Gestion de la configuration dans la base de données Autonomous AI sur une infrastructure Exadata dédiée

Basée sur Oracle Cloud Infrastructure (OCI), Autonomous AI Database on Dedicated Exadata Infrastructure fournit des configurations de sécurité standard et renforcées afin que vous et votre équipe n'ayez pas à consacrer beaucoup de temps et d'argent à la gestion des configurations dans votre parc de bases de données Autonomous AI.

Les mises à jour et les patches de sécurité sont appliqués automatiquement. Vous n'avez donc pas à vous préoccuper du maintien à jour de la sécurité. Ces fonctions protègent vos bases de données et données hautement confidentielles contre des violations et des vulnérabilités coûteuses et potentiellement désastreuses du niveau de la sécurité. Pour plus de détails, reportez-vous à Maintenance de service d'une base de données Autonomous AI.

Renforcement des machines virtuelles autonomes

Les images de machine virtuelle de base de données Autonomous AI, également appelées machines virtuelles client, sont sécurisées. Comme indiqué dans Oracle Software Security Assurance, leurs configurations sont sécurisées via les pratiques de développement et d'assurance des logiciels Oracle. Les machines virtuelles autonomes disposent d'un logiciel antivirus et anti-malware approprié configuré pour détecter les logiciels et les logiciels malveillants non autorisés. Le logiciel Oracle Asset Endpoint Protection and Configuration Management, installé sur des machines virtuelles client, garantit que les modifications de configuration ne sont effectuées que via des processus sécurisés et approuvés. Les journaux d'audit du système d'exploitation Linux sont collectés et transférés vers un système SIEM (Security Information and Event Management) central d'OCI pour la détection et l'audit des incidents de sécurité par l'équipe de détection et de réponse aux incidents de sécurité d'OCI (DART). Les journaux sont conservés pendant 13 mois à compter de la date de génération.

DART est responsable de la gestion des tableaux de bord SIEM, de l'évaluation des alertes d'incident et du lancement d'actions correctives sur les vrais positifs en ouvrant des tickets sur les équipes de service internes. Lorsqu'un événement de sécurité nécessite une mise à jour client, DART travaille avec Global Information Security et les équipes de service pour émettre une mise à jour client.

Toutes les machines virtuelles Oracle Autonomous sont conformes à la norme DISA STIG (Defense Information Systems Agency Security Technical Implementation Guide) et sont sécurisées conformément au Guide d'implémentation technique de la sécurité Oracle Linux, qui traite des problèmes liés aux contrôles d'accès utilisateur, aux ports ouverts, aux packages indésirables et aux configurations de démon, entre autres. Vous trouverez la liste complète des contrôles STIG Oracle Linux DISA ici.

L'accès manuel aux machines virtuelles Autonomous est limité à une équipe d'opérations cloud de base soigneusement examinée par l'entreprise. Les membres de l'équipe des opérations doivent se trouver sur Oracle Cloud Network Attach (réseau cloud privé et sécurisé) à partir d'un appareil fourni par l'entreprise pour accéder à l'infrastructure Exadata. Les informations d'identification d'accès sont générées dynamiquement en réponse à des tickets d'assistance valides. Toute modification de la configuration des machines virtuelles client fait l'objet d'un examen de sécurité interne strict et d'un processus de gestion des modifications. Tous les outils, scripts ou logiciels sont installés ou modifiés uniquement après avoir passé en revue le cycle de vie du logiciel approuvé et le processus de gestion des modifications.

L'intégration avec le service Operator Access Control pour l'infrastructure et les machines virtuelles Autonomous restreint davantage cet accès et met les droits d'accès et la notification entre vos mains. Les actions de l'opérateur sont journalisées en temps quasi réel et envoyées à un SIEM configuré par le client et au service de journalisation Oracle pour téléchargement par le client, le cas échéant. Vous pouvez télécharger les journaux vers le SIEM/stockage du client ou les archiver indéfiniment dans OCI Object Storage. Pour plus d'informations, reportez-vous à Service Operator Access Control.

L'architecture de sécurité OCI définit davantage la sécurité matérielle et de virtualisation multicouche unique d'OCI. Pour plus de détails, reportez-vous à Architecture de sécurité Oracle Cloud Infrastructure.

