Compute sichern

Erfahren Sie mehr über Ihre Zuständigkeiten im Bereich Sicherheit und Compliance, um Compute sicher zu verwenden.

Im Allgemeinen bietet Oracle Sicherheit für Cloud-Infrastruktur und -Vorgänge, wie Zugriffskontrollen für Cloud-Benutzer und Infrastruktursicherheits-Patching. Sie sind für die sichere Konfiguration Ihrer Cloud-Ressourcen verantwortlich. Für die Sicherheit in der Cloud sind Sie und Oracle gleichermaßen verantwortlich.

Oracle ist für die folgenden Sicherheitsanforderungen verantwortlich:

• Physische Sicherheit: Oracle ist für den Schutz der globalen Infrastruktur verantwortlich, auf der alle in Oracle Cloud Infrastructure angebotenen Services ausgeführt werden. Diese Infrastruktur besteht aus Hardware, Software, Netzwerken und Einrichtungen, die Oracle Cloud Infrastructure-Services ausführen.

Ihre Sicherheitszuständigkeiten sind auf dieser Seite beschrieben. Sie umfassen die folgenden Bereiche:

• Zugriffskontrolle: Beschränken Sie Berechtigungen so weit wie möglich. Benutzern sollte nur der erforderliche Zugriff zum Ausführen ihrer Aufgaben erteilt werden.
• Verschlüsselung und Vertraulichkeit: Verwenden Sie Verschlüsselungsschlüssel und Secrets, um Ihre Daten zu schützen und eine Verbindung zu gesicherten Ressourcen herzustellen. Drehen Sie diese Schlüssel regelmäßig.
• Patching: Halten Sie die Software mit den neuesten Sicherheitspatches aktualisiert, um Schwachstellen zu vermeiden.

Mit dieser Checkliste können Sie die Aufgaben identifizieren, die zum Sichern von Compute in einem neuen Oracle Cloud Infrastructure-Mandanten ausgeführt werden.

Nach den ersten Schritten mit Compute ermitteln Sie anhand dieser Checkliste, welche Sicherheitsaufgaben Sie regelmäßig ausführen sollten.

Schränken Sie mit Policys den Zugriff auf Compute ein.

Es wird empfohlen, einem Mindestset von IAM-Benutzern und -Gruppen DELETE-Berechtigungen zu erteilen. Diese Vorgehensweise minimiert den Datenverlust durch versehentliches Löschen durch autorisierte Benutzer oder durch böswillige Akteure. Erteilen Sie DELETE-Berechtigungen nur Mandanten- und Compartment-Administratoren.

In allen folgenden Beispielen wurden die Policys einem Mandanten zugeordnet. Wenn Sie jedoch einen Compartment-Namen angeben, können diese auf ein bestimmtes Compartment in einem Mandanten begrenzt werden.

Allow group InstanceUsers to manage instance-family in tenancy
 where request.permission!='INSTANCE_DELETE' 
Allow group InstanceUsers to use volume-family in tenancy 
Allow group InstanceUsers to use virtual-network-family in tenancy

Allow group InstanceUsers to manage instance-console-connection in tenancy
 where all {request.permission!= INSTANCE_CONSOLE_CONNECTION_READ, 
            request.permission!= INSTANCE_CONSOLE_CONNECTION_CREATE}

Weitere Informationen zu Compute-Policys und zum Anzeigen weiterer Beispiele finden Sie unter Details zu den Coreservices.

Sperren Sie neben dem Erstellen von IAM-Policys den Zugriff auf Compute-Instanzen.

Aktivieren Sie Cloud Guard, und verwenden Sie es, um Sicherheitsprobleme in Compute-Ressourcen zu erkennen und darauf zu reagieren.

Wenn ein Problem erkannt wird, schlägt Cloud Guard Korrekturmaßnahmen vor. Sie können Cloud Guard auch so konfigurieren, dass bestimmte Aktionen automatisch ausgeführt werden. Cloud Guard enthält die folgenden Detektorregeln für Compute.

• Instanz hat eine öffentliche IP-Adresse
• Instanz führt ein Oracle-Image aus
• Instanz führt kein Oracle-Image aus
• Instanz ist öffentlich zugänglich
• Instanz beendet
• Image exportieren
• Image importieren
• Image aktualisieren

Eine Liste aller verfügbaren Detektorregeln in Cloud Guard finden Sie unter Detektorrezeptreferenz.

