Protección de Compute

Para utilizar Compute de forma segura, obtenga información sobre sus responsabilidades de seguridad y conformidad.

En general, Oracle proporciona seguridad de la infraestructura y las operaciones en la nube, como los controles de acceso de los operadores de la nube y la aplicación de parches de seguridad de la infraestructura. Es responsable de configurar de forma segura sus recursos en la nube. La seguridad en la nube es una responsabilidad compartida entre usted y Oracle.

Oracle es responsable de los siguientes requisitos de seguridad:

• Seguridad física: Oracle es responsable de proteger la infraestructura global que ejecuta todos los servicios ofrecidos en Oracle Cloud Infrastructure. Esta infraestructura consta del hardware, el software, la red y las instalaciones que ejecutan servicios de Oracle Cloud Infrastructure.

Las responsabilidades de seguridad se describen en esta página, que incluye las siguientes áreas:

• Control de acceso: limite los privilegios lo máximo posible. A los usuarios solo se les debe otorgar el acceso necesario para realizar su trabajo.
• Cifrado y confidencialidad: utilice secretos y claves de cifrado para proteger los datos y conectarse a los recursos protegidos. Rote estas claves regularmente.
• Aplicación de parches: mantenga el software actualizado con los parches de seguridad más recientes para evitar vulnerabilidades.

Utilice esta lista de comprobación para identificar las tareas que realiza para proteger Compute en un nuevo arrendamiento de Oracle Cloud Infrastructure.

Después de comenzar a utilizar Compute, utilice esta lista de comprobación para identificar las tareas de seguridad que le recomendamos que realice con regularidad.

Utilice políticas para limitar el acceso a Compute.

Le recomendamos que otorgue permisos DELETE a un juego mínimo de usuarios y grupos de IAM. Esta práctica minimiza la pérdida de datos de supresiones involuntarias por usuarios autorizados o por actores maliciosos. Otorgue permisos DELETE solo a los administradores de arrendamiento y compartimento.

En todos los ejemplos siguientes, las políticas están acotadas a un arrendamiento. Sin embargo, al especificar un nombre de compartimento, se pueden acotar a un compartimento específico en un arrendamiento.

Allow group InstanceUsers to manage instance-family in tenancy
 where request.permission!='INSTANCE_DELETE' 
Allow group InstanceUsers to use volume-family in tenancy 
Allow group InstanceUsers to use virtual-network-family in tenancy

Allow group InstanceUsers to manage instance-console-connection in tenancy
 where all {request.permission!= INSTANCE_CONSOLE_CONNECTION_READ, 
            request.permission!= INSTANCE_CONSOLE_CONNECTION_CREATE}

Para obtener más información sobre las políticas de Compute y ver más ejemplos, consulte Detalles de los servicios principales.

Además de crear políticas de IAM, bloquee el acceso a instancias informáticas.

Active Cloud Guard y utilícela para detectar y responder a problemas de seguridad en los recursos informáticos.

Al detectar un problema, Cloud Guard sugiere acciones correctivas. También puede configurar Cloud Guard para que realice automáticamente determinadas acciones. Cloud Guard incluye las siguientes reglas de detector para Compute.

• La instancia tiene una dirección IP pública
• La instancia está ejecutando una imagen de Oracle
• La instancia no está ejecutando una imagen de Oracle
• La instancia es de acceso público
• Instancia terminada
• Exportar imagen
• Importar Imagen
• Actualizar imagen

Para obtener una lista de todas las reglas de detector disponibles en Cloud Guard, consulte Referencia de recetas de detector.

Si aún no lo ha hecho, active Cloud Guard y configúrelo para supervisar los compartimentos que contienen sus recursos. Puede configurar destinos de Cloud Guard para examinar todo el arrendamiento (compartimento raíz y todos los subcompartimentos) o para comprobar solo compartimentos específicos. Consulte Introducción a Cloud Guard.

Después de activar Cloud Guard, puede ver y resolver los problemas de seguridad detectados. Consulte Processing Reported Problems.

El uso de zonas de seguridad garantiza que los recursos de Compute cumplan con las mejores prácticas de seguridad.

Una zona de seguridad está asociada con uno o más compartimentos y una receta de zona de seguridad. Al crear y actualizar recursos en el compartimento de una zona de seguridad, Oracle Cloud Infrastructure valida estas operaciones con respecto a la lista de políticas de zona de seguridad en la receta. Si se viola alguna política de la receta, se deniega la operación. Las siguientes políticas de zona de seguridad están disponibles para recursos en Compute.

