この記事は、InterSystemsCachéDBMSを食料品モードでインストールした経験を共有するために書かれました。 開発用のDBMSの構成が戦闘条件とは非常に異なることは誰もが知っています。 原則として、最小限のセキュリティ設定で温室条件で開発を実施する場合、ライブインターネットにプロジェクトを投稿するときは、攻撃的な環境でその信頼性の高い中断のない存在に注意する必要があります。





最近、あるプロジェクトで、CachéDBMSが2016年4月に採用されたPCI DSS 3.2ペイメントカード業界データセキュリティ標準の新版の要件にどのように準拠しているかを確認する必要がありました。

PCI DSSバージョン3.2 [5]に準拠したCachéDBMSセキュリティ設定

監督付き パラメータ パスワード 政治家	PCI DSS要件	システム管理ポータルの設定
パスワードを変更する前のユーザー認証。	8.3 パスワードと認証手順を調べ、電話、電子メール、Webアプリケーション、またはその他のリモート手段でパスワードを変更する前に、ユーザーが認証されていることを確認します。	[システム]> [セキュリティ管理]> [ユーザー]> [ユーザーの編集] > 二要素認証 認証では、携帯電話でSMSを使用して2要素認証を有効にできます。
各ユーザーに一意の初期パスワードを設定し、最初のユーザーログイン時にすぐに変更します。	8.2.6 各ユーザーに一意の初期パスワードを設定し、ユーザーが最初にログインしたときにすぐに変更します。	[システム]> [セキュリティ管理]> [ユーザー]> [ユーザーの編集] > 次回ログイン時にパスワードを変更する
パスワードの最大有効期限	8.2.4 90日間	[システムセキュリティ]> [システム全体のセキュリティパラメータ] パスワードの有効期限= 80
最小長 パスワード	8.2.3 7文字	[システムセキュリティ]> [システム全体のセキュリティパラメータ] パスワードパターン= 7.32ANP
パスワードの複雑さ	8.2.3 数字と記号	[システムセキュリティ]> [システム全体のセキュリティパラメータ] パスワードパターン= 7.32ANP
繰り返し禁止 古いパスワードを使用する	8.2.5 4つの古いパスワード	デフォルトでは、いいえ。 実装するには、外部認証を接続するか、アプリケーションコードを実装して機能を拡張します。 [システム]> [セキュリティ管理]> [ユーザー]> [ユーザーの編集]> パスワード検証ルーチン
無効な数を制限する 超過しようとすると、アカウントがロックされます	8.1.6 6回 8.1.7 期間 ロックなし 30分未満	[システムセキュリティ]> [システム全体のセキュリティパラメータ] 無効なログイン制限= 6 ログイン制限がある場合はアカウントを無効にします 到達済み=チェック済み

1.6非アクティブな接続ベースの切断の構成

非アクティブなユーザーセッションのデータベースを切断するための設定は、Cachéへの接続のタイプによって異なります。



TCPを介したSQLおよびオブジェクトアクセスの場合、パラメーターはコントロールポータルセクション[ホーム]> [構成]> [SQL設定]> [一般SQL設定]で設定されます。TCPキープアライブ間隔（秒）パラメーター：900に設定されます。 15分。



Webアクセスの場合、パラメーターは[ホーム]> [構成]> [CSPゲートウェイ管理]の[アクティビティタイムアウトなし]設定で設定されます。 デフォルト値を900秒に置き換え、「すべての接続にタイムアウトを適用する」オプションを有効にする必要があります。

2イベントロギング

2.1一般設定

監査イベントのログを有効にするには、CachéDBMSインスタンス全体でこのオプションを有効にする必要があります。 これを行うには、監査管理ページ[システム]> [セキュリティ管理]> [監査]のシステム管理ポータルに移動し、 [監査を無効にする]オプションが使用可能であり、監査を有効にするオプションが使用できないことを確認します含まれています。 逆は、監査がオフになっていることを意味します。



監査がオフの場合、メニュー項目「監査を有効にする」を選択して監査を有効にする必要があります。 イベントログの表示は、システム管理ポータルから可能です： [ホーム]> [セキュリティ管理]> [監査]> [監査データベースの表示]









