Sécurisation du service de calcul

Pour utiliser le service de calcul en toute sécurité, découvrez vos responsabilités en matière de sécurité et de conformité.

En général, Oracle assure la sécurité de l'infrastructure et des opérations en nuage, comme les contrôles de l'accès des opérateurs au nuage et l'application de correctifs de sécurité à l'infrastructure. Vous êtes responsable de la configuration sécurisée de vos ressources en nuage. La sécurité dans le nuage est une responsabilité partagée entre vous et Oracle.

Oracle est responsable des exigences de sécurité suivantes :

• Physical Security : :Oracle est responsable de la protection de l'infrastructure globale qui exécute tous les services offerts dans Oracle Cloud Infrastructure. Cette infrastructure se compose du matériel, du logiciel, du réseau et des installations qui exécutent les services Oracle Cloud Infrastructure.

Vos responsabilités en matière de sécurité sont décrites dans cette page, qui comprend les domaines suivants :

• Contrôle de l'accès : Limitez le plus possible les privilèges. Les utilisateurs ne doivent disposer que de l'accès nécessaire pour effectuer leur travail.
• Chiffrement et confidentialité : Utilisez des clés de chiffrement et des clés secrètes pour protéger vos données et vous connecter à des ressources sécurisées. Faites pivoter ces clés régulièrement.
• Application de correctifs : Gardez le logiciel à jour avec les derniers correctifs de sécurité pour prévenir les vulnérabilités.

Utilisez cette liste de vérification pour identifier les tâches que vous effectuez pour sécuriser le service de calcul dans une nouvelle location Oracle Cloud Infrastructure.

Après avoir commencé à utiliser le service de calcul, utilisez cette liste de vérification pour identifier les tâches de sécurité que nous vous recommandons d'effectuer régulièrement.

Utilisez des politiques pour limiter l'accès au service de calcul.

Nous vous recommandons d'accorder des autorisations DELETE à un jeu minimal d'utilisateurs et de groupes IAM. Cette pratique minimise la perte de données résultant de suppressions accidentelles par des utilisateurs autorisés ou d'acteurs malveillants. N'accordez les autorisations DELETE qu'aux administrateurs de location et de compartiment.

Dans tous les exemples suivants, les politiques portent sur une location. Toutefois, en spécifiant un nom de compartiment, leur portée peut être réduite à un compartiment spécifique dans une location.

Allow group InstanceUsers to manage instance-family in tenancy
 where request.permission!='INSTANCE_DELETE' 
Allow group InstanceUsers to use volume-family in tenancy 
Allow group InstanceUsers to use virtual-network-family in tenancy

Allow group InstanceUsers to manage instance-console-connection in tenancy
 where all {request.permission!= INSTANCE_CONSOLE_CONNECTION_READ, 
            request.permission!= INSTANCE_CONSOLE_CONNECTION_CREATE}

Pour plus d'informations sur les politiques de calcul et pour voir d'autres exemples, voir Informations détaillées sur les services de base.

En plus de créer des politiques IAM, verrouillez l'accès aux instances de calcul.

Activez le service de protection d'infrastructure en nuage et utilisez-le pour détecter les problèmes de sécurité dans les ressources de calcul et y répondre.

Lors de la détection d'un problème, le service de protection d'infrastructure en nuage suggère des mesures correctives. Vous pouvez également configurer le service de protection d'infrastructure en nuage pour qu'il effectue automatiquement certaines actions. Le service de protection d'infrastructure en nuage comprend les règles de détecteur suivantes pour le service de calcul.

• L'instance a une adresse IP publique
• L'instance exécute une image Oracle
• L'instance n'exécute pas d'image Oracle
• L'instance est accessible publiquement
• Instance interrompue
• Exporter l'image
• Importer l'image
• Mettre à jour l'image

Pour obtenir la liste de toutes les règles de détecteur disponibles dans le service de protection d'infrastructure en nuage, voir Informations de référence sur les recettes de détecteur.

