Protección de Compute

Para utilizar Compute de forma segura, conozca sus responsabilidades en materia de seguridad y conformidad.

En general, Oracle proporciona seguridad en la infraestructura y las operaciones en la nube, como controles de acceso de operadores en la nube y aplicación de parches de seguridad de la infraestructura. Usted es responsable de configurar de forma segura sus recursos en la nube. La seguridad en la nube es una responsabilidad compartida entre usted y Oracle.

Oracle es responsable de los siguientes requisitos de seguridad:

• Seguridad física:Oracle es responsable de proteger la infraestructura global que ejecuta todos los servicios ofrecidos en Oracle Cloud Infrastructure. Esta infraestructura consta del hardware, el software, la red y las instalaciones que ejecutan los servicios de Oracle Cloud Infrastructure.

Las responsabilidades de seguridad se describen en esta página, que incluye las siguientes áreas:

• Control de acceso: limite los privilegios lo máximo posible. A los usuarios solo se les debe otorgar el acceso necesario para realizar su trabajo.
• Cifrado y confidencialidad: utilice claves y secretos de cifrado para proteger los datos y conectarse a recursos protegidos. Gire estas claves regularmente.
• Aplicación de parches: mantenga el software actualizado con los últimos parches de seguridad para evitar vulnerabilidades.

Utilice esta lista de control para identificar las tareas que debe realizar para proteger Compute en un nuevo arrendamiento de Oracle Cloud Infrastructure.

Después de empezar a utilizar Compute, utilice esta lista de control para identificar las tareas de seguridad que le recomendamos que realice con regularidad.

Utilice políticas para limitar el acceso a recursos informáticos.

Recomendamos que otorgue permisos DELETE a un juego mínimo de usuarios y grupos de IAM. Esta práctica minimiza la pérdida de datos de supresiones involuntarias por parte de usuarios autorizados o de actores maliciosos. Otorgue permisos DELETE solo a los administradores de arrendamiento y compartimento.

En todos los ejemplos siguientes, las políticas están acotadas a un arrendamiento. Sin embargo, al especificar un nombre de compartimento, se pueden acotar a un compartimento específico en un arrendamiento.

Allow group InstanceUsers to manage instance-family in tenancy
 where request.permission!='INSTANCE_DELETE' 
Allow group InstanceUsers to use volume-family in tenancy 
Allow group InstanceUsers to use virtual-network-family in tenancy

Allow group InstanceUsers to manage instance-console-connection in tenancy
 where all {request.permission!= INSTANCE_CONSOLE_CONNECTION_READ, 
            request.permission!= INSTANCE_CONSOLE_CONNECTION_CREATE}

Para obtener más información sobre las políticas de Compute y ver más ejemplos, consulte Detalles de los servicios principales.

Además de crear políticas de IAM, bloquee el acceso a las instancias informáticas.

Active Cloud Guard y utilícelo para detectar y responder a problemas de seguridad en los recursos informáticos.

Al detectar un problema, Cloud Guard sugiere acciones correctivas. También puede configurar Cloud Guard para que realice automáticamente determinadas acciones. Cloud Guard incluye las siguientes reglas de detector para Compute.

• La instancia tiene una dirección IP pública
• La instancia está ejecutando una imagen de Oracle
• La instancia no está ejecutando una imagen de Oracle
• La instancia es de acceso público
• Instancia terminada
• Exportar imagen
• Importar imagen
• Actualizar imagen

Para obtener una lista de todas las reglas de detector disponibles en Cloud Guard, consulte Referencia de receta de detector.

Si aún no lo ha hecho, active Cloud Guard y configúrelo para supervisar los compartimentos que contienen los recursos. Puede configurar destinos de Cloud Guard para examinar todo el arrendamiento (compartimento raíz y todos los subcompartimentos) o para comprobar solo compartimentos específicos. Consulte Introducción a Cloud Guard.

Después de activar Cloud Guard, puede ver y resolver los problemas de seguridad detectados. Consulte Processing Reported Problems.

El uso de Security Zones garantiza que los recursos de Compute cumplan las mejores prácticas de seguridad.

Una zona de seguridad está asociada a uno o más compartimentos y una receta de zona de seguridad. Al crear y actualizar recursos en el compartimento de una zona de seguridad, Oracle Cloud Infrastructure valida estas operaciones con respecto a la lista de políticas de zona de seguridad de la receta. Si se infringe cualquier política de la receta, se deniega la operación. Las siguientes políticas de zona de seguridad están disponibles para los recursos de Compute.