イベントログを表示するためのシステムクラス（ユーティリティ）もあります。 次のデータがイベントログに記録されます。

• 日時
• イベントの種類
• アカウント名（ユーザーID）

監査データへのアクセスは、％DB_CACHEAUDITリソースによって制御されますこのリソースへのパブリックアクセスを無効にするには、パブリックのこのリソースのプロパティが読み取り（読み取り）および書き込み（書き込み）のために閉じられていることを確認する必要があります。 リソースのリストへのアクセスは、システム管理ポータル[ホーム]> [セキュリティ管理]> [リソース]> [リソースの編集]で可能です。その後、選択したリソースの[編集]リンクをクリックする必要があります。



デフォルトでは、同じ名前の％DB_CACHEAUDITロールがリソース％DB_CACHEAUDITに割り当てられます。イベントログへのユーザーアクセスを制限するには、このロールに属するユーザーのリストを確立する必要があります。これはシステム管理ポータルで実行できます。



[ホーム]> [セキュリティ管理]> [ロール]> [ロールの編集]そして、％DB_CACHEAUDITロールの[編集]ボタンを選択する必要があります。

2.2記録されたイベントタイプのリスト

2.2.1支払いカードのデータを含むテーブルへのアクセスのロギング（PCI DSS 10.2.1）

支払いカードのデータを含むテーブル（データセット）へのアクセスは、次のメカニズムを使用して記録されます。



1.システム監査メカニズム。支払いカードのデータの保存を担当するリソースへのアクセス権が変更された場合に、リソース変更タイプのイベントをイベントログに記録します（表示のための監査ログへのアクセスは、システム管理ポータル[ホーム]> [セキュリティ管理] > [監査]> [監査データベースの表示] ）;



2.アプリケーションレベルでは、個々のレコードへのアクセスを記録するために、システムにアプリケーションイベントを登録し、対応するイベントが発生するたびにアプリケーションプログラムから呼び出すことができます。



[システム]> [セキュリティ管理]> [ユーザー監査イベントの構成]> [監査イベントの編集]

2.2.2管理者権限を使用しようとするログ記録（PCI DSS 10.2.2）

すべてのユーザーのアクションはCachéDBMSに記録されます。ログ記録の方法は、記録するイベントを指定することにより構成されます

[ホーム]> [セキュリティ管理]> [監査]> [システムイベントの設定]すべてのシステムイベントを記録する必要があります。

2.2.3イベントログへの変更の記録（PCI DSS 10.2.3）

CachéDBMSは、単一の監査ログを使用します。これは、その内容とエラーの事実の自然な変更、ログのクリア、監査イベントのリストの変更などを除き、変更できません。これにより、対応するAuditChangeイベントがログに記録されます。



AuditChangeイベントロギングタスクは、すべてのイベントの監査を有効にすることで実行されました（2.2.2を参照）。

2.2.4失敗した論理アクセス試行のログ記録（PCIDSS 10.2.4）

論理アクセスを取得する試みの失敗をログに記録するタスクは、すべてのイベントの監査を含めることによって実行されました（2.2.2を参照）。



論理アクセスを取得しようとすると、監査ログに「LoginFailure」イベントが生成されます。

2.2.5システムへのアクセス試行のロギング（PCI DSS 10.2.5）

システムへのアクセスを取得しようとするロギングのタスクは、すべてのイベントの監査を含めることによって実行されました（2.2.2を参照）。



アクセスの取得に失敗すると、監査ログに「LoginFailure」イベントが生成されます。 監査ログにアクセスしようとする試みが成功すると、「ログイン」イベントが生成されます。

2.2.6監査パラメータの変更のロギング（PCI DSS 10.2.6）

監査パラメータの変更を記録するタスクは、すべてのイベントの監査を含めることにより実行されました（2.2.2を参照）。



論理アクセスを取得しようとすると、AuditChangeイベントが監査ログに生成されます。

2.2.7システムオブジェクトの作成および削除のログ記録（PCI DSS 10.2.7）

CachéDBMSは、ロール、特権、リソース、ユーザーというシステムオブジェクトの作成、変更、削除を記録します。



システムオブジェクトの作成と削除をログに記録するタスクは、すべてのイベントの監査を含めることで達成されました（2.2.2を参照）。



システムオブジェクトの作成、変更、および削除時に、イベント「ResourceChange」、「RoleChange」、「ServiceChange」、「UserChange」が監査ログに作成されます。

