Sicherheitsdokumentation zu Base Database Service
In diesem Artikel werden die Sicherheitsaspekte von Base Database Service beschrieben.
Sicherheit - Überblick
Dieses Thema enthält einen Überblick über die Sicherheit in Base Database Service. Oracle verwaltet die Sicherheit der meisten Komponenten. Bei einigen Komponenten sind jedoch die Benutzer für die Sicherheit verantwortlich.
Die Cloud-Servicekomponenten sind in für Benutzer verfügbare Services und von Oracle verwaltete Infrastruktur unterteilt. Als für Benutzer verfügbare Services werden die Komponenten bezeichnet, auf die Benutzer im Rahmen ihres Abonnements des Base Database Service zugreifen können. Hierbei handelt es sich um virtuelle Maschinen und Datenbankservices, die allgemein als DB-Systeme bzw. Datenbanken bezeichnet werden. Von Oracle verwaltete Infrastruktur bezeichnet die Hardware, für die Oracle verantwortlich ist und die von Oracle betrieben wird, um für Benutzer verfügbare Services zu unterstützen. Sie besteht aus AMD- oder Intel-basierten Datenbank-Computing-Ausprägungen.
Oracle verwaltet die Sicherheit und den Zugriff auf die von Oracle verwalteten Infrastrukturkomponenten. Benutzer verwalten die Sicherheit und den Zugriff auf die für Benutzer verfügbaren Services, einschließlich Zugriff auf DB-Systeme und Datenbankservices, Netzwerkzugriff auf das DB-System, Authentifizierung für den Zugriff auf das DB-System und Authentifizierung für den Zugriff auf Datenbanken, die auf den DB-Systemen ausgeführt werden. Oracle-Mitarbeiter sind nicht zum Zugriff auf für Benutzer verfügbare Services berechtigt.
Benutzer greifen auf Oracle-Datenbanken, die auf DB-Systemen ausgeführt werden, über eine Layer-2-Verbindung (getaggte VLAN-Verbindung) von Benutzergeräten mit standardmäßigen Oracle Database-Verbindungsmethoden zu, wie Oracle Net auf Port 1521. Benutzer können mit den standardmäßigen Oracle Linux-Methoden eine Verbindung zum DB-System herstellen, auf dem die Oracle-Datenbanken ausgeführt werden, wie tokenbasiertes SSH auf Port 22.
Bei Base Database Service werden mehrere unabhängige und sich gegenseitig verstärkende Sicherheitskontrollen eingesetzt, damit Organisationen eine sichere Betriebsumgebung für ihre Workloads und Daten schaffen können. Bases Database Service stellt die folgenden Sicherheitskontrollen bereit:
- Defense-in-Depth zum Sichern der Betriebsumgebung
- Least-Privilege-Prinzip für Services und Benutzer
- Audit und Erfassung von Ereignissen und Aktionen
- Automatisierung des Cloud-Betriebs
Defense-in-Depth zum Sichern der Betriebsumgebung
Base Database Service bietet mehrere Steuerelemente, um Vertraulichkeit, Integrität und Rechenschaftspflicht für den gesamten Service zu gewährleisten. Base Database Service fördert das Prinzip der Defense-in-Depth wie folgt:
- Die virtuellen Maschinen für DB-Systeme werden aus dem sicheren Betriebssystemimage auf der Basis von Oracle Linux 7 erstellt. Hierbei wird die Kernbetriebsumgebung gesichert, indem das Installationsimage nur auf die erforderlichen Softwarepackages beschränkt, unnötige Services deaktiviert und sichere Konfigurationsparameter im gesamten System implementiert werden.
- Zusätzliche sichere Standardkonfigurationsoptionen werden in den Serviceinstanzen implementiert. Außerdem werden alle Stärken der ausgereiften Oracle Linux-Plattform geerbt. Beispiel: Alle Datenbank-Tablespaces erfordern transparente Datenverschlüsselung (TDE), die Durchsetzung sicherer Kennwörter für anfängliche Datenbankbenutzer und Superuser sowie erweiterte Audit- und Ereignisregeln.
- Base Database Service stellt auch ein vollständiges Deployment und einen vollständigen Service dar und unterliegt daher externen Branchenstandards wie PCI, HIPAA und ISO27001. Diese externen Auditanforderungen bedeuten, dass zusätzliche Mehrwert-Servicefeatures wie Antiviren-Scans, automatische Warnungen bei unerwarteten Systemänderungen und Scans auf Sicherheitslücken bei allen von Oracle verwalteten Infrastruktursystemen in der Flotte erforderlich sind.
