため、私たちは現在、組織がスプリントで追いつきモードになっているシナリオにいます。 私の見解では、すべてのシステムで文字通り全力疾走していること、そして確かに私の経験では、常にこれらのWebユニコーンだけでなく、私たちがしばしば言及しているように、多くの場合、侵害されているのは伝統的な企業組織です。 そして、あなたは彼らが誰であるかを見つけるために多くの想像力を持っている必要はありません。 pastebin.netと呼ばれるようなWebサイトがあり、pastebin.netにアクセスしてメールリストまたはパスワードリストを入力するだけで、1日に数十万件のエントリが追加され、そこに人々がサンプルデータセットをリストします。ちなみに、名、姓、クレジットカードの詳細、ユーザー名、パスワード、復号化されたパスワードの最大1, 000件のレコード。 人々がそのリストを入手し、3つまたは4つを確認して、そのリストを購入することを決定できる場合、そうです、通常、データを販売する人に何らかの匿名ゲートウェイを提供する何らかのメカニズムがあります。
ここで興味深いのは、アフィリエイトの起業家がこれができることに気づいたら、これらのリストの1つを購入するために1, 000米ドルを費やした場合、あなたがそれで最初に行うことは何であるかを理解するのにそれほど多くの想像力を必要としませんか？ 行ってアカウントを追跡しようとするのではなく、そのコピーをpastbin.netに戻し、2つのコピーをそれぞれ1, 000ドルで販売し、1, 000ドルの利益を得ます。 そして、これらはこれをしている子供たちです。 これを生計のために行う非常に大きな専門組織が世界中にいくつかあります。 他の州を攻撃する国家もあります。 アメリカが中国を攻撃している、中国がアメリカを攻撃しているという話はたくさんありますが、それはそれほど単純ではありませんが、データベースによって常に強化されているシステムを突破している政府機関は間違いなくあります。 それは小さな組織の場合だけでなく、国対国でもあります。 データの保存場所はどこですか？ データベースにあります。 どんなコントロールとメカニズムがありますか？ または、常に暗号化されておらず、暗号化されている場合は、必ずしもすべてのデータではなく、ソルト化および暗号化されているのはパスワードだけです。
そして、これを取り巻くと、そのデータの内容と、データへのアクセスとSOXコンプライアンスをどのように提供するかについて、さまざまな課題があります。 そのため、ウェルスマネジメントや銀行業について考えると、資格に関する課題を心配する組織があります。 企業のコンプライアンスを心配する組織があります。 政府のコンプライアンスと規制の要件を満たしている。 オンプレミスのデータベースがあるシナリオがあります。 サードパーティのデータセンターにデータベースがあります。 データベースはクラウド環境に置かれているため、クラウド環境は常に国にあるとは限りません。 それで、これはますます大きな課題になりつつあります。純粋なセキュリティではなく、ハッキングされるという観点からだけでなく、どのようにすべての異なるレベルのコンプライアンスに対応するのでしょうか。 HIPAAおよびISO規格だけでなく、州レベル、国レベル、およびグローバルレベルで文字通り数十、数十、これらの境界があります。 オーストラリアとビジネスをしている場合、政府のデータを移動することはできません。 オーストラリアの個人データは、国を離れることができません。 あなたがドイツにいる場合、それはさらに厳しいです。 また、さまざまな理由から、アメリカがこれについて非常に迅速に動いていることを知っています。
しかし、データベースで何が起きているのか、どのように監視し、誰がデータベースで何をしているのか、さまざまなテーブルと行と列とフィールドのビューを誰がどのように見分けるのかという課題全体に戻ってきます、いつ読むか、どれくらいの頻度で読むか、誰が追跡するか？ そして、この問題をどのように解決するかについて話すのを手伝ってくれる今日のゲストに引き渡す前に、それが私の最後のポイントに私を導くと思います。 しかし、私はこの考えを1つ残しておきたいと思います。つまり、多くの焦点はビジネスのコストと組織のコストにあります。 また、今日はこの点について詳しく説明しませんが、熟考するために念頭に置いておきたいのは、違反後にクリーンアップするためにレコードごとに約135ドルから585ドルの間の推定があるということです。 ルーターやスイッチ、サーバーに関するセキュリティへの投資はすべて順調であり、ファイアウォールでもありますが、データベースセキュリティにどれだけ投資しましたか？
しかし、それは偽りの経済であり、Yahooの侵害が最近起こったとき、そして私がそれを良い権威で持っているとき、それはおよそ5億ではなくおよそ10億のアカウントです。 Verizonが43億ドルなどで組織を買収したとき、違反が発生するとすぐに10億ドルの返金または割引を要求しました。 計算を行って、違反したレコードがおよそ10億ドル、つまり10億ドルの割引があると言うと、レコードをクリーンアップするための135ドルから535ドルの見積もりは1ドルになります。 これもまた、過激です。 10億のレコードをクリーンアップするのに1ドルはかかりません。 1レコードあたり1ドルで、そのサイズの違反に対して10億レコードをクリーンアップします。 そのような費用でプレスリリースを出すことさえできません。 そして、私たちは常に内部の課題に焦点を当てています。
