Gestion de la configuration dans Autonomous Database sur une infrastructure Exadata dédiée

Fondé sur Oracle Cloud Infrastructure (OCI), Autonomous Database sur une infrastructure Exadata dédiée fournit des configurations de sécurité standard et renforcées pour que vous et votre équipe n'ayez pas besoin de consacrer trop de temps et d'argent à la gestion des configurations pour votre parc Autonomous Database.

Les correctifs et les mises à jour de sécurité sont appliqués automatiquement, vous n'avez donc pas à vous soucier de maintenir la sécurité à jour. Ces fonctionnalités protègent vos bases de données et vos données hautement sensibles contre les vulnérabilités et les violations de sécurité coûteuses et potentiellement désastreuses. Pour plus d'informations, voir Maintenance du service d'Autonomous Database.

Rubriques connexes

Renforcement des machines virtuelles autonomes

Les images de machine virtuelle (machine virtuelle autonome) Autonomous Database, également appelées machines virtuelles client, sont renforcées par la sécurité. Comme indiqué dans le document Oracle Software Security Assurance, leurs configurations sont sécurisées au moyen des pratiques d'assurance et de développement de logiciels d'Oracle. Les machines virtuelles autonomes ont des logiciels antivirus et anti-malware appropriés configurés pour détecter les logiciels et logiciels malveillants non autorisés. Le logiciel Asset Endpoint Protection and Configuration Management d'Oracle, installé sur les machines virtuelles client, garantit que les modifications de configuration ne sont effectuées que par des processus approuvés et sécurisés. Les journaux de vérification du système d'exploitation Linux sont collectés et transférés vers un système SIEM (Security Information and Event Management) OCI central pour la détection et la vérification des incidents de sécurité par l'équipe de détection et de réponse aux incidents de sécurité (DART) d'OCI. Les journaux sont conservés pendant 13 mois à compter de la date de génération.

DART est responsable de la gestion des tableaux de bord SIEM, de l'évaluation des alertes d'incident et du lancement de mesures correctives sur les vrais positifs en ouvrant des tickets sur les équipes de service internes. Lorsqu'un événement de sécurité nécessite une mise à jour du client, DART travaille avec les équipes Global Information Security et de service pour émettre une mise à jour du client.

Toutes les machines virtuelles autonomes Oracle sont conformes au STIG de la DISA (Defense Information Systems Agency Security Technical Implementation Guide) et sont renforcées conformément au Guide de mise en oeuvre technique de la sécurité d'Oracle Linux, qui traite des problèmes liés aux contrôles d'accès des utilisateurs, aux ports ouverts, aux ensembles indésirables et aux configurations de démon, entre autres. Vous trouverez la liste complète des contrôles STIG Oracle Linux DISA ici.

L'accès manuel aux machines virtuelles autonomes est limité à une équipe des opérations infonuagiques de base soigneusement contrôlée par l'entreprise. Les membres de l'équipe des opérations doivent être sur l'attachement de réseau Oracle Cloud (un réseau en nuage privé et sécurisé) à partir d'un appareil fourni par l'entreprise pour accéder à l'infrastructure Exadata. Les données d'identification d'accès sont générées dynamiquement en réponse à des tickets de soutien valides. Toute modification de la configuration des machines virtuelles client fait l'objet d'un examen de sécurité interne strict et d'un processus de gestion des modifications. Tous les outils, scripts ou logiciels ne sont installés ou modifiés qu'après avoir suivi le cycle de vie des logiciels approuvés et le processus de gestion des modifications.

L'intégration au service de contrôle de l'accès des opérateurs pour l'infrastructure et les machines virtuelles autonomes limite davantage cet accès et met l'autorisation d'accès et les avis entre vos mains. Les actions des opérateurs sont connectées en temps quasi réel et envoyées à un SIEM configuré par le client et au service de journalisation Oracle pour téléchargement par le client, au besoin. Vous pouvez télécharger les journaux dans le service SIEM/Stockage du client ou les archiver indéfiniment dans le service de stockage d'objets OCI. Voir Service de contrôle de l'accès des opérateurs pour plus de détails.

L'architecture de sécurité OCI définit en outre la sécurité unique du matériel gen2 multicouche et de la virtualisation d'OCI. Vous pouvez consulter la section Architecture de sécurité d'Oracle Cloud Infrastructure pour plus de détails.

Gestion de la dérive de configuration

Le développement du service Autonomous Database et la création d'image de machine virtuelle autonome font partie de la portée des pratiques de sécurité d'entreprise d'Oracle. Cette mise en oeuvre est soigneusement contrôlée par le processus Oracle Software Security Assurance, publié ici.

