Gestión de la configuración en Autonomous AI Database on Dedicated Exadata Infrastructure

Basada en Oracle Cloud Infrastructure (OCI), Autonomous AI Database on Dedicated Exadata Infrastructure proporciona configuraciones de seguridad estándar y reforzadas para que usted y su equipo no necesiten gastar grandes cantidades de tiempo y dinero gestionando configuraciones en su conjunto de bases de datos de IA autónomas.

Los parches y las actualizaciones de seguridad se realizan automáticamente, por lo que no tendrá que preocuparse por mantener la seguridad actualizada. Estas capacidades protegen sus bases de datos y datos sumamente confidenciales ante vulnerabilidades e infracciones en materia de seguridad costosas y potencialmente desastrosa. Consulte Mantenimiento del servicio de la base de datos de IA autónoma para obtener más información.

Endurecimiento autónomo de máquinas virtuales

Las imágenes de la máquina virtual de base de datos de IA autónoma (VM autónoma), también conocidas como máquinas virtuales de cliente, están reforzadas por la seguridad. Como se describe en Oracle Software Security Assurance, sus configuraciones se protegen mediante las prácticas de desarrollo y garantía de software de Oracle. Las máquinas virtuales autónomas tienen un software antivirus y antimalware adecuado configurado para detectar software y malware no autorizados. El software Asset Endpoint Protection and Configuration Management de Oracle, instalado en máquinas virtuales cliente, garantiza que los cambios de configuración solo se realicen mediante procesos aprobados y seguros. Los logs de auditoría del sistema operativo Linux se recopilan y transfieren a un sistema central de gestión de eventos e información de seguridad (SIEM) de OCI para la detección y auditoría de incidentes de seguridad por parte del equipo de detección y respuesta de incidentes de seguridad (DART) de OCI. Los logs se conservan durante 13 meses a partir de la fecha de generación.

DART es responsable de gestionar los paneles SIEM, evaluar las alertas de incidentes e iniciar acciones de corrección sobre verdaderos positivos abriendo tickets en equipos de servicio internos. Cuando un evento de seguridad requiere una actualización del cliente, DART trabaja con equipos de seguridad de la información global y de servicio para emitir una actualización del cliente.

Todas las máquinas virtuales autónomas de Oracle son compatibles con DISA STIG (Guía de implementación técnica de seguridad de la agencia de sistemas de información de defensa) y se refuerzan de acuerdo con la Guía de implementación técnica de seguridad de Oracle Linux, que aborda los problemas relacionados con los controles de acceso de usuario, los puertos abiertos, los paquetes no deseados y las configuraciones de daemon, entre otros. Puede encontrar una lista completa de los controles de Oracle Linux DISA STIG aquí.

El acceso manual a las máquinas virtuales autónomas está restringido a un equipo principal de operaciones en la nube que la empresa ha examinado a fondo. Los miembros del equipo de operaciones deben estar en Oracle Cloud Network Attach (una red en la nube privada y segura) desde un dispositivo proporcionado por la compañía para acceder a la infraestructura de Exadata. Las credenciales de acceso se generan dinámicamente en respuesta a tickets de soporte válidos. Cualquier cambio de configuración en las máquinas virtuales del cliente se somete a una revisión de seguridad interna estricta y a un proceso de gestión de cambios. Todas las herramientas, scripts o software se instalan o modifican solo después de pasar por el ciclo de vida del software aprobado y el proceso de gestión de cambios.

La integración con el servicio de control de acceso de operador tanto para la infraestructura como para las máquinas virtuales autónomas restringe aún más este acceso y pone el permiso de acceso y la notificación en sus manos. Las acciones del operador se registran casi en tiempo real y se envían a un SIEM configurado por el cliente y al servicio de registro de Oracle para que el cliente las descargue según lo desee. Puede descargar los logs en el SIEM/almacenamiento del cliente o archivarlos indefinidamente en OCI Object Storage. Consulte Servicio de control de acceso de operador para obtener más información.

