Sécurisation des bases de données

Recommandations de sécurité

Cette section répertorie les recommandations en matière de sécurité pour la gestion des instances Oracle Cloud Infrastructure Database. Vous trouverez les recommandations de configuration sécurisée des bases de données Oracle dans le guide de sécurité Oracle Database. Dans cette documentation, "système de base de données" fait référence aux déploiements Oracle Database utilisant le service Base Database, Exadata Database Service on Dedicated Infrastructure et Autonomous Database on dedicated Exadata infrastructure. (Notez que certains sujets peuvent ne pas s'appliquer à Autonomous Database dans les cas où Oracle gère la fonctionnalité décrite.)

Contrôle d'accès à la base de données

• Les utilisateurs s'authentifient auprès de la base de données avec leur mot de passe. Oracle vous recommande de renforcer ces mots de passe. Pour plus d'informations sur le choix des mots de passe de base de données Oracle, reportez-vous à Instructions sur la sécurisation des mots de passe. En outre, la base de données Oracle fournit un script PL/SQL permettant de vérifier la complexité des mots de passe de base de données. Ce script se trouve dans $ORACLE_HOME/rdbms/admin/UTLPWDMG.SQL. Pour obtenir des instructions sur l'exécution du script UTLPWDMG.SQL afin de vérifier la complexité du mot de passe, reportez-vous à Application de la vérification de la complexité de mot de passe.
• Outre le mot de passe de base de données, vous pouvez utiliser des groupes de sécurité ou des listes de sécurité du réseau cloud virtuel pour appliquer le contrôle d'accès réseau aux instances de base de données. Oracle vous recommande de configurer des groupes de sécurité réseau ou des listes de sécurité VCN pour autoriser l'accès avec le moins de privilèges possible aux bases de données client dans Oracle Cloud Infrastructure Database.

• Les systèmes de base de données créés au sein d'un sous-réseau public peuvent envoyer le trafic sortant directement vers le Web. Les systèmes de base de données créés au sein d'un sous-réseau privé ne disposent pas de connectivité Internet, et le trafic Internet (sortant et entrant) ne peut pas accéder directement à l'instance. Si vous essayez de définir un routage vers un système de base de données dans un sous-réseau privé à l'aide d'une passerelle Internet, le routage est ignoré.

  Pour appliquer des patches de système d'exploitation et sauvegarder un système de base de données sur un sous-réseau privé, vous pouvez utiliser une passerelle de service ou une passerelle NAT afin de vous connecter à vos adresses d'application de patches ou de sauvegarde.

  Dans un réseau cloud virtuel (VCN), vous pouvez utiliser des règles de sécurité avec un sous-réseau privé pour restreindre l'accès à un système de base de données. Dans les déploiements à plusieurs niveaux, un sous-réseau privé et des règles de sécurité VCN peuvent être utilisés pour restreindre l'accès au système de base de données à partir des niveaux d'application.

Durabilité des données

• Oracle vous recommande d'accorder des droits d'accès de suppression de base de données (DATABASE_DELETE, DB_SYSTEM_DELETE) à un ensemble minimal d'utilisateurs et de groupes IAM. Cela minimise les pertes de données dues à des suppressions involontaires par un utilisateur autorisé ou à des suppressions malveillantes. Accordez le droit d'accès DELETE uniquement aux administrateurs de location et de compartiment.
• Vous pouvez utiliser RMAN pour effectuer des sauvegardes périodiques des bases de données Database, où les copies de sauvegarde cryptées sont stockées dans un stockage local (volumes de blocs, par exemple) ou dans Oracle Cloud Infrastructure Object Storage. RMAN crypte chaque sauvegarde d'une base de données avec une clé de cryptage unique. En mode transparent, la clé de cryptage est stockée dans le portefeuille Oracle. Les sauvegardes RMAN vers Object Storage nécessitent une passerelle Internet (IGW) et des groupes de sécurité réseau VCN ou des listes de sécurité doivent être configurés pour permettre un accès sécurisé à Object Storage. Pour plus d'informations sur la configuration du VCN pour la sauvegarde des bases de données Bare Metal, reportez-vous à Sauvegarde d'une base de données vers Object Storage à l'aide de RMAN. Pour plus d'informations sur la sauvegarde et les bases de données Exadata, reportez-vous à Gestion des sauvegardes de base de données Exadata à l'aide de bkup_api.

Cryptage de base de données et gestion des clés

• Toutes les bases de données créées dans Oracle Cloud Infrastructure sont cryptées à l'aide du cryptage transparent des données (TDE). Si vous migrez une base de données non cryptée d'une instance sur site vers Oracle Cloud Infrastructure en utilisant RMAN, la base de données migrée ne sera pas cryptée. Oracle doit crypter ces bases de données après les avoir migrées vers le cloud.

  Pour savoir comment crypter votre base de données avec un temps d'inactivité minimal lors de la migration, reportez-vous au livre blanc Architecture de disponibilité maximale d'Oracle intitulé Conversion en cryptage transparent des données avec Oracle Data Guard à l'aide de Fast Offline Conversion.

  Les systèmes de base de données de machine virtuelle utilisent le stockage de blocs Oracle Cloud Infrastructure au lieu du stockage local. Par défaut, le stockage de blocs est crypté.

