河端善博ブログ / SQL Server / PASSJ

検証: SQL Server 2008 の新しい照合順序に対して、ODBC, OLEDB ドライバの修正プログラム

河端善博 — Thu, 25 Sep 2008 17:32:00 GMT

修正プログラムを検証しました。

SQL Server 2008 の新しい照合順序に対して、ODBC, OLEDB ドライバの修正プログラム
 KB 954920
(2008/9/24)

System.Data.Odbc, System.Data.OleDb を利用して、新しい照合順序 Japanese_Bushu_Kakusu_100_CI_AS に設定したデータベースに接続した場合、次のエラーが発生します。

System.Data.Odbc.OdbcException:
ERROR [42000] [Microsoft][ODBC SQL Server Driver][SQL Server]
USE database ステートメントが失敗しました。
データベースの照合順序 Japanese_Bushu_Kakusu_100_CI_AS は、
古いクライアントドライバでは認識されません。クライアントの
オペレーティングシステムをアップグレードするか、データベース
クライアントソフトウェアにサービスの更新を適用するか、
別の照合順序を使用してください。
照合順序の変更の詳細については、SQL Server オンラインブックを参照してください。

今回の修正プログラムを適用することにより、このエラーに対策できることを確認しました。

なお、評価にあたって、注意点があります。

SQL Server 2005 の sqlcmd, osql は、修正されない (らしい)

この修正プログラムを適用後も、SQL Server 2005 の sqlcmd.exe, osql.exe ではエラーが発生します。
手元の環境は、SQL Server 2005, SQL Server 2008 の両方をインストールしていたので、評価に手間取りました。

　例:
　　CD C:\Program Files\Microsoft SQL Server\90\Tools\Binn
　　.\sqlcmd -E

複数の SQL Server バージョンをインストールしている場合、環境変数 PATH の設定が古いバージョンを優先している可能性がありますので、ご注意いただければと思います。

SQL Server 2008 の新しい照合順序に対して、ODBC, OLEDB ドライバの修正プログラム

河端善博 — Wed, 24 Sep 2008 21:54:00 GMT

やっぱり、SQL Server 2008 の新しい照合順序に対して、問題があったようです。
ODBC, OLE DB ドライバが提供されています。

KB: 954920
(日本語) アプリケーション、結果セットから SQL Server 2008 新しい照合順序を要求すると、"MSG 40242"または"MSG 40205"が表示される場合があります SQL Server の ODBC ドライバを使用するとエラーまたは、[MSG 40234"エラーが、SQL OLE DB プロバイダが使用されます
(英語) When an application requests a result set from new SQL Server 2008 collations, you may receive an "MSG 40242" or "MSG 40205" error when the ODBC driver for SQL Server is used or an "MSG 40234" error when the SQL OLE DB provider is used
(2009/9/24 時点で、日本語は機械翻訳)

なお、これを導入することにより、SQL Server 2000, 2005 や Excel, Access などの Office 製品に影響が出る可能性があると思われます。
修正プログラムを適用する場合は、事前に十分にテストすることをお勧めします。

リモートデスクトップの画面をウィンドウに合わせて縮小表示する方法 "smart sizing"

河端善博 — Thu, 11 Sep 2008 11:45:00 GMT

リモートデスクトップ接続のウィンドウを縮小すると、通常は画面の一部を表示する状態になります。
これを画面の縮小表示にする方法をご紹介します。

RDP ファイルに smart sizing:i:1 を追加

リモートデスクトップの接続設定を RDP ファイルに保存します。
そのあと、RDP ファイルをメモ帳で開いて、一番下に一行追加します。

smart sizing:i:1

追加が終わりましたら、ファイルを保存します。
以上で終了です。
この RDP ファイルを使って接続すると、ウィンドウのサイズに合わせて画面が縮小されるようになります。

リモートデスクトップの接続設定の画面では、この Smart Sizing の設定を行えませんので、RDP ファイルを直接編集してください。

参考:

"Smart-Sizeing" the TS Client (2008/8/7 Terminal Services Team blog)
IMsRdpClientAdvancedSettings::SmartSizing Property (MSDN ライブラリ)

※この情報を提供いただいた syu5 さんに感謝します

SQL Server Profier の一時ファイルのサイズに注意

河端善博 — Tue, 09 Sep 2008 19:00:00 GMT

SQL Server 2005 の SQL Server Profiler は次の場所に一時ファイルを作成します。

SQL Server Profiler 一時ファイル
C:\Documents and Settings\ユーザー名\Local Settings\Temp\*.tmp
(Windows Server 2003 利用時)