しかし、データベースレベルでこれを非常に真剣に考えなければならない理由の1つは、これが私たちにとって非常に非常に重要なトピックである理由です。通行料金。 私たちがこれに被る人間の犠牲は何ですか？ そして、すぐにまとめる前に、1つの例を取り上げます。 LinkedIn：2012年に、LinkedInシステムがハッキングされました。 たくさんのベクターがありましたが、私はそれには入りません。 そして、何億ものアカウントが盗まれました。 人々は約1億6千万から数百万と言っていますが、実際にはもっと多く、約2億4千万にもなります。 しかし、その違反は今年の初めまで発表されませんでした。 数億の人々の記録がそこにあるのは4年です。 今、クレジットカードでサービスにお金を払っている人もいれば、無料のアカウントを持っている人もいました。 しかしLinkedInは興味深い。なぜなら、あなたが侵害された場合、彼らはあなたのアカウントの詳細にアクセスするだけでなく、あなたのすべてのプロフィール情報にもアクセスできるからだ。 だから、あなたが誰とつながり、あなたが持っていたすべてのつながり、彼らが持っていた仕事のタイプと彼らが持っていた彼らのスキルのタイプと彼らが会社で働いた時間とそのような情報、そして彼らの連絡先の詳細。
したがって、これらのデータベースのデータを保護し、データベースシステム自体を保護および管理する際の課題、および影響の流れについて考えてみてください。そのデータの人的被害は4年間続いています。 そして、誰かが東南アジアのどこかで休暇を取り、4年間データを公開している可能性。 そして、誰かが車を買ったり、住宅ローンを買ったり、クレジットカードで1年に10台の電話を買ったかもしれません。そこで、彼らは4年間出てきたデータに偽のIDを作成しました。銀行口座と偽のIDを作成します。飛行機に乗り、休日に行き、着陸して投獄されます。 そして、なぜあなたは刑務所に入れられますか？ それは、IDを盗まれたからです。 誰かが偽のIDを作成し、あなたと数十万ドルのように振る舞いました。彼らはこの4年間をやっていて、あなたもそれを知りませんでした。 それがそこにあるので、それはちょうど起こりました。
それで、データベースで何が起こっているのか、どのように追跡し、どのように監視するのかというこの中核課題に私たちを導くと思います。 そして、IDERAの友人たちがそれを解決する方法を思いついたのを聞くのを楽しみにしています。 そしてそれで、私は引き渡します。
エリック・カバナ：よし、イグナシオ、床はあなたのものだ。
イグナシオ・ロドリゲス：わかりました。 みなさん、ようこそ。 私の名前はイグナシオ・ロドリゲス、イギーとしてよく知られています。 私はIDERAとセキュリティ製品のプロダクトマネージャーです。 今取り上げた本当に良いトピックであり、データ侵害を心配する必要があります。 セキュリティポリシーを強化し、脆弱性を特定してセキュリティレベルを評価し、ユーザーのアクセス許可を制御し、サーバーのセキュリティを制御し、監査に準拠する必要があります。 私は過去の歴史の中で、主にOracle側で監査を行ってきました。 私はSQL Serverでいくつかを行っており、ツールまたは基本的に自家製のスクリプトでそれをしていましたが、それは素晴らしいですが、リポジトリを作成し、リポジトリが安全であることを確認する必要があります、常に監査人からの変更でスクリプトを維持する必要があります、何がありますか。
だから、ツールで、もしIDERAがそこにあることを知っていてツールを持っていたら、おそらくそれを購入していたでしょう。 しかし、とにかく、私たちはセキュアについて話します。 これは、セキュリティ製品ラインの製品の1つであり、基本的にセキュリティポリシーを調べ、それらを規制ガイドラインにマッピングしています。 SQL Server設定の完全な履歴を表示できます。また、基本的にこれらの設定のベースラインを実行し、将来の変更と比較することもできます。 設定のベースラインであるスナップショットを作成し、それらのいずれかが変更されたかどうかを追跡し、変更された場合にアラートを受け取ることができます。
私たちがうまく行っていることの1つは、セキュリティリスクと違反を防ぐことです。 セキュリティレポートカードは、サーバーの上位のセキュリティ脆弱性のビューを提供し、各セキュリティチェックは高、中、低のリスクに分類されます。 現在、これらのカテゴリまたはセキュリティチェックで、これらすべてを変更できます。 いくつかのコントロールがあり、私たちが持っているテンプレートの1つを使用して、私たちのコントロールがこの脆弱性が実際に高いのではなく中程度である、またはその逆であることを本当に示している、または望んでいるとしましょう。 中にラベルが付けられているものもありますが、組織内でラベルを付けたいコントロールがある場合、またはそれらのコントロールが高いと見なす場合、これらの設定はすべてユーザーが構成できます。
