Documentation Oracle Cloud Infrastructure

Introduction à Cloud Guard

Consultez les concepts Oracle Cloud Guard, assurez-vous que vous respectez les prérequis, effectuez l'activation initiale de Cloud Guard, puis accédez régulièrement à Cloud Guard.

Planification de Cloud Guard

Passer du temps à planifier la mise en correspondance des fonctionnalités Cloud Guard avec votre environnement avant d'activer et de configurer Cloud Guard peut vous en faire gagner plus tard.

Vous pouvez activer Cloud Guard et commencer à surveiller immédiatement votre environnement. Vous n'avez qu'à indiquer une seule cible qui correspond au compartiment de niveau supérieur de la branche de votre environnement Oracle Cloud Infrastructure à surveiller. Ensuite, au fil du temps, vous pouvez personnaliser la configuration Cloud Guard, en fonction de votre expérience avec le traitement des problèmes détectés par Cloud Guard. Vous pouvez personnaliser la configuration Cloud Guard à tout moment pour optimiser les performances afin d'atteindre un objectif à deux aspects :

  1. Faire en sorte qu'aucun élément qui représente un risque potentiel pour la sécurité n'échappe à la détection
  2. Ne pas détecter "trop" de faux positifs (problèmes qui ne représentent pas réellement des risques potentiels pour la sécurité)

Avec une certaine planification, vous pouvez bénéficier d'une longueur d'avance sur ce double objectif. Il vous suffit d'étudier l'organisation des ressources de votre location Oracle Cloud Infrastructure en différents compartiments.

Examen de votre environnement

Examinez les types de ressource stockés dans différentes parties de la hiérarchie de compartiments de votre location Oracle Cloud Infrastructure. Existe-t-il des groupes de ressources dans différentes parties de cette hiérarchie de compartiments qui doivent faire l'objet d'une surveillance distincte afin de détecter différents types de menace ? Le même problème détecté dans plusieurs compartiments représente-t-il des niveaux de risque différents ?

Cloud Guard permet de définir différentes zones de votre location Oracle Cloud Infrastructure à surveiller de façon différente. Dans ce cas, tous les compartiments d'une zone définie sont surveillés de la même manière.

Terminologie relative à Cloud Guard

Les concepts relatifs à Cloud Guard définissent les termes que vous découvrez à mesure de votre utilisation de Cloud Guard. Pour débuter, la liste suivante résume ce que vous devez savoir pour commencer à planifier Cloud Guard.

Cible
Définit la portée des vérifications de Cloud Guard. Tous les compartiments d'une cible sont vérifiés de la même manière, et vous disposez des mêmes options pour traiter les problèmes détectés.
Détecteur
Effectue des vérifications pour identifier les problèmes potentiels en matière de sécurité en fonction des activités ou des configurations. Les règles suivies pour identifier les problèmes sont identiques pour tous les compartiments d'une cible.
Répondeur
Spécifie les actions que Cloud Guard peut effectuer lorsque les détecteurs identifient des problèmes. Les règles de traitement des problèmes identifiés sont identiques pour tous les compartiments d'une cible.

Introduction aux recettes de détecteur Cloud Guard

Examinez les règles décrites dans les sections de Référence de recette de détecteur pour différents détecteurs. Dans votre environnement :

  • Existe-t-il des compartiments que vous ne voulez pas que Cloud Guard surveille ? Si oui, vous devez définir des cibles excluant ces compartiments.
  • Pensez-vous que vous devez définir différemment le niveau de risque, ou activer et désactiver différemment les règles pour les ressources dans différentes parties de votre hiérarchie de compartiments Oracle Cloud Infrastructure ? Pour configurer différemment les règles de détecteur pour différents compartiments, vous devez définir des cibles distinctes pour ces compartiments.

    Par exemple, pour la règle de configuration "Le bucket est public", le niveau de risque par défaut est CRITICAL et la règle est activée par défaut. Ces paramètres doivent-ils être identiques pour tous les compartiments ?