• deny instance_in_security_zone_​launch_from_boot_volume_​not_in_security_zone
• deny instance_in_security_zone_​in_subnet_not_in_security_​zone
• deny instance_without_​sanctioned_image
• deny boot_volume_not_in_security_​zone_attach_to_instance_​in_security_zone
• deny boot_volume_without_​vault_key

Para obtener una lista de todas las políticas de zona de seguridad, consulte Políticas de zona de seguridad.

Para mover los recursos existentes a un compartimento que está en una zona de seguridad, los recursos deben cumplir con todas las políticas de zona de seguridad de la receta de la zona. Del mismo modo, los recursos de una zona de seguridad no se pueden mover a un compartimento fuera de la zona de seguridad porque podría ser menos seguro. Consulte Gestión de zonas de seguridad.

Cree y rote claves de cifrado en el servicio Vault para proteger sus recursos en Compute.

Un almacén es una entidad lógica que almacena las claves de cifrado que utiliza para proteger los datos. Según el modo de protección, las claves se almacenan en el servidor o en módulos de seguridad de hardware (HSM) duraderos y de alta disponibilidad. Nuestros HSM cumplen con la certificación de seguridad de nivel 3 de seguridad de FIPS 140-2. Consulte Gestión de almacenes y Gestión de claves.

Aunque las claves de cifrado por defecto se pueden generar automáticamente al crear determinados recursos de Oracle Cloud Infrastructure, recomendamos que cree y gestione sus propias claves de cifrado personalizadas en el servicio Vault.

Los volúmenes de inicio de instancias están cifrados por defecto. Al crear una instancia, puede utilizar una clave de cifrado personalizada para cifrar los datos estáticos en el volumen de inicio. Si activa el cifrado en tránsito para la instancia, la clave personalizada también se utiliza para el cifrado en tránsito. Consulte Creación de una instancia.

A cada clave de cifrado maestra se le asigna automáticamente una versión de clave. Al rotar una clave, el servicio Vault genera una nueva versión de clave. La rotación periódica de claves limita la cantidad de datos cifrados o firmados por una versión de clave. Si en algún momento se incluye una clave, la rotación de claves reduce el riesgo para los datos. Consulte Gestión de claves.

Recomendamos utilizar políticas de IAM para limitar estrictamente la creación, rotación y supresión de claves de cifrado. Consulte Detalles para el servicio Vault.

Acceso seguro a la red de sus recursos en el servicio Compute, incluido el shell seguro (SSH).

Refuerce SSH en todas las instancias. En la siguiente tabla, se muestran algunas recomendaciones de seguridad de SSH. Las opciones de configuración de SSH se pueden definir en el archivo sshd_config. En Linux, este archivo está en /etc/ssh/sshd_config.

Utilice claves privadas SSH seguras para acceder a las instancias y evitar divulgaciones involuntarias. Para obtener más información sobre la creación de un par de claves SSH y la configuración de una instancia con las claves, consulte Gestión de pares de claves en instancias de Linux.

Utilice listas de seguridad , grupos de seguridad de red o una combinación de ambos para controlar el tráfico de nivel de paquete dentro y fuera de los recursos de la VCN (red virtual en la nube) . Consulte Acceso y seguridad.

Fail2ban es una aplicación que muestra las direcciones IP incluidas en listas de bloques implicadas en intentos de inicio de sesión por fuerza bruta (es decir, demasiados intentos fallidos para iniciar sesión en una instancia). Por defecto, Fail2ban inspecciona los accesos SSH y puede configurarlos para inspeccionar otros protocolos. Para obtener más información sobre Fail2ban, consulte Fail2ban Main Page.

Además de las listas de seguridad y los grupos de seguridad de red de VCN, utilice firewalls basados en host, como iptables y firewalld, para restringir el acceso de red a las instancias mediante el control de puertos, protocolos y tipos de paquetes. Utilice estos firewalls para evitar el reconocimiento de posibles ataques de seguridad de red, como el análisis de puertos y los intentos de intrusión. Las reglas de firewall personalizadas se pueden configurar, guardar e inicializar en cada inicio de instancia. El siguiente ejemplo muestra los comandos para iptables.

# save iptables rules after configuration 
sudo iptables-save > /etc/iptables/iptables.rules 
# restore iptables rules on next reboot 
sudo /sbin/iptables-restore < /etc/iptables.rules 
# restart iptables after restore 
sudo service iptables restart

Al crear una subred de una VCN, la subred se considera pública por defecto y se permite la comunicación por Internet. Utilice subredes privadas para alojar recursos que no requieren acceso a Internet. También puede configurar un gateway de servicio en la VCN para permitir que los recursos de una subred privada accedan a otros servicios en la nube. Consulte Opciones de conectividad.