Least-Privilege-Prinzip für Services und Benutzer
Sichere Oracle-Codierungsstandards erfordern das Least-Privilege-Prinzip. Ein Aspekt des Least-Privilege-Prinzips besteht darin, sicherzustellen, dass Anwendungen, Services und Benutzer auf die Funktionen zugreifen können, die sie zur Ausführung ihrer Aufgaben benötigen. Ebenso wichtig ist es, sicherzustellen, dass der Zugriff auf unnötige Funktionen, Services und Schnittstellen begrenzt ist. Base Database Service fördert das Least-Privilege-Prinzip wie folgt:
- Jeder Prozess und jeder Daemon muss als normaler, nicht privilegierter Benutzer ausgeführt werden, es sei denn, es kann nachgewiesen werden, dass er eine höhere Berechtigungsstufe erfordert. Auf diese Weise können unvorhergesehene Probleme oder Sicherheitslücken auf den nicht privilegierten Benutzerbereich beschränkt und eine Gefährdung des gesamten Systems vermieden werden.
- Dieses Prinzip gilt auch für Mitglieder des Oracle Operations-Teams, die individuell benannte Accounts für den Zugriff auf die Infrastruktur zur Wartung oder Fehlerbehebung verwenden. Nur bei Bedarf verwenden sie den auditierten Zugriff auf höhere Berechtigungsstufen, um ein Problem zu lösen oder zu beheben. Die meisten Probleme werden durch automatisierte Prozesse gelöst. Daher wenden wir das Least-Privilege Prinzip auch an, indem wir Mitarbeitern keinen Zugriff auf ein System gestatten, es sei denn, eine automatisierte Lösung des Problems ist nicht möglich.
Audit und Erfassung von Ereignissen und Aktionen
Ein System muss Vorfälle erkennen und melden können, wenn sie auftreten. Wenn ein Vorfall nicht verhindert werden kann, muss eine Organisation sein Vorkommen identifizieren können, um die entsprechenden Maßnahmen ergreifen zu können. Base Database Service fördert Audit und Erfassung auf folgende Weise:
- Durch Audit und Erfassung wird sichergestellt, dass sowohl Oracle als auch Benutzer wissen, welche Aktivitäten wann auf dem System ausgeführt wurden. Diese Details stellen nicht nur sicher, dass wir die Berichtsanforderungen für externe Audits erfüllen, sondern können auch dabei helfen, die Aktivität zu identifizieren, die zu unerwartetem Verhalten geführt hat.
- Auditfunktionen werden für alle Infrastrukturkomponenten bereitgestellt, um sicherzustellen, dass alle Aktionen erfasst werden. Benutzer können Auditing auch für ihre Datenbank- und Benutzerdomainkonfiguration (domU) konfigurieren und diese möglicherweise in andere Unternehmensauditsysteme integrieren.
- Oracle hat keinen Zugriff auf die Benutzer-domU.
Automatisierung des Cloud-Betriebs
Durch den Wegfall manueller Vorgänge für Provisioning, Patching, Wartung, Fehlerbehebung und Konfiguration von Systemen wird das Fehlerrisiko reduziert und eine sichere Konfiguration gewährleistet.
Base Database Service wurde unter dem Aspekt der Sicherheit entwickelt, indem das gesamte Provisioning, die Konfiguration und die meisten anderen betrieblichen Aufgaben automatisiert wurden. Durch die Automatisierung ist es möglich, fehlende Konfigurationen zu vermeiden und sicherzustellen, dass alle erforderlichen Pfade in das System ordnungsgemäß konfiguriert sind.
Sicherheitsfeatures
In diesem Thema werden die Sicherheitsfeatures beschrieben, die in Base Database Service verfügbar sind.
Base Database Service bietet die folgenden Sicherheitsfeatures:
- Gesichertes BS-Image
- Minimale Angriffsfläche
- Zusätzlich aktivierte Sicherheitsfeatures
- Sichere Zugriffsmethoden
- Auditing und Logging
Gesichertes BS-Image
- Minimale Packageinstallation: Nur die für den Betrieb eines effizienten Systems erforderlichen Packages werden installiert. Durch die Installation eines kleineren Packagesets wird die Angriffsfläche des Betriebssystems reduziert, und das System bleibt sicherer.