検討する必要があるもう1つの重要な問題は、脆弱性を識別することです。 誰が何にアクセスできるかを理解し、すべてのSQL Serverオブジェクトにわたってユーザーの各有効な権利を識別します。 このツールを使用すると、すべてのSQL Serverオブジェクトの権限を確認して、すぐにそのスクリーンショットを見ることができます。 また、ユーザー、グループ、および役割の権限を報告および分析します。 他の機能の1つは、詳細なセキュリティリスクレポートを提供することです。 すぐに使用できるレポートがあり、レポートの種類を作成し、監査人、セキュリティ担当者、およびマネージャが必要とするデータを表示するための柔軟なパラメータが含まれています。
先ほど述べたように、セキュリティ、リスク、構成の変更を経時的に比較することもできます。 そして、それらはスナップショットにあります。 また、これらのスナップショットは、ツール内でスケジュールできる月次、四半期、年次など、必要に応じて設定できます。 また、変更点を確認するために比較を行うことができます。違反があった場合は、修正後にスナップショットを作成し、比較を行うと、高レベルがあったことがわかります。前のスナップショットに関連するリスクを報告してから、修正された後の次のスナップショットで実際に問題ではなくなったことを確認します。 これは、監査人に提供できる優れた監査ツールであり、監査人に提供できる報告書であり、「見て、このリスクがあり、それを緩和し、今ではもはやリスクではない」と言っています。スナップショットで言及されているように、構成が変更されたときにアラートを出すことができ、構成が変更され、検出された場合、新しいリスクを提示し、そのことも通知されます。
Secureを使用したSQL Serverアーキテクチャに関する質問がいくつかあります。ここで、「コレクションサービス」と表示されているスライドを修正します。サービスはなく、「管理とコレクションサーバー」でした。コンソールと管理および収集サーバーがあり、エージェントレスキャプチャがあり、登録済みのデータベースに送信され、ジョブを通じてデータを収集します。 また、SQL Serverリポジトリがあり、SQL Server Reporting Servicesと連携してレポートをスケジュールし、カスタムレポートも作成します。 これで、セキュリティレポートカードでは、これはSQL Secureが開始されたときに表示される最初の画面です。 検出した重要なアイテムを簡単に確認できます。 そして、再び、私たちには高、中、低があります。 そして、特定のセキュリティチェックに関係するポリシーもあります。 HIPAAテンプレートがあります。 IDERAセキュリティレベル1、2、および3のテンプレートがあります。 PCIガイドラインがあります。 これらはすべて使用可能なテンプレートです。また、独自のコントロールに基づいて独自のテンプレートを作成することもできます。 そして、再び、それらは変更可能です。 独自に作成できます。 既存のテンプレートはいずれもベースラインとして使用でき、必要に応じて変更できます。
行うべき素晴らしいことの1つは、誰が許可を持っているかを確認することです。 この画面では、エンタープライズでのSQL Serverログインを確認でき、オブジェクトレベルのサーバーデータベースで割り当てられた有効な権利とアクセス許可をすべて表示できます。 ここで行います。 再度、データベースまたはサーバーを選択して、SQL Serverのアクセス許可のレポートを取得できます。 だから誰が何に何のアクセス権を持っているかを見ることができます。 もう1つの優れた機能は、セキュリティ設定を比較できることです。 企業全体で設定する必要がある標準設定があるとしましょう。 その後、すべてのサーバーを比較して、企業内の他のサーバーに設定されている設定を確認できます。
繰り返しますが、ポリシーテンプレート、これらは私たちが持っているテンプレートの一部です。 基本的に、再び、それらのいずれかを使用して、独自に作成します。 以下に示すように、独自のポリシーを作成できます。 いずれかのテンプレートを使用すると、必要に応じてテンプレートを変更できます。 また、SQL Serverの有効な権利を表示することもできます。 これにより、ユーザーとロールにアクセス許可が正しく設定されていることを検証および証明します。 繰り返しになりますが、ユーザーとロールにアクセス許可が正しく設定されていることを確認して確認できます。 次に、SQL Serverオブジェクトアクセス権を使用して、サーバーレベルからオブジェクトレベルのロールとエンドポイントまで、SQL Serverオブジェクトツリーを参照および分析できます。 また、割り当てられた効果的な継承されたアクセス許可とセキュリティ関連のプロパティをオブジェクトレベルで即座に表示できます。 これにより、データベースオブジェクトに対するアクセス権と、それらへのアクセス権を持つユーザーを把握できます。
繰り返しになりますが、報告はあります。 これらは定型レポートであり、レポートを作成するために選択できるものがいくつかあります。 これらの多くはカスタマイズできます。また、顧客レポートを作成し、それをレポートサービスと組み合わせて使用し、そこから独自のカスタムレポートを作成できます。 さて、スナップショットの比較、これはかなりクールな機能だと思います。そこに行って、撮ったスナップショットの比較を行い、数に違いがあったかどうかを確認できます。 追加されたオブジェクト、変更されたアクセス許可、異なるスナップショット間で行われた変更を確認できるものはありますか？ 一部の人々はこれらを毎月レベルで見るでしょう-彼らは毎月のスナップショットを行い、その後何かが変更されたかどうかを確認するために毎月比較を行います。 そして、変更されるべきものが何もなかった場合、変更管理会議に行ったものがあり、いくつかの権限が変更されたことがわかった場合は、戻って何が起こったかを確認することができます。 これは、スナップショット内で監査されたすべてのものの比較を再び行うことができる非常に便利な機能です。
