Gestion de la configuration dans une base de données d'intelligence artificielle autonome sur une infrastructure Exadata dédiée

Fondée sur Oracle Cloud Infrastructure (OCI), la base de données autonome d'IA sur une infrastructure Exadata dédiée fournit des configurations de sécurité standard et renforcées afin que vous et votre équipe n'ayez pas besoin de consacrer énormément de temps et d'argent à la gestion des configurations de votre parc de bases de données autonomes.

Les correctifs et les mises à jour de sécurité sont appliqués automatiquement, vous n'avez donc pas à vous soucier de maintenir la sécurité à jour. Ces capacités protègent vos bases de données et vos données hautement sensibles contre des vulnérabilités et des violations de sécurité coûteuses et potentiellement désastreuses. Pour plus de détails, consultez Maintenance du service de base de données autonome sur l'IA.

Renforcement des machines virtuelles autonomes

Les images de machine virtuelle de base de données autonome (machine virtuelle autonome), également appelées machines virtuelles clients, sont renforcées par la sécurité. Comme indiqué dans Oracle Software Security Assurance, leurs configurations sont sécurisées par l'intermédiaire des pratiques de développement logiciel et d'assurance Oracle. Les machines virtuelles autonomes disposent d'un logiciel antivirus et anti-malware adapté configuré pour détecter les logiciels et les logiciels malveillants non autorisés. Le logiciel Asset Endpoint Protection and Configuration Management d'Oracle, installé sur les machines virtuelles clients, garantit que les modifications de configuration ne sont apportées qu'au moyen de processus sécurisés et approuvés. Les journaux d'audit du système d'exploitation Linux sont collectés et transférés vers un système central de gestion des informations de sécurité et des événements (SIEM) OCI pour la détection et l'audit des incidents de sécurité par l'équipe de détection et de réponse aux incidents de sécurité (DART) d'OCI. Les journaux sont conservés pendant 13 mois à compter de la date de génération.

DART est responsable de la gestion des tableaux de bord SIEM, de l'évaluation des alertes d'incident et du lancement d'actions de correction sur les vrais positifs en ouvrant des tickets pour les équipes de service internes. Lorsqu'un événement de sécurité nécessite une mise à jour du client, DART travaille avec les équipes Global Information Security et de service pour émettre une mise à jour du client.

Toutes les machines virtuelles autonomes Oracle sont conformes à DISA STIG (Defense Information Systems Agency Security Technical Implementation Guide) et sont renforcées conformément au guide technique de mise en oeuvre de la sécurité pour Oracle Linux, qui traite des problèmes liés aux contrôles d'accès des utilisateurs, aux ports ouverts, aux ensembles indésirables et aux configurations de démon, entre autres. Vous pouvez trouver une liste complète des contrôles STIG de la DISA Oracle Linux ici.

L'accès manuel aux machines virtuelles autonomes est limité à une équipe d'opérations en nuage de base minutieusement contrôlée par l'entreprise. Les membres de l'équipe des opérations doivent se trouver sur l'attachement de réseau Oracle Cloud (réseau en nuage privé et sécurisé) à partir d'un appareil fourni par l'entreprise pour accéder à l'infrastructure Exadata. Les données d'identification d'accès sont générées dynamiquement en réponse à des tickets de soutien valides. Toute modification de la configuration des machines virtuelles du client fait l'objet d'un examen de sécurité interne strict et d'un processus de gestion des modifications. Tous les outils, scripts ou logiciels ne sont installés ou modifiés qu'après avoir suivi le cycle de vie du logiciel approuvé et le processus de gestion des changements.

L'intégration au service de contrôle de l'accès des opérateurs pour l'infrastructure et les machines virtuelles autonomes restreint davantage cet accès et met les autorisations d'accès et les avis entre vos mains. Les actions des opérateurs sont connectées en temps quasi réel et envoyées à un SIEM configuré par le client et au service de journalisation Oracle pour téléchargement par le client, au besoin. Vous pouvez télécharger les journaux vers le service SIEM/stockage du client ou les archiver indéfiniment dans le stockage d'objets OCI. Pour plus de détails, voir Service de contrôle de l'accès des opérateurs.