- Sichere Konfiguration: Viele nicht standardmäßige Konfigurationsparameter werden während der Installation festgelegt, um den Sicherheitsstatus des Systems und dessen Inhalt zu verbessern. Beispiel: SSH ist so konfiguriert, dass nur bestimmte Netzwerkschnittstellen überwacht werden, Sendmail ist so konfiguriert, dass nur lokale Hostverbindungen akzeptiert werden, und viele weitere ähnliche Einschränkungen werden während der Installation implementiert.
- Nur erforderliche Services ausführen: Services, die zwar auf dem System installiert sind, jedoch für das normale Betrieb nicht erforderlich sind, sind standardmäßig deaktiviert. Beispiel: Obwohl NFS ein Service ist, der häufig von Benutzern für verschiedene Anwendungszwecke konfiguriert wird, ist er standardmäßig deaktiviert, da er für normale Datenbankvorgänge nicht erforderlich ist. Benutzer können optional Services entsprechend ihren Anforderungen konfigurieren.
Minimale Angriffsfläche
Als Teil des gesicherten Images wird die Angriffsfläche reduziert, indem nur die Software installiert und ausgeführt wird, die für die Bereitstellung des Service erforderlich ist.
Zusätzlich aktivierte Sicherheitsfeatures
- Base Database Service ist so konzipiert, dass er standardmäßig sicher ist und einen vollständigen Sicherheitsstack bereitstellt, von der Netzwerkfirewallkontrolle bis zur Zugriffskontrollsicherheits-Policys.
- FIPS, SE Linux und STIG können zusätzlich aktiviert werden, um die Sicherheit auf Systemen mit der
dbcli secure-dbsystem-CLI zu verbessern. - Mit dem STIG-Tool wird die Compliance mit Oracle Linux 7 STIG von DISA auf jedem Systemknoten in bereitgestellten Systemen erhöht.
Sichere Zugriffsmethoden
- Der Zugriff auf Datenbankserver über SSH erfolgt über starke kryptografische Cipher. Schwache Cipher sind standardmäßig deaktiviert.
- Zugriff auf Datenbanken über verschlüsselte Oracle Net-Verbindungen. Standardmäßig sind unsere Services über verschlüsselte Kanäle verfügbar, und ein Oracle Net-Client verwendet in der Standardkonfiguration verschlüsselte Sessions.
Auditing und Logging
Standardmäßig wird durch Auditing und Logging neben der vom Betriebssystem bereitgestellten Konfiguration für kommerzielle Deployments keine zusätzliche Konfiguration hinzugefügt. Die Konfiguration kann jedoch verbessert werden, indem Sie durch Aktivieren von STIG zusätzliche Sicherheitseinstellungen hinzufügen.
Weitere Informationen:
- FIPS, SE Linux und STIG in den DB-Systemkomponenten aktivieren
- Security Technical Implementation Guide-(STIG-)Tool für das DB-System
Benutzersicherheit
In diesem Thema wird die Benutzersicherheit beschrieben, die in Base Database Service verfügbar ist. Die Komponenten von Base Database Service werden regelmäßig von mehreren Benutzeraccounts verwaltet. Oracle verwendet und empfiehlt nur die tokenbasierte SSH-Anmeldung. Oracle-Benutzer oder -Prozesse verwenden keine kennwortbasierte Authentifizierung.
Die folgenden Benutzertypen werden standardmäßig erstellt:
Standardbenutzer: Keine Anmeldeberechtigungen
Diese Benutzerliste besteht aus Standardbenutzern des Betriebssystems. Diese Benutzer dürfen nicht geändert werden. Diese Benutzer können sich nicht beim System anmelden.
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin
lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
sync:x:5:0:sync:/sbin:/bin/sync
shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
halt:x:7:0:halt:/sbin:/sbin/halt
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
operator:x:11:0:operator:/root:/sbin/nologin
games:x:12:100:games:/usr/games:/sbin/nologin
ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
nobody:x:99:99:Nobody:/:/sbin/nologin
systemd-network:x:192:192:systemd Network Management:/:/sbin/nologin
dbus:x:81:81:System message bus:/:/sbin/nologin
rpc:x:32:32:Rpcbind Daemon:/var/lib/rpcbind:/sbin/nologin
polkitd:x:999:996:User for polkitd:/:/sbin/nologin
rpcuser:x:29:29:RPC Service User:/var/lib/nfs:/sbin/nologin
nfsnobody:x:65534:65534:Anonymous NFS User:/var/lib/nfs:/sbin/nologin
ntp:x:38:38::/etc/ntp:/sbin/nologin
tss:x:59:59:Account used by the trousers package to sandbox the
tcsd daemon:/dev/null:/sbin/nologin
sssd:x:998:994:User for sssd:/:/sbin/nologin
named:x:25:25:Named:/var/named:/sbin/nologin
sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin
dhcpd:x:177:177:DHCP server:/:/sbin/nologin
saslauth:x:997:76:Saslauthd user:/run/saslauthd:/sbin/nologin
tcpdump:x:72:72::/:/sbin/nologinStandardbenutzer: mit Anmeldeberechtigungen
Diese privilegierten Benutzer sind für die Ausführung der meisten Aufgaben im System verantwortlich. Diese Benutzer dürfen niemals geändert oder gelöscht werden, da dies erhebliche Auswirkung auf das laufende System hätte. Zur Anmeldung werden SSH-Schlüssel verwendet.