  • Vous pouvez désactiver les actions de recette de répondeur sur les problèmes identifiés par les détecteurs. Si vous voulez que les actions d'une règle de répondeur particulière soient activées dans certains compartiments, mais désactivées dans d'autres, vous devez définir des cibles distinctes pour ces compartiments.

    Par exemple, la règle de répondeur "Rendre le bucket privé" est activée par défaut. Disposez-vous de compartiments dans lesquels tous les buckets sont publics par leur conception, ce qui vous permet de désactiver cette règle ?

Planification de la mise en correspondance entre cibles et compartiments

Si, à ce stade, vous ne pensez pas avoir besoin de définir plusieurs cibles et que vous respectez les prérequis, vous pouvez passer à Activation de Cloud Guard. Vous pouvez modifier à tout moment la configuration des cibles, selon vos besoins.

Si vous pensez que vous devez configurer des cibles pour permettre à différents compartiments d'être surveillés différemment, gardez les lignes directrices suivantes à l'esprit lorsque vous mettez en correspondance des cibles avec des compartiments :

  • Tous les compartiments d'une cible héritent de la configuration de cette cible. Les paramètres de règle de détecteur et de répondeur d'une cible s'appliquent au compartiment de niveau supérieur affecté à cette cible, ainsi qu'à tous les compartiments subordonnés situés en dessous dans la hiérarchie de compartiments.

    Si vous voulez exclure certains compartiments de la surveillance, créez des cibles en dessous du niveau racine et n'incluez le compartiment racine dans aucune cible.

  • Une cible définie dans une cible existante remplace la configuration héritée. Dans une cible existante, vous pouvez affecter un compartiment sous le compartiment de niveau supérieur de la cible à une nouvelle cible. Vous pouvez modifier les paramètres de règle de détecteur et de répondeur pour la nouvelle cible, et ces nouveaux paramètres s'appliquent au compartiment de niveau supérieur affecté à cette cible, ainsi qu'à tous les compartiments subordonnés situés en dessous dans la hiérarchie de compartiments.

Sélectionner soigneusement votre région de reporting

Lorsque vous activez Cloud Guard, vous êtes invité à sélectionner une région de reporting. Examinez attentivement les conséquences de votre choix de région de génération de rapport :

  • La région de génération de rapports que vous sélectionnez engage votre organisation à se conformer à toutes les exigences légales du pays dans lequel la région est hébergée.
  • Une fois Cloud Guard activé, vous ne pouvez pas modifier la région de reporting sans désactiver puis réactiver Cloud Guard.
  • Toutes les personnalisations et tous les problèmes existants (y compris leur historique) sont perdus lorsque vous désactivez Cloud Guard. Vous devrez donc restaurer manuellement ces personnalisations.
  • Tous les appels d'API, à l'exception des appels READ, doivent être effectués sur la région de génération de rapports.

Veillez à prendre la meilleure décision pour votre région de génération de rapports avant de procéder aux étapes d'activation de Cloud Guard.

Activation de Cloud Guard

Exécutez cette tâche pour activer Oracle Cloud Guard à partir de la console OCI.

Prérequis : réalisez les tâches des sections Prérequis et Planification de Cloud Guard.

Deux stratégies

Vous pouvez utiliser l'une ou l'autre des deux approches de base pour activer Cloud Guard :

  1. Démarrer avec la configuration par défaut : vous voulez que Cloud Guard commence à signaler les problèmes dès que possible après avoir terminé le processus d'activation.

    N'ignorez aucune sélection facultative lors du processus d'activation.

    Remarque

    Si vous ignorez l'une des sélections facultatives au cours du processus d'activation, Cloud Guard ne commence pas automatiquement à signaler les problèmes une fois le processus d'activation terminé. Si vous ignorez les paramètres optionnels lors de l'activation, Cloud Guard ne peut pas commencer à signaler les problèmes tant que vous n'avez pas ajouté de recettes de détecteur à la cible spécifiée. Reportez-vous à Modification d'une cible OCI et de ses recettes attachées.
  2. Personnaliser d'abord la configuration : vous voulez personnaliser la configuration Cloud Guard avant qu'il commence à signaler les problèmes.