たくさんのプロファイルを取得していると、一時ファイルのサイズが大きくなります。
C ドライブの空き容量いっぱいまで使ってしまう可能性もあります。

プロファイル作成時は、ご注意いただければと思います。

マイクロソフトエバンジェリストの方々の新しいポータル: マイクロソフトテックフィールダーズ

河端善博 — Thu, 04 Sep 2008 20:52:00 GMT

IT エンジニアにわかりやすい情報を発信されているマイクロソフトエバンジェリスト。
新しい活動のポータルの開設。

マイクロソフトテックフィールダーズ

活動報告、コラム、ブログが、見やすくまとまっています。
Tech Ed 2008 Yokohama では、高添さんと、奥主さんのセッションを拝見させていただきました。

奥主さんのコラム【プロの DBA ではない方に贈る「あらためて SQL Server」】は、とても楽しみです。

補足:

1.要望: 活動報告と、コラムの RSS がほしいな。

2.要望: Internet Explorer 7 以外のブラウザに対応したデザインにしてほしいな。

　Firefox 3.0.1, Safari 3.1.2, Google Chrome 0.2.149.27 でも、このサイトを見てみました。
　IE では表示されない、余分な罫線がエバンジェリストブログの一覧で表示されています。
　IE では表示されているサイドメニューと本文の間の縦線が、消えてしまっています。
　サイドメニューの文字サイズが、とっても小さくなっています。
　画面上部の検索欄の右側にあるボタン「Web」の周りの緑が、Firefox, Safari で微妙に段違い。

お勧め書籍: Unicode による JIS X 0213 実装入門 (著者 MS 田丸健三郎)

河端善博 — Thu, 04 Sep 2008 15:48:00 GMT

JIS X 0213:2004 について、しっかりした解説がほしかった方。
いよいよ、マイクロソフトから提供されました。

書籍: Unicode による JIS X 0213 実装入門
発行: 日経BPソフトプレス
著者: マイクロソフト田丸健三郎
定価: 2,300-
ISBN: 978-4-89100-608-2
ページ数: 200

Unicode, JIS X 0213, 追加面の文字、サロゲート、結合文字、メイリオ, UTF-8, UTF-16, Shift_JIS, iso-2022-jp フォントリンク, API など、文字処理に関係する技術が詳しく紹介されています。
Windows 3.1 から Vista, Windows Server 2008 に至るまで文字コードの扱いの歴史が、解説されているのもいいですね。゛い
また、本書は半分以上が付録。Win32 API, C, T-SQL などを使ったサンプルコードと、文字の一覧が掲載されています。文字の一覧をみながら、いろいろ考えられます。

関連イベントの開催も予定されていますので、あわせて申し込まれてはいかがでしょうか。

イベント: Unicode による JIS X 0213 実装～情報システムにおける日本語処理～
日時: 2008/10/16 (木) 19:00-20:30
場所: マイクロソフト小田急サザンタワー
講師: 田丸健三郎

さて、あと、読んでいて改善してほしいなと思った点もまとめておきます。

【この書籍へ改善提案】

1.キーワード「追加面の文字」と「サロゲート」をより使い分けてほしい。

　本書中の「サロゲート」というキーワードは、多くの場合、「追加面の文字」と標記したほうがいいと思われました。

2.キーワード「Unicode」と「UTF-16」をより使い分けてほしい。

　本書中で、Unicode と表記しているところの多くが UTF-16 と標記したほうがいいと思われました。

3.「結合文字」について、より広範に具体的に記述してほしい。

　結合文字は、とても多くの機能やパターンがあり、Shift-JIS にはないもののため。
　三文字以上の結合文字も含めて、具体的に解説がほしいと思われました。

4.「正規化」について、記述してほしい。

　Unicode 正規化は、結合文字などの処理で重要と思われますので記述がほしいと思われました。

5.「重み」「照合順序」について、詳しい記述がほしい。

　「重み」「照合順序」は、SQL Server の解説の中ですこし触れられているだけ。
　Windows, Office 製品でも影響するキーワードであり、SQL Server 2008 ではさらに、
　多様になったため、より具体的な記述がほしいと思われました。

6.他社製品、他の企画との関係がほしい。

　Adobe の文字規格との関係、Flash, Apple Mac OS との関係, ATOK, プリンタ, 携帯電話や Xbox, PS3 などゲーム機での文字コード状況も、インターネットを経由してすべて関係する時代であるので、情報がほしいと思われます。

