河端善博 ブログ / SQL Server / PASSJ

HD革命 DISK Mirror ver.2
株式会社アーク情報システム

ヨドバシカメラ梅田店の地下で、説明員の方としばらく歓談してきました。
とても印象のいい方で、時折まじる大阪弁につい、長話。
結局、購入せずに帰ってきました。

さて、歓談した内容を簡単にまとめておきたいと思います。

商品概要:

　内蔵ハードディスクへの書き込みを、外付けUSBハードディスクへ
　ミラーリングするソフトウェア。
　内蔵ハードディスクの障害発生時には、専用のCD-ROM を使って、
　外付けUSBハードディスクからブートすることができる。

注意点:

　RAID 1 のミラーリングとは本質的に異なる。
　RAID 1 では、いずれかのハードディスクが損傷した場合も、
　運用し続けることができる。
　一方、DISK Mirror は、内蔵ハードディスクが故障した場合、
　運用を続けることはできない。
　書き込み内容を、外部HDDにも反映するだけと考えてほうがいい。

　また、Ver.2 は、システムドライブのミラーリングを手動で行う必要がある。
　リアルタイムにミラーリングできるのは、データドライブのみ。

　外付けHDDの接続方式サポートは、USB のみであり、eSATA 接続などは利用できない。

要望:

1.HDD故障時の動作の明確化

　内蔵ハードディスク、外付けハードディスクのいずれかが故障した場合、
　どちらが故障したのかを判断する基準がほしい。

2.S.M.A.R.T 情報の提供

　HDD故障を予知する情報を提供してほしい。

3.バックアップソフトとの連携

　HD革命シリーズのバックアップソフトを含めて、多くのバックアップソフトで
　バックアップする場合に、ミラーリングを停止する必要がある。
　少なくとも HD革命シリーズのバックアップソフトとは連携して動作してほしい。

4.システムドライブもリアルタイムミラーリングしてほしい。

5.ハードディスク暗号化ソリューションとの共存を明確にしてほしい。

　Vista の BitLocker や、秘文などのハードディスク暗号化ソリューションを
　利用できるのか確認してほしい。

6.セキュリティ対策ソフトとの共存を明確にしてほしい。

　セキュリティ対策ソフトは、かなり低レベルでの処置をするため、ぶつかりそうな。

7.「スリープ」「休止」時の動作も明確にしてほしい

8.eSATA 接続ハードディスクをサポートしてほしい。

　ノートPC であっても、ハードディスクは大幅に大容量化しているため、
　eSATA 接続が必要。

9.外付けHDD を内蔵HDDとして設置できるのか明確にしてほしい。

　故障発生時に、外付け HDD を取り外して、内蔵HDD とそのまま
　交換できるのであれば、復旧を短時間で終わらせることができる。

10.ミラーリングを停止させた状態で、外付けHDDの内容をみれるようにしてほしい。

　ミラーリングで使用する外付けHDDは、ドライブとして認識されないようになる。
　なにか大きなシステム変更をする場合、ミラーリングを一時停止してから、
　変更作業を行い、問題が発生した場合には、内蔵HDDと外付けHDDで
　ファイルを比較できればと。

11.SQL Server のデータベースが置けるのか、明確にしてほしい !

　たぶん大丈夫では、ちょっとね。
　VSS (Volume Shadow Copy) に対応しているんだろうか。

12. Vista 64bit に対応を.

以上です。

英語: SQL Server - Fact Checking Recent Vulnerability History (Jeff Jones, 2008/3/5)
日本語: SQL Server (niwaka さんによる翻訳)

マイクロソフト Jeff Jones さんによる SQL Server のここ数年の脆弱性状況の報告です。
niwaka さん、翻訳ありがとうございます。

結果は、本文のとおり。
多くの痛い経験を積んだ SQL Server チームは、SDL を導入し、セキュアなデータベースを作る体制を築いたことを確認できます。

マイクロソフト セキュリティ アドバイザリ (951306)
Windows の脆弱性により、特権の昇格が行われる
(2008/4/18)

