Sicherer Netzwerkzugriff
Führen Sie die folgenden Best Practices aus, um Ihre virtuellen Cloud-Netzwerke, Subnetze, Load Balancer und andere Netzwerkressourcen zu sichern.
Implementieren von Netzwerkzugriffskontrollen
Enterprise Architect, Security Architect, Network Architect
- Definieren Sie entsprechende IAM-Policys, um den Zugriff auf Netzwerkressourcen nur auf die Benutzer und Gruppen zu beschränken, die Netzwerkressourcen verwalten dürfen.
- Formieren Sie eine Strategie mit mehreren Subnetz-Tiers für das VCN:
- DMZ-Subnetz für Load Balancer.
- Öffentliche Subnetze für extern zugängliche Hosts, wie Webanwendungsserver und Instanzen, auf denen Angriffserkennungssysteme (IDS) ausgeführt werden.
- Private Subnetze für interne Hosts wie Datenbanken.
- Compute-Instanzen, die an ein privates Subnetz angehängt sind, können nur private IP-Adressen haben.
- Hängen Sie sicherheitsrelevante Hosts (z.B. DB-Systeme) an private Subnetze an. Für die Konnektivität von solchen Hosts zum Internet verwenden Sie ein NAT-Gateway. Um den Hosts den Zugriff auf andere Oracle Cloud Infrastructure-Services zu ermöglichen, verwenden Sie ein Servicegateway.
- Netzwerksicherheitsgruppen bieten eine fein granulierte Kontrolle des Datenverkehrs zwischen vNICs, der von der Netzwerksicherheitsgruppe kontrolliert wird.
- Sicherheitslisten steuern den Datenverkehr, der in, innerhalb und außerhalb von Subnetzen fließen kann.
- Mit Netzwerksicherheitsgruppen können Sie den Zugriff auf Ihre Ressourcen in privaten und öffentlichen Subnetzen kontrollieren:
- Lassen Sie nur Netzwerkflüsse zu, die für eine Workload erforderlich sind, indem Sie Sicherheitsgruppen für jede Stufe der Anwendung erstellen.
- Lassen Sie keinen unnötigen seitlichen Datenverkehr innerhalb oder zwischen Anwendungsebenen zu.
- Sofern nicht erforderlich, dürfen Anwendungsebenen mit anderen Ebenen kommunizieren.
- Verwenden Sie granulare Sicherheitsregeln, um die Kommunikation innerhalb des VCN mit dem Internet mit anderen VCNs zu regulieren, die über Peering-Gateways und mit On-Premise-Hosts verbunden sind.
- Verwenden Sie die Funktion der VCN-Routentabelle, um ein Angriffserkennungssystem einzurichten und den gesamten ausgehenden Traffic zu scannen.
- VCN-Subnetzflusslogs protokollieren den Datenverkehr in einem VCN. Aktivieren Sie VCN-Subnetzflusslogs, und überwachen Sie deren Inhalt regelmäßig.
- Web Application Firewall für öffentlich zugängliche HTTPS-Services aktivieren.
Load Balancer sichern
Enterprise Architect, Security Architect, Network Architect
- Um TLS am Load Balancer zu beenden, verwenden Sie einen HTTP-Load Balancer. Um TLS auf einem Backend-Server zu beenden, verwenden Sie einen TCP-Load Balancer.
- Sie können den Netzwerkzugriff auf die Load Balancer mit Netzwerksicherheitsgruppen oder Sicherheitslisten konfigurieren.
- Definieren Sie IAM-Policys, um die Berechtigungen zum Verwalten der Load Balancer auf eine minimale Gruppe von Benutzern und Gruppen zu begrenzen.
Zugriff mit Netzwerkquellen einschränken
Enterprise Architect, Security Architect, Network Architect
Eine Netzwerkquelle ist eine Gruppe von definierten IP-Adressen. Die IP-Adressen können öffentliche IP-Adressen oder IP-Adressen von VCNs in Ihrem Mandanten sein.Netzwerkressourcen können nur im Mandanten (oder Root Compartment) erstellt werden und sich wie andere Identitätsressourcen in der Hauptregion befinden.
Mit Netzwerkquellen können Sie Ihren Mandanten wie folgt sichern:
- Geben Sie die Netzwerkquelle in einer IAM-Policy an, um den Zugriff auf Ressourcen einzuschränken. Sofern dies in einer Policy angegeben wurde, prüft IAM, dass Anforderungen für den Zugriff auf eine Ressource von einer zulässigen IP-Adresse stammen. Sie können den Zugriff auf Object Storage-Buckets in Ihrem Mandanten beispielsweise nur auf Benutzer einschränken, die über Ihr Unternehmensnetzwerk bei Oracle Cloud Infrastructure angemeldet sind. Sie können auch zulassen, dass nur Ressourcen, die zu bestimmten Subnetzen eines bestimmten VCN gehören, Anforderungen über ein Servicegateway stellen.
- Geben Sie die Netzwerkquelle in den Administratoreinstellungen an, um die Anmeldung bei der Konsole einzuschränken. Sie können die Authentifizierungs-Policy Ihres Mandanten so einrichten, dass eine Anmeldung bei der Konsole nur mit den in der Netzwerkquelle angegebenen IP-Adressen möglich ist. Benutzern, die versuchen, sich mit einer IP-Adresse anzumelden, die nicht in der Liste der zulässigen IP-Adressen in der Netzwerkquelle enthalten ist, wird der Zugriff verweigert.
Sichere DNS-Zonen und -Datensätze
Enterprise Architect, Security Architect, Network Architect
Definieren Sie IAM-Policys, um die Benutzer einzugrenzen, die DNS-Zonen und -Datensätze ändern können.
Maximale Sicherheitszonen in Oracle Cloud Infrastructure nutzen
Enterprise Architect, Security Architect, Network Architect
Wenn Sie ein neues Projekt starten und eine neue Lösung erstellen, gibt es viele Best Practices, die von vielen verschiedenen Quellen bereitgestellt werden, darunter:
- Lieferantenempfehlungen
- Organisationsstandards und -richtlinien
- Externe Frameworks
- Einhaltung von Vorschriften
- Referenzarchitekturen
Diese Best Practices decken in der Regel eine Reihe von verschiedenen Sicherheitsthemen ab, einschließlich Authentifizierung, Verschlüsselung, Speicher, Zugriffskontrolle usw. Best Practices werden jedoch in vielen Fällen ignoriert. Wir haben es schon oft erlebt: Projektzeitpläne, Budget-Constraints, Wissenslücken und Umgebungen, die als Nicht-Produktion anlaufen, können alles bedeuten, dass die relevanten Best Practices nicht befolgt werden, was zu einer unsicheren Umgebung und einer schwachen Sicherheitslage führt.
Mit dem Service "Maximale Sicherheitszonen" in Oracle Cloud Infrastructure können Sie dieses Risiko minimieren. Eine Sicherheitszone ist eine präventive Kontrolle, die aufgrund der Tatsache, dass sie sensible Daten und Ressourcen enthält, konstruktiv einschränkt. Beispiel: Zonen mit maximaler Sicherheit werden freigegeben, wobei eine maximale Sicherheitsrichtlinie aktiviert ist. Auf diese Weise sollte der öffentliche Zugang nicht erlaubt werden, und sensible Daten sollten so weit wie möglich vom Internet getrennt werden. Die Sicherheitsrichtlinie erzwingt diese Position, indem sie verhindert, dass Sie in Echtzeit Ressourcen erstellen, die diese Policy brechen würden.