7.誤字脱字を訂正してほしい。

　数か所、誤字脱字がありました。

8.壊れた UTF-16 文字列の処理方法も明記してほしい。

　セキュリティ上、UTF-16 で、ペアになっていないサロゲート文字が使われた場合、Windows がどのように処理するのかも明確にしていただければと思います。
　同様に壊れた Shift-JIS, iso-2022-jp, UTF-16, UTF-32 も。

さて、イベントに参加するのが楽しみです。

バックアップの圧縮と暗号化を提供する Lite Speed for SQL Server 4.8.4 の評価記事

河端善博 — Fri, 08 Aug 2008 10:16:00 GMT

PASSJ 会員の方による SQL Server 用バックアップソフト評価レポートのご紹介です。

対象ソフトウェア: LiteSpeed for SQL Server 4.8.4 (QUEST SOFTWARE)

レポート:　第一弾 (和田さん), 第二段 (篠田さん)

パックアップ時の圧縮と暗号化の性能、パフォーマンスへの影響、使い勝手がわかりやすく報告されています。
SQL Server 2000, 2005 をお使いの方、ご参照いただければと思います。

SQL Server 2008 のエディションは、 9 種類

河端善博 — Mon, 04 Aug 2008 18:59:00 GMT

SQL Server 2008 のエディションは、下記のとおりです。

エディション一覧:

SQL Server 2008 Enterprise
SQL Server 2008 Standard
SQL Server 2008 Workgroup
SQL Server 2008 Web
SQL Server 2008 Developer
SQL Server 2008 Express
SQL Server 2008 Express with Tools
SQL Server 2008 Express with Advanced Services
SQL Server Compact 3.5

参考:

Features Supported by the Editions of SQL Server 2008 (SQL Server 2008 オンラインブック)
SQL Server のエディションとコンポーネント (SQL Server 2008 オンラインブック)
SQL Server 2008 エディション別機能比較
SQL Server 2008 課題別エディション選択術
SQL Server 2008 Editions (英語)
Compare Editions - Enterprise and Standard (英語)
Compare Editions - Compact and Express (英語)
SQL Server 2008 Brochure (英語, PDF)

適当な一覧が見当たりませんでしたので、まとめました。
また、SQL Server Data Services のベータテストが開始されています。

※2008/8/25 SQL Server 2008 Express with Tools 追加

2008/8/1 : SQL Server 2008 出荷開始

河端善博 — Fri, 01 Aug 2008 16:35:00 GMT

いよいよ、SQL Server 2008 出荷開始です。

SQL Server 2008

はやく、ダウンロードできるといいな。

大量の insert 処理のパフォーマンスを改善する

河端善博 — Tue, 29 Jul 2008 20:41:00 GMT

マスターの一括更新など、大量の insert 処理のパフォーマンス改善方法です。

問題のパターン:

　マスター更新用のデータを CSV などから読み込み、1行単位で、
　insert into T1 (x,y,z) values('xx', 'yy', 'zz');
　という SQL 文字列を構築して、SqlCommand に設定し、
　ExecuteNonQuery メソッドで実行します。

　この結果、100 万行あれば、100 万回の ExecuteNonQuery を実行します。

改善ポイント:

複数行まとめて処理する
トランザクションにまとめる

ポイント 1, 2 は、次のようなクエリーをつくろうというものです。

　BEGIN TRAN;
　insert into T1(x,y,z) values ('x1', 'y1', 'z1');
　insert into T1(x,y,z) values ('x2', 'y2', 'z2');
　insert into T1(x,y,z) values ('x3', 'y3', 'z3');
　COMMIT;

ここでは、3行まとめた SQL 文字列を作成し、BEGIN TRAN/COMMIT で閉じています。
複数行をまとめることで、SQL Server の呼び出し回数を大幅に減らすことができます。
また、トランザクションにまとめることで、SQL Server の処理効率をあげることができます。

実際に運用する場合には、100 行単位程度でまとめるといいと思います。
実システムでテストしてみていただくことをお勧めします。

SQL Server 2008 をご利用の場合、一回の insert で複数行を処理をお勧めします。

VS2008, FxCop1.36 では、SQL インジェクション脆弱性のあるコード検出ルール CA2100 が削除された

河端善博 — Mon, 28 Jul 2008 19:21:00 GMT

CA2100 'ReviewSqlQueriesForSecurityVulnerabilities'

Visual Studio, FxCop のコード分析機能のうち、SQL インジェクション脆弱性の可能性のあるプログラムを検出するルール CA2100 は、Visual Studio 2008, FxCop 1.36 から削除されています。