Im Folgenden finden Sie eine Liste der Standardbenutzer mit Anmeldeberechtigungen.
rootist für Linux erforderlich. Dieser Benutzer wird sparsam zur Ausführung lokaler privilegierter Befehle verwendet. Root wird auch für einige Prozesse wie TFA-Agent verwendet. Er führt den lokalen Agent (auch "DCS-Agent" genannt) aus, der Lebenszyklusvorgänge für RDBMS-Software ausführt (Patching, Datenbank erstellen usw.).oracleist Eigentümer der Oracle Database-Softwareinstallation und führt RDBMS-Prozesse aus.gridist Eigentümer der Oracle Grid Infrastructure-Softwareinstallation und führt Grid Infastructure-Prozesse aus.opcwird von der Oracle Cloud-Automatisierung für Automatisierungsaufgaben verwendet. Der Benutzer ermöglicht die Ausführung bestimmter privilegierter Befehle ohne weitere Authentifizierung (zur Unterstützung von Automatisierungsfunktionen).mysqlist ein kritischer Benutzer. Er muss hochgefahren und gestartet sein, damit der DCS-Agent erfolgreich ausgeführt werden kann, da er Eigentümer des Metastores des DCS-Agent ist.
root:x:0:0:root:/root:/bin/bash
opc:x:54322:54323::/home/opc:/bin/bash
mysql:x:54323:54331::/home/mysql:/bin/bash
grid:x:102:1001::/home/grid:/bin/bash
oracle:x:101:1001::/home/oracle:/bin/bashSicherheitseinstellungen
In diesem Thema werden die Sicherheitseinstellungen beschrieben, die in Base Database Service verfügbar sind. Im Folgenden werden die im System bereitgestellten Standardsicherheitseinstellungen aufgeführt.
| Sicherheitseinstellungen | Standardwerte |
|---|---|
| Kennwortkomplexität | Mindestlänge des Kennworts: 15 Das Kennwort muss bis zu maximal aufeinanderfolgende sich wiederholende Zeichen aus derselben Zeichenklasse bestehen: 4 Maximale Anzahl aufeinanderfolgende sich wiederholende Zeichen für das Kennwort: 3 Mindestanzahl Ziffern für die Kennwortsicherheit: 1 Mindestanzahl verschiedene Kategorien für die Kennwortstärke: 4 Mindestanzahl verschiedene Zeichen für die Kennwortstärke: 8 Mindestanzahl Sonderzeichen für die Kennwortstärke: 1 Mindestanzahl Kleinbuchstaben für Kennwortstärke: 1 Mindestanzahl Großbuchstaben für Kennwortstärke: 1 |
| Benutzeraccountkonfiguration | Maximale Anzahl der Tage, die ein Kennwort verwendet werden darf: 60 Mindestanzahl der zulässigen Tage zwischen Kennwortänderungen: 1 Verschlüsselungs-Hash-Algorithmus: SHA512 Verzögerung bei Anmeldefehlern: 4 Sekunden |
| Deaktivierte Optionen | Deaktiviert Strg-Alt-Entf Neustart DCCP-Unterstützung ist deaktiviert USB-Speichergerät ist deaktiviert X Windows-Paketgruppe wird entfernt |
| SSH-Konfigurationen | Nur SSH-Protokoll 2 ist zulässig Aktivierte Verwendung der Berechtigungstrennung SSH-Leerlaufzeit-Timeoutintervall: 600 Sekunden GSSAPI-Authentifizierung deaktiviert Komprimierung auf verzögert gesetzt Nicht-Zertifikat vertrauenswürdig für SSH-Anmeldung beim System zulässig SSH-Daemon lässt keine Authentifizierung mit Authentifizierung mit bekannten Hosts zu |
| Pakete | Entfernen Sie alle Softwarekomponenten, nachdem aktualisierte Versionen installiert wurden Das System verhindert die Installation von lokalen Packages für nicht verifizierte Software-, Patch-, Service Packs-, Gerätetreiber- oder Betriebssystemkomponenten |
