1. Marco de mejores prácticas para Oracle Cloud Infrastructure
  2. Protección de las bases de datos

Protección de las bases de datos

Asegúrese de que los servidores de base de datos, el acceso de red a ellos y los datos reales son seguros.

Controlar el acceso de usuario y red

Arquitecto empresarial, arquitecto de seguridad, arquitecto de datos

Utilice contraseñas, subredes privadas y grupos de seguridad de red para controlar el acceso de usuarios y redes.
  • Asegúrese de que las contraseñas utilizadas para autenticarse en la base de datos son seguras.
  • Conecte los sistemas de base de datos a subredes privadas.

    Una subred privada no tiene conectividad a Internet. Puede utilizar un gateway de NAT para el tráfico de salida seguro y un gateway de servicio para conectarse a los puntos finales de copia de seguridad (almacenamiento de objetos).

  • Utilice grupos de seguridad de red o listas de seguridad para permitir solo el acceso de red necesario a sus sistemas de base de datos.

Restringir permisos para suprimir recursos de base de datos

Arquitecto empresarial, arquitecto de seguridad, arquitecto de datos

Para evitar la supresión involuntaria o maliciosa de bases de datos, otorgue los permisos de supresión (DATABASE_DELETE y DB_SYSTEM_DELETE) a un conjunto mínimo de usuarios y grupos.

Las siguientes sentencias de política de IAM permiten a los usuarios de base de datos gestionar bases de datos, sistemas de base de datos y directorios raíz de base de datos. Sin embargo, la condición where request.permission!='DB_SYSTEM_DELETE' garantiza que los usuarios de la base de datos no pueden suprimir bases de datos. 

Allow group DBUsers to manage db-systems in tenancy where request.permission!='DB_SYSTEM_DELETE'
Allow group DBUsers to manage databases in tenancy where request.permission!='DATABASE_DELETE'
Allow group DBUsers to manage db-homes in tenancy where request.permission!='DB_HOME_DELETE'

Cifrar Datos

Arquitecto empresarial, arquitecto de seguridad, arquitecto de datos

Todas las bases de datos creadas en Oracle Cloud Infrastructure se cifran utilizando el cifrado de datos transparente (TDE). Asegúrese de que las bases de datos migradas también estén cifradas.
Gire periódicamente la clave maestra de TDE. El período de rotación recomendado es de 90 días o menos.

Aplicar Parches de Seguridad

Arquitecto empresarial, arquitecto de seguridad, arquitecto de datos

Aplique parches de seguridad de Oracle Database (actualizaciones de parches críticos de Oracle) para mitigar los problemas conocidos de seguridad y mantener los parches actualizados.

Utilizar herramientas de seguridad de base de datos

Arquitecto empresarial, arquitecto de seguridad, arquitecto de datos

La herramienta de evaluación de seguridad de Oracle Database proporciona comprobaciones automáticas de la configuración de seguridad de las bases de datos de Oracle en Oracle Cloud Infrastructure. Oracle Audit Vault and Database Firewall (AVDF) supervisa los logs de auditoría de bases de datos y crea alertas.

Activar Seguridad de Datos

Arquitecto empresarial, arquitecto de seguridad, arquitecto de datos

Data Safe es un centro de control unificado para las bases de datos locales y en la nube de Oracle. Utilice Data Safe para evaluar la configuración de la seguridad de los datos y la base de datos, detectar el riesgo asociado para las cuentas de usuario, identificar los datos confidenciales existentes, implementar controles para proteger los datos y auditar la actividad de los usuarios.
  • Amplíe la política de retención de auditoría de Data Safe a un año.
  • Enmascarar los datos identificados como sensibles por la detección de datos.
  • Utilice Security Assessment para identificar los controles de seguridad recomendados por la biblioteca Center for Internet Security (CIS), General Data Protection Regulation (GDPR) y Department of Defense de Security Technical Implementation Guides (STIG).
  • Configurar alertas para eventos clave en Auditoría de actividad de seguridad de datos.

Activar puntos finales privados para bases de datos autónomas

Arquitecto empresarial, arquitecto de seguridad, arquitecto de datos

Cuando sea posible, utilice puntos finales privados con Oracle Autonomous Transaction Processing.
Se utiliza un punto final privado para eliminar el acceso público a bases de datos autónomas compartidas. Todo el tráfico de la base de datos permanece privado mediante una VCN en Oracle Cloud Infrastructure sin necesidad de direccionamiento en tránsito ni de uso de un gateway de servicio.
  • Utilice una subred privada dedicada al definir puntos finales privados.
  • Para el grupo de seguridad de red de punto final privado, defina una regla de entrada sin estado con TCP de protocolo y puerto de destino igual al puerto del listener de la base de datos. Restrinja la etiqueta CIDR de origen solo a subredes o, para los gateways de enrutamiento dinámico (DRG) locales, con acceso permitido.
  • Para el grupo de seguridad de red de punto final privado, defina una regla de salida sin estado con TCP de protocolo. Restrinja el CIDR de destino a solo subredes o, para los DRG locales, con acceso permitido.

Más Información