これは、データフローを解析する処理である Analysis engine が、処理時間, 誤検知, 不具合などの理由により削除されたためです。
Analysis engine は、今後、新しく作り直され提供される予定だそうです。

詳しくは、Code Analysis のサイトをご参照ください。

msdn: Code Analysis

このページの「CodeAnalysisRules.xls」に VS2005, VS2008, FxCop 1.35, FxCop 1.36 で提供されるルールの違いがまとめられています。
なお、この情報は、msdn forum にて、Benson Yu - MSFT さんからいただきました。

事後アンケートへのお返事: 2008/7/5(土) アフタースクール大阪

河端善博 — Mon, 28 Jul 2008 19:05:00 GMT

先日開催させていただきました PASSJアフタースクール大阪でいただきましたアンケートに回答させていただきたいと思います。

「パフォーマンスチューニング入門講座」／「PASSJ から見る SQL Server の新機能」土曜1日集中コース
日時: 2008/7/5(土) 13:00 - 17:30
セッション:
　パフォーマンスチューニング入門講座 (小川貢)
　PASSJ から見る SQL Server の新機能講座 (河端)

■ 大阪開催を増やして !

　とても多くの方から、大阪開催を増やしてほしいというご意見をいただきました。
　さっそく、会場の手配をはじめました。
　そうそうに、ご案内ができるよう、がんばります。
　毎月 1 回、できるようにしていきたいと思います。

■ 画像の著作権は大丈夫 ?

　私のセッションで利用させていただいた画像は、Office 用としてマイクロソフトから提供されているものを利用させていただいております。

■ 時間配分をしっかりと

　調整させていただきます。
　大変お忙しい中、また休日の家族サービスを抜け出して、ご参加いただいている方もいらっしゃいますので、配慮させていただきます。

■ 質疑応答の時間がほしい !

　ぜひ作らせていただきたいと思います。

■ 事前アンケートを活用してほしい !

　はい、より参加者の方の状況、要望をしっかりと把握できるよう、事前アンケートの活用方法を改善させていただきます。
　また、事前アンケートから、どのような方が参加されているのか、参加者のみなさんと、差し支えない範囲で、共有させていただきたいと思います。

■ 平日開催も考えてほしい !

　休日は家族サービスですよね。
　平日開催についても、会場/講師を確保して、開催していきたいと思います。

■ 仕事を抜け出してきて、「目から鱗」

　ありがとうございます。
　私の体験が、すこしでも業務のお役に立てたらと思います。
　※ぜひ、みなさんの体験 !

■ もっと前に聞いていれば。

　コミュニティの場をきっかけに、今後に生かしていただければ幸いです。

■ アフタースクールの後、朝までシステムを修正していました !

　お疲れ様です。
　製品の品質アップへ、PASSJ の場を活用していただけることが、一番うれしいですね。

■ なんちゃって分析、まさに !

　現場の担当の方々の真実をこれからも、探していきます。

■ 「モニタ」「プロファイラ」「実行計画」の実例講習を !

　さっそく、検討させていただきます。
　えんえんと、実践にそった問題分析、クエリーアナライザをつかった SQL のチューニング。
　なんとか、まとめて提供させていただきたいと思います。

■ 参加することが、勉強のモチベーションへ

　同感です。
　もっと頻繁に開催して、たがいのモチベーションアップへつなげていけるよう企画していきます。

■ ホワイトボードの使い方, 上手 !

　ありがとうございます。
　ライブ感覚のあるお話で、理解を深めていただけるよう、努力していきたいと思います。

いただいたご意見の中から、一部ではありますが、回答とさせていただければと思います。
ここにご紹介させていただいていないご意見も、すべて今後に反映させていただきます。
今後ともよろしくお願いいたします。

SQL Server 2005 SP2 CU8 bug# 50002689 は、セキュリティ修正ではありません

河端善博 — Thu, 17 Jul 2008 19:56:00 GMT

SQL Server 2005 SP2 CU8 の bug# 50002689 は、セキュリティ修正ではなく不具合修正でした。

(日本語) SQL Server 2005 Service Pack 2 用の累積的な更新プログラムパッケージ 8
(英語) Cumulative update package 8 for SQL Server 2005 Service Pack 2

英語版のサポート情報は、文書バージョン 5.0 になっていて、50002689 の表現は、「FIX: Update for SQL Native Client」　と変更されています。日本語のサポート情報も修正になると思われます。