Aktivieren Sie Cloud Guard, falls noch nicht geschehen, und konfigurieren Sie es so, dass es die Compartments überwacht, die Ihre Ressourcen enthalten. Sie können Cloud Guard-Ziele konfigurieren, um den gesamten Mandanten (Root Compartment und alle Sub-Compartments) zu prüfen oder nur bestimmte Compartments zu prüfen. Siehe Erste Schritte mit Cloud Guard.

Nachdem Sie Cloud Guard aktiviert haben, können Sie erkannte Sicherheitsprobleme anzeigen und beheben. Siehe Gemeldete Probleme verarbeiten.

Durch die Verwendung von Sicherheitszonen wird sichergestellt, dass Ihre Ressourcen in Compute den Best Practices zur Sicherheit entsprechen.

Eine Sicherheitszone ist mit mindestens einem Compartment und einem Sicherheitszonenrezept verknüpft. Wenn Sie Ressourcen im Compartment einer Sicherheitszone erstellen und aktualisieren, validiert Oracle Cloud Infrastructure diese Vorgänge anhand der Liste der Sicherheitszonen-Policys im Rezept. Wenn eine Policy im Rezept verletzt wird, wird der Vorgang abgelehnt. Die folgenden Sicherheitszonen-Policys sind für Ressourcen in Compute verfügbar.

• deny instance_in_security_zone_​launch_from_boot_volume_​not_in_security_zone
• deny instance_in_security_zone_​in_subnet_not_in_security_​zone
• deny instance_without_​sanctioned_image
• deny boot_volume_not_in_security_​zone_attach_to_instance_​in_security_zone
• deny boot_volume_without_​vault_key

Eine Liste aller Sicherheitszonen-Policys finden Sie unter Sicherheitszonen-Policys.

Um vorhandene Ressourcen in ein Compartment in einer Sicherheitszone zu verschieben, müssen die Ressourcen allen Sicherheitszonen-Policys im Rezept der Zone entsprechen. Ebenso können Ressourcen in einer Sicherheitszone nicht in ein Compartment außerhalb der Sicherheitszone verschoben werden, weil es möglicherweise weniger sicher ist. Siehe Sicherheitszonen verwalten.

Erstellen und rotieren Sie Verschlüsselungsschlüssel im Vault-Service, um Ihre Ressourcen in Compute zu schützen.

Ein Vault ist eine logische Entity, in der die Verschlüsselungsschlüssel gespeichert werden, die Sie zum Schutz Ihrer Daten verwenden. Je nach Schutzmodus werden Schlüssel entweder auf dem Server gespeichert oder auf hochverfügbaren und dauerhaften Hardwaresicherheitsmodulen (HSMs) gespeichert. Unsere HSMs erfüllen die Sicherheitszertifizierung nach Federal Information Processing Standards (FIPS) 140-2 der Sicherheitsebene 3. Siehe Vaults verwalten und Schlüssel verwalten.

Obwohl Standardverschlüsselungsschlüssel automatisch generiert werden können, wenn Sie bestimmte Oracle Cloud Infrastructure-Ressourcen erstellen, wird empfohlen, dass Sie Ihre eigenen benutzerdefinierten Verschlüsselungsschlüssel im Vault-Service erstellen und verwalten.

Instanz-Boot-Volumes werden standardmäßig verschlüsselt. Wenn Sie eine Instanz erstellen, können Sie mit einem benutzerdefinierten Verschlüsselungsschlüssel die ruhenden Daten im Boot-Volume verschlüsseln. Wenn Sie die Verschlüsselung während der Übertragung für die Instanz aktivieren, wird der benutzerdefinierte Schlüssel auch für die Verschlüsselung während der Übertragung verwendet. Siehe Instanz erstellen.

Jedem Masterverschlüsselungsschlüssel wird automatisch eine Schlüsselversion zugewiesen. Wenn Sie einen Schlüssel rotieren, generiert der Vault-Service eine neue Schlüsselversion. Durch regelmäßiges Rotieren der Schlüssel wird die Datenmenge begrenzt, die von einer einzelnen Schlüsselversion verschlüsselt oder signiert wird. Wenn ein Schlüssel besteht, reduziert die Schlüsselrotation das Risiko für Ihre Daten. Siehe Schlüssel verwalten.