Si vous ne l'avez pas encore fait, activez le service de protection d'infrastructure en nuage et configurez-le pour surveiller les compartiments qui contiennent vos ressources. Vous pouvez configurer des cibles du service de protection d'infrastructure en nuage pour examiner l'ensemble de votre location (compartiment racine et tous les sous-compartiments) ou pour vérifier uniquement des compartiments spécifiques. Voir Introduction au service de protection d'infrastructure en nuage.

Après avoir activé le service de protection d'infrastructure en nuage, vous pouvez voir et résoudre les problèmes de sécurité détectés. Voir Traitement des problèmes signalés.

L'utilisation de zones de sécurité garantit que vos ressources dans Compute sont conformes aux meilleures pratiques de sécurité.

Une zone de sécurité est associée à un ou plusieurs compartiments et à une recette de zone de sécurité. Lors de la création et de la mise à jour de ressources dans le compartiment d'une zone de sécurité, Oracle Cloud Infrastructure valide ces opérations en fonction de la liste des politiques de zone de sécurité dans la recette. En cas de violation d'une politique dans la recette, l'opération est refusée. Les politiques de zone de sécurité suivantes sont disponibles pour les ressources du service de calcul.

• deny instance_in_security_zone_​launch_from_boot_volume_​not_in_security_zone
• deny instance_in_security_zone_​in_subnet_not_in_security_​zone
• deny instance_without_​sanctioned_image
• deny boot_volume_not_in_security_​zone_attach_to_instance_​in_security_zone
• deny boot_volume_without_​vault_key

Pour obtenir la liste de toutes les politiques de zone de sécurité, voir Politiques de zone de sécurité.

Pour déplacer des ressources existantes vers un compartiment qui se trouve dans une zone de sécurité, les ressources doivent être conformes à toutes les politiques de zone de sécurité de la recette de la zone. De même, les ressources dans une zone de sécurité ne peuvent pas être déplacées vers un compartiment à l'extérieur de la zone de sécurité, car cela peut être moins sécurisé. Voir Gestion des zones de sécurité.

Créez et faites pivoter les clés de chiffrement dans le service de chambre forte pour protéger vos ressources dans le service de calcul.

Une chambre forte est une entité logique qui stocke les clés de chiffrement que vous utilisez pour protéger vos données. Selon le mode de protection, les clés sont soit stockées sur le serveur, soit stockées sur des modules de sécurité matériels hautement disponibles et durables. Nos modules de sécurité matériels répondent aux normes fédérales de traitement des informations (FIPS) 140-2 Certification de sécurité de niveau 3. Voir Gestion des chambres fortes et Gestion des clés.

Bien que les clés de chiffrement par défaut puissent être générées automatiquement lorsque vous créez certaines ressources Oracle Cloud Infrastructure, nous vous recommandons de créer et de gérer vos propres clés de chiffrement personnalisées dans le service de chambre forte.

Les volumes de démarrage de l'instance sont chiffrés par défaut. Lorsque vous créez une instance, vous pouvez utiliser une clé de chiffrement personnalisée pour chiffrer les données au repos dans le volume de démarrage. Si vous activez le chiffrement en transit pour l'instance, la clé personnalisée est également utilisée pour le chiffrement en transit. Voir Création d'une instance.

Une version de clé est affectée automatiquement à chaque clé principale de chiffrement. Lorsque vous effectuez la rotation d'une clé, le service de chambre forte génère une nouvelle version de clé. Une rotation régulière permet de limiter le volume des données chiffrées ou signées avec une version de clé. Si une clé est comprise, la rotation réduit les risques pour vos données. Voir Gestion des clés.

Nous vous recommandons d'utiliser des politiques IAM pour limiter strictement la création, la rotation et la suppression des clés de chiffrement. Voir Détails du service de chambre forte.

Accès réseau sécurisé à vos ressources du service de calcul, y compris SSH.