Gestion des dérives de configuration

Le développement du service Autonomous AI Database et la création d'images de machine virtuelle Autonomous font partie des pratiques de sécurité d'entreprise d'Oracle. Cette implémentation est soigneusement contrôlée par le processus Oracle Software Security Assurance, publié ici.

Les configurations d'image de machine virtuelle autonome sont contrôlées via du code et font l'objet de plusieurs révisions de code et cycles d'assurance qualité avant qu'une modification de configuration ne devienne une version de production. Reportez-vous à la section Configurations sécurisées de la documentation Oracle Software Security Assurance pour connaître l'état et les pratiques standard d'Oracle en matière de sécurisation des configurations logicielles.

Un agent Oracle, le logiciel AEP/CM (Asset Endpoint Protection and Configuration Management) est installé sur les serveurs de plan de contrôle pour collecter et transférer les journaux d'audit Linux et les journaux AIDE (Linux Advanced Intrusion Detection Environment) à partir de l'infrastructure et des instances de machine virtuelle Autonomous. Ces journaux sont transférés vers un SIEM central OCI à des fins d'audit. Les règles SIEM spécifiques à la falsification des fichiers journaux, au téléchargement de contenu externe, à la désactivation des outils de sécurité et autres génèrent des alertes que DART évalue et auxquelles il répond, comme décrit dans le document sur le durcissement des machines virtuelles autonomes.

Les instances de machine virtuelle Autonomous sont sécurisées à partir d'un accès direct à ssh, à l'exception des opérateurs Oracle approuvés et de l'automatisation. Toutes les activités des opérateurs peuvent être surveillées via Operator Access Control.

Surveillance de l'intégrité des fichiers et des intrusions

Les machines virtuelles Autonomous sont configurées avec un utilitaire de surveillance et d'intrusion de fichiers qui gère le nombre et l'intégrité des fichiers dans un build spécifique. Toute modification du nombre de fichiers ou de la somme de contrôle d'un fichier est marquée. Les journaux AIDE et HIDS sont également collectés et envoyés à OCI SIEM et analysés pour détecter les menaces via le processus DART expliqué dans le processus de sécurisation des machines virtuelles autonomes.

Tous les artefacts logiciels déployés dans un système AVMC, y compris les outils, sont déployés via une méthode de gestion des modifications sécurisée utilisant des sommes de contrôle et signés numériquement à l'aide de certificats SSL. Il s'agit d'un déploiement de code signé par un certificat.

Analyse et réponse des vulnérabilités des machines virtuelles autonomes

Toutes les images de machine virtuelle Autonomous sont créées à l'aide des pratiques de développement sécurisé d'Oracle, comme indiqué dans Oracle Software Security Assurance. Le processus d'assurance de la solution de sécurité d'entreprise (CSSAP) est un processus d'examen de la sécurité développé par l'architecture de sécurité d'entreprise d'Oracle, la sécurité globale de l'information (GIS) et les organisations informatiques d'Oracle pour fournir un examen complet de la gestion de la sécurité des informations. GIS et CSSAP fonctionnent indépendamment des équipes de service OCI pour protéger les informations et les ressources logicielles du client et d'Oracle. Chaque fonctionnalité de service ayant un impact potentiel sur la sécurité est soumise à un processus d'examen et d'approbation CSSAP. En outre, les cycles de test d'assurance de la qualité (AQ) utilisent des outils d'analyse appropriés pour s'assurer que les images respectent les STIG, respectent les directives de sécurité du service et sont prêtes à être examinées par CSSAP.

L'outillage médico-légal sur les AVMC joue un rôle prépondérant dans la gestion des vulnérabilités. Les journaux d'audit Linux de chaque hôte de machine virtuelle Autonomous sont téléchargés vers un SIEM OCI central où les règles d'alerte capturent et signalent les menaces potentielles. DART répond à ces alertes comme expliqué dans le durcissement de la machine virtuelle autonome. Les journaux HIDS et antivirus sont également traités de la même manière. Un scanner CVE (Common Vulnerabilities and Exposures) envoie ses résultats à un outil d'automatisation central où les résultats des vulnérabilités sont catégorisés, et des tickets sont ouverts pour que les équipes de service appliquent des correctifs aux systèmes sur une échelle de temps proportionnelle à la gravité des résultats. Tous les CVE dont le score est supérieur à 7 doivent être corrigés dans les 30 jours.