Es wird empfohlen, IAM-Policys zu verwenden, um die Erstellung, Rotation und Löschung von Verschlüsselungsschlüsseln streng zu begrenzen. Siehe Details zum Vault Service.

Sichern Sie den Netzwerkzugriff auf Ihre Ressourcen im Compute-Service, einschließlich Secure Shell (SSH).

Schützen Sie SSH auf allen Instanzen. In der folgenden Tabelle sind einige SSH-Sicherheitsempfehlungen aufgeführt. SSH-Konfigurationsoptionen können in der Datei sshd_config festgelegt werden. Unter Linux befindet sich diese Datei unter /etc/ssh/sshd_config.

Verwenden Sie sichere SSH-Private Keys, um auf Instanzen zuzugreifen und unbeabsichtigte Offenlegungen zu verhindern. Weitere Informationen zum Erstellen eines SSH-Schlüsselpaares und Konfigurieren einer Instanz mit den Schlüsseln finden Sie unter Schlüsselpaare auf Linux-Instanzen verwalten.

Verwenden Sie Sicherheitslisten , Netzwerksicherheitsgruppen oder eine Kombination aus beiden, um den Traffic auf Paketebene in und aus den Ressourcen in Ihrem VCN (virtuelles Cloud-Netzwerk) zu steuern. Siehe Zugriff und Sicherheit.

Fail2ban ist eine Anwendung, die IP-Adressen in Blocklisten auflistet, die an Brute-force-Anmeldeversuchen beteiligt sind (d.h. zu viele nicht erfolgreiche Anmeldeversuche bei einer Instanz). Standardmäßig prüft Fail2ban SSH-Zugriffe, und Sie können sie so konfigurieren, dass andere Protokolle geprüft werden. Weitere Informationen über Fail2ban finden Sie unter Fail2ban Hauptseite.

Verwenden Sie neben VCN-Netzwerksicherheitsgruppen und -Sicherheitslisten hostbasierte Firewalls wie iptables und firewalld, um den Netzwerkzugriff auf Instanzen durch Steuern von Ports, Protokollen und Pakettypen einzuschränken. Verwenden Sie diese Firewalls, um eine potenzielle Aufklärung von Netzwerkangriffen wie Portscans und Eindringversuchen zu verhindern. Benutzerdefinierte Firewallregeln können bei jedem Boot-Vorgang der Instanz konfiguriert, gespeichert und initialisiert werden. Das folgende Beispiel zeigt Befehle für iptables.

# save iptables rules after configuration 
sudo iptables-save > /etc/iptables/iptables.rules 
# restore iptables rules on next reboot 
sudo /sbin/iptables-restore < /etc/iptables.rules 
# restart iptables after restore 
sudo service iptables restart

Wenn Sie ein Subnetz in einem VCN erstellen, wird das Subnetz standardmäßig als öffentlich betrachtet, und die Internetkommunikation ist zulässig. Mit privaten Subnetzen können Sie Ressourcen hosten, die keinen Internetzugriff erfordern. Sie können auch ein Servicegateway in Ihrem VCN konfigurieren, damit Ressourcen in einem privaten Subnetz auf andere Cloud-Services zugreifen können. Siehe Konnektivitätsoptionen.

Der Bastion-Service bietet begrenzten und begrenzten Zugriff auf Zielressourcen, die keine öffentlichen Endpunkte haben. Mit einer Bastion können autorisierte Benutzer über Secure Shell-(SSH-)Sessions eine Verbindung zu Zielressourcen auf privaten Endpunkten herstellen. Bei einer Verbindung können Benutzer mit der Zielressource über jede von SSH unterstützte Software oder jedes unterstützte Protokoll interagieren. Siehe Bastionen verwalten.

Verwenden Sie Web Application Firewall (WAF), um Schutzregeln für Internetbedrohungen wie Cross-Site Scripting (XSS), SQL Injection und andere OWASP-definierte Sicherheitslücken zu erstellen und zu verwalten. Unerwünschte Bots können gemildert werden, während wünschenswerte Bots betreten dürfen. WAF beobachtet den Traffic zu Ihrer Webanwendung im Laufe der Zeit und empfiehlt neue Regeln für die Konfiguration. Siehe Erste Schritte mit Edge Policys.

Stellen Sie sicher, dass auf Ihren Compute-Ressourcen die neuesten Sicherheitsupdates ausgeführt werden.