La arquitectura de seguridad de OCI define aún más la seguridad única de virtualización y hardware gen2 de varias capas de OCI. Puede consultar la arquitectura de seguridad de Oracle Cloud Infrastructure para obtener más información.

Gestión de cambios de configuración

El desarrollo de servicios de base de datos de IA autónoma y la creación de imágenes de máquina virtual autónoma forman parte del ámbito de las prácticas de seguridad corporativa de Oracle. Esta implementación se controla cuidadosamente en el proceso de Oracle Software Security Assurance, que se publica aquí.

Las configuraciones de imagen de máquina virtual autónoma se controlan mediante código y se someten a varias revisiones de código y ciclos de control de calidad (QA) antes de que un cambio de configuración llegue a una versión de producción. Consulte la sección sobre configuraciones seguras de la documentación de Oracle Software Security Assurance para conocer las prácticas estándar y de postura de Oracle a la hora de proteger las configuraciones de software.

Un agente creado por Oracle, el software Asset Endpoint Protection and Configuration Management (AEP/CM) se instala en servidores de plano de control para recopilar y transferir logs de auditoría de Linux y logs del entorno de detección de intrusiones avanzada (AIDE) de Linux desde la infraestructura y las instancias de VM autónomas. Estos logs se transfieren a un SIEM central de OCI para fines de auditoría. Las reglas SIEM específicas de la manipulación de archivos log, la descarga de contenido externo, la desactivación de las herramientas de seguridad y otras generan alertas a las que DART evalúa y responde según se describe el endurecimiento de máquinas virtuales autónomas.

Las instancias de VM autónomas están protegidas del acceso directo ssh, excepto de los operadores y la automatización de Oracle aprobados. Toda la actividad del operador se puede supervisar a través de Operator Access Control.

Integridad de archivos y supervisión de intrusiones

Las máquinas virtuales autónomas se configuran con una utilidad de intrusión y supervisión de archivos que mantiene el recuento y la integridad de los archivos en una compilación específica. Cualquier cambio en el recuento de archivos o cambio en un total de control de archivo está marcado. Los logs de AIDE y HIDS también se recopilan y envían a OCI SIEM y se analizan en busca de amenazas a través del proceso DART que se explica en Autonomous Virtual Machine Hardening.

Todos los artefactos de software desplegados en un AVMC, incluidas las herramientas, se despliegan a través de un método seguro de gestión de cambios que emplea sumas de comprobación y se firman digitalmente mediante certificados SSL. Esto se denomina despliegue de código firmado por certificado.

Análisis y respuesta de vulnerabilidades de VM autónomas

Todas las imágenes de máquinas virtuales autónomas se crean mediante las prácticas de desarrollo seguro de Oracle, como se documenta en Oracle Software Security Assurance. El proceso de aseguramiento de soluciones de seguridad corporativa (CSSAP) es un proceso de revisión de seguridad desarrollado por la arquitectura de seguridad corporativa de Oracle, la seguridad de la información global (GIS) y las organizaciones de TI de Oracle para proporcionar una revisión completa de la gestión de la seguridad de la información. GIS y CSSAP operan independientemente de los equipos de servicio de OCI para proteger la información y los activos de software de los clientes y Oracle. Cada función de servicio con un impacto de seguridad potencial se somete a un proceso de revisión y aprobación de CSSAP. Además, los ciclos de pruebas de control de calidad (QA) utilizan herramientas de escaneo adecuadas para garantizar que las imágenes se adhieran a STIG, cumplan con las directrices de seguridad del servicio y estén listas para la revisión de CSSAP.

Las herramientas forenses en AVMCs juegan un papel prominente en la gestión de vulnerabilidades. Los logs de auditoría de Linux de cada host de máquina virtual autónoma se cargan en un SIEM de OCI central donde las reglas de alerta capturan y detectan posibles amenazas. DART responde a estas alertas como se explica en el endurecimiento de máquinas virtuales autónomas. Los registros de HIDS y antivirus también se procesan de manera similar. Un escáner Common Vulnerabilities and Exposures (CVE) envía sus hallazgos a una herramienta de automatización central donde se clasifican los hallazgos de vulnerabilidad y se abren tickets para que los equipos de servicio parchen los sistemas en una escala de tiempo proporcional a la gravedad del hallazgo. Se deben aplicar parches a todas las CVE con una puntuación superior a 7 en un plazo de 30 días.