Vous pouvez programmer des lots de correctifs d'infrastructure comprenant l'hyperviseur, Grid Infrastructure, les systèmes d'exploitation de stockage et client et le microprogramme tous les trimestres. Les mises à jour de version de base de données et les révisions de mise à jour de version peuvent également être planifiées séparément chaque trimestre. Tous les patches sont préparés et appliqués à l'aide des outils d'automatisation du cloud et des opérations Autonomous Cloud, comme la mise à jour de patch spécifique le requiert.

Le développement de patches logiciels suit les pratiques de développement logiciel sécurisées d'Oracle, les tests d'assurance qualité et les révisions CSSAP, le cas échéant. La séparation des tâches entre les développeurs de correctifs, les testeurs d'assurance qualité, la gestion des versions et les opérations d'application de correctifs garantit que plusieurs membres du personnel sont impliqués avant qu'un correctif ne soit appliqué au matériel du client.

Lorsque cela est possible, les mises à jour sont appliquées au système en cours d'exécution sans temps d'arrêt à l'aide d'outils tels que Linux ksplice. Si une mise à jour nécessite un redémarrage de composant, Oracle exécute le redémarrage de composant de manière non simultanée pour garantir la disponibilité du service pendant le processus de mise à jour. Vous pouvez planifier les heures de début de l'application de patches en fonction des contrats de niveau de service de votre entreprise. L'application de patches peut être programmée séparément pour les composants d'infrastructure (GI, OS) et chaque répertoire de base du SGBD.

Analyse des vulnérabilités et application de patches

Autonomous AI Database on Dedicated Exadata Infrastructure effectue fréquemment des analyses de vulnérabilité externes et internes (qui incluent la découverte de systèmes de fin de prise en charge) à l'aide d'outils d'analyse de vulnérabilité commerciaux. Les vulnérabilités identifiées sont étudiées et suivies jusqu'à leur résolution par la norme de conformité cloud pour la gestion des vulnérabilités. Il utilise diverses mesures techniques pour évaluer et identifier les mises à jour pour les bibliothèques tierces et open source. Des analyses de vulnérabilité authentifiées des systèmes déployés dans l'environnement, ainsi que des analyses d'images système pré-déploiement, ont été implémentées pour identifier ces bibliothèques et déterminer si des correctifs de sécurité sont nécessaires. Les politiques d'entreprise et les procédures des unités opérationnelles régissent ces programmes et les évaluent chaque année.

Autonomous AI Database utilise un mécanisme pour agréger les résultats de sécurité provenant de plusieurs sources (y compris les analyses de vulnérabilité) et affecter les résultats à l'équipe de service appropriée. Ce système permet aux équipes de service de gérer leurs conclusions et de s'intégrer aux systèmes de billetterie pour la mise en file d'attente automatisée des travaux de correction, y compris les notifications et les escalades automatiques si nécessaire. Le système résume également le travail de résolution dans l'ensemble de l'entreprise et stimule les efforts quotidiens de gestion des vulnérabilités.

Oracle Software Security Assurance (OSSA) définit la méthodologie d'Oracle pour intégrer la sécurité dans la conception, la création, les tests et la maintenance de ses produits, qu'ils soient utilisés sur site par les clients ou fournis via Oracle Cloud. Les conditions générales de Sécurité d'Entreprise d'Oracle (y compris les conditions générales relatives à la gestion des menaces et des vulnérabilités) sont examinées chaque année et mises à jour, le cas échéant. Au moins une fois par an, des tiers indépendants effectuent un test de pénétration du système.

