ゲートウェイ侵害を前提としたレガシーデータベースの保護に関する技術白書を公開しました

クラウドゲートウェイが完全に侵害された場合に、レガシーデータベースへの被害をどこまで抑えられるかを整理した技術白書「ゲートウェイ侵害を前提としたレガシーデータベースの保護」を、日本語・英語で公開しました。

本白書では、データベースへの直接接続、固定SQLテンプレート、広いバックエンドアクセス権限、業務データの複製・キャッシュ、汎用コネクタ、オンプレミスエージェントを用いたケイパビリティベース方式の6方式を比較しています。

特に、データベース認証情報と生SQLの保護、未定義操作の拒否、入力検証、行数・応答サイズの制限、出力フィルタ、データベースの最小権限などの観点から、侵害後も機能しうる防御と、信頼できなくなるゲートウェイ側の統制を整理しました。また、26シナリオのローカルシミュレーションを通じて、防御の効果と残存リスクを例示しています。

本白書は、ゲートウェイ侵害を無害にできるものではないことを前提に、読み取り中心のレガシーシステム連携では、狭いケイパビリティをオンプレミス側で強制し、データベースの最小権限を組み合わせる設計が、比較した方式の中で被害範囲の縮小に最も適すると結論づけています。一方、通過中の平文データの閲覧、既存操作の悪用、ログ改ざん、サービス停止などのリスクも明示しています。

詳細は研究ページをご覧ください。