Gestión de configuración en Autonomous Database on Dedicated Exadata Infrastructure

La instancia de Autonomous Database on Dedicated Exadata Infrastructure, creada en Oracle Cloud Infrastructure (OCI), proporciona configuraciones de seguridad estándar y reforzadas para que usted y su equipo no necesiten invertir una gran cantidad de tiempo y dinero gestionando las configuraciones en su conjunto de Autonomous Database.

Los parches y las actualizaciones de seguridad se realizan automáticamente, por lo que no tendrá que preocuparse por mantener la seguridad actualizada. Estas capacidades protegen sus bases de datos y datos altamente confidenciales frente a vulnerabilidades e infracciones de seguridad costosas y potencialmente desastrosas. Consulte Mantenimiento de servicio de Autonomous Database para obtener más información.

Temas relacionados

Endurecimiento de máquina virtual autónoma

Las imágenes de máquina virtual (VM autónoma) de Autonomous Database, también conocidas como máquinas virtuales de cliente, se refuerzan con la seguridad. Como se describe en Oracle Software Security Assurance, sus configuraciones se protegen mediante las prácticas de garantía y desarrollo de software de Oracle. Las máquinas virtuales autónomas tienen un software antivirus y antimalware adecuado configurado para detectar software y malware no autorizados. El software Asset Endpoint Protection and Configuration Management de Oracle, instalado en máquinas virtuales de cliente, garantiza que los cambios de configuración se realicen solo mediante procesos aprobados y seguros. Los logs de auditoría del sistema operativo Linux se recopilan y transfieren a un sistema central de OCI Security Information and Event Management (SIEM) para la detección y auditoría de incidentes de seguridad por parte del equipo de detección y respuesta de incidentes de seguridad (DART) de OCI. Los logs se conservan durante 13 meses a partir de la fecha de generación.

DART es responsable de gestionar los paneles de control de SIEM, evaluar las alertas de incidentes e iniciar acciones de solución sobre verdaderos positivos mediante la apertura de tickets en equipos de servicio internos. Cuando un evento de seguridad exige una actualización del cliente, DART trabaja con los equipos de servicio y seguridad de la información global para emitir una actualización del cliente.

Todas las máquinas virtuales autónomas de Oracle son compatibles con DISA STIG (Defense Information Systems Agency Security Technical Implementation Guide) y se han reforzado según la Guía de implantación técnica de seguridad de Oracle Linux, que aborda los problemas relacionados con los controles de acceso de los usuarios, los puertos abiertos, los paquetes no deseados y las configuraciones de daemon, entre otros. Puede encontrar una lista completa de los controles de Oracle Linux DISA STIG aquí.

El acceso manual a las máquinas virtuales autónomas está restringido a un equipo central de operaciones en la nube examinado minuciosamente por la empresa. Los miembros del equipo de operaciones deben estar en la conexión de red de Oracle Cloud (una red en la nube privada y segura) desde un dispositivo proporcionado por la compañía para acceder a la infraestructura de Exadata. Las credenciales de acceso se generan dinámicamente en respuesta a tickets de soporte válidos. Cualquier cambio de configuración en las máquinas virtuales de cliente se somete a una estricta revisión de seguridad interna y a un proceso de gestión de cambios. Todas las herramientas, scripts o software se instalan o modifican solo después de pasar por el ciclo de vida del software aprobado y el proceso de gestión de cambios.

La integración con el servicio de control de acceso de operador tanto para la infraestructura como para las máquinas virtuales autónomas restringe aún más este acceso y pone el permiso de acceso y la notificación en sus manos. Las acciones de operador se registran casi en tiempo real y se envían a un SIEM configurado por el cliente y al servicio de registro de Oracle para que lo descargue el cliente según lo desee. Puede descargar los logs en SIEM/Almacenamiento del cliente o archivarlos indefinidamente en OCI Object Storage. Consulte Servicio de control de acceso de operador para obtener más información.

La arquitectura de seguridad de OCI define aún más la seguridad única de virtualización y hardware gen2 de varias capas de OCI. Consulte Arquitectura de seguridad de Oracle Cloud Infrastructure para obtener más información.

Gestión de Cambios de Configuración

El desarrollo de servicios de Autonomous Database y la creación de imágenes de máquina virtual autónoma forman parte del ámbito de las prácticas de seguridad corporativas de Oracle. Esta implementación se controla cuidadosamente en el proceso de Oracle Software Security Assurance, que se publica aquí.