Renforcez SSH sur toutes les instances. Le tableau suivant présente quelques recommandations de sécurité SSH. Il est possible de définir des options de configuration SSH dans le fichier sshd_config. Sous Linux, ce fichier se trouve sous /etc/ssh/sshd_config.

Utilisez des clés privées SSH sécurisées pour accéder aux instances et empêcher les divulgations accidentelles. Pour plus d'informations sur la création d'une paire de clés SSH et la configuration d'une instance à l'aide de ces clés, voir Gestion des paires clés sur des instances Linux.

Use security lists , network security groups , or a combination of both to control packet-level traffic in and out of the resources in your VCN (virtual cloud network) . Voir Accès et sécurité.

Fail2ban est une application qui répertorie les adresses IP impliquées dans des tentatives de connexion par force brute (c'est-à-dire un nombre trop élevé d'échecs de connexion à une instance). Par défaut, Fail2ban inspecte les accès SSH et vous pouvez le configurer pour inspecter d'autres protocoles. For more information about Fail2ban, see Fail2ban Main Page.

En plus des groupes de sécurité et des listes de sécurité de réseau VCN, utilisez des pare-feu basés sur l'hôte, tels que iptables et firewalld, pour restreindre l'accès réseau aux instances en contrôlant les ports, les protocoles et les types de paquet. Utilisez ces pare-feu pour empêcher la reconnaissance potentielle d'attaques de sécurité du réseau, telles que l'analyse des ports et les tentatives d'intrusion. Des règles de pare-feu personnalisées peuvent être configurées, enregistrées, puis initialisées à chaque démarrage de l'instance. L'exemple suivant présente les commandes pour iptables.

# save iptables rules after configuration 
sudo iptables-save > /etc/iptables/iptables.rules 
# restore iptables rules on next reboot 
sudo /sbin/iptables-restore < /etc/iptables.rules 
# restart iptables after restore 
sudo service iptables restart

Lorsque vous créez un sous-réseau dans un VCN, par défaut, le sous-réseau est considéré comme public et les communications Internet sont autorisées. Utilisez des sous-réseaux privés pour héberger des ressources qui ne nécessitent pas d'accès Internet. Vous pouvez également configurer une passerelle de service dans votre VCN pour permettre aux ressources d'un sous-réseau privé d'accéder à d'autres services en nuage. Voir Choix de connectivité.

Le service d'hôte bastion fournit un accès restreint et limité dans le temps aux ressources cibles qui n'ont pas de point d'extrémité public. À l'aide d'un hôte bastion, vous pouvez permettre aux utilisateurs autorisés de se connecter aux ressources cibles sur des points d'extrémité privés au moyen de sessions SSH. Une fois connecté, les utilisateurs peuvent interagir avec la ressource cible à l'aide de tout logiciel ou protocole pris en charge par SSH. Voir Gestion des hôtes bastions.

Utilisez le pare-feu d'application Web (WAF) pour créer et gérer des règles de protection pour les menaces Internet, notamment les attaques par script intersites (XSS), l'injection SQL et d'autres vulnérabilités définies par OWASP. Il permet de contrer les robots indésirables et d'autoriser les robots légitimes. Le service WAF observe le trafic vers votre application Web au fil du temps et recommande de nouvelles règles à configurer. Voir Marche à suivre pour démarrer avec les politiques de périphérie de réseau.

Assurez-vous que vos ressources de calcul exécutent les dernières mises à jour de sécurité.

Gardez le logiciel d'instance à jour avec les correctifs de sécurité. Nous vous recommandons d'appliquer périodiquement à vos instances les dernières mises à jour logicielles disponibles. Les images Oracle Autonomous Linux sont automatiquement mises à jour avec les derniers correctifs. Pour les images Oracle Linux, vous pouvez exécuter la commande sudo yum update (sudo dnf update sur Oracle Linux 8). Pour Oracle Linux, vous pouvez obtenir des informations sur les correctifs de sécurité disponibles et installés à l'aide du plugiciel yum-security. L'exemple suivant fournit des commandes pour yum-security.