| Protokollierung | System- und Kernel-Meldungen werden an Remotehost gesendet (rsyslog) Cron für Log in rsyslog konfiguriert AIDE für periodische Ausführung konfigurieren |
| Sonstige | Authentifizierung beim Booten in Einzelbenutzer- und Wartungsmodi erforderlich Interaktiver Sessiontimeout: 600 Sekunden Konfigurierter PAM in SSSD-Geräten PAM-Systemservice, der so konfiguriert ist, dass nur verschlüsselte Darstellungen von Passwörtern gespeichert werden Konfigurierte SSSD Speicherort des CA-Zertifikats des LDAP-Backends Konfiguriertes SSSD-LDAP-Backends zur Verwendung von TLS für alle Transaktionen Konto nach Ablauf des Kennworts deaktivieren Dienstprogramme zur Gruppenkontoverwaltung sind so konfiguriert, dass nur verschlüsselte Darstellungen von Passwörtern gespeichert werden |
Darüber hinaus ermöglichen ONSR-Regionen standardmäßig FIPS, SE Linux und STIG die Einhaltung der Anforderungsstandards. Sie können die Systemsicherheit verbessern, indem Sie zusätzliche Konfigurationen aktivieren. Der Konfigurationsstandard (STIG) kann so festgelegt werden, dass er die restriktivsten Standards erfüllt und die Sicherheitscompliance mit Oracle Linux 7 STIG von DISA erhöht. Als Teil des Images wird ein Tool bereitgestellt, mit dem FIPS, SE Linux und STIG aktiviert werden können.
Weitere Informationen:
- FIPS, SE Linux und STIG in den DB-Systemkomponenten aktivieren
- Security Technical Implementation Guide-(STIG-)Tool für das DB-System
Sicherheitsprozesse
In diesem Thema werden die Standardsicherheitsprozesse beschrieben, die in Base Database Service verfügbar sind. Im Folgenden finden Sie die Liste der Prozesse, die standardmäßig auf der virtuellen Benutzermaschine (DB-System, auch als domU bezeichnet) ausgeführt werden.
| Prozesse | Beschreibung |
|---|---|
| domU-Agent | Es ist ein Cloud-Agent für die Verarbeitung von Datenbanklebenszyklusvorgängen. Wird als root-Benutzer ausgeführt. Die Prozesstabelle wird als JAVA-Prozess mit den folgenden JAR-Namen ausgeführt: dcs-agent-VersionNumber-SNAPSHOT.jardcs-admin-VersionNumber-SNAPSHOT.jar |
| TFA-Agent | Oracle Trace File Analyzer (TFA) stellt mehrere Diagnosetools in einem einzigen Bundle bereit, sodass Sie problemlos Diagnoseinformationen zu Oracle Database und Clusterware erfassen können. Dies wiederum hilft bei der Problemlösung beim Umgang mit Oracle Support. Wird als root-Benutzer ausgeführtwird als initd-Dämon ausgeführt (/etc/init.d/init.tfa)Prozesstabellen zeigen eine JAVA-Anwendung an ( oracle.rat.tfa.TFAMain) |
| Datenbank und GI (Clusterware) | Wird als oracle- und grid-Benutzer ausgeführteinige CRS/clusterware-Daemon-Prozesse werden als root-Benutzer ausgeführtin der Prozesstabelle werden folgende Anwendungen angezeigt: ora_*, apx_*, ams_* und oracle+ASM*mysqld und zookeepereinige andere Prozesse aus /u01/<version>/grid/* |
Netzwerkssicherheit
In diesem Thema wird die Netzwerksicherheit in Base Database Service beschrieben. Im Folgenden finden Sie eine Liste der Standardports, Prozesse und iptables-Regeln, die standardmäßig auf der virtuellen Benutzermaschine (DB-System, auch als domU bezeichnet) ausgeführt werden.