• Les tablespaces créés par l'utilisateur sont cryptés par défaut dans Oracle Cloud Infrastructure Database. Dans ces bases de données, le paramètre ENCRYPT_NEW_TABLESPACES est défini sur CLOUD_ONLY, où les tablespaces créés dans une base de données DBCS (Database Cloud Service ) sont cryptés de façon transparente avec l'algorithme AES128, sauf si un autre algorithme est spécifié.
• L'administrateur de base de données crée un portefeuille Oracle Wallet local sur une instance de base de données nouvellement créée et initialise la clé maître de cryptage transparent des données (TDE). L'ouverture automatique est ensuite configurée pour le portefeuille Oracle. Toutefois, un client peut choisir de définir un mot de passe pour le portefeuille Oracle. Oracle vous recommande de définir un mot de passe renforcé (huit caractères ou plus, avec au moins une lettre en majuscule, une lettre en minuscule, un chiffre et un symbole spécial).
• Oracle vous recommande d'effectuer régulièrement la rotation de la clé maître TDE. La période de rotation recommandée est inférieure ou égale à 90 jours. Vous pouvez effectuer la rotation de la clé maître TDE à l'aide des commandes de base de données natives ("administer key management" dans la version 12c, par exemple) ou dbaascli. Toutes les versions précédentes de la clé maître TDE sont conservées dans le portefeuille Oracle.
• Oracle Key Vault (OKV) est une appliance de gestion des clés utilisée pour la gestion des clés maître TDE Oracle. OKV peut stocker les accès aux clés maître TDE, les auditer et effectuer leur rotation. Pour obtenir des instructions sur l'installation et la configuration d'OKV dans Oracle Cloud Infrastructure, reportez-vous à Gestion des clés de cryptage Oracle Database dans Oracle Cloud Infrastructure avec Oracle Key Vault.

Application de patches à la base de données

L'application de patches de sécurité aux bases de données Oracle (mises à jour des patches critiques Oracle) est primordiale pour réduire les problèmes de sécurité connus. Oracle vous recommande de rester à jour en appliquant ces patches. Les ensembles de patches et les mises à jour d'ensemble de patches sont publiés tous les trimestres. Ces versions de patch contiennent des correctifs de sécurité, ainsi que des corrections de bug supplémentaires à fort impact/faible risque.

Pour plus d'informations sur les derniers problèmes de sécurité connus et les corrections disponibles, reportez-vous à Mises à jour des patches critiques, alertes de sécurité et bulletins. Si votre application ne prend pas en charge les patches les plus récents et doit utiliser un système de base de données avec des patches plus anciens, vous pouvez provisionner un système de base de données avec une version antérieure à l'édition Oracle Database que vous utilisez. En plus de vérifier les mises à jour de patches critiques et les alertes de sécurité pour Oracle Database, Oracle vous recommande d'analyser le système d'exploitation provisionné avec le système de base de données et d'y appliquer des patches.

Pour plus d'informations sur l'application de patches aux instances Oracle Cloud Infrastructure Database, reportez-vous à Mise à jour d'un système de base de données et à Application de patches à Oracle Grid Infrastructure et aux bases de données Oracle à l'aide de dbaascli.

Vérification de la configuration de sécurité de base de données

• L'outil d'évaluation de la sécurité Oracle Database (DBSAT) fournit des vérifications automatiques de configuration de la sécurité des bases de données Oracle dans Oracle Cloud Infrastructure. DBSAT effectue des vérifications de sécurité pour l'analyse des privilèges utilisateur, les contrôles d'autorisation de base de données, les stratégies d'audit, la configuration du processus d'écoute de base de données, les droits d'accès de fichier de système d'exploitation et les données confidentielles stockées. Dans Oracle Cloud Infrastructure Database, les images de base de données Oracle sont analysées avec DBSAT avant le provisionnement. Après le provisionnement, Oracle vous recommande d'analyser régulièrement les bases de données avec DBSAT et de résoudre les problèmes éventuels. DBSAT est gratuit pour les clients Oracle.

Audit de sécurité de base de données

Oracle Audit Vault and Database Firewall (AVDF) surveille les journaux d'audit de la base de données et crée des alertes. Pour obtenir des instructions sur l'installation et la configuration d'AVDF dans Oracle Cloud Infrastructure, reportez-vous à Déploiement d'Oracle Audit Vault and Database Firewall dans Oracle Cloud Infrastructure.

Data Safe

Oracle recommande d'utiliser le service Data Safe pour améliorer la sécurité de vos déploiements de base de données. Oracle Data Safe est un centre de contrôle unifié pour les bases de données Oracle. Il vous aide à déterminer la confidentialité des données, à évaluer les risques pour les données, à masquer les données confidentielles, à implémenter et à surveiller les contrôles de sécurité, à évaluer la sécurité des utilisateurs, à surveiller l'activité des utilisateurs et à répondre aux exigences en matière de conformité de sécurité des données. Pour obtenir des informations complètes, reportez-vous à Introduction.

Sauvegardes de base de données

Oracle recommande d'utiliser des sauvegardes gérées (sauvegardes créées à l'aide de la console ou de l'API Oracle Cloud Infrastructure) dans la mesure du possible. Lorsque vous utilisez les sauvegardes gérées, Oracle gère l'utilisateur et les informations d'identification de la banque d'objets, et effectue la rotation de ces informations tous les 3 jours. Oracle Cloud Infrastructure crypte toutes les sauvegardes gérées dans la banque d'objets. Oracle utilise par défaut la fonctionnalité de cryptage transparent des données pour crypter les sauvegardes.

Si vous n'utilisez pas les sauvegardes gérées, Oracle vous recommande de changer régulièrement les mots de passe de la banque d'objets.