Les configurations d'image de machine virtuelle autonome sont contrôlées par code et font l'objet de plusieurs révisions de code et cycles d'assurance qualité avant qu'une modification de configuration ne passe à une version de production. Consultez la section Configurations sécurisées de la documentation sur Oracle Software Security Assurance pour connaître l'état et les pratiques standard d'Oracle pour sécuriser les configurations logicielles.

Un agent intégré par Oracle, le logiciel Asset Endpoint Protection and Configuration Management (AEP/CM) est installé sur des serveurs de plan de contrôle pour collecter et transférer des journaux de vérification Linux et des journaux AIDE (Advanced Intrusion Detection Environment) de Linux à partir d'instances d'infrastructure et de machine virtuelle autonome. Ces journaux sont transférés vers un SIEM central OCI à des fins de vérification. Les règles SIEM propres à l'altération des fichiers journaux, au téléchargement de contenu externe, à la désactivation des outils de sécurité, etc. génèrent des alertes que DART évalue et répond comme décrit Renforcement des machines virtuelles autonomes.

Les instances de machine virtuelle autonomes sont sécurisées à partir de l'accès direct à ssh, à l'exception des opérateurs Oracle approuvés et de l'automatisation. Toutes les activités des opérateurs peuvent être surveillées au moyen du contrôle de l'accès des opérateurs.

Intégrité des fichiers et surveillance des intrusions

Les machines virtuelles autonomes sont configurées avec un utilitaire de surveillance et d'intrusion de fichiers qui gère le nombre et l'intégrité des fichiers dans une version spécifique. Toute modification du nombre de fichiers ou de la somme de contrôle d'un fichier est marquée. Les journaux AIDE et HIDS sont également collectés et envoyés au service SIEM pour OCI et balayés pour détecter les menaces au moyen du processus DART expliqué dans Renforcement des machines virtuelles autonomes.

Tous les artefacts logiciels déployés dans une AVMC, y compris les outils, sont déployés au moyen d'une méthode de gestion des modifications sécurisée utilisant des sommes de contrôle et signés numériquement à l'aide de certificats SSL. C'est ce qu'on appelle le déploiement de code signé par certificat.

Analyse et réponse de vulnérabilité de machine virtuelle autonome

Toutes les images de machine virtuelle autonome sont créées à l'aide des pratiques de développement sécurisé d'Oracle, comme documenté dans le service Oracle Software Security Assurance. Le processus d'assurance de la solution de sécurité d'entreprise (CSSAP) est un processus d'examen de la sécurité développé par l'architecture de sécurité d'entreprise d'Oracle, Global Information Security (GIS) et les organisations de TI d'Oracle pour fournir un examen complet de la gestion de la sécurité de l'information. GIS et CSSAP fonctionnent indépendamment des équipes de service OCI pour protéger les informations et les ressources logicielles du client et d'Oracle. Chaque fonctionnalité de service ayant une incidence potentielle sur la sécurité fait l'objet d'un processus de révision et d'approbation CSSAP. En outre, les cycles de test d'assurance de la qualité (AQ) utilisent des outils de numérisation appropriés pour s'assurer que les images respectent le STIG, respectent les directives de sécurité du service et sont prêtes à être examinées par CSSAP.

L'outillage médico-légal sur les MAV joue un rôle prépondérant dans la gestion de la vulnérabilité. Les journaux de vérification Linux de chaque hôte de machine virtuelle autonome sont chargés dans un SIEM OCI central où les règles d'alerte saisissent et détectent les menaces potentielles. DART répond à ces alertes, comme expliqué dans Durcissement de machine virtuelle autonome. Les journaux HIDS et antivirus sont également traités de la même manière. Un scanneur CVE (Common Vulnerabilities and Exposures) envoie ses résultats à un outil d'automatisation central où les résultats des vulnérabilités sont classés, et des tickets sont ouverts pour que les équipes de service corrigent les systèmes sur une échelle de temps proportionnelle à la gravité des résultats. Tous les CVE dont la note est supérieure à 7 doivent être corrigés dans les 30 jours.

Vous pouvez planifier des ensembles de correctifs d'infrastructure comprenant Hypervisor, Grid Infrastructure, les systèmes d'exploitation client et de stockage et le micrologiciel tous les trimestres. Les mises à jour de version de base de données et les révisions de mise à jour de version peuvent également être programmées séparément chaque trimestre. Tous les correctifs sont stockés temporairement et appliqués à l'aide des outils d'automatisation du nuage et des opérations Autonomous Cloud, comme le requiert la mise à jour de correctif spécifique.