    Vous pouvez ignorer des sélections facultatives au cours du processus d'activation.

Quelle que soit l'approche adoptée pour activer Cloud Guard, vous pouvez affiner la configuration Cloud Guard au besoin après l'activation.

Etapes d'activation de Cloud Guard
  1. Connectez-vous à la console OCI en tant qu'utilisateur Oracle Cloud Guard créé dans la section Création de l'utilisateur et du groupe Cloud Guard de la rubrique Prérequis.
  2. Ouvrez le menu de navigation et la identité et sécurité. Sous Cloud Guard, sélectionnez n'importe quelle ressource.
    Remarque

    Si la page de la ressource Cloud Guard sur laquelle vous cliquez s'ouvre, Cloud Guard est déjà activé.
  3. Sur la page Cloud Guard, sélectionnez le bouton Activer Cloud Guard en haut à droite pour ouvrir la boîte de dialogue Activer Cloud Guard.
    Le panneau Stratégie Cloud Guard affiche la liste de toutes les stratégies OCI qui doivent être activées pour que Cloud Guard soit entièrement fonctionnel. La colonne de droite affiche :
    • Non ajouté si la stratégie n'est PAS activée actuellement.
    • Ajouté si la stratégie est actuellement activée.

    Sauf si vous réactivez Cloud Guard après la désactivation, toutes les entrées doivent être Non ajoutées.

    Remarque

    Ces stratégies sont des privilèges en lecture seule qui permettent à Cloud Guard de surveiller les ressources OCI dans votre location. Ces stratégies ne fournissent à Cloud Guard aucun privilège de gestion des ressources,

    Exception : la stratégie manage cloudevents-rules permet à Cloud Guard de créer des règles d'abonnement aux événements d'audit, qui sont essentielles pour que Cloud Guard détecte les problèmes. Les règles de détecteur d'activité de Cloud Guard fonctionnent en assimilant et en analysant les événements d'audit dans votre location. Cloud Guard doit créer une règle cloud gérée par des événements dans votre location afin de pouvoir s'abonner à vos événements d'audit. Le privilège USE est nécessaire pour permettre à Cloud Guard de répertorier les règles de sécurité de groupe de sécurité réseau.

    Les stratégies IAM suivantes sont automatiquement ajoutées au groupe Stratégies Cloud Guard lorsque vous sélectionnez Créer une stratégie en bas du panneau Stratégie Cloud Guard de la boîte de dialogue Activer Cloud Guard :

    allow service cloudguard to manage cloudevents-rules in tenancy where target.rule.type='managed'
allow service cloudguard to read audit-events in tenancy
allow service cloudguard to read authentication-policies in tenancy
allow service cloudguard to read autonomous-database-family in tenancy
allow service cloudguard to read compartments in tenancy
allow service cloudguard to read compute-management-family in tenancy
allow service cloudguard to read database-family in tenancy
allow service cloudguard to read data-safe-family in tenancy
allow service cloudguard to read dynamic-groups in tenancy
allow service cloudguard to read groups in tenancy
allow service cloudguard to read instance-family in tenancy
allow service cloudguard to read keys in tenancy
allow service cloudguard to read load-balancers in tenancy
allow service cloudguard to read log-groups in tenancy
allow service cloudguard to read object-family in tenancy
allow service cloudguard to read policies in tenancy
allow service cloudguard to read tenancies in tenancy
allow service cloudguard to read users in tenancy
allow service cloudguard to read vaults in tenancy
allow service cloudguard to read virtual-network-family in tenancy
allow service cloudguard to read volume-family in tenancy
allow service cloudguard to use network-security-groups in tenancy
    1. En bas du panneau Stratégie Cloud Guard, sélectionnez Créer une stratégie.

      Si toutes les stratégies requises ont été créées, les entrées de la colonne de droite sont désormais ajoutées.