Puede programar paquetes de parches de infraestructura que incluyan hipervisor, infraestructura de grid, sistemas operativos de cliente y almacenamiento, y firmware trimestralmente. Las actualizaciones de la versión de la base de datos y las revisiones de la actualización de la versión también se pueden programar por separado cada trimestre. Todos los parches se almacenan en área temporal y se aplican mediante las herramientas de automatización en la nube y Autonomous Cloud Operations, según lo requiera la actualización de parches específica.

El desarrollo de parches de software sigue las prácticas de desarrollo de software seguro de Oracle, las pruebas de control de calidad y las revisiones CSSAP según sea necesario. La separación de tareas entre los desarrolladores de parches, los comprobadores de control de calidad, la gestión de versiones y las operaciones de aplicación de parches garantiza que haya varios miembros del personal involucrados antes de que un parche llegue al hardware del cliente.

Cuando es posible, las actualizaciones se aplican al sistema en ejecución sin tiempo de inactividad mediante herramientas como Linux ksplice. Si una actualización requiere el reinicio de un componente, Oracle realiza el reinicio del componente de forma sucesiva para garantizar la disponibilidad del servicio durante el proceso de actualización. Puede programar las horas de inicio de la aplicación de parches para que se ajusten a los SLA de su negocio. La aplicación de parches se puede programar por separado para los componentes de infraestructura (GI, SO) y cada directorio raíz de DBMS.

Análisis de vulnerabilidades y aplicación de parches

Autonomous AI Database on Dedicated Exadata Infrastructure realiza exploraciones de vulnerabilidades externas e internas (que incluyen la detección de sistemas de fin de soporte) con frecuencia mediante herramientas comerciales de exploración de vulnerabilidades. Las vulnerabilidades identificadas son investigadas y rastreadas hasta su resolución por el estándar de conformidad en la nube para la gestión de vulnerabilidades. Utiliza varias medidas técnicas para evaluar e identificar actualizaciones para bibliotecas de terceros y de código abierto. Se han implementado exploraciones de vulnerabilidad autenticadas de los sistemas desplegados en el entorno, así como exploraciones de imágenes de sistemas previas a la implementación, para identificar dichas bibliotecas y determinar si se necesitan correcciones de seguridad. Las políticas corporativas y los procedimientos de las unidades de negocio rigen estos programas y los evalúan anualmente.

La base de datos de IA autónoma utiliza un mecanismo para agregar las conclusiones de seguridad de múltiples fuentes (incluidos los análisis de vulnerabilidades) y asignar las conclusiones al equipo de servicio adecuado. Este sistema permite a los equipos de servicio gestionar sus hallazgos e integrarlos con los sistemas de tickets para la puesta en cola automatizada del trabajo de corrección, incluidas las notificaciones y las escaladas automáticas según sea necesario. El sistema también resume el trabajo de remediación en toda la organización e impulsa los esfuerzos diarios de gestión de vulnerabilidades.

Oracle Software Security Assurance (OSSA) define la metodología que Oracle utiliza para integrar la seguridad en el diseño, la construcción, las pruebas y el mantenimiento de sus Productos y Servicios, tanto si los Clientes los usan on-premise como si se proporcionan y prestan a través de Oracle Cloud. Las políticas de Seguridad Corporativa de Oracle (incluidas las políticas que abordan la gestión de amenazas y vulnerabilidades) se revisan anualmente y se actualizan según sea necesario. Al menos una vez al año, terceros independientes realizan una prueba de penetración del sistema.