Le développement de correctifs logiciels suit les pratiques de développement de logiciels sécurisés d'Oracle, les tests d'assurance qualité et les examens CSSAP, au besoin. La séparation des responsabilités entre les développeurs de correctifs, les testeurs d'assurance qualité, la gestion des versions et les opérations d'application de correctifs garantit que plusieurs membres du personnel sont impliqués avant qu'un correctif ne soit appliqué au matériel du client.

Lorsque cela est possible, les mises à jour sont appliquées au système en cours d'exécution sans temps d'arrêt à l'aide d'outils tels que Linux ksplice. Si une mise à jour nécessite un redémarrage de composant, Oracle effectue ce redémarrage de manière continue pour garantir la disponibilité du service pendant le processus de mise à jour. Vous pouvez programmer des heures de début d'application de correctifs pour les aligner sur les CNS de votre entreprise. L'application de correctifs peut être programmée séparément pour les composants d'infrastructure (GI, SE) et chaque répertoire de base du SGBD.

Analyse et correction des vulnérabilités

Autonomous Database sur une infrastructure Exadata dédiée effectue fréquemment des balayages de vulnérabilités externes et internes (qui incluent la détection de systèmes de fin de prise en charge) à l'aide d'outils de balayage de vulnérabilités commerciaux. Les vulnérabilités identifiées font l'objet d'une enquête et font l'objet d'un suivi jusqu'à leur résolution par la norme Cloud Compliance Standard for Vulnerability Management. Il utilise diverses mesures techniques pour évaluer et identifier les mises à jour des bibliothèques tierces et open source. Des analyses de vulnérabilité authentifiées des systèmes déployés dans l'environnement, ainsi que des analyses d'images de système avant déploiement, ont été mises en œuvre pour identifier ces bibliothèques et déterminer si des correctifs de sécurité sont nécessaires. Les politiques ministérielles et les procédures des unités opérationnelles régissent ces programmes et les évaluent annuellement.

Autonomous Database utilise un mécanisme pour agréger les conclusions de sécurité provenant de plusieurs sources (y compris les balayages de vulnérabilités) et affecter les conclusions à l'équipe de service appropriée. Ce système permet aux équipes de service de gérer leurs conclusions et de s'intégrer aux systèmes de billetterie pour automatiser la mise en file d'attente des tâches de correction, y compris les avis et les escalades automatiques, au besoin. Le système résume également le travail de correction à l'échelle de l'organisation et oriente les efforts quotidiens de gestion de la vulnérabilité.

Oracle Software Security Assurance (OSSA) définit la méthodologie Oracle pour intégrer la sécurité dans la conception, la création, les tests et la maintenance de ses produits, qu'ils soient utilisés sur place par les clients ou fournis par Oracle Cloud. Les politiques de sécurité d'entreprise d'Oracle (y compris les politiques qui traitent de la gestion des menaces et des vulnérabilités) sont révisées chaque année et mises à jour au besoin. Au moins une fois par an, des tiers indépendants effectuent un test de pénétration du système.

Pour assurer la meilleure sécurité possible à tous les clients d'Oracle, Oracle corrige les vulnérabilités importantes en fonction du risque probable qu'elles posent aux clients. Les problèmes avec les risques les plus graves sont résolus en premier. En général, les correctifs des vulnérabilités informatiques sont produits dans l'ordre suivant :

  • Ligne de code principale en premier - c'est-à-dire la ligne de code en cours de développement pour la prochaine version majeure du produit.
  • Pour chaque version prise en charge vulnérable, créez un correctif essentiel et appliquez le correctif dans le prochain jeu de correctifs si un autre jeu de correctifs est planifié pour cette version prise en charge.

Les correctifs et les mises à jour sont mis en oeuvre au moyen d'outils d'intégration et de déploiement continus (CI/CD). À l'exception des dépendances entre plusieurs domaines de disponibilité (par exemple, les mises à jour des services de nom de domaine), les modifications sont mises en oeuvre séparément dans chaque région et domaine de disponibilité. La politique de mise en oeuvre des correctifs et des alertes de sécurité d'Oracle exige le déploiement des mises à jour des correctifs essentiels et des alertes de sécurité d'Oracle et des recommandations associées. Cette politique comprend également des exigences pour corriger les vulnérabilités dans les technologies autres qu'Oracle en utilisant une approche fondée sur le risque. Pour plus d'informations, voir Programmes de correctif critique et d'alerte de sécurité.