次に、評価の比較。 これは別の便利な機能であり、そこに行って評価を確認し、比較を行います。ここでの比較では、最近行ったスナップショットで無効にされていないSAアカウントがあったことに注意してください。修正されました。 これは、かなりのリスクがあることを示すことができる非常に素晴らしいことです。ツールによってそれらが特定され、今ではそれらのリスクを軽減しました。 繰り返しますが、これは実際にそれらのリスクが軽減され、世話されていることを監査人に示す良いレポートです。
要約すると、データベースのセキュリティは非常に重要です。外部ソースからの侵害をよく見ていますが、内部侵害にあまり注意を払っていないこともあります。気を付ける必要があります。 Secureは、割り当てられる必要のない特権がないことを確認するのに役立ちます。これらのセキュリティがすべてアカウントに適切に設定されていることを確認してください。 SAアカウントにパスワードがあることを確認してください。 また、暗号化キーがエクスポートされているかどうかも確認します。 確認するのは複数の異なるもので、問題が発生した場合、および問題のレベルが何であるかをお知らせします。 ツールが必要です。多くの専門家がデータベースアクセス許可を管理および監視するためのツールを必要としています。実際、データベース許可を制御し、アクセスアクティビティを追跡し、侵害リスクを軽減する広範な機能を提供することを検討しています。
セキュリティ製品のもう1つの部分は、WebExが対象であり、以前に説明したプレゼンテーションの一部がデータであることです。 誰が何にアクセスしているか、何を持っているか、そしてそれが当社のSQLコンプライアンスマネージャーツールです。 そして、そのツールには記録されたWebExがあり、実際に誰がどのテーブル、どの列にアクセスしているかを監視でき、生年月日、患者情報、これらの種類のテーブル、実際に、誰がその情報にアクセスできるか、およびアクセスされているかどうかを確認します。
エリック・カバナ：わかりました。では、ここで質問に飛び込んでみましょう。 たぶん、デズ、私は最初にあなたにそれを投げるでしょう、そしてロビン、あなたができる限りチャイムします。
Dez Blanchfield：ええ、2 番目と3 番目のスライドから質問をするのがかゆいです。 このツールの典型的な使用例は何ですか？ これを採用し、活用している最も一般的なタイプのユーザーは誰ですか？ そしてその裏には、典型的な、ある種のユースケースモデルがあります。 どのように実装されていますか？
Ignacio Rodriguez：さて、私たちが持っている典型的なユースケースは、データベースのアクセス制御の責任を割り当てられたDBAであり、すべてのパーミッションが必要な方法に設定されていることを確認し、追跡し、標準所定の位置に。 これらの特定のユーザーアカウントは、これらの特定のテーブルなどにのみアクセスできます。 そして、彼らがそれで何をしているのかは、それらの標準が設定され、それらの標準が時間の経過とともに変わらないことを確認することです。 そして、それが人々がそれを使用している大きなことの1つは、知られていない変更が行われているかどうかを追跡して識別することです。
Dez Blanchfield：彼らは怖いものだからですよね？ たとえば、戦略文書があり、それを支えるポリシーがあり、その下にコンプライアンスとガバナンスがあり、そのポリシーに従っていると、ガバナンスを順守し、それが青信号になりますそして突然1か月後に誰かが変更をロールアウトし、何らかの理由で同じ変更レビューボードまたは変更プロセス、またはそれが何であれ、プロジェクトが進行しただけで、誰も知らない。
共有できる例はありますか？クライアントが少し心配しているので、必ずしも共有するものではないので、名前を付ける必要はありません。組織がこれを実際に見たことがあるかもしれませんが、組織はこれを気付かずに設置しましたが、彼らは何かを見つけて、「わあ、10倍の価値がありました。人々がこれを実装し、それから彼らがより大きな問題または彼らが彼らが持っていたことに気付かなかった本当の問題を抱えていて、そしてあなたがすぐにクリスマスカードリストに追加されることを発見した例は？
イグナシオ・ロドリゲス：まあ、私たちが見た、または報告した最大のことは、誰かが持っていたアクセスに関しては、私がちょうど言及したことだと思います。 開発者がいて、このツールを実装したとき、X人の開発者がデータベースへのアクセスが多く、特定のオブジェクトへのアクセスがあることを本当に知りませんでした。 もう1つは、読み取り専用アカウントです。 彼らが持っていたいくつかの読み取り専用アカウントがあり、これらの読み取り専用アカウントが実際にあることを知るようになり、同様にデータを挿入し、特権を削除しました。 これが、ユーザーにとっていくつかの利点があることを確認した場所です。 繰り返しになりますが、人々が好むと聞いた大きなことは、再び変化を追跡し、何も彼らを盲目的にしないようにすることです。