Ports für domU-Service
Die folgende Tabelle enthält eine Liste der Standardports für domU-Services.
| Schnittstellentyp | Schnittstellenname | Port | Ausgeführter Prozess |
|---|---|---|---|
| Auf allen Schnittstellen horchen | 0.0.0.0 | 22 | SSH |
| Auf allen Schnittstellen horchen | 0.0.0.0 | 1.522 | RDBMS: TNS-Listener |
| Auf allen Schnittstellen horchen | 0.0.0.0 | 7.060 | DCS-Admin |
| Auf allen Schnittstellen horchen | 0.0.0.0 | 7.070 | DCS-Agent |
| Auf allen Schnittstellen horchen | 0.0.0.0 | 2.181 | Zookeeper |
| Auf allen Schnittstellen horchen | 0.0.0.0 | 8888, 8895 | RAC: Quality of Management Service-(QOMS-)Server |
| Auf allen Schnittstellen horchen | 0.0.0.0 | 9.000 | RAC: Oracle Clusterware |
| Auf allen Schnittstellen horchen | 0.0.0.0 | 68 | DHCP |
| Auf allen Schnittstellen horchen | 0.0.0.0 | 123 | NTP |
| Auf allen Schnittstellen horchen | 0.0.0.0 | 5.353 | Multicast-DNS |
| Clientschnittstelle | ens3 | 1.521 | RDBMS: TNS-Listener |
| Clientschnittstelle | ens3 | 5.000 | RDBMS: Autonomous Health Framework (AHF) (einschließlich TFA) |
| Clientschnittstelle | ens3:1 | 1.521 | RDBMS: TNS-Listener |
| Clientschnittstelle | ens3:2 | 1.521 | RDBMS: TNS-Listener |
| Clientschnittstelle | ens3:3 | 1.521 | RDBMS: TNS-Listener |
| Cluster-Interconnect | ens4 | 1.525 | RDBMS: TNS-Listener |
| Cluster-Interconnect | ens4 | 2.888 | Zookeeper |
| Cluster-Interconnect | ens4 | 3.888 | Zookeeper |
| Cluster-Interconnect | ens4 | 6.000 | RAC: Grid-Interprozesskommunikation |
| Cluster-Interconnect | ens4 | 7.000 | RAC: High Availability Service |
iptables-Regeln für domU
Die Standard-iptables sind für das ACCEPT von Verbindungen in Eingabe-, Weiterleitungs- und Ausgabeketten eingerichtet.
Im Folgenden sind die iptables-Standardregeln für domU-Services aufgeführt:
CHAIN INPUTCHAIN FORWARDCHAIN OUTPUT
Beispiel -: iptables-Regeln
Das folgende Beispiel enthält die iptables-Standardregeln für domU-Services.
iptables -L -n -vAusgabe:
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
43M 110G ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
2664 224K ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0
40793 2441K ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- ens4 * 0.0.0.0/0 0.0.0.0/0
3 192 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
40 2400 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:1521 /* Required for access to Database Listener, Do not remove or modify. */
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:5000 /* Required for TFA traffic. */
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:6200 /* This rule is recommended and enables the Oracle Notification Services (ONS) to communicate about Fast Application Notification (FAN) events. */
343 20580 ACCEPT tcp -- * * 169.254.0.0/16 0.0.0.0/0 state NEW tcp dpt:7070 /* Required for instance management by the Database Service, Do not remove or modify. */
132 7920 ACCEPT tcp -- * * 169.254.0.0/16 0.0.0.0/0 state NEW tcp dpt:7060 /* Required for instance management by the Database Service, Do not remove or modify. */
0 0 ACCEPT tcp -- * * 169.254.0.0/16 0.0.0.0/0 state NEW tcp dpt:22 /* Required for instance management by the Database Service, Do not remove or modify. */
3 424 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT 51078 packets, 3218K bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- * ens4 0.0.0.0/0 0.0.0.0/0
52M 170G ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
8003 548K InstanceServices all -- * * 0.0.0.0/0 169.254.0.0/16
Chain InstanceServices (1 references)
pkts bytes target prot opt in out source destination
11 660 ACCEPT tcp -- * * 0.0.0.0/0 169.254.2.0/24 owner UID match 0 tcp dpt:3260 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
1 60 ACCEPT tcp -- * * 0.0.0.0/0 169.254.0.2 owner UID match 0 tcp dpt:3260 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
0 0 ACCEPT tcp -- * * 0.0.0.0/0 169.254.0.2 tcp dpt:80 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
678 63323 ACCEPT udp -- * * 0.0.0.0/0 169.254.169.254 udp dpt:53 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
0 0 ACCEPT tcp -- * * 0.0.0.0/0 169.254.169.254 tcp dpt:53 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