Oracle programme et effectue une maintenance mensuelle de la sécurité de l'infrastructure parallèlement à la maintenance trimestrielle. Toutefois, ces correctifs de sécurité ne sont appliqués que dans les mois où les mises à jour de sécurité sont critiques, y compris les correctifs pour les vulnérabilités dont la note CVSS est supérieure ou égale à 7.

  • Toute infrastructure Exadata provisionnée avant la programmation de la maintenance de sécurité par Oracle sera admissible pour la maintenance de sécurité.
  • Le processus mensuel de maintenance de la sécurité met à jour les serveurs de base de données afin de corriger les vulnérabilités de sécurité critiques et les problèmes liés aux produits. Ils mettent également à jour les serveurs de stockage vers une image de logiciel de stockage Exadata qui résout les vulnérabilités de sécurité connues et les problèmes de produit.

Politique sur les tests de sécurité d'Oracle Cloud

Oracle effectue régulièrement des tests d'intégration et de vulnérabilité, ainsi que des évaluations de sécurité de l'infrastructure, des plates-formes et des applications Oracle Cloud, afin de valider et d'améliorer la sécurité globale des services Oracle Cloud. Cependant, Oracle n'évalue ni ne teste aucun composant (y compris les applications non Oracle, les bases de données non Oracle ou d'autres logiciels, codes ou données non Oracle, selon le cas) que vous gérez par l'entremise des services Oracle Cloud (les " composants de client ") ou que vous introduisez dans ces services, y compris par leur développement ou leur création.

La Politique d'Oracle relative aux tests de sécurité des clients décrit les activités de test de sécurité telles que les tests d'intrusion et le balayage de vulnérabilités que les clients d'Oracle peuvent effectuer sur leurs produits Oracle sur place et Oracle Cloud Services (" tests de sécurité " ou " tests de sécurité "). Il est collectivement appelé " politique de test " et inclus dans les spécifications des services pour Oracle Cloud Services. Cette politique ne traite pas des tests sur le matériel de tierce partie inclus dans les composants de client, et n'accorde aucun droit pour effectuer de tels tests. Seuls les clients disposant d'un compte Oracle et disposant des privilèges nécessaires pour soumettre des demandes de maintenance de service et qui sont connectés à l'environnement qui fera l'objet de ces tests peuvent effectuer des tests de vulnérabilité ou d'intrusion.

Sauf indication contraire autorisée ou restreinte dans vos contrats de services Oracle Cloud, votre administrateur de service qui dispose d'un accès de niveau système à votre service Autonomous Database peut exécuter des tests d'intrusion et de vulnérabilité pour les composants de client inclus dans votre service Autonomous Database, conformément aux restrictions décrites dans Tests de sécurité dans Oracle Cloud.

Vous pouvez également consulter la FAQ sur les tests de sécurité pour obtenir des réponses à vos questions sur les tests de sécurité.

Protection contre les points d'extrémité, les logiciels malveillants et les rançongiciels

Les machines clients de machine virtuelle autonome sont conçues avec une protection de point d'extrémité, de logiciels malveillants et de rançongiciels, comme indiqué ci-dessous :

  • Des outils antivirus et anti-malware appropriés sont installés et mis à jour régulièrement.
  • L'accès ssh / sftp sur le réseau client est fermé.
  • Les comptes d'utilisateur nommé sur les machines virtuelles client sont extrêmement limités aux processus requis uniquement.
  • Les machines virtuelles autonomes sont renforcées aux normes STIG de la DISA pour garantir qu'aucun port inutilisé n'est ouvert ou qu'aucun démon n'est exécuté sur le système.
  • L'accès de l'opérateur Oracle se fait au moyen d'une connexion sortante sécurisée au réseau de gestion d'Oracle dans une région OCI choisie par le client.
  • Les actions des opérateurs Oracle peuvent être contrôlées et vérifiées au moyen de l'intégration du service de contrôle de l'accès des opérateurs.

Gestion des incidents de sécurité

Une équipe dédiée d'analystes de sécurité de l'équipe de détection et de réponse aux incidents de sécurité (DART) est chargée de gérer les tableaux de bord d'événements de sécurité 24 / 7 et de traiter les alertes pour filtrer les vrais positifs. Si un vrai positif est détecté, une réponse appropriée est lancée en fonction de la gravité et de l'impact de l'événement. Cela peut inclure une analyse plus approfondie, une évaluation des causes fondamentales et une résolution avec les équipes de service et la communication avec les clients.

Les politiques de réponse aux incidents de sécurité d'Oracle sont décrites dans Réponse aux incidents de sécurité.