Dez Blanchfield：ロビンが強調したように、よく考えられないシナリオがありますよね？ 私たちが楽しみにしているとき、規則に従ってすべてを行うと、あなたは知っていると思います、私は見つけます、そしてあなたもそれを見ると確信しています-あなたがそれに同意しない場合は教えてください-組織はそう集中します戦略とポリシー、コンプライアンスとガバナンス、KPI、およびレポートの作成に重点を置いており、それらにしばしば固執するため、外れ値については考えません。 そして、ロビンは私が彼から盗もうとしている本当に素晴らしい例を持っていました-ロビン、申し訳ありませんが、この例は、データベースのライブコピー、スナップショット、および開発テストに入れる別の機会ですよね？ 開発、テスト、UAT、システムインテグレーションなど、あらゆる種類の作業を行った後、コンプライアンステストを実施しています。 多くの場合、開発テスト、UAT、SITにはコンプライアンスコンポーネントがあり、すべてが正常で安全であることを確認するだけですが、誰もがそれを行うわけではありません。 この例では、データベースのライブコピーのコピーをロビンが開発環境でテストし、それがまだライブデータで機能するかどうかを確認しました。 腰を下ろして「それが起こるのか、それが可能になるのか」と考える企業はほとんどありません。彼らは常に生産に固執しています。 実装の過程はどのように見えますか？ 私たちは数日、数週間、数ヶ月について話しているのですか？ 通常の展開は、平均的な規模の組織にとってどのようなものですか？
イグナシオ・ロドリゲス：日々。 数日でもない、つまり数日です。 多数のサーバーを登録できる機能を追加しました。 ツールでそこに行き、150台のサーバーがあると言う代わりに、個別にそこに行き、サーバーを登録する必要がありました。今では、それを行う必要はありません。 作成したCSVファイルがありますが、自動的に削除されますが、セキュリティ上の問題のため、そこには保存されません。 しかし、それは私たちが考慮しなければならないもう一つのことです、あなたはそこにユーザー名/パスワードでCSVファイルを持っているつもりです。
私たちがすることは自動的に、また削除することですが、それはあなたが持っているオプションです。 個々にそこに行き、それらを登録し、その危険を冒したくない場合、それを行うことができます。 ただし、CSVファイルを使用する場合は、安全な場所に配置し、アプリケーションをその場所に向けると、そのCSVファイルが実行され、完了すると自動的にそのファイルを削除するように設定されます。 そして、ファイルが削除されたことを確認して確認します。 実装に関して私たちが持っていた砂の中で最も長いポールは、実際のサーバーの登録でした。
Dez Blanchfield：わかりました。 さて、レポートについてお話しました。 そこに何があるかを見て、それについて報告する発見コンポーネント、国の現在の状態、前に来るものについて報告する限り、事前にバンドルされているものについてもう少し詳細と洞察を与えてもらえますか？コンプライアンスとセキュリティの現在の状態に関するレポートまで構築し、事前に作成し、それらをどれだけ簡単に拡張できるか？ それらをどのように構築しますか？
イグナシオ・ロドリゲス：わかりました。 私たちが持っているレポートの中には、クロスサーバー、ログインチェック、データ収集フィルター、アクティビティ履歴、そしてリスク評価レポートを扱うレポートがあります。 また、疑わしいWindowsアカウントもあります。 ここにはたくさんあります。 疑わしいSQLログイン、サーバーログインとユーザーマッピング、ユーザー権限、すべてのユーザー権限、サーバーロール、データベースロール、ある種の脆弱性または混合モード認証レポート、ゲストイネーブルデータベース、XPSによるOS脆弱性、拡張手順、そして、脆弱な固定ロール。 これらは私たちが持っているレポートの一部です。
Dez Blanchfield：そして、あなたはそれらが十分に重要であり、それらのいくつかが論理的であることを述べました。 調整するのは簡単ですか？ レポートを実行してこの大きな大きなグラフを取得したが、あまり興味がない部分を取り出して、他の機能をいくつか追加したい場合、レポートライターはいますか、何らかのインターフェイスがありますかそして、ゼロから別のレポートを設定および調整する、あるいは潜在的に構築するためのツールですか？
Ignacio Rodriguez：その後、ユーザーにMicrosoft SQL Report Servicesを使用してそれを実行するよう指示し、実際にレポートの一部を取得し、必要に応じてカスタマイズしてスケジュールする多くの顧客がいます。 これらの人の何人かは、これらのレポートを月単位または週単位で見たいと思っています。彼らは私たちが持っている情報を受け取り、それをReporting Servicesに移し、そこからそれを行います。 ツールに統合されたレポートライターはありませんが、Reporting Servicesを利用しています。