0 0 ACCEPT tcp -- * * 0.0.0.0/0 169.254.0.3 owner UID match 0 tcp dpt:80 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
0 0 ACCEPT tcp -- * * 0.0.0.0/0 169.254.0.4 tcp dpt:80 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
2569 195K ACCEPT udp -- * * 0.0.0.0/0 169.254.169.254 udp dpt:123 /* Allow access to OCI local NTP service */
4727 284K ACCEPT tcp -- * * 0.0.0.0/0 169.254.169.254 tcp dpt:80 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
15 4920 ACCEPT udp -- * * 0.0.0.0/0 169.254.169.254 udp dpt:67 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
0 0 ACCEPT udp -- * * 0.0.0.0/0 169.254.169.254 udp dpt:69 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
0 0 REJECT tcp -- * * 0.0.0.0/0 169.254.0.0/16 tcp /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */ reject-with tcp-reset
0 0 REJECT udp -- * * 0.0.0.0/0 169.254.0.0/16 udp /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */ reject-with icmp-port-unreachableBenutzerzuständigkeiten für Sicherheitseinstellungen
In diesem Thema werden die Zuständigkeiten von Oracle Cloud Operations und die Benutzerzuständigkeiten für Sicherheitseinstellungen in Base Database Service beschrieben. Die folgende Tabelle enthält eine Liste der Sicherheitseinstellungen, die Oracle Cloud Operations und Benutzer vornehmen müssen.
| Arbeitsvorgang | Oracle Cloud Platform: Oracle Cloud-Verantwortung | Oracle Cloud Platform: Benutzerverantwortung | Benutzer-/Mandanteninstanzen: Oracle Cloud-Zuständigkeit | Benutzer-/Mandanteninstanzen: Benutzerzuständigkeit |
|---|---|---|---|---|
| DATENBANK-DEPLOYMENT | Softwareinfrastruktur und Anleitung für die Bereitstellung von Base Database Service | Netzwerkadministrator: Konfigurieren Sie eine Cloud-Netzwerkinfrastruktur (VCN und Subnetze, Gateway usw.). Datenbankadministrator: Datenbankanforderungen einrichten (Arbeitsspeicher, Speicherung, Berechnung, Datenbankversion, Datenbanktyp usw.) |
Betriebssystem, Datenbank und Grid Infrastructure-System installieren, falls ausgewählt | Datenbank-Admin: Oracle Database-Softwareversion, Ausprägung der Anforderungen an virtuelle Maschinen (CPU/Arbeitsspeicher), Größenressourcen für Datenspeicher- und Recovery-Speicherkonfiguration basierend auf den Workloads (Upgrade/Downgrade der Ressourcen) aktualisieren. |
| MONITORING | Physische Sicherheit, Infrastruktur, Control Plane, Hardwarefehler, Verfügbarkeit, Kapazität | Keine | Verfügbarkeit der Infrastruktur zur Unterstützung des Monitorings der Benutzerservices. | Datenbankadministrator: Monitoring von Benutzerbetriebssystem, Datenbanken, Apps und Grid Infrastructure |
| VORFALLMANAGEMENT UND PROBLEMLÖSUNG | Vorfallsmanagement und Korrektur, Ersatzteile und Außendienst | Keine | Unterstützung bei Vorfällen im Zusammenhang mit der zugrunde liegenden Plattform | Datenbankadministrator: Vorfallsmanagement und Problemlösung für Benutzeranwendungen |
| PATCHMANAGEMENT | Proaktives Patching von Hardware, IaaS/PaaS-Kontrollstack | Keine | Staging verfügbarer Patches, z.B. Oracle Database-Patchset | Datenbankadministrator: Patching von Mandanteninstanzen, Testen BS-Admin: BS-Patching |
| BACKUP- UND WIEDERHERSTELLUNG | Backup und Recovery von Infrastruktur und Control Plane, virtuelle Maschinen für Benutzer neu erstellen | Keine | Aktive und für Benutzer zugängliche virtuelle Maschinen bereitstellen | Datenbankadministrator: Snapshots/Backup und Recovery der IaaS- und PaaS-Daten des Benutzers mit nativen Oracle-Funktionen oder Drittanbieterfunktionen |
Zusätzliche Sicherheitsfunktionen aktivieren
Base Database Service bietet die folgenden zusätzlichen Sicherheitsfunktionen:
dbcli NetSecurity
Die dbcli NetSecurity übernimmt die Verschlüsselung von Daten während der Übertragung durch das Netzwerk. Wenn die Daten von Oracle Database zu einem Drittanbieter oder von einem Server zu einem Client verschoben werden, müssen sie auf der Absenderseite verschlüsselt und auf der Empfängerseite entschlüsselt werden. In NetSecurity werden Regeln mit Standardwerten für Client und Server während der Provisioning- und Datenbank-Home-Erstellungsvorgänge konfiguriert. Die CLI-Schnittstelle dcs-agent stellt Befehle zum Aktualisieren dieser NetSecurity-Regeln bereit und verbessert die Sicherheit für Verschlüsselungsalgorithmen, Integritätsalgorithmen und Verbindungstypen.