L'architecture de sécurité OCI définit davantage la sécurité unique du matériel et de la virtualisation à plusieurs couches d'OCI gen2. Pour plus de détails, consultez la section Architecture de sécurité d'Oracle Cloud Infrastructure.

Gestion de la dérive de configuration

Le développement de services Autonomous AI Database et la création d'images Autonomous VM font partie des pratiques de sécurité d'entreprise d'Oracle. Cette mise en oeuvre est contrôlée avec soin par le processus Oracle Software Security Assurance, publié ici.

Les configurations d'image de machine virtuelle autonomes sont contrôlées au moyen du code et font l'objet de plusieurs vérifications de code et cycles d'assurance qualité avant qu'une modification de configuration ne passe à une version de production. Reportez-vous à la section Configurations sécurisées de la documentation sur Oracle Software Security Assurance pour connaître la position d'Oracle et les pratiques standard pour sécuriser les configurations logicielles.

Un agent Oracle, un logiciel AEP/CM (Asset Endpoint Protection and Configuration Management), est installé sur les serveurs de plan de contrôle pour collecter et transférer les journaux de vérification Linux et les journaux AIDE (Advanced Intrusion Detection Environment) Linux à partir des instances d'infrastructure et de machine virtuelle autonome. Ces journaux sont transférés vers un système SIEM central OCI à des fins de vérification. Les règles SIEM spécifiques à l'altération des fichiers journaux, au téléchargement de contenu externe, à la désactivation des outils de sécurité et à d'autres génèrent des alertes que DART évalue et auxquelles répond le renforcement de la machine virtuelle autonome.

Les instances de machine virtuelle autonomes sont sécurisées à partir d'un accès ssh direct, à l'exception des opérateurs Oracle approuvés et de l'automatisation. Toutes les activités des opérateurs peuvent être surveillées via le contrôle de l'accès des opérateurs.

Intégrité des fichiers et surveillance des intrusions

Les machines virtuelles autonomes sont configurées avec un utilitaire d'intrusion et de surveillance de fichiers qui tient à jour le nombre et l'intégrité des fichiers dans une version spécifique. Toute modification du nombre de fichiers ou de la somme de contrôle d'un fichier est marquée. Les journaux AIDE et HIDS sont également collectés et envoyés à OCI SIEM et analysés pour détecter les menaces au moyen du processus DART expliqué dans le processus de renforcement des machines virtuelles autonomes.

Tous les artefacts logiciels déployés sur une machine virtuelle autonome, y compris les outils, sont déployés au moyen d'une méthode de gestion des modifications sécurisée utilisant des sommes de contrôle et signés numériquement à l'aide de certificats SSL. Il s'agit d'un déploiement de code signé par certificat.

Analyse et réponse à la vulnérabilité de machine virtuelle autonome

Toutes les images de machine virtuelle autonome sont créées à l'aide des pratiques de développement sécurisé d'Oracle, telles que documentées dans Oracle Software Security Assurance. Le processus d'assurance de la solution de sécurité d'entreprise (CSSAP) est un processus d'examen de la sécurité développé par l'architecture de sécurité d'entreprise d'Oracle, Global Information Security (GIS) et les organisations de TI d'Oracle pour fournir un examen complet de la gestion de la sécurité de l'information. GIS et CSSAP fonctionnent indépendamment des équipes de service OCI pour protéger le client et les actifs informatiques et logiciels d'Oracle. Chaque fonction de service ayant un impact potentiel sur la sécurité est soumise à un processus de révision et d'approbation CSSAP. En outre, les cycles de test d'assurance qualité (AQ) utilisent des outils de numérisation appropriés pour s'assurer que les images respectent STIG, respectent les directives de sécurité du service et sont prêtes pour l'examen CSSAP.

Les outils médico-légaux sur les CMAV jouent un rôle prépondérant dans la gestion des vulnérabilités. Les journaux d'audit Linux de chaque hôte de machine virtuelle autonome sont chargés dans un système SIEM OCI central où les règles d'alerte saisissent et surfacent les menaces potentielles. DART répond à ces alertes comme expliqué dans le renforcement des machines virtuelles autonomes. Les IDH et les journaux antivirus sont également traités de la même manière. Un scanner CVE (Common Vulnerabilities and Exposures) envoie ses résultats à un outil d'automatisation central où les conclusions de vulnérabilité sont classées et où des tickets sont ouverts pour que les équipes de service appliquent des correctifs aux systèmes sur une échelle de temps proportionnelle à la gravité des conclusions. Tous les CVE dont la note est supérieure à 7 doivent être corrigés dans les 30 jours.