Para proporcionar la mejor estrategia de seguridad a todos los clientes de Oracle, Oracle corrige importantes vulnerabilidades de seguridad en función del riesgo probable que supongan para los clientes. Los problemas con los riesgos más graves se solucionan primero. En general, las correcciones de vulnerabilidades de seguridad se producen en el siguiente orden:

Los parches y las actualizaciones se implantan mediante herramientas de integración y despliegue continuos (CI/CD). Excepto en los casos en que existan dependencias en varios dominios de disponibilidad (por ejemplo, actualizaciones de servicios de nombres de dominio), los cambios se implantan por separado en cada región y dominio de disponibilidad. La política de implantación de parches y alertas de seguridad de Oracle requiere el despliegue de las actualizaciones de parches críticos y alertas de seguridad de Oracle y las recomendaciones asociadas. Esta política también incluye requisitos para corregir vulnerabilidades en tecnología que no es de Oracle mediante un enfoque basado en riesgos. Para obtener más información, consulte Programas de actualización de parches críticos y alertas de seguridad.

Oracle programa y realiza una actividad de mantenimiento mensual de la seguridad de la infraestructura junto con el mantenimiento trimestral. Sin embargo, estos parches de seguridad se aplican solo en esos meses con actualizaciones de seguridad críticas, incluidas las correcciones de vulnerabilidades con puntuaciones de CVSS mayores o iguales a 7.

Política de pruebas de seguridad de Oracle Cloud

Oracle realiza periódicamente pruebas, pruebas y seguridad de penetración y vulnerabilidad en relación con la infraestructura, las plataformas y los aplicativos de Oracle Cloud para validar y mejorar la seguridad general de los servicios de Oracle Cloud. Sin embargo, Oracle no evalúa ni prueba ningún componente (incluyendo aplicaciones que no sean de Oracle, bases de datos que no sean de Oracle u otro software, código o datos que no sean de Oracle, según sea aplicable) que Vd. gestione o introduzca a través de; incluyendo la introducción mediante el desarrollo o la creación en, los Servicios de Oracle Cloud (los "Componentes del Cliente").

En la Política de Pruebas de Seguridad del Cliente de Oracle se describen las actividades de pruebas de seguridad, como las pruebas de penetración y el análisis de vulnerabilidades que los clientes de Oracle pueden realizar en relación con sus Productos On-Premises de Oracle y Oracle Cloud Services ("Pruebas de Seguridad" o). En conjunto, se hace referencia a ella como "Política de Pruebas" y se incluye en las Especificaciones del Servicio de Oracle Cloud Services. Esta política no aborda ni proporciona el derecho a realizar pruebas de materiales de terceros incluidos en los componentes del cliente. Solo los clientes con una cuenta de Oracle con los privilegios necesarios para presentar solicitudes de mantenimiento del servicio y que estén conectados al entorno que será objeto de dichas pruebas pueden realizar pruebas de vulnerabilidad o penetración.

Salvo que se permita o restrinja lo contrario en sus acuerdos de servicios de Oracle Cloud, el administrador de servicio que tenga acceso de nivel de sistema a su servicio de base de datos de IA autónoma puede ejecutar pruebas de vulnerabilidad e introducción para los componentes del cliente incluidos en su servicio de base de datos de IA autónoma de acuerdo con las restricciones descritas en Pruebas de seguridad en Oracle Cloud.

También puede consultar las preguntas frecuentes sobre las pruebas de seguridad para encontrar respuestas a las preguntas que pueda tener sobre las pruebas de seguridad.

Protección de punto final, malware y ransomware

Las máquinas cliente de VM autónomas se crean con protección de punto final, malware y ransomware, como se describe a continuación:

Gestión de incidentes de seguridad

Un equipo dedicado de analistas de seguridad del equipo de detección y respuesta de incidentes de seguridad (DART) es responsable de gestionar los paneles de control de eventos de seguridad 24 / 7 y procesar alertas para filtrar los verdaderos positivos. Si se detecta un verdadero positivo, se inicia una respuesta adecuada en función de la gravedad y el impacto del evento. Esto puede incluir más análisis, una evaluación de la causa raíz y una solución con los equipos de servicio y la comunicación con el cliente.

Las políticas de respuesta a incidentes de seguridad de Oracle se describen en Security Incident Response.

Contenido relacionado

Funciones de seguridad en Autonomous AI Database