Las configuraciones de imagen de máquina virtual autónoma se controlan mediante código y se someten a varias revisiones de código y ciclos de control de calidad (QA) antes de que un cambio de configuración llegue a una versión de producción. Consulte la sección Configuraciones seguras de la documentación de Oracle Software Security Assurance para conocer la postura y las prácticas estándar de Oracle para proteger las configuraciones de software.

Un agente creado por Oracle, el software Asset Endpoint Protection and Configuration Management (AEP/CM) está instalado en servidores de plano de control para recopilar y transferir logs de auditoría de Linux y logs de Linux Advanced Intrusion Detection Environment (AIDE) desde instancias de infraestructura y VM autónomas. Estos logs se transfieren a un SIEM central de OCI con fines de auditoría. Las reglas SIEM específicas para la manipulación de archivos log, la descarga de contenido externo, la desactivación de herramientas de seguridad y otras generan alertas a las que DART evalúa y responde como se describe en Autonomous Virtual Machine Hardening.

Las instancias de máquina virtual autónomas están protegidas del acceso directo ssh, excepto de los operadores y la automatización aprobados de Oracle. Toda la actividad del operador se puede supervisar mediante Operator Access Control.

Integridad de archivos y supervisión de intrusiones

Las máquinas virtuales autónomas se configuran con una utilidad de supervisión e intrusión de archivos que mantiene el recuento y la integridad de los archivos en una compilación específica. Cualquier cambio en el recuento de archivos o cambio en un total de control de archivos se marca. Los logs de AIDE y HIDS también se recopilan y envían a OCI SIEM y se exploran en busca de amenazas a través del proceso DART que se explica en Autonomous Virtual Machine Hardening.

Todos los artefactos de software desplegados en un AVMC, incluidas las herramientas, se despliegan a través de un método de gestión de cambios seguro que emplea totales de control y firma digital mediante certificados SSL. Esto se denomina despliegue de código firmado por certificado.

Análisis y respuesta de vulnerabilidades de VM autónomas

Todas las imágenes de máquina virtual autónoma se crean mediante las prácticas de desarrollo seguro de Oracle, como se documenta en Oracle Software Security Assurance. El proceso de aseguramiento de soluciones de seguridad corporativa (CSSAP) es un proceso de revisión de la seguridad desarrollado por la arquitectura de seguridad corporativa de Oracle, Global Information Security (GIS) y las organizaciones de TI de Oracle para proporcionar una revisión completa de la gestión de la seguridad de la información. GIS y CSSAP operan independientemente de los equipos de servicio de OCI para proteger la información y los activos de software del cliente y Oracle. Cada característica de servicio con un posible impacto en la seguridad se somete a un proceso de revisión y aprobación de CSSAP. Además, los ciclos de prueba de control de calidad (QA) utilizan herramientas de escaneo adecuadas para garantizar que las imágenes se adhieran a STIG, cumplan con las directrices de seguridad del servicio y estén listas para la revisión de CSSAP.

Las herramientas forenses en AVMC desempeñan un papel destacado en la gestión de vulnerabilidades. Los logs de auditoría de Linux de cada host de VM autónomo se cargan en un SIEM de OCI central donde las reglas de alerta capturan y muestran posibles amenazas. DART responde a estas alertas como se explica en Autonomous Virtual Machine Hardening. Los registros de HIDS y antivirus también se procesan de manera similar. Un escáner de Vulnerabilidades y Exposiciones Comunes (CVE) envía sus hallazgos a una herramienta de automatización central donde se categorizan los hallazgos de vulnerabilidad y se abren tickets para que los equipos de servicio apliquen parches a los sistemas en una escala de tiempo proporcional a la gravedad del hallazgo. Se deben aplicar parches a todas las CVE con una puntuación superior a 7 en un plazo de 30 días.

Puede programar paquetes de parches de infraestructura que incluyan hipervisor, Grid Infrastructure, sistemas operativos de almacenamiento y cliente y firmware trimestralmente. Las actualizaciones de la versión de la base de datos y las revisiones de la actualización de la versión también se pueden programar por separado cada trimestre. Todos los parches se almacenan en área temporal y se aplican mediante las herramientas de automatización en la nube y Autonomous Cloud Operations, según lo requiera la actualización de parches específica.