このセキュリティアドバイザリへの回避策について、ご注意いただければと思います。

IIS 6.0 を利用している場合、サービス「MSDTC」の停止が推薦されています。
Windows の管理ツール「サービス」では、次のようになっているサービスです。

サービス名: MSDTC
表示名: Distributed Transaction Coordinator
説明:
　データベース、メッセージ キュー、またはファイル システムなど、
　複数のリソース マネージャに分散されたトランザクションを
　調整します。
　このサービスが停止すると、これらのトランザクションは開始できません。
　このサービスが無効な場合は、このサービスに依存するサービスは開始できません。

説明にあるように、MSDTC は、非常に多くのサービスから利用されているサービスです。
このため、MSDTC の停止は、多くのアプリケーションを停止させる可能性があります。

「回避策の影響」をよくご確認の上、自社のシステムが MSDTC を利用しているかどうか、
ご確認されることをお勧めします。

【MSDTC 利用の確認方法】

　MSDTC を「停止」させます。
　自社のアプリケーションをひととおり、操作します。
　MSDTC が「開始」されているかどうかを確認します。

　MSDTC が開始されている場合、アプリケーションから利用されていることになります。

SQL インジェクション攻撃とその対策
(マイクロソフト, 2008/4/30)

SQL インジェクション攻撃による Web 改ざんが多発しているようです。
主に、IIS, ASP, ASP.NET, SQL Server で構築された Web システムがターゲットとなっています。

Web 改ざんが発生した場合、Web サイトを閲覧した方のコンピュータがウィルスに感染する可能性があります。
マイクロソフトをはじめ、セキュリティ関連団体が注意喚起を行っていますが、改ざんは増え続けているようです。

開発者、技術者の方々は、早急に関連情報を確認されることをお勧めします。

【最初に注意】

　改ざんされた Web を、参照するなら、感染してもいいマシンで行うこと。

　SQL インジェクションに関連する情報を読むと、感染しているサイトを特定のキーワードで検索できることがわかります。
　しかし、感染している可能性がある Web サイトを見にいくことはお勧めしません。
　見に行くのであれば、感染してもいいコンピュータを用意した上で、見に行ってください。

　攻撃側は、あなたの防御対策の上を行っているかもしれないためです。

ここでは、それぞれの立場の方々に向けて、注意を整理させていただきます。

【経営者の方々】

　自社の Web サイトにて改ざんが発生した場合、自社の顧客の PC がウィルスに感染することになります。
　もちろん、お客様がそれぞれ十分なセキュリティ対策をしていれば感染しない場合もありますが、すこしでも対策が漏れたお客様が被害にあわれる可能性があります。

　さらに、改ざんされた場合、自社の Web サイトが、Live Search, Google, Yahoo などの検索から除外される可能性があります。
　検索サービスを提供する各社は、利用者保護のため、改ざんされている Web サイトを検索から除外しているようです。このため、御社のサイトが検索されなくなる可能性があります。

　次に、自社Web サイトへの攻撃の有無の確認、自社の Web アプリケーションの対策状況の確認をされるとともに、ご利用のファイアウォール製品などで本当に防ぐことができるのか、確認されることをお勧めします。

【運用管理者の方々】

　まず、攻撃の状況を確認されることをお勧めします。
　たとえば、IPA から iLogScanner により Web アクセスログから攻撃の状況を確認することができます。
　ただし、iLogScanner で検出されなかったとしても、攻撃がなかったことにはなりません。
　次に、現在の Web アプリケーションの対策状況、データベース内の改ざんの状況の確認をお勧めします。
　あわせて、ご利用のファイアウォール製品などで本当に検出、防御できるのかメーカーに確認されることをお勧めします。
　なお、ASP と VBScript で開発した Web サイトは、エラー処理があまい場合が多く、危険性が高くなります。