Dez Blanchfield：これらのツールの最大の課題の1つだと思います。 そこに足を運んで何かを見つけることはできますが、それを引き出して、必ずしもDBAやシステムエンジニアとは限らない人々に報告する必要があります。 私の経験では興味深い役割があります。つまり、リスク担当者は常に組織に所属しており、主に周りにいて、最近見たまったく異なる範囲のリスクに対応していますが、侵害は単なるものではなく、実際の津波になり、CROは、人事とコンプライアンス、および労働安全衛生タイプからサイバーリスクに焦点を合わせることから脱却しました。 ご存知のように、侵害、ハッキング、セキュリティ–はるかに技術的です。 また、技術的な血統ではなくMBA血統から派生したCROが多数存在するため、興味深いものになりつつあります。そのため、サイバーリスクからCROなど。 しかし、彼らが望む大きなことは、単に可視性のレポートです。
コンプライアンスに関するポジショニングについて教えてください。 明らかに、これの大きな強みの1つは、何が起こっているのかを確認し、監視し、学習し、報告し、それに反応し、いくつかのものを先取りできることです。 包括的な課題は、ガバナンスのコンプライアンスです。 PCIのような既存のコンプライアンス要件や業界コンプライアンス、または現在そのようなものに意図的にリンクしているこの重要な部分はありますか、それともロードマップに登場するものですか？ COBIT、ITIL、ISO標準などのフレームワークに適合していますか？ このツールを展開した場合、それらのフレームワークに適合する一連のチェックとバランスが得られますか、それともそれらのフレームワークにどのように組み込みますか？ そのようなことを念頭に置いた位置はどこですか？
Ignacio Rodriguez：はい、ツールで提供するテンプレートがあります。 そして、テンプレートを再評価するポイントに再び到達しました。追加する予定であり、すぐにさらに追加される予定です。 FISMA、FINRA、私たちが持っているいくつかの追加テンプレート、そして私たちは通常テンプレートをレビューし、何が変わったのかを見て、何を追加する必要がありますか？ そして、実際には、セキュリティ要件が大幅に変更されたポイントに到達したいので、この拡張をオンザフライで行う方法を検討しています。 それは私たちが将来見ているものです。
しかし、今はテンプレートを作成し、Webサイトからテンプレートを取得できるかどうかを検討しています。 それらをダウンロードできます。 そして、それが私たちがそれを処理する方法です-私たちはテンプレートを通してそれらを処理します、そして私たちは将来ここでそれを簡単に拡張可能かつ迅速にする方法を探しています。 私が監査を行っていたとき、あなたは知っている、物事が変わるので。 審査員は1か月来て、来月は何か違うものを見たいと思うでしょう。 次に、それはツールの課題の1つであり、それらの変更を行い、必要なものを取得することができることです。
Dez Blanchfield：世界がより速く動いているという事実に照らして、監査人の挑戦は定期的に変化すると思います。 かつて、監査の観点からの要件は、私の経験では、純粋に商業上のコンプライアンスでしたが、技術的なコンプライアンスになり、運用上のコンプライアンスになりました。 そして、これらすべてがあります、あなたは知っています、毎日誰かが現れて、彼らはISO 9006と9002操作のようなものであなたを測定するだけでなく、あらゆる種類のものを見ています。 そして今、38, 000シリーズはISOでも大きなものになりつつあります。 それはますます挑戦的になっていくと思います。 帯域幅を浪費しているので、Robinに引き渡します。
本当にありがとうございました。それが実際にこれほど深くなっていることに気づかなかったので、私はそれを知るためにもっと時間を費やすつもりです。 イグナシオ、ありがとう、今からロビンに渡そう。 素晴らしいプレゼンテーション、ありがとう。 ロビン、あなたに向かいます。
ロビン・ブロア博士：わかった、イギー、大丈夫なら、イギーと呼ぼう。 私を困惑させているのは、Dezがプレゼンテーションで述べたことのいくつかに照らして、人々が本当にデータの世話をしていないと言わざるを得ないことは、非常に多く進行していることだと思います。 特に、氷山の一部しか見えないという事実に至ると、おそらく誰も報告していないことがたくさんあります。 あなたが知っている顧客、またはあなたが知っている潜在的な顧客のうち、これだけでなく、あなたが提供している保護レベルを持っている人の数について、あなたの視点に興味があります。あなたのデータアクセス技術も？ つまり、脅威に対処するために適切に備えているのは誰なのかということです。
イグナシオ・ロドリゲス：誰が適切に装備されていますか？ つまり、私たちが実際にどんな種類の監査にも取り組んでいない多くの顧客がいるということです。 彼らはいくつか持っていましたが、大きなことはそれに追いつき、それを維持し、確認しようとすることです。 私たちが見た大きな問題は、コンプライアンスを行っていたときでさえ、スクリプトを実行した場合、監査人が来て問題を見つけたときに四半期ごとに実行することです。 さて、それはもう手遅れだと思います。監査はそこにあり、監査人はそこにいます。彼らは報告を望み、フラグを立てます。 そして、マークを取得するか、これらの問題を修正する必要があると言われたのです。そうすれば、この問題に対処する必要があります。リスクを見つけてリスクを軽減できる先を見越したタイプのものです。お客様が求めているもの。 監査人が来て、アクセスの一部が必要な場所になく、他の人が管理者権限を持ち、それらの種類のことをしてはいけないことに気づいたときに反応するのではなく、ある程度先を見越した方法です。 そして、そこから多くのフィードバックがあり、人々はこのツールを気に入って、それを使用しています。