El desarrollo de parches de software sigue las prácticas de desarrollo de software seguro de Oracle, las pruebas de control de calidad y las revisiones de CSSAP según sea necesario. La separación de funciones entre los desarrolladores de parches, los probadores de control de calidad, la gestión de versiones y las operaciones de aplicación de parches garantiza la participación de varios miembros del personal antes de que un parche llegue al hardware del cliente.

Cuando es posible, las actualizaciones se aplican al sistema en ejecución sin tiempo de inactividad mediante herramientas como Linux ksplice. Si una actualización requiere un reinicio de componente, Oracle realiza el reinicio de componente de manera sucesiva para garantizar la disponibilidad del servicio durante el proceso de actualización. Puede programar las horas de inicio de la aplicación de parches para que se alineen con los SLA de su empresa. La aplicación de parches se puede programar por separado para los componentes de infraestructura (GI, SO) y cada directorio raíz de DBMS.

Exploraciones de vulnerabilidades y aplicación de parches

Autonomous Database on Dedicated Exadata Infrastructure realiza exploraciones de vulnerabilidades externas e internas (que incluyen la detección de sistemas de fin de soporte) con frecuencia mediante herramientas de exploración de vulnerabilidades comerciales. Las vulnerabilidades identificadas son investigadas y rastreadas hasta su resolución por el estándar de cumplimiento de la nube para la gestión de vulnerabilidades. Utiliza varias medidas técnicas para evaluar e identificar actualizaciones para bibliotecas de terceros y de código abierto. Se han implementado exploraciones de vulnerabilidades autenticadas de sistemas desplegados en el entorno, así como exploraciones de imágenes del sistema previas al despliegue, para identificar dichas bibliotecas y determinar si se necesitan correcciones de seguridad. Las políticas corporativas y los procedimientos de las unidades de negocio rigen estos programas y los evalúan anualmente.

Autonomous Database utiliza un mecanismo para agregar conclusiones de seguridad de varios orígenes (incluidas las exploraciones de vulnerabilidades) y asignar conclusiones al equipo de servicio adecuado. Este sistema permite a los equipos de servicio gestionar sus conclusiones e integrarse con los sistemas de tickets para la puesta en cola automatizada del trabajo de solución, incluidas las notificaciones y las escaladas automáticas según sea necesario. El sistema también resume el trabajo de solución en toda la organización e impulsa los esfuerzos diarios de gestión de vulnerabilidades.

Oracle Software Security Assurance (OSSA) define la metodología de Oracle para incorporar la seguridad en el diseño, la creación, las pruebas y el mantenimiento de sus productos, ya sea que los clientes los utilicen localmente o se entreguen a través de Oracle Cloud. Las políticas de seguridad corporativa de Oracle (incluidas las políticas que abordan la gestión de amenazas y vulnerabilidades) se revisan anualmente y se actualizan según sea necesario. Al menos una vez al año, terceros independientes realizan una prueba de penetración del sistema.

Para proporcionar la mejor estrategia de seguridad a todos los clientes de Oracle, Oracle corrige importantes vulnerabilidades de seguridad en función del riesgo probable que suponen para los clientes. Los problemas con los riesgos más graves se solucionan primero. En general, las correcciones de las vulnerabilidades de seguridad se producen en el siguiente orden:

  • Línea de código principal en primer lugar, es decir, la línea de código que se está desarrollando para la siguiente versión principal del producto.
  • Para cada versión soportada vulnerable, cree un parche de actualización crítica y aplique la corrección en el siguiente juego de parches si hay otro juego de parches planificado para esa versión soportada.

Los parches y las actualizaciones se implantan mediante herramientas de integración y despliegue continuos (CI/CD). Excepto en los casos en los que existen dependencias en varios dominios de disponibilidad (por ejemplo, actualizaciones de los servicios de nombres de dominio), los cambios se implantan de forma independiente en cada región y dominio de disponibilidad. La política de implantación de alertas de seguridad y aplicación de parches de Oracle requiere el despliegue de las actualizaciones de alertas de seguridad y actualización de parches críticos de Oracle y las recomendaciones asociadas. Esta política también incluye requisitos para corregir vulnerabilidades en tecnología que no sea de Oracle mediante un enfoque basado en riesgos. Para obtener más información, consulte Critical Patch Update and Security Alert programs.