【Web アプリケーションを運用される方々】

　市販の Web アプリケーションを利用されている方々、オープンソースやフリーのものも含みます。
　こうした Web アプリケーションを自社サーバや、ホスティング上で利用されている方は、開発元、販売元に確認し、適切なバージョンを利用しているかを確認します。

　次に、攻撃の状況を確認されることをお勧めします。

【開発者の方々】

　まず、攻撃の状況を運用管理者に確認されることをお勧めします。
　すでに提供済みの Web サイトについても、保守範囲であれば確認されることをお勧めします。
　次に Web アプリケーションの対策状況の確認をお勧めします。

　次に、利用しているフレームワーク、コントロールなどのライブラリが適切に対応されているか提供元に確認されることをお勧めします。適切な保守が行われていないものは、脆弱性が存在する可能性があります。

【ホスティング利用者の方々】

　まず、攻撃の状況を確認されることをお勧めします。
　たとえば、IPA から iLogScanner により Web アクセスログから攻撃の状況を確認することができます。
　ただし、iLogScanner で検出されなかったとしても、攻撃がなかったことにはなりません。
　攻撃の可能性があった場合は、Web サイトを構築した方と相談されることをお勧めします。
　次に、データベースが改ざんされていないかを確認します。

【開発者で、セキュリティについて自身がない方】

　Web サイトを公開する前に、マイクロソフト, IPA などで提供される対策情報の確認をお勧めします。
　下記のオンライントレーニングもお勧めします。

　「開発者向け セキュリティ オンライン セミナー」
　https://www.microsoft.com/japan/msdn/security/seminars/default.aspx

【一般の方】

　まず、今回の攻撃では、問題のある Web サイトを表示しただけで、感染する場合があります。
　さらに、感染したことに、特に気付かない場合があります。
　ふつうに Web を見れる場合もあります。
　このため、通常の PC 利用で、なにかいつもと違うと感じられる場合は、ウィルス対策ソフトで、PC を完全にスキャンするなどの確認や、運用管理者に確認を行うことをお勧めします。

　次に、Windows Update を確実に行い、セキュリティ対策製品の更新を確実に行ってください。
　Firefox, Safari などのブウラザ、Acrobat, Flash, Java ランタイム, Google ツールバー, Yahoo ツールバー, QuickTime などブラウザのアドイン製品もすべて、確実に最新版にしてください。
　最新版にできない場合、感染する可能性があると考えてください。
　攻撃側は、複数のウィルスをまとめて送りこんでくるためです。

　次に、いつも利用している Web サイトや、絶対に安全そうな企業や政府の Web サイトであっても、改ざんされている可能性があることを認識してください。
　もし、Web サイトのおかしな動きを確認した場合は、運用管理者や、Web サイトのサポートに問い合わせることをお勧めします。

以上です。

【SQL インジェクション注意点】

1. Windows, IIS, ASP, ASP.NET, SQL Server そのものの脆弱性が問題ではない

　SQL インジェクションの Web サーバへの攻撃は、SQL Server に脆弱性があるためではありません。
　ASP などで構築した Web アプリケーションそのものに問題があります。

2. Windows, IIS, ASP, ASP.NET, SQL Server のシステムだけが問題ではない

　攻撃は、Linux, Apache, PHP, MySQL などを利用したシステムでも、行われる可能性があります。

3. クエリー引数だけが対象ではない

　攻撃は、http://localhost/test.asp?value=xxxxxx の value= の部分のようにクエリー引数を改ざんして行う場合が、はっきりと Web アクセスログに残りますが、これだけではありません。
　POST の値、Referer や User-Agent などHTTP ヘッダーの値、Cookies の値など、すべてが対象となります。

4.ファイルは改ざんされていない

　Web サーバ上のファイルは改ざんされない場合があります。
　攻撃によって、データベース上のテーブルのレコードの一部に文字列が埋め込まれる場合があります。
　この場合、ファイルは一切変更されません。
　このため、既存のファイル改ざんを検知するソフトウェアでは、検知できません。