Vous pouvez programmer trimestriellement des ensembles de correctifs d'infrastructure comprenant l'hyperviseur, Grid Infrastructure, les systèmes d'exploitation client et de stockage et le micrologiciel. Les mises à jour de version de base de données et les révisions de mise à jour de version peuvent également être programmées séparément chaque trimestre. Tous les correctifs sont stockés temporairement et appliqués à l'aide des outils d'automatisation du nuage et des opérations en nuage autonomes, comme l'exige la mise à jour de correctif spécifique.

Le développement de correctifs logiciels suit les pratiques sécurisées de développement de logiciels d'Oracle, les tests d'assurance qualité et les évaluations CSSAP, au besoin. La séparation des tâches entre les développeurs de correctifs, les testeurs d'assurance qualité, la gestion des versions et les opérations d'application de correctifs garantit que plusieurs personnes sont impliquées avant qu'un correctif ne soit appliqué au matériel du client.

Dans la mesure du possible, les mises à jour sont appliquées au système en cours d'exécution sans temps d'arrêt à l'aide d'outils tels que Linux ksplice. Si une mise à jour nécessite un redémarrage de composant, Oracle le redémarre de manière continue afin de garantir la disponibilité du service pendant le processus de mise à jour. Vous pouvez programmer les heures de début de l'application de correctifs en fonction des CNS de votre entreprise. L'application de correctifs peut être programmée séparément pour les composants d'infrastructure (GI, système d'exploitation) et chaque répertoire de base du SGBD.

Analyses des vulnérabilités et correctifs

Autonomous AI Database on Dedicated Exadata Infrastructure effectue fréquemment des analyses de vulnérabilité internes et externes (qui incluent la découverte de systèmes de fin de prise en charge) à l'aide d'outils commerciaux d'analyse de vulnérabilité. Les vulnérabilités identifiées font l'objet d'une enquête et d'un suivi jusqu'à leur résolution par la Cloud Compliance Standard for Vulnerability Management. Il utilise diverses mesures techniques pour évaluer et identifier les mises à jour des bibliothèques tierces et open source. Des analyses de vulnérabilité authentifiées des systèmes déployés dans l'environnement, ainsi que des analyses d'images système avant déploiement, ont été mises en œuvre pour identifier ces bibliothèques et déterminer si des correctifs de sécurité sont nécessaires. Les politiques de l'entreprise et les procédures des unités opérationnelles régissent ces programmes et les évaluent chaque année.

Autonomous AI Database utilise un mécanisme pour agréger les résultats de sécurité provenant de plusieurs sources (y compris les analyses de vulnérabilité) et affecter les résultats à l'équipe de service appropriée. Ce système permet aux équipes de service de gérer leurs conclusions et de les intégrer aux systèmes de demandes de service pour la mise en file d'attente automatisée des travaux de correction, y compris les avis et les escalades automatiques, au besoin. Le système résume également le travail de correction à l'échelle de l'organisation et stimule les efforts quotidiens de gestion des vulnérabilités.

Oracle Software Security Assurance (OSSA) définit la méthodologie Oracle pour intégrer la sécurité dans la conception, la création, les tests et la maintenance de ses produits, qu'ils soient utilisés sur place par les clients ou fournis par Oracle Cloud. Les politiques de sécurité d'entreprise d'Oracle (y compris les politiques qui traitent de la gestion des menaces et des vulnérabilités) sont révisées chaque année et mises à jour au besoin. Au moins une fois par an, des tiers indépendants effectuent un test de pénétration du système.