• deny instance_in_security_zone_​launch_from_boot_volume_​not_in_security_zone
• deny instance_in_security_zone_​in_subnet_not_in_security_​zone
• deny instance_without_​sanctioned_image
• deny boot_volume_not_in_security_​zone_attach_to_instance_​in_security_zone
• deny boot_volume_without_​vault_key

Para obtener una lista de todas las políticas de zonas de seguridad, consulte Security Zone Policies.

Para mover los recursos existentes a un compartimento que está en una zona de seguridad, los recursos deben cumplir todas las políticas de zona de seguridad de la receta de la zona. Del mismo modo, los recursos de una zona de seguridad no se pueden mover a un compartimento fuera de la zona de seguridad porque podría ser menos seguro. Consulte Gestión de zonas de seguridad.

Cree y rote claves de cifrado en el servicio Vault para proteger sus recursos en Compute.

Un almacén es una entidad lógica que almacena las claves de cifrado que se utilizan para proteger los datos. Según el modo de protección, las claves se almacenan en el servidor o se almacenan en módulos de seguridad de hardware (HSM) duraderos y de alta disponibilidad. Nuestros HSM cumplen con la certificación de seguridad FIPS 140-2 Security Level 3. Consulte Gestión de almacenes y Gestión de claves.

Aunque las claves de cifrado por defecto se pueden generar automáticamente al crear determinados recursos de Oracle Cloud Infrastructure, recomendamos que cree y gestione sus propias claves de cifrado personalizadas en el servicio Almacén.

Los volúmenes de inicio de instancias están cifrados por defecto. Al crear una instancia, puede utilizar una clave de cifrado personalizada para cifrar los datos estáticos en el volumen de inicio. Si activa el cifrado en tránsito para la instancia, también se utiliza la clave personalizada para el cifrado en tránsito. Consulte Creación de una instancia.

A cada clave de cifrado maestra se le asigna automáticamente una versión de clave. Al rotar una clave, el servicio Vault genera una nueva versión de clave. La rotación periódica de claves limita la cantidad de datos cifrados o firmados por una versión de clave. Si alguna vez se incluye una clave, la rotación de claves reduce el riesgo para los datos. Consulte Gestión de claves.

Recomendamos que utilice políticas de IAM para limitar estrictamente la creación, rotación y supresión de claves de cifrado. Consulte Detalles para el servicio Vault.

Proteja el acceso de red a los recursos en el servicio Compute, incluido Secure Shell (SSH).

Proteja SSH en todas las instancias. En la siguiente tabla, se muestran algunas recomendaciones de seguridad de SSH. Las opciones de configuración de SSH se pueden definir en el archivo sshd_config. En Linux, este archivo se encuentra en /etc/ssh/sshd_config.

Utilice claves privadas SSH seguras para acceder a las instancias y evitar las divulgaciones involuntarias. Para obtener más información sobre la creación de un par de claves SSH y la configuración de una instancia con las claves, consulte Gestión de pares de claves en instancias de Linux.

Utilice listas de seguridad , grupos de seguridad de red o una combinación de ambos para controlar el tráfico de nivel de paquete entrante y saliente de los recursos de su VCN (red virtual en la nube) . Consulte Access and Security.

Fail2ban es una aplicación que muestra las direcciones IP incluidas en las listas de bloques implicadas en los intentos de conexión por fuerza bruta (es decir, demasiados intentos fallidos para conectarse a una instancia). Por defecto, Fail2ban inspecciona los accesos SSH y puede configurarlo para inspeccionar otros protocolos. Para obtener más información sobre Fail2ban, consulte Fail2ban Main Page.

Además de los grupos de seguridad de red de VCN y las listas de seguridad, utilice firewalls basados en host, como iptables y firewalld, para restringir el acceso de red a las instancias controlando puertos, protocolos y tipos de paquetes. Utilice estos firewalls para evitar un posible reconocimiento de ataques de seguridad de la red, como la exploración de puertos y los intentos de intrusión. Las reglas de firewall personalizadas se pueden configurar, guardar e inicializar en cada inicio de instancia. El siguiente ejemplo muestra los comandos para iptables.

# save iptables rules after configuration 
sudo iptables-save > /etc/iptables/iptables.rules 
# restore iptables rules on next reboot 
sudo /sbin/iptables-restore < /etc/iptables.rules 
# restart iptables after restore 
sudo service iptables restart

Al crear una subred en una VCN, por defecto, la subred se considera pública y se permite la comunicación con Internet. Utilice subredes privadas para alojar recursos que no requieren acceso a Internet. También puede configurar un gateway de servicio en la VCN para permitir que los recursos de una subred privada accedan a otros servicios en la nube. Consulte Opciones de conectividad.