先日のブログで、本件について触れていました。

続: MS08-040 Microsoft SQL Server の脆弱性により、特権が昇格される (941203)
(2008/7/14)

SQL Server 2005 SP3 がリリースされた場合の SP2 延長サポート終了日

河端善博 — Tue, 15 Jul 2008 14:07:00 GMT

SQL Server 7.0, 2000, 2005 それぞれについて、次のサービスパックが提供された場合の現在のサービスパックの延長サポート終了日は次のようになります。

【 SQL Server 7.0 SP4 の延長サポート終了日の定義】
　1. SQL Server 7.0 SP5 リリースから 12か月後
　2. SQL Server 7.0 延長サポート終了日(2011/1/11)
　1-2 のいずれか早い日。

【 SQL Server 2000 SP4 の延長サポート終了日の定義】
　1. SQL Server 2000 SP5 リリースから 12か月後
　2. SQL Server 2000 延長サポート終了日(2013/4/9)
　1-2 のいずれか早い日。

【 SQL Server 2005 SP2 の延長サポート終了日の定義】
　1. SQL Server 2005 SP3 リリースから 12か月後
　2. SQL Server 2005 延長サポート終了日(2016/4/12)
　1-2 のいずれか早い日。

なお、現行のサービスパックが、次のサービスパック提供後サポートされる期間は、Windows の場合 24か月、その他は 12か月となります。
これまでは、それぞれの製品とSP単位に 12, 24 が決定されていたようですが、下記のブログにあるように製品グループ単位で決定するように2008年3月時点で変更になったようです。

参考:

Microsoft Support Lifecycle
What’s up with Service Pack support ?　(2008/3/21, Microsoft Support Lifecycle BLOG)

SQL Server 延長サポート終了日 (2008/7/15 現在)

河端善博 — Tue, 15 Jul 2008 12:00:00 GMT

MS08-040 リリースに伴い、SQL Server のセキュリティ更新がいつまで提供されるのかをまとめておきます。
セキュリティ更新が提供されるのは、「メインストリームサポート」「延長サポート」となります。
そこで、現時点での、延長サポート終了日をまとめます。

製品	延長サポート終了日
SQL Server 6.5	終了
SQL Server 7.0 SP3 以下	終了
SQL Server 7.0 SP4	2011/1/11
SQL Server 2000 SP3a 以下	終了
SQL Server 2000 SP4	2013/4/9
SQL Server 2005 SP1 以下	終了
SQL Server 2005 SP2	2016/4/12

なお、サービスパックが新たに提供された場合は、終了日が変更となります。

■参照

続: MS08-040 Microsoft SQL Server の脆弱性により、特権が昇格される (941203)

河端善博 — Mon, 14 Jul 2008 12:36:00 GMT

MS08-040 についてまとめておきます。

MS08-040 Microsoft SQL Server の脆弱性により、特権が昇格される (941203)
危険度: 重要
公開日: 2008/7/9
対象: SQL Server 2000, MSDE, SQL Server 2005, 他
情報: 管理者向け, 一般向け, サポート情報 KB941108

※PASSJメールニュース "Leader's Report" にもレポートしています。

■ 5年ぶり
　SQL Server の脆弱性対策としては 5年ぶりとなります。
　前回は 2003 年 MS03-031 になります。
　このため、SQL Server 脆弱性対策は初めての方も多いと思われます。
　更新作業そのものは、Windows Update でもできますが、
　事前のバックアップなど、十分に注意して作業することを
　お勧めします。

■ Windows Update に含まれる
　MS08-040 も Windows Update に含まれています。
　複数の SQL Server インスタンスを導入している場合は、
　かなり時間がかかることが予想されます。
　注意が必要ですね。
　他の更新とは、別に作業したほうがいいかもしれません。

■ 脆弱性以外の修正も含む
　MS08-040 には、脆弱性の修正以外にも大量の修正が含まれています。
　運用中のシステムに影響がでる可能性がありますので、
　下記の情報をあわせて参照することをお勧めします。

　上記のサポート情報に MS08-040 も追記される予定です。

■ 古いサービスパックは対象外
　MS08-040 がサポートするサービスパックは、最新の
　サービスパックのみです。

SQL Server 7 SP4
SQL Server 2000 SP4
SQL Server 2005 SP2

　古いサービスパックで運用している場合、
　サービスパックを更新するか、
　脆弱性があることを前提に守りを固める必要があります。

■ SQL Server 2005 SP2 CU7, CU8
　MS08-040 は、SQL Server 2005 SP2 以降の
累積修正プログラム CU7, CU8 に含まれています。