    2. Si l'une des entrées de la colonne de droite indique toujours Non ajouté, ajoutez ces stratégies manuellement :
      Selon la façon dont vous utilisez le service OCI Identity, reportez-vous aux sections suivantes :
  4. Sélectionnez Suivant pour accéder au panneau Informations de base.
    1. Sélectionnez une région Rapport.
      La région de reporting doit être une région prise en charge par Cloud Guard. Si Cloud Guard ne prend pas en charge la région que vous sélectionnez, optez pour une autre région.
      Attention

      Accordez une attention particulière à la région de génération de rapports que vous sélectionnez :

      • La région de génération de rapports que vous sélectionnez engage votre organisation à se conformer à toutes les exigences légales du pays dans lequel la région est hébergée.
      • Une fois Cloud Guard activé, vous ne pouvez pas modifier la région de reporting sans désactiver puis réactiver Cloud Guard.
      • Toutes les personnalisations et tous les problèmes existants (y compris leur historique) sont perdus lorsque vous désactivez Cloud Guard. Vous devrez donc restaurer manuellement ces personnalisations.
      • Tous les appels d'API, à l'exception des appels READ, doivent être effectués sur la région de génération de rapports.
    2. Veillez à enregistrer le nom de la région de reporting que vous indiquez.

      Dans toutes les tâches de configuration et de dépannage que vous effectuez après l'activation, vous devez indiquer la région de génération de rapports Cloud Guard, et non la région d'origine OCI.

      Remarque

      Pour rechercher le nom de la région de génération de rapports, reportez-vous à Visualisation de la région de génération de rapports.
    3. Indiquez les compartiments à surveiller dans la location OCI.

      Sélectionnez l'une des options suivantes :

      • Tout : surveillance de tous les compartiments.
      • Sélectionner des compartiments : effectuez une sélection dans la liste pour surveiller uniquement les compartiments indiqués.
      • Aucun : pour ne surveiller aucun compartiment. Vous pouvez sélectionner Aucun pour simplement visualiser le contenu des recettes de détecteur avant d'en activer.
        Remarque

        Votre sélection ici définit une cible à surveiller par Cloud Guard. Pour activation avec l'option Démarrer avec la configuration par défaut, ne sélectionnez pas Aucun.
    4. (Facultatif) Sélectionnez une recette de détecteur de configuration dans la liste.
      Remarque

      Pour activation avec l'option Démarrer avec la configuration par défaut, n'ignorez pas cette sélection.
    5. (Facultatif) Sélectionnez une recette de détecteur d'activité dans la liste.
      Remarque

      Pour activation avec l'option Démarrer avec la configuration par défaut, n'ignorez pas cette sélection.

    6. Sélectionnez Activer.

      Une barre de progression remplace le bouton Activer Cloud Guard de la page Cloud Guard.

      Remarque

      Si vous avez atteint ce point dans une location gratuite, l'activation ne se poursuit pas.
  5. Une fois l'activation terminée, sur la page Cloud Guard, sélectionnez Accéder à Cloud Guard.

    La page Présentation de Cloud Guard apparaît et la visite guidée commence. Graduellement,

    Remarque

    Si vous avez suivi l'approche Démarrer avec la configuration par défaut" dans le processus d'activation, les informations sur les problèmes commencent rapidement à apparaître dans Cloud Guard. La vitesse à laquelle les informations sur les problèmes commencent à apparaître dépend de votre environnement, de la configuration des cibles et des détecteurs, ainsi que du nombre de problèmes que Cloud Guard détecte.
  6. Suivez la visite guidée pour vous familiariser avec les fonctionnalités de la page Présentation.

Etapes suivantes

Remarque

Quelle que soit l'approche adoptée pour le processus d'activation, Cloud Guard désactive deux règles de détecteur de configuration OCI par défaut dans les nouvelles locations. La désactivation initiale de ces règles est nécessaire pour empêcher Cloud Guard de générer un nombre excessif de problèmes que vous considéreriez comme des faux positifs. Pour plus d'informations sur ces règles, reportez-vous aux rubriques suivantes :

Conseil

Certaines règles de détecteur activées par défaut peuvent entraîner un nombre excessif de problèmes dans votre environnement particulier. Pour pouvoir désactiver des règles de détecteur, vous devez cloner la recette de détecteur gérée par Oracle afin de créer une version gérée par l'utilisateur. Reportez-vous à Clonage d'une recette de détecteur OCI.