El servicio Bastion proporciona acceso restringido y limitado en el tiempo a los recursos de destino que no tienen puntos finales públicos. Mediante un bastión, puede permitir que los usuarios autorizados se conecten a recursos de destino en puntos finales privados mediante sesiones de shell seguro (SSH). Cuando están conectados, los usuarios pueden interactuar con el recurso de destino mediante cualquier software o protocolo soportado por SSH. Consulte Gestión de basciones.

Utilice el firewall de aplicaciones web (WAF) para crear y gestionar reglas de protección para amenazas de Internet, incluidos los scripts de sitios (XSS), la inyección SQL y otras vulnerabilidades definidas por OWASP. Los bots no deseados se bloquean, mientras que los bots beneficiosos. WAF observa el tráfico a la aplicación web a lo largo del tiempo y recomienda nuevas reglas para su configuración. Consulte Introducción a las políticas de perímetro.

Asegúrese de que los recursos de Compute están ejecutando las últimas actualizaciones de seguridad.

Mantenga el software de la instancia actualizado con los parches de seguridad. Le recomendamos que aplique periódicamente las últimas actualizaciones de software disponibles en sus instancias. Las imágenes de Oracle Autonomous Linux se actualizan automáticamente con los parches más recientes. Para las imágenes de Oracle Linux, puede ejecutar el comando sudo yum update (sudo dnf update en Oracle Linux 8). En Oracle Linux, puede obtener información sobre los parches de seguridad disponibles e instalados con el plugin yum-security. En el siguiente ejemplo, se proporcionan comandos para yum-security.

# Install yum-security plugin
yum install yum-plugin-security
# Get list of security patches without installing them
yum updateinfo list security all
# Get list of installed security patches
yum updateinfo list security all

Las instancias de Linux en Oracle Cloud Infrastructure pueden utilizar Oracle Ksplice para aplicar parches críticos del núcleo sin reiniciar. Ksplice puede mantener versiones específicas del núcleo para Oracle Linux, CentOS y Ubuntu. Para obtener más información, consulte Oracle Ksplice.

Configure los recursos de Compute para despliegues de producción.

Establezca una base para reforzar la seguridad de las imágenes de Linux y Windows que se ejecutan en las instancias. Para obtener más información sobre el endurecimiento de la seguridad de las imágenes de Oracle Linux, consulte Tips for Hardening an Oracle Linux Server. Center for Internet Security Benchmarks proporciona un conjunto completo de referencias de endurecimiento de la seguridad del sistema operativo para diversas distribuciones de Linux y Windows Server.

Localice los logs de acceso y otros datos de seguridad para las instancias informáticas.

Diversos eventos relacionados con la seguridad se capturan en archivos de log. Le recomendamos que revise periódicamente estos archivos log para detectar cualquier problema de seguridad. En Oracle Linux, los archivos de registro están en la carpeta /var/log. En la tabla siguiente se muestran algunos archivos log relevantes para la seguridad.

El servicio de auditoría registra automáticamente todas las llamadas de API a los recursos de Oracle Cloud Infrastructure. Puede lograr sus objetivos de seguridad y conformidad mediante el servicio de auditoría para supervisar toda la actividad de usuario de su arrendamiento. Dado que todas las llamadas a la consola, SDK y la línea de comandos (CLI) pasan por nuestras API, se incluye toda la actividad de esos orígenes. Los registros de auditoría están disponibles mediante una API de consulta autenticada y filtrable, o bien se pueden recuperar como archivos por lotes desde Object Storage. El contenido del log de auditoría incluye la actividad que se produjo, el usuario que la inició, la fecha y la hora de la solicitud, así como la IP de origen, el agente de usuario y las cabeceras HTTP de la solicitud. Consulte Visualización de eventos del log de auditoría.