09.00.3257.00 SQL Server 2005 SP2 CU8

09.00.3239.00 SQL Server 2005 SP2 CU7

09.00.3233.00 MS08-040

09.00.3228.00 SQL Server 2005 SP2 CU6

　MS08-040 を適用した後に、CU7, CU8 を適用することもできます。

■ メーカー、開発元に要確認
　MS08-040 を適用する前に、SQL Server を利用する
　システムの開発元、メーカーなどに対応状況の確認を
　することをお勧めします。

■ CU8 には、SQL Native Client のセキュリティ更新
　SQL Server 2005 SP2 CU8 には、セキュリティ更新が
　含まれています。

　　SQL bug number = 951217

　これは、MS08-040 には含まれていません。
　詳細がわかりませんが、今後、Windows Update などで
　提供される可能性があります。

以上です。その他、気になる点がいくつかありますので、また追加していきたいと思います。

MS08-040 : Microsoft SQL Server の脆弱性により、特権が昇格される

河端善博 — Wed, 09 Jul 2008 12:30:00 GMT

本日 2008/7/9(水) 公開のセキュリティ更新プログラムには、数年ぶりに SQL Server 脆弱性への対処が含まれています。

MS08-040 Microsoft SQL Server の脆弱性により、特権が昇格される (941203)
危険度: 重要
公開日: 2008/7/9
対象: SQL Server 2000, MSDE, SQL Server 2005, 他
情報: 管理者向け, 一般向け, サポート情報 KB941108

なお、この修正プログラムには、脆弱性への対処だけでなく、多くの不具合への対応が含まれています。
現在、どの修正が含まれているのかを確認中ですので、わかり次第ご報告させていただく予定です。

参考: (SQL Server 2005 SP2 以降の累積修正プログラムとビルド番号)

09.00.3257.00 SQL Server 2005 SP2 CU8
09.00.3239.00 SQL Server 2005 SP2 CU7
09.00.3233.00 MS08-040
09.00.3228.00 SQL Server 2005 SP2 CU6

参加お礼: 2008/7/5 PASSJ アフタースクール大阪　「土曜1日集中コース」

河端善博 — Tue, 08 Jul 2008 19:52:00 GMT

多数のご参加ありがとうございました。

PASSJ アフタースクール大阪　「土曜1日集中コース」
日時: 2008/7/5（土） 13:00-17:30
セッション:
　「PASSJ から見る SQL Server の新機能」 (小川貢)
　「パフォーマンスチューニング入門講座」 (河端善博)

後ほど、事後アンケートをメールにて送付させていただきますので、
お気づきの点、ご感想をご記入いただければと思います。

もし、「よくわからなかった」という感想をお持ちの方は、
よろしければ、具体的に抱えている問題点、知りたいことを
ご記入いただければと思います。

大阪でのアフタースクールもぜひ増やしていきたいと思います。

なお、当日終了後、参加者の方々と韓国料理のお店で、
おいしい鍋料理「コプチャンチョンゴル」をつつきながら、
歓談させていただきました。

今後のネタ: 地理システムの活用、クリエーアナライザ実践

Hyper-V リリースを試してみました

河端善博 — Tue, 01 Jul 2008 18:54:00 GMT

Windows Server 2008 に待望の Hyper-V がリリースされましたので、試してみました。

PC: Intel Q6600 x 1, MEM: 8GB, HDD 1TB x 2
Host OS: Windows Server 2008 x64 + Hyper-V
Guest OS: Windows Server 2008 x64 (MEM 2GB, HDD 50GB)
Guest DB: SQL Server 2008 Enterprise Edition RC0
Guest IIS: 7.0
Guest Application: DotNetNuke 4.8.4

朝から GuestOS のインストールを初めて、構築が終わりました。
けっこうスムーズに動いてしまった。という感想です。
DotNetNuke の大阪の集まりで、動作報告をさせていただきました。

【スナップショット】

いいですね。
Guest OS 上の SQL Server もきちんと連携しているようです。

簡単なテスト結果:

1.スナップショット作成中は、T-SQL 処理が止まる。

　連続して insert 処理中に、スナップショットの作成を行うと、
　スナップショットの処理がある程度、進むまで insert 処理が待たされます。

2.データベースの状態は、スナップショットの開始時点で保存される。

　スナップショットを行うと、データベースは、開始時点の状態で保存されています。
　終了時点ではありません。

3.トランザクションが終了していない場合は、適用時にキャンセルとなる。

　スナップショット作成時点で、コミットされていないトランザクションは、
　スナップショットを適用して戻した時点で、ロールバックされます。
　すべてのセッションがリセットされるようです。