# Install yum-security plugin
yum install yum-plugin-security
# Get list of security patches without installing them
yum updateinfo list security all
# Get list of installed security patches
yum updateinfo list security all

Les instances Linux pour Oracle Cloud Infrastructure peuvent utiliser Oracle Ksplice pour appliquer des correctifs de noyau critiques sans redémarrage. Ksplice peut tenir à jour des versions de noyau spécifiques pour Oracle Linux, CentOS et Ubuntu. Pour plus d'informations, voir Oracle Ksplice.

Configurer vos ressources de calcul pour les déploiements en production.

Établissez une référence pour le renforcement de la sécurité des images Linux et Windows exécutées sur des instances. Pour plus d'informations sur le renforcement de la sécurité des images Oracle Linux, voir Conseils pour renforcer un serveur Oracle Linux. Les normes du centre pour la sécurité Internet fournissent un jeu complet de normes de renforcement de la sécurité du système d'exploitation pour diverses distributions de Linux et de Windows Server.

Localisez les journaux d'accès et d'autres données de sécurité pour les instances de calcul.

Plusieurs événements liés à la sécurité sont saisis dans les fichiers journaux. Nous vous recommandons de vérifier périodiquement ces fichiers journaux pour détecter tout problème de sécurité. Dans Oracle Linux, les fichiers journaux se trouvent dans le dossier /var/log. Certains fichiers journaux relatifs à la sécurité sont répertoriés dans le tableau ci-dessous.

Le service de vérification enregistre automatiquement tous les appels d'API aux ressources Oracle Cloud Infrastructure. Vous pouvez atteindre vos objectifs de sécurité et de conformité en utilisant le service de vérification pour surveiller toutes les activités des utilisateurs dans votre location. Comme tous les appels de console, de trousse SDK et de ligne de commande (interface de ligne de commande) sont effectués par l'intermédiaire de nos API, toute l'activité provenant de ces sources est incluse. Les enregistrements de vérification sont disponibles au moyen d'une API d'interrogation authentifiée et filtrable ou ils peuvent être extraits en tant que fichiers par lots à partir du stockage d'objets. Le contenu du journal de vérification inclut l'activité survenue, l'utilisateur qui l'a lancée, la date et l'heure de la demande, ainsi que l'adresse IP source, l'agent utilisateur et les en-têtes HTTP de la demande. Voir Affichage des événements du journal de vérification.