5.攻撃の状況は変化している

　攻撃は、数年前から行われてきましたが、2007年末から一気に多くなり、どんどん攻撃対象が拡大しているようです。

6.改ざんされていなくても、漏えいしている可能性がある

　改ざんが成功していない場合も、データベースの情報の漏えいが発生している可能性があります。

7.改ざんされたサイトの総数はわからない

　検索サイトでは、改ざんされた Web サイトを検索から除外しているようです。
　このため、実際に改ざんされた Web サイト数は、専門の調査会社でないとわからないようです。

以上です。

ご注意いただければと思います。

マイクロソフトの製品で使われている用語を検索できるサイトが公開されました。

マイクロソフト ランゲージ ポータル

おもに次の機能があります。

• 製品用語の検索
• 用語へのフィードバック
• 言語スタイル ガイドのダウンロード
• 担当者のブログ 「日本語ターミノロジストのブログ」

特に、「製品用語検索」は、英語での用語を日本語にどう置き換えればいいかを確認することができます。
英語の掲示板を活用する時や、英語の製品の日本語リソースを作成する時、などに活用できます。

今後、日本語から英語を検索する機能も提供が予定されている ? かも。

2008 MVP Global Summit では、この部門の担当の方とお話する機会もあり、いくつか要望を上げさせていただきました。

先週、シアトルで開催された MVP Global Summit に参加しました。
毎年、世界中から、マイクロソフト MVP があつまり、製品、技術、コミュニティ活動について、熱い議論を重ねます。

今年も、世界にいる 4,000 名のうち、1,700 名が集まりました。
日本からは、80名弱が参加。
セッション数は、500 を超え、朝 9:00 から、夕方の懇親会、さらにはホテルに戻って明け方近くまで。

元気をもらう

毎回参加しておもうのは、「とっても元気をもらえる」こと。
ヨーロッパ、カナダなど、世界の技術者との会話。
マイクロソフトの製品担当者、開発者、セールス、マーケの方々との会話。
そして、日本からこられている MVP の方々との会話。
いずれも面白く、ふと気付くと 3:00am を回っていたり。

この体験をぜひ、PASSJ のみなさんと共有していければと思います。

※セッションの内容は、機密保持契約 (NDA) で縛られてますので、
　個別に担当者に連絡をとり、コミュニティにフィードバックする許可を得て、公開させていただきます。

参考: Microsoft MVP (Most Valuable Professional)

マイクロソフトの Sara さんが、毎日 Visual Studio のワンポイントをブログにまとめています。

• 日本語: Visual Studio ワンポイント
• 英語: Sara Ford's Weblog

著者の Sara さんとは、先週シアトルで行われた 2008 MVP Global Summit でお会いしました。
とっても笑顔のすてきな Sara さんが、2007年7月から毎日ひとつ、TIPS を紹介されています。
開発裏話もたのしいですね。

英語版は、今日の時点で 198。
日本語版は、今年の4月から翻訳が始まっています。

Windows Vista 用のサイドバーガジェットもありますので、よろしければどうぞ。

• 英語: Visual Studio 2008 Tips of the Day

※日本語版も、もうすぐ提供がはじまるのではないかと思います。

そそ、Sara さんは、空手をライフワークにされているそうです。 (Tags: Karate)

今回のアフタースクールでは、SQL Server のバックアップ、復旧以外についてもご紹介させていただきました。
多様な障害と、復旧要件に対して、多くのソリューションが提供されています。

そこで、こうしたソリューションを SQL Server 復旧という視点から評価を進めていく予定です。

対象製品:

• Windows Vista 「バックアップと復元センター」
• Windows Server 2008 「Windows バックアップ」
• Micrsosoft System Center Data Protection Manager
• Symantec Backup Exec
• TrueImage
• Windows Strage Server
• 各種 SAN, iSCSI ソリューション