4.リモートデスクトップ接続も、適用時に切れる。

　ゲストOS に接続した状態で、スナップショットを適用すると、
　リモートデスクトップは切れてしまいます。

このほか、順次テストしていければと思います。

テスト案:

a.タイムアウトの発生の確認

　適用時に、一気に時間が飛ぶと思われます。
　このため、Guest OS 内で継続していた処理は本来そのまま継続してもよさそうですが、
　タイムアウトになってしまうのではないかと。

b.Guest OS で、スナップショットの作成を検知する方法

　スナップショットの作成中、適用中であることを、ゲストOS で検出する方法。

ちなみに、Hyper-V のヘルプは内容が少ないので注意が必要ですね。
できれば、開発チームの方々や、海外の MVP の方々のブログや資料を参考にしたほうがよさそうです。

(速報) マイクロソフトが、SQL インジェクションについてアドバイザリ公開

河端善博 — Wed, 25 Jun 2008 09:34:00 GMT

ついに、マイクロソフトからもアドバイザリという形で、SQL Injection 攻撃について注意喚起が行われました。

マイクロソフトセキュリティアドバイザリ (954462)
ユーザーデータ入力の未検証を悪用した SQL インジェクション攻撃の増加
公開日: 2008年6月25日

監査ツール、検査ツールの紹介が合わせて行われています。
これらのツールについては、順次評価して報告させていただきたいと思います。

Safari 3.1.2 for Windows リリース

河端善博 — Fri, 20 Jun 2008 14:18:00 GMT

アップルから、ぜい弱性に対処したバージョンがリリースされました。

About the security content of Safari 3.1.2 for Windows
(Apple, 2008/6/19)

お伝えしてきた脆弱性を含めて 4 件、修正されています。

　【 Safari 3.1.2 for Windows で修正された脆弱性】

CVE-2008-1573: BMP, GIF 処理の脆弱性により、メモリ上の情報が漏えいする
CVE-2008-2540 : じゅうたん爆撃といわれた脆弱性。ブラウザ利用者の確認なくファイルがダウンロードされる
CVE-2008-2306 : Internet Explorer 6 にて「ローカルイントラネット」または「信頼済みサイト」に設定したサイト、Internet Explorer 7 にて「アプリケーションと安全でないファイルの起動」を有効に設定したサイトを Safari で表示したとき、ダウンロードしたファイルを自動実行する。
CVE-2008-2307 : WebKit の JavaScript 配列処理の脆弱性。

あとは、マイクロソフトが、「デスクトップ」上のファイルの処理について、関連アプリケーションを修正することを期待します。

(続) Apple社のブラウザ Safari について、マイクロソフトからセキュリティアドバイザリ

河端善博 — Fri, 13 Jun 2008 09:57:00 GMT

Safari の問題についての続報です。

マイクロソフトセキュリティアドバイザリ (953818)
Apple 製 Safari が Windows プラットフォーム上で使用された場合の複合的な脅威
(2008/5/31, 2008/6/9)

なぜ、マイクロソフトが「複合的な脅威」と表現しているのか、確認することができました。

Safari Vulnerability: Now a Blended Flavor
(2008/6/12, StopBadware.org)

ここにあるように、Internet Explorer 7 の「デスクトップ」上のファイルの扱いに問題があるためです。この問題は、Aviv Raff さんが、マイクロソフトに 2006/11/1 に報告しています。

Internet Explorer 7 - Still Spyware Writers Heaven
(2006/11/1, Aviv Raff On .NET)

この時点で、マイクロソフトはセキュリティ上の課題ではない、としていました。
しかし、今回の Safari 3.1 for Windows の動作により、攻撃が可能であることが確認されました。

回避策として、Safari のダウンロード先を「デスクトップ」以外のフォルダにすることにより、Internet Explorer 7 のデスクトップ処理の仕様による「複合的な脅威」は回避することができると思われます。
ただ、「複合的な脅威」は回避できますが、ユーザーの確認なしに大量のファイルをダウンロードさせる攻撃は回避することはできません。
ご注意いただければと思います。

※Internet Explorer 7 のデスクトップ処理の仕様を、簡単に確認する方法はありますが、一般公開することは適切ではないと思われますので、省略させていただきました。

注意(続): Webサイトのアクセスに注意 (SQL インジェクション被害の拡大)

河端善博 — Wed, 04 Jun 2008 12:09:00 GMT

前回の投稿の続きです。

注意: Webサイトのアクセスは要注意 (SQL インジェクション被害の拡大)
(2008/5/21 )