ロビン・ブロアー博士：わかりました、ある意味、明らかな質問でもありますが、私はただ興味があります。 ハックを受けて実際に何人の人が来ますか？ あなたが知っているところでは、彼らは彼らの環境を見て、彼らがはるかに組織化された方法で保護する必要があると考えたからではなく、あなたがビジネスを得ていますが、実際にはあなたは単に彼らがすでに苦しんでいるという理由だけでそこにいます疼痛。
イグナシオ・ロドリゲス： IDERAにいる間、私は見たことがない。 正直に言うと、私が関わった顧客とのやり取りのほとんどは、将来を楽しみにしており、監査を開始し、特権などを見始めています。 私が言ったように、私はここにいる時間に自分自身を経験していません。
ロビン・ブロア博士：ああ、それは興味深い。 少なくとも数回はあったと思いました。 私は実際にこれを見ていますが、それに加えて、あらゆる方法で、あなたが行うすべての活動で、企業全体でデータを実際に安全にする複雑さのすべてを追加しています。 人々を助けるために直接コンサルティングを提供していますか？ つまり、ツールを購入できることは明らかですが、私の経験では、多くの場合、人々は洗練されたツールを購入して非常にひどく使用しています。 特定のコンサルティングを提供していますか？何をすべきか、誰を訓練すべきかなど。
Ignacio Rodriguez：サポートサービスに関しては、その一部を実行できるサービスがいくつかあります。 しかし、コンサルティングに関しては、コンサルティングサービスは提供していませんが、トレーニングやツールの使用方法などはサポートレベルで対処します。 しかし、それ自体、外に出てそれを行うサービス部門はありません。
ロビン・ブロア博士：わかりました。 ここで取り上げるデータベースに関しては、ここでのプレゼンテーションではMicrosoft SQL Serverについてのみ言及していますが、Oracleも同様ですか？
Ignacio Rodriguez：まず、Compliance Managerを使用してOracle領域に拡張する予定です。 これでプロジェクトを開始するので、これをOracleに拡張することを検討します。
ロビン・ブロア博士：そして、あなたは他の場所に行く可能性が高いですか？
Ignacio Rodriguez：ええ、それはロードマップを見て、状況を確認する必要がありますが、私たちが検討していることのいくつかは、他のデータベースプラットフォームも攻撃する必要があることです。
ロビン・ブロア博士：私もこの分割に興味がありましたが、これについての先入観はありませんが、展開に関しては、実際にどれだけクラウドに展開されているか、またはほぼすべてオンプレミスですか？ ？
Ignacio Rodriguez：すべてオンプレミス。 AzureをカバーするためにSecureを拡張することも検討しています。
ロビン・ブロア博士：それはAzureの質問でした。まだそこにいませんが、そこに行くつもりです。それはとても理にかなっています。
イグナシオ・ロドリゲス：ええ、もうすぐそこに行きます。
Robin Bloor博士：ええ、Microsoftからの私の理解は、AzureのMicrosoft SQL Serverには非常に多くのアクションがあるということです。 あなたが望むなら、それが彼らが提供するものの重要な部分になりつつあります。 私が興味を持っているもう1つの質問は、技術的なものではなく、もっとやりがいのある質問のようなものです。この購入者は誰ですか。 IT部門からアプローチされていますか、それともCSOからアプローチされていますか？ このようなものが検討されているとき、それは環境を保護するための一連の事柄全体を見ることの一部ですか？ 状況はどうですか？
イグナシオ・ロドリゲス：混合物です。 私たちにはCSOがいます。営業チームが何度もDBAに連絡して話をします。 そして、DBAは再び、ある種の監査プロセスポリシーを導入することを認められました。 そして、そこからツールを評価し、チェーンを報告し、購入したい部品を決定します。 しかし、それは私たちに連絡する人の混ざった袋です。
ロビン・ブロア博士：わかりました。 私たちは時間をやったので、私は今エリックに返事をするつもりですが、聴衆の質問がいくつかあるかもしれません。 エリック？
エリック・カバナ：ええ、確かに私たちはここで多くの良いコンテンツを燃やしました。 出席者の一人からあなたに投げかける本当に良い質問が一つあります。 彼はブロックチェーンとあなたが話していることについて話していて、彼は尋ねています、SQLデータベースの読み取り専用部分をブロックチェーンが提供するものに似たものに移行する方法はありますか？ ちょっと大変です。
イグナシオ・ロドリゲス：ええ、正直に言いますが、その答えはありません。
エリック・カバナ：ロビンに任せます。 ロビン、その質問を聞いたかどうかはわかりませんが、彼はただ尋ねています、SQLデータベースの読み取り専用部分をブロックチェーンが提供するものに似たものに移行する方法はありますか？ あれについてどう思う？