Afin d'effacer rapidement les problèmes que vous considérez maintenant comme des faux positifs, procédez comme suit pour toutes les règles de la recette gérée par l'utilisateur qui génèrent un nombre excessif de problèmes :
  1. Déterminez les paramètres à modifier dans la règle afin que celle-ci ne génère plus ces faux positifs.

    Reportez-vous aux informations de référence de la règle dans Référence de recette de détecteur.

  2. Modifiez les paramètres de la règle de façon à ce qu'elle ne génère plus ces faux positifs.

    Reportez-vous à Modification des paramètres de règle dans une recette de détecteur OCI.

  3. Désactivez la règle.

    Reportez-vous à Modification des paramètres de règle dans une recette de détecteur OCI.

  4. Réactivez la règle.

    Reportez-vous à Modification des paramètres de règle dans une recette de détecteur OCI.

Intégration de Cloud Guard à d'autres services

Assurez-vous que les détails de configuration nécessaires pour prendre en charge l'intégration de Cloud Guard à d'autres services sont présents.

Une fois que vous avez terminé les tâches décrites dans Activation de Cloud Guard, ainsi que certaines tâches de suivi si vous utilisez la stratégie Personnaliser d'abord la configuration, toutes les intégrations à d'autres services doivent fonctionner correctement.

Lorsque de nouveaux services prenant en charge l'intégration à Cloud Guard seront disponibles ultérieurement, vous devrez vous assurer que les détails de configuration de Cloud Guard prennent correctement en charge les nouveaux services :

  • Les cibles Cloud Guard doivent contenir tous les compartiments dans lesquels se trouvent les ressources du nouveau service que Cloud Guard doit surveiller.
  • Les recettes de détecteur Cloud Guard contenant les règles propres au nouveau service doivent être attachées à ces cibles Cloud Guard.

Développez l'un des noms de service suivants pour consulter les étapes à suivre afin de vous assurer que les détails de configuration de Cloud Guard prennent correctement en charge le service.

Service Certificates

Prérequis : assurez-vous que le service Certificates est déjà activé et fonctionne correctement.

  1. Si Cloud Guard n'est pas déjà activé, procédez comme suit :
    1. Activez Cloud Guard ( reportez-vous à Activation de Cloud Guard).

      Suivez les étapes correspondant à l'approche Démarrer avec la configuration par défaut.

    2. Veillez à activer la recette de détecteur d'activité OCI.
    3. Veillez à définir une cible Cloud Guard qui couvre les compartiments OCI que Cloud Guard à surveiller pour le service Certificates.
    4. Assurez-vous que la recette de détecteur d'activité OCI est attachée à la cible Cloud Guard ( reportez-vous à Affichage des détails d'une cible.

      Si nécessaire, reportez-vous à Création d'une cible ou à Modification des recettes ajoutées à une cible.

  2. Si Cloud Guard est déjà activé, assurez-vous que votre location Cloud Guard dispose des éléments suivants :
  3. Si nécessaire, affinez la configuration des règles répertoriées dans la recette de détecteur d'activité OCI (gestion par Oracle ou par l'utilisateur). Reportez-vous à Modification des paramètres de règle dans les recettes d'une cible.
    • Package d'autorité de certification mis à jour
    • Autorité de certification supprimée
    • Autorité de certification intermédiaire révoquée

    Votre objectif est d'optimiser les configurations de règle de façon à identifier tous les problèmes réels sans être submergé de faux positifs. Vous devrez peut-être surveiller les problèmes générés à partir du service Certificates pendant un certain temps pour pouvoir déterminer si des modifications de règle sont nécessaires.

  4. Consultez les problèmes générés à partir du service Certificates sur la page Problèmes de Cloud Guard (reportez-vous à Affichage de la liste des problèmes).
    Pour afficher uniquement les problèmes liés au service Certificates, filtrez la liste des problèmes à l'aide du filtre Libellés = Certificats.
    Remarque

    L'entrée Libellés n'est pas sensible à la casse, mais vous devez indiquer précisément les caractères "certificats".
Service Data Safe

Prérequis : assurez-vous que le service Data Safe est déjà activé et fonctionne déjà correctement. Si vous effectuez les étapes suivantes avant d'activer le service Data Safe, Cloud Guard vous avertit que vous devez activer Data Safe chaque fois qu'il trouve une base de données.