攻撃は、変化しながら拡大しているようです。
注意点を追加しておきたいと思います。

注意.4: 効果のある対策は、利用するツールの更新

ファイアウォール、Web コンテンツフィルタ、ウィルス対策ソフト、怪しいサイトを見ないなどの方法も、一定の効果が見込めます。ただし、現状、もっとも効果があるのは、Microsoft Update などを利用して、ぜい弱性に対策したツールへ更新することとなります。

注意.5: 問題を感じたら、担当者へ

PC の利用に異常を感じたら、担当者へ確認してください。担当者の場合は、完全なウィルス検査、ネットワークやファイアウォールのログを確認してください。

注意.6: 信頼できるサイトも改ざんされる可能性

信頼できるサイト、いつも見に行くブログや掲示板のサイトも、改ざんされ、ウィルスダウンロードを仕掛けられている可能性があります。異常を感じた場合は、担当者へご相談ください。

注意.7: Google 「このサイトはコンピュータに損害を与える可能性があります。」表示

Google の検索結果に、このメッセージが表示されているサイトがあります。
これは、Google がサイトを検査して、ウィルスダウンロードを仕掛けられている可能性があると判断した場合に、表示します。このサイトは、表示しないことをお勧めします。
また、仕掛けられているにもかかわらず、このメッセージが表示されないサイトも多数あります。
Live Search, Yahoo, Google などの検索結果からのアクセスは十分に注意してください。

注意.8: 状況は刻々変化しています。

戦況は、刻々と変化しています。セキュリティ対策の会社や組織による対策と、それをかわす攻撃側。
先日の PASSJ アフタースクールでお話がありましたように、日々状況が変化しています。

不正なファイルを読み取り専用で開くと、攻撃を回避できるか ?

河端善博 — Tue, 03 Jun 2008 09:08:00 GMT

PASSJ アフタースクールにていただいた質問です。

Q.不正なファイルを読み取り専用、またはビューアで開くと、攻撃を回避できるか ?

たとえば、不審な WORD ファイルを開くときに、Word Viewer を使って開くことで問題を回避できるでしょうか。
また、Word を使って、読み取り専用で開くことで回避できるでしょうか ?

「回避できない」

と考えられます。

実績として、今月のWORDの脆弱性「MS08-026 Microsoft Word の脆弱性により、リモートでコードが実行される (951207)」は、Word Viewer も影響をうけるソフトウェアとして指定されています。
また、問題の回避方法に、読み取り専用で開くと回避できるという記述はありません。
同様に、過去の WORD, EXCEL などの脆弱性の多くは Viewer にも影響を受けています。
中には、Viewer / 読み取り専用で回避できる攻撃がある場合もありますが、回避できない攻撃がある以上は、「回避できない」として扱う必要があると思います。

技術面で考えた場合、こうした攻撃は、WORD のファイル読み取り処理の脆弱性をついて、不正なプログラムを実行させます。このため、WORD そのものが読み取り専用で扱っているかどうかには影響しないと考えられます。

あわせて、PDF による攻撃を考えると、通常 Acrobat Reader という表示専用ツールで開くにもかかわらず、問題が発生しています。これは、読み取り専用として開いても攻撃が成立する例といえると思います。
※本日、PDF へ攻撃用のEXE を埋め込む方法が、簡単に行えることが F-Secure のブログで紹介されています。

Creating malicous PDF files
(悪意のある PDF ファイルの作成)
(F-Secure Blog 2008/6/2)

ご質問へのフォローになっていればと思います。

Secunia PSI: 自分の PC の更新漏れを確認するツール (英語)

河端善博 — Mon, 02 Jun 2008 11:58:00 GMT

Secunia PSI (英語)

PC にインストールしているプログラムを確認して、更新の必要のあるプログラムを指摘します。
マイクロソフト製品であれば Windows Update をすることで、更新を確認できますが、Adobe, Apple などのツールは個別に確認が必要となっています。
この Secunia PSI は、マイクロソフト製品だけでなく、多くのソフトの確認を行います。
また、マイクロソフト製品でも、FxCop, Fiddlerなどツールとして提供されているものの確認も行います。

一度、試されてはいかがでしょうか。

※Secunia PSI により警告されるプログラムの種類は次のものがあります。

Insecure = ぜい弱性が確認されているプログラム/バージョン
End-of-Life = サポートが終了しているプログラム/バージョン

河端善博 ブログ / SQL Server / PASSJ