ロビン・ブロア博士：データベースを移行する場合、データベースのトラフィックも移行するようです。 それを行うには複雑なセットがあります。 しかし、データを不可侵にする以外の理由でそれを行うことはありません。 ブロックチェーンへのアクセスは遅くなるので、速度が重要な場合（ほぼ常に重要な場合）は、それを実行しないことになります。 しかし、そのようなことをしている一部の人に、その一部へのある種のキー付き暗号化アクセスを提供したい場合は、それを行うことができますが、非常に正当な理由が必要です。 あなたはそれをそれがある場所に残し、それがある場所にそれを安全にする可能性がはるかに高いです。
Dez Blanchfield：ええ、すぐに体重を測ることができれば、それに同意します。 ブロックチェーンの課題は、一般に公開されているブロックチェーンでさえ、ビットコインで使用されていると思います。完全に分散された方法で、1分間に4トランザクションを超えてスケーリングすることは困難です。 計算の難しさのため、それほど多くはありませんが、完全なノードは、単にメグではなくギグであるため、データベースボリュームが前後に移動し、コピーされるデータ量に追いつくのが難しいと感じています。
しかし、重要な課題は、アプリケーションアーキテクチャを変更する必要があることだと思います。なぜなら、データベースでは、主にすべてを中央の場所に持ち込むことであり、そのクライアントサーバータイプモデルを持っているからです。 ブロックチェーンは逆です。 それは分散コピーについてです。 それは多くの点でBitTorrentに似ており、同じデータの多くのコピーがそこにあるということです。 また、Cassandraやインメモリデータベースのように、それを分散し、多くのサーバーが分散インデックスから同じデータのコピーを提供することができます。 ロビンが言ったように、2つの重要な部分は次のとおりだと思います：1つは、それを保護し、盗まれたりハッキングされたりしないことを確認したい場合、それは素晴らしいことですが、必ずしもトランザクションプラットフォームではありません「ビットコインプロジェクトでそれを経験しました。 しかし、理論的には他の人がそれを解決しました。 しかし、アーキテクチャ上、多くのアプリケーションは、ブロックチェーンからクエリおよび読み取りを行う方法を知らないだけです。
そこにはやるべきことがたくさんあります。 しかし、そこにある質問のキーポイントは、できればブロックチェーンに移動することの理論的根拠だと思います。質問されている質問は、データベースからデータを取り出して、それをより安全に？ 答えは、データベースに残して暗号化するだけです。 現在、多くの技術があります。 保管中または移動中のデータを暗号化するだけです。 暗号化されたデータをメモリとディスク上のデータベースに入れられない理由はありません。これは、アーキテクチャの変更が1つもないため、はるかに簡単な課題です。 常にほとんどのデータベースプラットフォームは、実際には有効になる機能にすぎません。
エリック・カバナ：ええ、私に最後の質問があります、イギー。 それはかなり良いものです。 SLAとキャパシティプランニングの観点から、システムを使用するとどのような税金が発生しますか？ 言い換えると、本番データベースシステムで誰かがIDERAのテクノロジーをここで使用したい場合、追加のレイテンシまたはスループットオーバーヘッドはありますか？
イグナシオ・ロドリゲス：それほど大きな影響はありません。 繰り返しますが、これはエージェントレス製品であり、すべて前述のようにスナップショットに依存します。 セキュアはスナップショットに基づいています。 それはそこに行き、実際にあなたが選択した間隔に基づいてそこに行くジョブを作成します。 毎週、毎日、毎月、やりたいと思います。 そこに出て、そのジョブを実行し、インスタンスからデータを収集します。 その時点で、管理サービスと収集サービスに負荷が戻ります。比較などをすべて開始すると、データベースの負荷はその役割を果たしません。 比較とすべてのレポート作成などを行う限り、そのすべての負荷は管理および収集サーバー上にあります。 データベースにアクセスするのは、実際のスナップショットを実行しているときだけです。 また、実稼働環境に実際に有害であるという報告もありません。
エリック・カバナ：ええ、それはあなたがそこに作る良い点です。 基本的に、撮影するスナップショットの数、その時間間隔、およびそれが何であるかに応じて設定することができますが、それは非常にインテリジェントなアーキテクチャです。 それは良いことだ、男。 さて、皆さんはショーの最初の25分間で話し合ったすべてのハッカーから私たちを守ろうとしている最前線にいます。 そして、彼らはそこにいます、人々、間違いを犯しません。
さて、聞いてください、このウェブキャストへのリンクをアーカイブ、私たちのサイトinsideanalysis.comに投稿します。 SlideShareでアイテムを見つけることができ、YouTubeで見つけることができます。 そして人々、良いもの。 あなたの時間をありがとう、イギー、あなたのニックネームが大好きです。 それでは、皆さん、お別れを申し上げます。 ご清聴ありがとうございました。 次回またお会いしましょう。 バイバイ。