Pour offrir la meilleure posture de sécurité à tous les clients Oracle, Oracle corrige d'importantes vulnérabilités de sécurité en fonction du risque probable qu'elles présentent pour les clients. Les problèmes avec les risques les plus graves sont résolus en premier. En général, les correctifs pour les vulnérabilités de sécurité sont produits dans l'ordre suivant :

Les patches et les mises à jour sont implémentés via des outils d'intégration continue/de déploiement continu (CI/CD). A l'exception des dépendances existant entre plusieurs domaines de disponibilité (par exemple, les mises à jour des services de noms de domaine), les modifications sont implémentées séparément dans chaque région et chaque domaine de disponibilité. La stratégie d'implémentation d'Oracle Patching and Security Alerts nécessite le déploiement des mises à jour Oracle Critical Patch Update and Security Alert et des recommandations associées. Cette politique comprend également des exigences pour la correction des vulnérabilités dans la technologie non Oracle à l'aide d'une approche basée sur les risques. Pour plus d'informations, reportez-vous à Programmes d'alerte de sécurité et de mise à jour de patches critiques.

Oracle planifie et effectue une maintenance mensuelle de la sécurité de l'infrastructure ainsi qu'une maintenance trimestrielle. Cependant, ces correctifs de sécurité ne sont appliqués qu'au cours des mois où les mises à jour de sécurité sont critiques, y compris les correctifs pour les vulnérabilités dont les scores CVSS sont supérieurs ou égaux à 7.

Politique relative aux tests de sécurité Oracle Cloud

Oracle effectue régulièrement un test d'intrusion et de vulnérabilité, ainsi qu'une évaluation de sécurité sur les applications, les plates-formes et les infrastructures Oracle Cloud, afin de valider et d'améliorer la sécurité globale des services Oracle Cloud. Cependant, Oracle n'évalue ni ne teste aucun composant (y compris les applications non-Oracle, les bases de données non-Oracle ou d'autres logiciels, codes ou données non-Oracle, le cas échéant) que vous gérez ou introduisez dans ; y compris l'introduction par votre développement ou votre création dans - les services Oracle Cloud (les "Composants Client").

La Politique relative aux tests de sécurité des clients Oracle décrit les activités de test de sécurité, telles que les tests d'intrusion et l'analyse des vulnérabilités que les clients Oracle peuvent effectuer sur leurs produits sur site Oracle et leurs services Oracle Cloud ("Tests de sécurité" ou). Il est dénommé collectivement "Conditions Générales de Test" et inclus dans les Caractéristiques des Services pour les Services Oracle Cloud. Cette politique ne couvre pas le test d'éléments appartenant à un tiers inclus dans les Composants client et ne donne pas le droit de réaliser ces tests. Seuls les clients disposant d'un compte Oracle et disposant des privilèges nécessaires pour enregistrer des demandes de maintenance de service et connectés à l'environnement qui feront l'objet de ces tests peuvent effectuer des tests de vulnérabilité ou d'intrusion.

Sauf autorisation ou restriction contraire dans vos contrats de service Oracle Cloud, l'administrateur de service qui dispose d'un accès au niveau du système à votre service Autonomous AI Database peut exécuter des tests d'intrusion et de vulnérabilité pour les composants client inclus dans votre service Autonomous AI Database conformément aux restrictions décrites dans Tests de sécurité dans Oracle Cloud.

Vous pouvez également vous reporter à la FAQ sur les tests de sécurité pour obtenir des réponses à vos questions sur les tests de sécurité.

Protection contre les points de terminaison, les logiciels malveillants et les ransomwares

Les machines client de machine virtuelle Autonomous sont conçues avec une protection des points de terminaison, des logiciels malveillants et des ransomwares, comme indiqué ci-dessous :

Gestion des incidents de sécurité

Une équipe dédiée d'analystes de sécurité de l'équipe de détection et de réponse aux incidents de sécurité (DART) est chargée de gérer les tableaux de bord des événements de sécurité 24 / 7 et de traiter les alertes pour filtrer les vrais positifs. Si un vrai positif est détecté, une réponse appropriée est lancée en fonction de la gravité et de l'impact de l'événement. Cela peut inclure une analyse plus approfondie, une évaluation de la cause première et une correction avec les équipes de service et la communication avec les clients.

Les conditions générales d'Oracle en matière de réponse aux incidents de sécurité sont décrites dans la rubrique Réponse aux incidents de sécurité.

Contenu connexe

Fonctionnalités de sécurité dans Autonomous AI Database