2.3イベントログの保護

％DB_CACHEAUDITリソースへのアクセスが制限されていることを確認する必要があります。 つまり、ログの監視を含む管理者または担当者のみが、このリソースを読み書きする権利を持ちます。



上記の推奨事項に従って、CachéDBMSを最大セーフモードでインストールしました。 8.2.5項「古いパスワードの再利用の禁止」のPCI DSS標準の要件への準拠を示すために、ユーザーがパスワードを編集して再使用されるかどうかを確認するときにシステムによって起動される小さなプログラムを実装しました。





そして、管理ポータルで、このプログラムの名前を保存します。









私の製品の構成は、セキュリティのレベルだけでなく、ユーザー数もテストのものとは異なることがわかりました。 それらの数千が戦闘で使用されました。 また、システムを管理するときに、既存の設定をコピーして新しいユーザーを作成することができませんでした。









DBMS開発者は、リスト出力を1000要素に制限しています。 私の標準は以下のどこかで失われ、リストに載りませんでした。 Intersystems WRCサポートサービスと相談した後、次のコマンドを使用してシステム領域に特別なグローバルノードを作成することで、この問題を解決できるという推奨事項を受け取りました。

 %SYS>set ^CacheTemp.MgtPortalSettings($Username,"MaxUsers")=5000
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

これにより、ドロップダウンリストに表示されるユーザーの数を増やすことができました。 このグローバルを調べてみると、現在のユーザー向けに他の多くの便利な保存設定が見つかりました。 ただし、不便な点があります。このグローバルには一時的なCacheTempデータベースへのマッピングがあり、再起動後に削除されます。 この問題は、システムをシャットダウンして起動時に復元する前にこのグローバルを保存することによってのみ解決できます。



このため、必要な機能を持つ2つのプログラム^％ZSARTと^％ZSTOPを作成しました。







そして、セキュリティと標準の要件に戻ると、バックアップ手順について言わざるを得ません。 PCI DSS標準では、データだけでなくイベントログのバックアップも必要です。 CachéDBMSでは、ログに記録されたすべてのイベントはCACHEAUDITデータベースに記録されます。このデータベースは、他のデータベースとともに、バックアップ用のデータベースのリストに含めることができます。



CachéDBMSには、すでにいくつかの既製のバックアップジョブがあります。

しかし、彼らはいつも私に合っていませんでした。 特定のプロジェクトでは、毎回、「すぐに使える」タスクにない機能が必要でした。 あるプロジェクトでは、古いコピーを削除する機能を備えたコピーの数の制御を自動化する必要がありました。 別の方法では、コピーする前に、将来のファイルの予測占有ボリュームを評価する必要がありました。 そして、バックアッププログラムを実装しました。





主な要望はすべて実装されています。古いものを削除してコピー数を制限し、新しいファイルのサイズを予測し、データベースのリストから選択または除外するさまざまな方法です。 システムにインポートし、タスクマネージャーを使用して新しいタスクを作成します。











そして、コピーしたデータベースのリストにデータベースを含めます。



すべての例は、CachéDBMS 2016.1バージョン用です。 例は情報提供のみを目的として提供されており、製品システムへのインストールは、深刻なテストの後にのみ行う必要があります。 上記のコードが誰かの仕事を助けてくれたり、エラーから私を救ってくれたら嬉しいです。



→ Githubのリポジトリ



この記事の準備では、次の資料が使用されました。

1. Cachéセキュリティ管理ガイド（InterSystems）
2. Cachéインストールガイド。 Cachéセキュリティの準備（インターシステムズ）
3. Cachéシステム管理ガイド（InterSystems）
4. Cachéの紹介。 Cachéセキュリティ（インターシステムズ）
5. PCIDSS.RU。 要件とセキュリティ監査手順。 バージョン3.2