ご関心がある方がいらっしゃいましたら、ぜひ相談させていただければと思います。

マイクロソフトの製品について、日本語で開発担当者へ要望やバグ報告ができるようになったことをご存知でしょうか。

Visual Studio & .NET Framework
プロダクト フィードバック センター

マイクロソフトのシアトル本社など、直接製品開発に携わっているチームに、要望やバグを伝えることができます。
それも、日本語で。
日本人技術者の気持ちをわかる、翻訳担当者が、日本語と英語をつなぎます。

現在、Visual Studio と .NET Framework のみのサービスとなっています。
今後、SQL Server もサービスされるよう、要望していきたいですね。

なお、ご利用にあたっては、FAQ などをご一読ください。
サポートセンターではないので、ご注意。

投稿するときのポイントは、「あなたにとっての痛さ」。
要望の場合は、そうなっていないことで、どれだけ苦労が発生しているのか。
バグの場合は、そのバグによって、どれだけ問題が発生しているのか。
ぜひ、現場の気持ちを伝えていただければと思います。

マイクロソフトでは、技術者の方々への支援策として、技術情報の大幅な拡充を計画されています。

「あなたの欲しい技術情報」
締切: 2008/4/4(金)

この機会に、ぜひ投票を !
もちろん Q2 の「データアクセス」に, 1票を。

フリーコメントにもしっかり書き込むことをお勧めします。

【参考】

• プレスリリース 2008/3/5
  ITエンジニア向けの技術支援活動を「Power to the PRO Next」を通じて強化

【ITPro エバンジェリストの方々からメッセージ】

• 長坂さん 「あなたにとって必要な技術情報を教えてください」
• 田辺さん 「技術情報の整備拡充に関するアンケートにご協力お願いします」
• 高添さん 「How-to 系コンテンツの提供形式について、 あなたにとって最も利用しやすい形式はどれですか？」
• 奥主さん 「【Power】 あなたにとって必要なMS技術情報は？」
• 安納さん 「マイクロソフトは【日本語】による情報提供について真剣に考えています」

先週末、PASSJ アフタースクールへ多くの方にご参加いただくことができました。
年度末の大変お忙しい中、ありがとうございます。

PASSJ アフタースクール「データベース復旧講座」
2008/3/29(土)

今回のセッションでは、復旧の現場に必要とおもわれる情報をご提供させていただきました。
より多くの現場に対応できるよう、調査していきたいと思います。
ご意見、コメントがありましたら、ぜひ、お寄せいただければと思います。

今回、それぞれの障害分類について、体験された方々に挙手いただき、意見をいただくことができました。

　【挙手いただいた項目例】

• ハードディスク破損を体験された方
• ハードディスクが続けて破損することを体験された方
• RAID コントローラ故障を体験された方
• サーバーのメモリエラーを体験された方

メモリエラーを体験された方が、半数近くいらっしゃったのは、驚きとともに、認識を新たにしました。
メモリエラーは、パリティ付き ECC メモリが絶対必要ですね。
クライアントPC への ECC メモリ導入も検討していきたいと思います。

RAID コントローラ障害も、多かったですね。
RAID コントローラ障害は、ハードディスク全体の破損を意味します。
ベアメタル リステムリカバリも含めて、対策をしっかり考えておく必要があります。

RAID を組んだ状態で、ハードディスクが連続して故障した方も、多数いらっしゃいました。
故障した後、ハードディスクを購入しにいっている間に、もう一台故障してしまった方も。

どの方の SQL Server も、何かあったらすぐに復旧できなければならないものばかり。
より多くの現場で、安心できるように情報提供していければと思います。

PASSJアフタースクールで紹介させていただいた動画です。

難問解決の達人 (シマンテック, サウンドあり)

データベースのバックアップと復旧に取り組んでいる方には、共感するところがあると思います。
なお、決して復旧の最中に見ないように。

先週末開催の PASSJ アフタースクールイベントのあと、ご質問いただきました。

質問: Audit Schema Object Access Event で select ステートメントの実施を監査できるか ?