Halten Sie die Instanzsoftware mit Sicherheitspatches auf dem aktuellen Stand. Es wird empfohlen, regelmäßig die neuesten verfügbaren Softwareupdates in Ihre Instanzen einzuspielen. Oracle Autonomous Linux-Images werden automatisch mit den neuesten Patches aktualisiert. Für Oracle Linux-Images können Sie den Befehl sudo yum update ausführen (sudo dnf update unter Oracle Linux 8). Unter Oracle Linux können Sie Informationen zu verfügbaren und installierten Sicherheitspatches mit dem Plug-in yum-security abrufen. Das folgende Beispiel enthält Befehle für yum-security.

# Install yum-security plugin
yum install yum-plugin-security
# Get list of security patches without installing them
yum updateinfo list security all
# Get list of installed security patches
yum updateinfo list security all

Linux-Instanzen auf Oracle Cloud Infrastructure können mit Oracle Ksplice kritische Kernel-Patches anwenden, ohne dass ein Neustart erforderlich ist. Ksplice kann bestimmte Kernelversionen für Oracle Linux, CentOS und Ubuntu verwalten. Weitere Informationen finden Sie unter Oracle Ksplice.

Konfigurieren Sie Ihre Compute-Ressourcen für Produktions-Deployments.

Legen Sie eine Baseline für die Absicherung von Linux- und Windows-Images fest, die auf Instanzen ausgeführt werden. Weitere Informationen zur Absicherung von Oracle Linux-Images finden Sie unter Tipps zur Absicherung eines Oracle Linux-Servers. Die Center for Internet Security-Benchmarks bieten umfassende Benchmarks zur Absicherung verschiedener Distributionen von Linux und Windows Server.

Suchen Sie Zugriffslogs und andere Sicherheitsdaten für Compute-Instanzen.

Verschiedene sicherheitsbezogene Ereignisse werden in Logdateien erfasst. Es wird empfohlen, diese Logdateien regelmäßig zu prüfen, um Sicherheitsprobleme aufzudecken. In Oracle Linux befinden sich die Logdateien im Ordner /var/log. Einige sicherheitsrelevante Logdateien sind in der folgenden Tabelle aufgeführt.

Der Audit-Service zeichnet automatisch alle API-Aufrufe an Oracle Cloud Infrastructure-Ressourcen auf. Sie können Ihre Sicherheits- und Complianceziele erreichen, indem Sie mit dem Audit-Service alle Benutzeraktivitäten in Ihrem Mandanten überwachen. Da alle Konsolen-, SDK- und Befehlszeilenaufrufe über unsere APIs laufen, werden alle Aktivitäten aus diesen Quellen einbezogen. Auditdatensätze sind über eine authentifizierte, filterbare Abfrage-API verfügbar, oder sie können als in Batches verwendete Dateien aus Object Storage abgerufen werden. Zu den Inhalten des Auditlogs gehören die aufgetretenen Aktivitäten, der Benutzer, der diese initiiert hat, Datum und Uhrzeit der Anforderung sowie Quell-IP, Benutzer-Agent und HTTP-Header der Anforderung. Siehe Auditlogereignisse anzeigen.