Standardmäßig konfiguriert dcs-agent die folgenden Standardregeln für das Datenbank-Home:
SQLNET.ENCRYPTION_SERVER=REQUIREDSQLNET.CRYPTO_CHECKSUM_SERVER=REQUIREDSQLNET.ENCRYPTION_TYPES_SERVER=(AES256,AES192,AES128)SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER=(SHA1)SQLNET.ENCRYPTION_CLIENT=REQUIREDSQLNET.CRYPTO_CHECKSUM_CLIENT=REQUIREDSQLNET.ENCRYPTION_TYPES_CLIENT=(AES256,AES192,AES128)SQLNET.CRYPTO_CHECKSUM_TYPES_CLIENT=(SHA1)
Weitere Informationen zum Aktualisieren der Einstellungen finden Sie unter Oracle Database-CLI-Referenz.
OCI Vault-Integration
Base Database Service bietet jetzt die Integration mit dem OCI Vault-Service in allen kommerziellen OCI-Regionen. Sie können jetzt TDE-Masterschlüssel in OCI Vault erstellen und verwalten, die Ihre Datenbanken schützen. Mit diesem Feature können Sie mit dem OCI Vault-Service die Masterverschlüsselungsschlüssel speichern und verwalten. Die zum Schutz von Datenbanken verwendeten OCI Vault-Schlüssel werden in einem hochverfügbaren, dauerhaften und verwalteten Service abgelegt.
Hinweis: Die OCI Vault-Integration ist nur für Oracle Database-Versionen 19.13 und höher verfügbar.
Mit der OCI Vault-Integration mit Base Database Service können Sie:
- TDE-Masterschlüssel zentral steuern und verwalten, indem Sie die OCI Vault-basierte Schlüsselverschlüsselung aktivieren, während Sie Oracle-Datenbanken in Base Database Service bereitstellen.
- Ihre TDE-Masterschlüssel in einem hochverfügbaren, dauerhaften und verwalteten Service speichern, wobei die Schlüssel durch HSM geschützt sind, die eine Sicherheitszertifizierung nach Federal Information Processing Standards (FIPS) 140-2 der Sicherheitsebene 3 haben.
- Ihre Verschlüsselungsschlüssel periodisch rotieren, um die Sicherheitscompliance aufrechtzuerhalten und in Fällen von Personaländerungen den Zugriff auf eine Datenbank zu deaktivieren.
- Die von Oracle verwalteten Schlüssel für Ihre vorhandenen Datenbanken in vom Benutzer verwaltete Schlüssel migrieren.
- Ihre eigenen Schlüssel hinzufügen - also BYOK (Bring Your Own Key) - und diese beim Erstellen von Datenbanken mit benutzerverwalteter Verschlüsselung verwenden.
Hinweis:
- BYOK gilt nur für die Containerdatenbank (CDB). Der integrierbaren Datenbank (PDB) wird eine automatisch generierte neue Schlüsselversion zugewiesen.
- Oracle-Datenbanken mit benutzerverwalteter Verschlüsselung unterstützen das Klonen des DB-Systems, die In-Pplace-Wiederherstellung, die Out-of-Place-Wiederherstellung, die Data Guard-Konfiguration innerhalb der Region und PDB-spezifische Vorgänge wie das Erstellen von PDBs und dem lokalen Klonen.
CLI zum Aktivieren von FIPS
Oracle stellt standardmäßig ein Tool für kommerzielle Benutzer bereit, mit dem sie die Sicherheit verbessern können. Mit diesem Tool können FIPS, SE Linux und STIG die strengsten Standards erfüllen.
Weitere Informationen finden Sie unter FIPS, SE Linux und STIG in den DB-Systemkomponenten aktivieren.