{
  "datetime": 1642192740551,
  "logContent": {
    "data": {
      "additionalDetails": {
        "X-Real-Port": 50258,
        "imageId": "ocid1.image.oc1.<unique_id>",
        "shape": "VM.Standard.E3.Flex",
        "type": "CustomerVmi",
        "volumeId": "null"
      },
      "availabilityDomain": "AD1",
      "compartmentId": "ocid1.tenancy.oc1..<unique_id>",
      "compartmentName": "mytenancy",
      "definedTags": {},
      "eventGroupingId": "<unique_id>",
      "eventName": "LaunchInstance",
      "freeformTags": {},
      "identity": {
        "authType": null,
        "callerId": null,
        "callerName": null,
        "consoleSessionId": null,
        "credentials": "<key>",
        "ipAddress": "<ip_address>",
        "principalId": "<user_id>",
        "principalName": "<user_name>",
        "tenantId": "ocid1.tenancy.oc1..<unique_id>",
        "userAgent": "Oracle-JavaSDK/1.33.2 (Linux/4.14.35-2047.509.2.2.el7uek.x86_64; Java/1.8.0_301; Java HotSpot(TM) 64-Bit Server VM GraalVM EE 20.3.3/25.301-b09-jvmci-20.3-b18)"
      },
      "message": "myinstance LaunchInstance succeeded",
      "request": {
        "action": "POST",
        "headers": {
          "Accept": [
            "application/json"
          ],
          "Connection": [
            "keep-alive"
          ],
          "Date": [
            "Fri, 14 Jan 2022 20:38:59 GMT"
          ]
        },
        "id": "<unique_id>",
        "parameters": {},
        "path": "/20160918/instances"
      },
      "resourceId": "ocid1.instance.oc1.phx.<unique_id>",
      "response": {
        "headers": {
          "Connection": [
            "keep-alive"
          ],
          "Content-Type": [
            "application/json"
          ],
          "Date": [
            "Fri, 14 Jan 2022 20:39:00 GMT"
          ],
          "ETag": [
            "<unique_id>"
          ],
          "Transfer-Encoding": [
            "chunked"
          ],
          "X-Content-Type-Options": [
            "nosniff"
          ],
          "opc-request-id": [
            "<unique_id>"
          ],
          "opc-work-request-id": [
            "ocid1.coreservicesworkrequest.oc1.phx.<unique_id>"
          ]
        },
        "message": null,
        "payload": {},
        "responseTime": "2022-01-14T20:39:00.551Z",
        "status": "200"
      },
      "stateChange": {
        "current": {
          "agentConfig": {
            "areAllPluginsDisabled": false,
            "isManagementDisabled": false,
            "isMonitoringDisabled": false
          },
          "availabilityConfig": {
            "recoveryAction": "RESTORE_INSTANCE"
          },
          "availabilityDomain": "EMIr:PHX-AD-1",
          "compartmentId": "ocid1.tenancy.oc1..<unique_id>",
          "definedTags": {},
          "displayName": "<unique_id>",
          "extendedMetadata": {},
          "faultDomain": "FAULT-DOMAIN-1",
          "freeformTags": {},
          "id": "ocid1.instance.oc1.phx.<unique_id>",
          "imageId": "ocid1.image.oc1.phx.<unique_id>",
          "instanceOptions": {
            "areLegacyImdsEndpointsDisabled": false
          },
          "launchMode": "PARAVIRTUALIZED",
          "launchOptions": {
            "bootVolumeType": "PARAVIRTUALIZED",
            "firmware": "UEFI_64",
            "isConsistentVolumeNamingEnabled": true,
            "isPvEncryptionInTransitEnabled": false,
            "networkType": "PARAVIRTUALIZED",
            "remoteDataVolumeType": "PARAVIRTUALIZED"
          },
          "lifecycleState": "PROVISIONING",
          "region": "phx",
          "shape": "VM.Standard.E3.Flex",
          "shapeConfig": {
            "gpus": 0,
            "localDisks": 0,
            "maxVnicAttachments": 2,
            "memoryInGBs": 16,
            "networkingBandwidthInGbps": 1,
            "ocpus": 1,
            "processorDescription": "2.25 GHz AMD EPYC™ 7742 (Rome)"
          },
          "sourceDetails": {
            "imageId": "ocid1.image.oc1.phx.<unique_id>",
            "sourceType": "image"
          },
          "systemTags": {},
          "timeCreated": "2022-01-14T20:39:00.260Z"
        },
        "previous": {}
      }
    },
    "dataschema": "2.0",
    "id": "<unique_id> ",
    "oracle": {
      "compartmentid": "ocid1.tenancy.oc1..<unique_id>",
      "ingestedtime": "2022-01-14T20:39:05.212Z",
      "loggroupid": "_Audit",
      "tenantid": "ocid1.tenancy.oc1..<unique_id>"
    },
    "source": "<unique_id>",
    "specversion": "1.0",
    "time": "2022-01-14T20:39:00.551Z",
    "type": "com.oraclecloud.computeApi.LaunchInstance.begin"
  }
}

Si ha activado Cloud Guard en su arrendamiento, notifica cualquier actividad de usuario que pueda tener problemas de seguridad. Al detectar un problema, Cloud Guard sugiere acciones correctivas. También puede configurar Cloud Guard para que realice automáticamente determinadas acciones. Consulte Introducción a Cloud Guard y Procesamiento de problemas informados.