{
  "datetime": 1642192740551,
  "logContent": {
    "data": {
      "additionalDetails": {
        "X-Real-Port": 50258,
        "imageId": "ocid1.image.oc1.<unique_id>",
        "shape": "VM.Standard.E3.Flex",
        "type": "CustomerVmi",
        "volumeId": "null"
      },
      "availabilityDomain": "AD1",
      "compartmentId": "ocid1.tenancy.oc1..<unique_id>",
      "compartmentName": "mytenancy",
      "definedTags": {},
      "eventGroupingId": "<unique_id>",
      "eventName": "LaunchInstance",
      "freeformTags": {},
      "identity": {
        "authType": null,
        "callerId": null,
        "callerName": null,
        "consoleSessionId": null,
        "credentials": "<key>",
        "ipAddress": "<ip_address>",
        "principalId": "<user_id>",
        "principalName": "<user_name>",
        "tenantId": "ocid1.tenancy.oc1..<unique_id>",
        "userAgent": "Oracle-JavaSDK/1.33.2 (Linux/4.14.35-2047.509.2.2.el7uek.x86_64; Java/1.8.0_301; Java HotSpot(TM) 64-Bit Server VM GraalVM EE 20.3.3/25.301-b09-jvmci-20.3-b18)"
      },
      "message": "myinstance LaunchInstance succeeded",
      "request": {
        "action": "POST",
        "headers": {
          "Accept": [
            "application/json"
          ],
          "Connection": [
            "keep-alive"
          ],
          "Date": [
            "Fri, 14 Jan 2022 20:38:59 GMT"
          ]
        },
        "id": "<unique_id>",
        "parameters": {},
        "path": "/20160918/instances"
      },
      "resourceId": "ocid1.instance.oc1.phx.<unique_id>",
      "response": {
        "headers": {
          "Connection": [
            "keep-alive"
          ],
          "Content-Type": [
            "application/json"
          ],
          "Date": [
            "Fri, 14 Jan 2022 20:39:00 GMT"
          ],
          "ETag": [
            "<unique_id>"
          ],
          "Transfer-Encoding": [
            "chunked"
          ],
          "X-Content-Type-Options": [
            "nosniff"
          ],
          "opc-request-id": [
            "<unique_id>"
          ],
          "opc-work-request-id": [
            "ocid1.coreservicesworkrequest.oc1.phx.<unique_id>"
          ]
        },
        "message": null,
        "payload": {},
        "responseTime": "2022-01-14T20:39:00.551Z",
        "status": "200"
      },
      "stateChange": {
        "current": {
          "agentConfig": {
            "areAllPluginsDisabled": false,
            "isManagementDisabled": false,
            "isMonitoringDisabled": false
          },
          "availabilityConfig": {
            "recoveryAction": "RESTORE_INSTANCE"
          },
          "availabilityDomain": "EMIr:PHX-AD-1",
          "compartmentId": "ocid1.tenancy.oc1..<unique_id>",
          "definedTags": {},
          "displayName": "<unique_id>",
          "extendedMetadata": {},
          "faultDomain": "FAULT-DOMAIN-1",
          "freeformTags": {},
          "id": "ocid1.instance.oc1.phx.<unique_id>",
          "imageId": "ocid1.image.oc1.phx.<unique_id>",
          "instanceOptions": {
            "areLegacyImdsEndpointsDisabled": false
          },
          "launchMode": "PARAVIRTUALIZED",
          "launchOptions": {
            "bootVolumeType": "PARAVIRTUALIZED",
            "firmware": "UEFI_64",
            "isConsistentVolumeNamingEnabled": true,
            "isPvEncryptionInTransitEnabled": false,
            "networkType": "PARAVIRTUALIZED",
            "remoteDataVolumeType": "PARAVIRTUALIZED"
          },
          "lifecycleState": "PROVISIONING",
          "region": "phx",
          "shape": "VM.Standard.E3.Flex",
          "shapeConfig": {
            "gpus": 0,
            "localDisks": 0,
            "maxVnicAttachments": 2,
            "memoryInGBs": 16,
            "networkingBandwidthInGbps": 1,
            "ocpus": 1,
            "processorDescription": "2.25 GHz AMD EPYC™ 7742 (Rome)"
          },
          "sourceDetails": {
            "imageId": "ocid1.image.oc1.phx.<unique_id>",
            "sourceType": "image"
          },
          "systemTags": {},
          "timeCreated": "2022-01-14T20:39:00.260Z"
        },
        "previous": {}
      }
    },
    "dataschema": "2.0",
    "id": "<unique_id> ",
    "oracle": {
      "compartmentid": "ocid1.tenancy.oc1..<unique_id>",
      "ingestedtime": "2022-01-14T20:39:05.212Z",
      "loggroupid": "_Audit",
      "tenantid": "ocid1.tenancy.oc1..<unique_id>"
    },
    "source": "<unique_id>",
    "specversion": "1.0",
    "time": "2022-01-14T20:39:00.551Z",
    "type": "com.oraclecloud.computeApi.LaunchInstance.begin"
  }
}

Wenn Sie Cloud Guard in Ihrem Mandanten aktiviert haben, werden alle Benutzeraktivitäten gemeldet, die potenzielle Sicherheitsbedenken darstellen. Wenn ein Problem erkannt wird, schlägt Cloud Guard Korrekturmaßnahmen vor. Sie können Cloud Guard auch so konfigurieren, dass bestimmte Aktionen automatisch ausgeführt werden. Siehe Erste Schritte mit Cloud Guard und Gemeldete Probleme verarbeiten.