Oracle programa y realiza una actividad de mantenimiento mensual de seguridad de la infraestructura junto con el mantenimiento trimestral. Sin embargo, estos parches de seguridad se aplican solo en aquellos meses con actualizaciones de seguridad críticas, incluidas las correcciones de vulnerabilidades con puntuaciones de CVSS superiores o iguales a 7.

  • Cualquier infraestructura de Exadata aprovisionada antes de que Oracle programe el mantenimiento de seguridad será elegible para el mantenimiento de seguridad.
  • El proceso de mantenimiento de seguridad mensual actualiza los servidores de bases de datos para corregir vulnerabilidades de seguridad críticas y problemas de productos. También actualizan los servidores de almacenamiento a una imagen del software de almacenamiento de Exadata que resuelve vulnerabilidades de seguridad conocidas y problemas de productos.

Política de pruebas de seguridad de Oracle Cloud

Oracle realiza periódicamente pruebas de vulnerabilidad e penetración, así como evaluaciones de seguridad en relación con la infraestructura, las plataformas y las aplicaciones de Oracle Cloud para validar y mejorar la seguridad general de los servicios de Oracle Cloud. Sin embargo, Oracle no evalúa ni prueba ningún componente (incluidas las aplicaciones que no sean de Oracle, bases de datos que no sean de Oracle u otro software, código o datos que no sea de Oracle, según corresponda) que Vd. gestione o introduzca a través de los Servicios Oracle Cloud o, incluso, mediante la introducción que Vd. desarrolle o cree en estos (los "Componentes de Cliente").

La Política de pruebas de seguridad para clientes de Oracle describe las actividades de pruebas de seguridad, como pruebas de penetración y análisis de vulnerabilidades que los clientes de Oracle pueden realizar frente a sus Productos locales de Oracle y Oracle Cloud Services (en adelante, las "Pruebas de Seguridad" o las "Pruebas de Seguridad"). Se denomina de forma colectiva "Política de Pruebas" e se incluye en las Especificaciones del Servicio de Oracle Cloud Services. Esta política no aborda ni proporciona el derecho a realizar pruebas de materiales de terceros incluidos en los componentes del cliente. Solo los clientes con una cuenta de Oracle con los privilegios necesarios para presentar solicitudes de mantenimiento de servicio y que estén conectados al entorno que serán objeto de dichas pruebas pueden realizar pruebas de vulnerabilidad o penetración.

Salvo que se permita o restrinja lo contrario en los acuerdos de servicios de Oracle Cloud, el administrador de servicio que tenga acceso de nivel de sistema al servicio de Autonomous Database puede ejecutar pruebas de vulnerabilidad e introducción para los componentes de cliente incluidos en el servicio de Autonomous Database de acuerdo con las restricciones descritas en Pruebas de seguridad en Oracle Cloud.

También puede consultar las preguntas frecuentes sobre pruebas de seguridad para encontrar respuestas a las preguntas que pueda tener sobre las pruebas de seguridad.

Protección de punto final, malware y ransomware

Las máquinas cliente de VM autónomas se crean con protección de punto final, malware y ransomware, como se describe a continuación:

  • Las herramientas antivirus y antimalware adecuadas se instalan y actualizan regularmente.
  • Se cierra el acceso ssh / sftp en la red de cliente.
  • Las cuentas de usuario designado en las máquinas virtuales de cliente están extremadamente limitadas a los procesos necesarios únicamente.
  • Las máquinas virtuales autónomas se ajustan a los estándares DISA STIG para garantizar que no haya puertos no utilizados abiertos o que los daemons se ejecuten en el sistema.
  • El acceso del operador de Oracle se realiza a través de una conexión segura y saliente a la red de gestión de Oracle en una región de OCI elegida por el cliente.
  • Las acciones del operador de Oracle se pueden controlar y auditar mediante la integración del servicio Operator Access Control.

Gestión de Incidentes de Seguridad

Un equipo dedicado de analistas de seguridad del equipo de detección y respuesta de incidentes de seguridad (DART) es responsable de gestionar los paneles de control de eventos de seguridad 24 / 7 y procesar alertas para filtrar verdaderos positivos. Si se detecta un verdadero positivo, se inicia una respuesta adecuada en función de la gravedad y el impacto del evento. Esto puede incluir un análisis más detallado, una evaluación de la causa raíz y una solución con los equipos de servicio y la comunicación con el cliente.

Las políticas de respuesta a incidentes de seguridad de Oracle se describen en Security Incident Response.