はい、正しくイベントが得られることを確認しました。

　【確認した SQL Server バージョン情報】

• SQL Server 2005 (9.0.3215)
• SQL Server 2008 (10.0.1300) 2008 Feb CTP

もし、うまく拾えない場合、次の点を試してみていただければと思います。

　【確認する点】

• 「列フィルタ」を指定しない。 (ただし ApplicationName にデフォルトで設定されているものを除く)
• "Errors and Warnings" イベントグループをすべて選択してみる。
• "Security Audit" イベントグループをすべて選択してみる。

なお、再検証していて、監査という面で SQL Server の機能が扱いにくいように思われました。

SQL Server Data Services?(英語)
略称: SSDS

SQL Server データサービスのベータ公開が始まったようです。

　SQL Server 「データサービス」 ?

そう、Windows Live Mail, Skydrive?などのように SQL Server もインターネット経由で使うるようになるようです。
いやいや、面白いことになりましたね。

まだ、詳しくは見ていませんので、ちょっと想像:

データは全部 SSDS に入れてしまえるのであれば、あとは Windows Forms や ASP.NET などのアプリケーションを配布するだけ ?
SQL Server の運用管理負担なく、アプリケーションから使えるようになる ?
会計ソフトなどの業務アプリケーションも安心 ?

Reporting Services や BI 部分まで提供するかな ?
逆に ローカルの Reporting Services で SSDS のデータのレポートを作成できるようになる ?

Access のデータストアを SSDS にできると、さらに面白い ?
Excel 用のアドインもできるかもしれませんね。

Vista をSP1にしてから、一週間が経過しました。

Vista SP1 は、◎

自分で業務に使ってみた感想は、お勧めです。
いくつか懸案事項もあるようですし、SP1 のインストールに数時間かかる場合がありますが。

そこで、Vista SP1 の気に入った点をまとめてみました。

【Vista SP1 お気に入りポイント】

1. 休止状態からの復帰がスムーズに。
2. リモートデストップがスムーズに。

まず、ノートPC を持ち歩いていますので、復帰がスムーズになりました。
最近、復帰させた後、数分間、使えない状況が続いていました。
しかし、SP1 適用後は、短時間で作業を始められるようになりました。
大幅なストレス解消。

それから、リモートデスクトップでのクリップボードを使った「コピー」「貼り付け」でミスが大きく減りました。
これまで、リモートデスクトップでコピーしたはずなのに、ローカルコンピュータで、貼り付けてみたら、コピーが転送できていない !? なんてことが、頻繁にあり、ストレスの原因になっていました。
今回のバージョンアップで、このクリップポードが転送されていないという現象が、ほとんどなくなりました。
これも、大幅なストレス解消となっています。

あと、気持ですが、リモートデスクトップのパフォーマンスが上がっているように思われます。

Vista SP1 を検討中の方々への参考になればと思います。

今回の CTP 6 は、日本語用の照合順序が追加されています。

【クイズ】 追加された日本語用の照合順序は ?

ぜひ、見つけてくださいね。

なお、インストール時の照合順序の指定は、ステップ「サーバーの構成」で行います。
サービスアカウントを設定する画面で、タブを切り替えると、照合順序を指定できます。

照合順序の初期値は、SQL_Latin1_General_CI_AS になっています。
日本語 SQL Server 環境として評価される場合は、かならず「照合順序」を設定することをお勧めします。

【ヒント】

• 「日本語関連 CompareInfo と、部首画数での並べ替え」 (2007/7/27)

インストールするためには、まず、前の CTP をアンインストール。

というわけで、なかなかインストールが完了しません。
一回目のインストールでは、データベースエンジンなどいくつかのコンポーネントが失敗。

さて、またやってみよう。