  1. Si Cloud Guard n'est pas déjà activé, procédez comme suit :
    1. Activez Cloud Guard ( reportez-vous à Activation de Cloud Guard).

      Suivez les étapes correspondant à l'approche Démarrer avec la configuration par défaut.

    2. Veillez à activer la recette de détecteur de configuration OCI.
    3. Veillez à définir une cible Cloud Guard qui couvre les compartiments OCI que Cloud Guard doit surveiller pour le service Data Safe.
    4. Assurez-vous que la recette de détecteur de configuration OCI est attachée à la cible Cloud Guard (reportez-vous à Affichage des détails d'une cible).

      Si nécessaire, reportez-vous à Création d'une cible ou à Modification des recettes ajoutées à une cible.

  2. Si Cloud Guard est déjà activé, assurez-vous que votre location Cloud Guard dispose des éléments suivants :
  3. Ajoutez les stratégies suivantes à votre location Cloud Guard pour autoriser l'accès aux informations Data Safe :

    allow service cloudguard to read data-safe-family in tenancy

    allow service cloudguard to read autonomous-database-family in tenancy

  4. Si nécessaire, affinez la configuration des règles répertoriées dans la recette de détecteur de configuration OCI (gérée par Oracle ou par l'utilisateur). Reportez-vous à Modification des paramètres de règle dans les recettes d'une cible.
    • Data Safe n'est pas activé (cette règle est inopérante après l'activation de Data Safe)
    • La base de données n'est pas inscrite auprès de Data Safe (cette règle est inopérante si Data Safe n'est pas activé)

    Votre objectif est d'optimiser les configurations de règle de façon à identifier tous les problèmes réels sans être submergé de faux positifs. Vous devrez peut-être surveiller les problèmes générés à partir du service Data Safe pendant un certain temps pour pouvoir déterminer si des modifications de règle sont nécessaires.

  5. Consultez les problèmes générés à partir du service Data Safe sur la page Problèmes de Cloud Guard. Reportez-vous à Affichage de la liste des problèmes.
    Pour afficher uniquement les problèmes liés au service Data Safe, filtrez la liste des problèmes à l'aide du filtre Libellés = sécurité de base de données.
    Remarque

    L'entrée Libellés n'est pas sensible à la casse, mais vous devez indiquer exactement les caractères "sécurité de base de données".
Service Threat Intelligence

Prérequis : assurez-vous que les services Cloud Guard et Threat Intelligence sont activés. Cloud Guard commence à signaler des problèmes sur la base des informations du service Threat Intelligence sans aucune autre configuration.

Pour permettre aux utilisateurs de sélectionner un lien dans Détails du problème sur la page Problèmes de Cloud Guard et d'afficher des informations détaillées dans Threat Intelligence, assurez-vous qu'une stratégie accordant le droit d'accès suivant à l'utilisateur est en place :

... to read threat-intel-family in tenancy

Reportez-vous à Stratégies IAM Threat Intelligence.

Service Logging

La sécurité d'instance utilise le service OCI Logging pour enregistrer l'activité.

Prérequis : assurez-vous que Cloud Guard et le service Logging sont activés.

Il existe deux types de journal produits par Cloud Guard.

  • Journaux bruts Cloud Guard, produits par Instance Security. Vous pouvez activer ces journaux lorsque vous attachez une recette de sécurité d'instance à une cible. Vous pouvez également les activer à partir du service Logging.
  • Journaux des résultats de requête Cloud Guard, générés par des requêtes programmées.

Pour plus d'informations sur les stratégies d'utilisation des journaux, reportez-vous à Droits d'accès requis pour utiliser les journaux et les groupes de journaux.

Pour plus d'informations sur les types de journal générés par Cloud Guard, reportez-vous à Détails de journalisation pour Cloud Guard.