El servicio Bastion proporciona acceso restringido y limitado en el tiempo a recursos de destino que no tengan puntos finales públicos. Mediante un bastión, puede permitir que los usuarios autorizados se conecten a los recursos de destino en puntos finales privados mediante sesiones de shell seguro (SSH). Cuando están conectados, los usuarios pueden interactuar con el recurso de destino mediante cualquier software o protocolo soportado por SSH. Consulte Gestión de bastiones.

Utilice el firewall de aplicaciones web (WAF) para crear y gestionar reglas de protección para amenazas de Internet, como scripts de sitios (XSS), inyección SQL y otras vulnerabilidades definidas por OWASP. Los bots no deseados se pueden mitigar mientras se permite la entrada de bots deseables. WAF observa el tráfico a su aplicación web a lo largo del tiempo y recomienda nuevas reglas para que las configure. Consulte Getting Started with Edge Policies.

Asegúrese de que los recursos informáticos ejecutan las últimas actualizaciones de seguridad.

Mantenga el software de la instancia actualizado con los parches de seguridad. Le recomendamos que aplique periódicamente las últimas actualizaciones de software disponibles en las instancias. Las imágenes de Oracle Autonomous Linux se actualizan automáticamente con los parches más recientes. Para las imágenes de Oracle Linux, puede ejecutar el comando sudo yum update (sudo dnf update en Oracle Linux 8). En Oracle Linux, puede obtener información sobre los parches de seguridad disponibles e instalados con el plugin yum-security. En el siguiente ejemplo, se proporcionan comandos para yum-security.

# Install yum-security plugin
yum install yum-plugin-security
# Get list of security patches without installing them
yum updateinfo list security all
# Get list of installed security patches
yum updateinfo list security all

Las instancias de Linux en Oracle Cloud Infrastructure pueden utilizar Oracle Ksplice para aplicar parches de núcleo críticos sin reiniciar. Ksplice puede mantener versiones de núcleo específicas para Oracle Linux, CentOS y Ubuntu. Para obtener más información, consulte Oracle Ksplice.

Configure los recursos informáticos para despliegues de producción.

Establezca una línea base para reforzar la seguridad de las imágenes de Linux y Windows que se ejecutan en instancias. Para obtener más información sobre el endurecimiento de la seguridad de las imágenes de Oracle Linux, consulte Tips for Hardening an Oracle Linux Server. Las referencias de seguridad de Center for Internet proporcionan un conjunto completo de referencias de endurecimiento de la seguridad del sistema operativo para varias distribuciones de Linux y Windows Server.

Localice los logs de acceso y otros datos de seguridad de las instancias informáticas.

Diversos eventos relacionados con la seguridad se capturan en archivos de log. Le recomendamos que revise periódicamente estos archivos log para detectar cualquier problema de seguridad. En Oracle Linux, los archivos log están en la carpeta /var/log. En la tabla siguiente se muestran algunos archivos log relevantes para la seguridad.

El servicio Audit registra automáticamente todas las llamadas de API a los recursos de Oracle Cloud Infrastructure. Puede lograr sus objetivos de seguridad y conformidad mediante el servicio Audit para supervisar toda la actividad de los usuarios dentro de su arrendamiento. Dado que todas las llamadas a la consola, SDK y la línea de comandos (CLI) pasan por nuestras API, se incluye toda la actividad de esos orígenes. Los registros de auditoría están disponibles mediante una API de consulta autenticada y filtrable o se pueden recuperar como archivos por lotes de Object Storage. El contenido del log de auditoría incluye la actividad que se produjo, el usuario que la inició, la fecha y la hora de la solicitud, así como la IP de origen, el agente de usuario y las cabeceras HTTP de la solicitud. Consulte Visualización de eventos del log de auditoría.