Pour offrir la meilleure sécurité possible à tous les clients d'Oracle, Oracle corrige les vulnérabilités de sécurité importantes en fonction du risque probable qu'elles représentent pour les clients. Les problèmes avec les risques les plus graves sont résolus en premier. En général, les correctifs de vulnérabilités informatiques sont produits dans l'ordre suivant :

Les correctifs et les mises à jour sont mis en œuvre au moyen d'outils d'intégration et de déploiement continus (CI/CD). Sauf dans les cas où des dépendances existent entre plusieurs domaines de disponibilité (par exemple, des mises à jour des services de nom de domaine), les modifications sont mises en oeuvre séparément dans chaque région et domaine de disponibilité. La politique de mise en œuvre des correctifs et des alertes de sécurité d'Oracle exige le déploiement des correctifs essentiels d'Oracle et des mises à jour des alertes de sécurité et des recommandations associées. Cette politique comprend également des exigences pour corriger les vulnérabilités dans les technologies non Oracle à l'aide d'une approche basée sur le risque. Pour plus d'informations, voir Correctifs critiques et programmes d'alerte de sécurité.

Oracle programme et effectue une activité de maintenance mensuelle de la sécurité de l'infrastructure ainsi qu'une maintenance trimestrielle. Toutefois, ces correctifs de sécurité ne sont appliqués que dans les mois avec des mises à jour de sécurité critiques, y compris des correctifs pour les vulnérabilités dont la note CVSS est supérieure ou égale à 7.

Politique de tests de sécurité d'Oracle Cloud

Oracle effectue régulièrement des tests d'intrusion et de vulnérabilité et des évaluations de sécurité sur l'infrastructure, les plates-formes et les applications Oracle Cloud pour valider et améliorer la sécurité globale des services Oracle Cloud. Toutefois, Oracle n'évalue ou ne teste aucun composant (y compris des applications autres que celles d'Oracle, des bases de données autres qu'Oracle ou d'autres logiciels, codes ou données autres qu'Oracle, selon le cas) que vous gérez ou introduisez, y compris une introduction par votre développement ou votre création dans les services Oracle Cloud (les " composants du client ").

La politique de test de sécurité du client Oracle décrit les activités de test de sécurité, telles que le test d'intrusion et l'analyse de vulnérabilité, que les clients Oracle peuvent effectuer sur leurs produits Oracle sur place et Oracle Cloud Services (" tests de sécurité " ou). Elle est collectivement désignée comme " politique de tests " et incluse dans les spécifications du service pour les services Oracle Cloud Services. Cette politique ne traite pas des tests sur le matériel de tierce partie inclus dans les composants de client, et n'accorde aucun droit pour effectuer de tels tests. Seuls les clients disposant d'un compte Oracle disposant des privilèges nécessaires pour déposer des demandes de maintenance de service et qui sont connectés à l'environnement faisant l'objet de tels tests peuvent effectuer des tests de vulnérabilité ou d'intrusion.

Sauf indication contraire autorisée ou restreinte dans vos conventions de services Oracle Cloud, l'administrateur de service qui dispose d'un accès de niveau système à votre service Autonomous AI Database peut exécuter des tests d'intrusion et de vulnérabilité pour les composants client inclus dans votre service Autonomous AI Database conformément aux restrictions décrites dans Tests de sécurité dans Oracle Cloud.

Vous pouvez également consulter la section FAQ sur les tests de sécurité pour obtenir des réponses aux questions que vous pourriez avoir au sujet de vos tests de sécurité.

Endpoint, Malware et Ransomware Protection

Les machines client de machine virtuelle autonomes sont conçues avec une protection des points d'extrémité, des logiciels malveillants et des rançongiciels, comme indiqué ci-dessous :

Gestion des incidents de sécurité

Une équipe dédiée d'analystes de la sécurité de l'équipe de détection et de réponse aux incidents de sécurité (DART) est responsable de la gestion des tableaux de bord des événements de sécurité 24 / 7 et du traitement des alertes pour filtrer les vrais positifs. Si un vrai positif est détecté, une réponse appropriée est lancée en fonction de la gravité et de l'impact de l'événement. Cela peut inclure une analyse plus approfondie, une évaluation des causes fondamentales et une correction des problèmes avec les équipes de service et la communication avec les clients.

Les politiques de réponse aux incidents de sécurité d'Oracle sont décrites dans le document Réponse aux incidents de sécurité.

Contenu connexe

Fonctions de sécurité dans Autonomous AI Database