{
  "datetime": 1642192740551,
  "logContent": {
    "data": {
      "additionalDetails": {
        "X-Real-Port": 50258,
        "imageId": "ocid1.image.oc1.<unique_id>",
        "shape": "VM.Standard.E3.Flex",
        "type": "CustomerVmi",
        "volumeId": "null"
      },
      "availabilityDomain": "AD1",
      "compartmentId": "ocid1.tenancy.oc1..<unique_id>",
      "compartmentName": "mytenancy",
      "definedTags": {},
      "eventGroupingId": "<unique_id>",
      "eventName": "LaunchInstance",
      "freeformTags": {},
      "identity": {
        "authType": null,
        "callerId": null,
        "callerName": null,
        "consoleSessionId": null,
        "credentials": "<key>",
        "ipAddress": "<ip_address>",
        "principalId": "<user_id>",
        "principalName": "<user_name>",
        "tenantId": "ocid1.tenancy.oc1..<unique_id>",
        "userAgent": "Oracle-JavaSDK/1.33.2 (Linux/4.14.35-2047.509.2.2.el7uek.x86_64; Java/1.8.0_301; Java HotSpot(TM) 64-Bit Server VM GraalVM EE 20.3.3/25.301-b09-jvmci-20.3-b18)"
      },
      "message": "myinstance LaunchInstance succeeded",
      "request": {
        "action": "POST",
        "headers": {
          "Accept": [
            "application/json"
          ],
          "Connection": [
            "keep-alive"
          ],
          "Date": [
            "Fri, 14 Jan 2022 20:38:59 GMT"
          ]
        },
        "id": "<unique_id>",
        "parameters": {},
        "path": "/20160918/instances"
      },
      "resourceId": "ocid1.instance.oc1.phx.<unique_id>",
      "response": {
        "headers": {
          "Connection": [
            "keep-alive"
          ],
          "Content-Type": [
            "application/json"
          ],
          "Date": [
            "Fri, 14 Jan 2022 20:39:00 GMT"
          ],
          "ETag": [
            "<unique_id>"
          ],
          "Transfer-Encoding": [
            "chunked"
          ],
          "X-Content-Type-Options": [
            "nosniff"
          ],
          "opc-request-id": [
            "<unique_id>"
          ],
          "opc-work-request-id": [
            "ocid1.coreservicesworkrequest.oc1.phx.<unique_id>"
          ]
        },
        "message": null,
        "payload": {},
        "responseTime": "2022-01-14T20:39:00.551Z",
        "status": "200"
      },
      "stateChange": {
        "current": {
          "agentConfig": {
            "areAllPluginsDisabled": false,
            "isManagementDisabled": false,
            "isMonitoringDisabled": false
          },
          "availabilityConfig": {
            "recoveryAction": "RESTORE_INSTANCE"
          },
          "availabilityDomain": "EMIr:PHX-AD-1",
          "compartmentId": "ocid1.tenancy.oc1..<unique_id>",
          "definedTags": {},
          "displayName": "<unique_id>",
          "extendedMetadata": {},
          "faultDomain": "FAULT-DOMAIN-1",
          "freeformTags": {},
          "id": "ocid1.instance.oc1.phx.<unique_id>",
          "imageId": "ocid1.image.oc1.phx.<unique_id>",
          "instanceOptions": {
            "areLegacyImdsEndpointsDisabled": false
          },
          "launchMode": "PARAVIRTUALIZED",
          "launchOptions": {
            "bootVolumeType": "PARAVIRTUALIZED",
            "firmware": "UEFI_64",
            "isConsistentVolumeNamingEnabled": true,
            "isPvEncryptionInTransitEnabled": false,
            "networkType": "PARAVIRTUALIZED",
            "remoteDataVolumeType": "PARAVIRTUALIZED"
          },
          "lifecycleState": "PROVISIONING",
          "region": "phx",
          "shape": "VM.Standard.E3.Flex",
          "shapeConfig": {
            "gpus": 0,
            "localDisks": 0,
            "maxVnicAttachments": 2,
            "memoryInGBs": 16,
            "networkingBandwidthInGbps": 1,
            "ocpus": 1,
            "processorDescription": "2.25 GHz AMD EPYC™ 7742 (Rome)"
          },
          "sourceDetails": {
            "imageId": "ocid1.image.oc1.phx.<unique_id>",
            "sourceType": "image"
          },
          "systemTags": {},
          "timeCreated": "2022-01-14T20:39:00.260Z"
        },
        "previous": {}
      }
    },
    "dataschema": "2.0",
    "id": "<unique_id> ",
    "oracle": {
      "compartmentid": "ocid1.tenancy.oc1..<unique_id>",
      "ingestedtime": "2022-01-14T20:39:05.212Z",
      "loggroupid": "_Audit",
      "tenantid": "ocid1.tenancy.oc1..<unique_id>"
    },
    "source": "<unique_id>",
    "specversion": "1.0",
    "time": "2022-01-14T20:39:00.551Z",
    "type": "com.oraclecloud.computeApi.LaunchInstance.begin"
  }
}

Si vous avez activé le service de protection d'infrastructure en nuage dans votre location, toutes les activités d'utilisateur pouvant poser des problèmes de sécurité sont signalées. Lors de la détection d'un problème, le service de protection d'infrastructure en nuage suggère des mesures correctives. Vous pouvez également configurer le service de protection d'infrastructure en nuage pour qu'il effectue automatiquement certaines actions. Voir Introduction au service de protection d'infrastructure en nuage et Traitement des problèmes signalés.