{
  "datetime": 1642192740551,
  "logContent": {
    "data": {
      "additionalDetails": {
        "X-Real-Port": 50258,
        "imageId": "ocid1.image.oc1.<unique_id>",
        "shape": "VM.Standard.E3.Flex",
        "type": "CustomerVmi",
        "volumeId": "null"
      },
      "availabilityDomain": "AD1",
      "compartmentId": "ocid1.tenancy.oc1..<unique_id>",
      "compartmentName": "mytenancy",
      "definedTags": {},
      "eventGroupingId": "<unique_id>",
      "eventName": "LaunchInstance",
      "freeformTags": {},
      "identity": {
        "authType": null,
        "callerId": null,
        "callerName": null,
        "consoleSessionId": null,
        "credentials": "<key>",
        "ipAddress": "<ip_address>",
        "principalId": "<user_id>",
        "principalName": "<user_name>",
        "tenantId": "ocid1.tenancy.oc1..<unique_id>",
        "userAgent": "Oracle-JavaSDK/1.33.2 (Linux/4.14.35-2047.509.2.2.el7uek.x86_64; Java/1.8.0_301; Java HotSpot(TM) 64-Bit Server VM GraalVM EE 20.3.3/25.301-b09-jvmci-20.3-b18)"
      },
      "message": "myinstance LaunchInstance succeeded",
      "request": {
        "action": "POST",
        "headers": {
          "Accept": [
            "application/json"
          ],
          "Connection": [
            "keep-alive"
          ],
          "Date": [
            "Fri, 14 Jan 2022 20:38:59 GMT"
          ]
        },
        "id": "<unique_id>",
        "parameters": {},
        "path": "/20160918/instances"
      },
      "resourceId": "ocid1.instance.oc1.phx.<unique_id>",
      "response": {
        "headers": {
          "Connection": [
            "keep-alive"
          ],
          "Content-Type": [
            "application/json"
          ],
          "Date": [
            "Fri, 14 Jan 2022 20:39:00 GMT"
          ],
          "ETag": [
            "<unique_id>"
          ],
          "Transfer-Encoding": [
            "chunked"
          ],
          "X-Content-Type-Options": [
            "nosniff"
          ],
          "opc-request-id": [
            "<unique_id>"
          ],
          "opc-work-request-id": [
            "ocid1.coreservicesworkrequest.oc1.phx.<unique_id>"
          ]
        },
        "message": null,
        "payload": {},
        "responseTime": "2022-01-14T20:39:00.551Z",
        "status": "200"
      },
      "stateChange": {
        "current": {
          "agentConfig": {
            "areAllPluginsDisabled": false,
            "isManagementDisabled": false,
            "isMonitoringDisabled": false
          },
          "availabilityConfig": {
            "recoveryAction": "RESTORE_INSTANCE"
          },
          "availabilityDomain": "EMIr:PHX-AD-1",
          "compartmentId": "ocid1.tenancy.oc1..<unique_id>",
          "definedTags": {},
          "displayName": "<unique_id>",
          "extendedMetadata": {},
          "faultDomain": "FAULT-DOMAIN-1",
          "freeformTags": {},
          "id": "ocid1.instance.oc1.phx.<unique_id>",
          "imageId": "ocid1.image.oc1.phx.<unique_id>",
          "instanceOptions": {
            "areLegacyImdsEndpointsDisabled": false
          },
          "launchMode": "PARAVIRTUALIZED",
          "launchOptions": {
            "bootVolumeType": "PARAVIRTUALIZED",
            "firmware": "UEFI_64",
            "isConsistentVolumeNamingEnabled": true,
            "isPvEncryptionInTransitEnabled": false,
            "networkType": "PARAVIRTUALIZED",
            "remoteDataVolumeType": "PARAVIRTUALIZED"
          },
          "lifecycleState": "PROVISIONING",
          "region": "phx",
          "shape": "VM.Standard.E3.Flex",
          "shapeConfig": {
            "gpus": 0,
            "localDisks": 0,
            "maxVnicAttachments": 2,
            "memoryInGBs": 16,
            "networkingBandwidthInGbps": 1,
            "ocpus": 1,
            "processorDescription": "2.25 GHz AMD EPYC™ 7742 (Rome)"
          },
          "sourceDetails": {
            "imageId": "ocid1.image.oc1.phx.<unique_id>",
            "sourceType": "image"
          },
          "systemTags": {},
          "timeCreated": "2022-01-14T20:39:00.260Z"
        },
        "previous": {}
      }
    },
    "dataschema": "2.0",
    "id": "<unique_id> ",
    "oracle": {
      "compartmentid": "ocid1.tenancy.oc1..<unique_id>",
      "ingestedtime": "2022-01-14T20:39:05.212Z",
      "loggroupid": "_Audit",
      "tenantid": "ocid1.tenancy.oc1..<unique_id>"
    },
    "source": "<unique_id>",
    "specversion": "1.0",
    "time": "2022-01-14T20:39:00.551Z",
    "type": "com.oraclecloud.computeApi.LaunchInstance.begin"
  }
}

Si ha activado Cloud Guard en su arrendamiento, informa de cualquier actividad de usuario que suponga posibles problemas de seguridad. Al detectar un problema, Cloud Guard sugiere acciones correctivas. También puede configurar Cloud Guard para que realice automáticamente determinadas acciones. Consulte Introducción a Cloud Guard y Procesamiento de problemas notificados.