Gestion de la configuration dans Autonomous Database on Dedicated Exadata Infrastructure

Basé sur Oracle Cloud Infrastructure (OCI), Autonomous Database on Dedicated Exadata Infrastructure fournit des configurations de sécurité standard renforcées afin que vous et votre équipe n'avez pas besoin de consacrer beaucoup de temps et d'argent à la gestion des configurations sur l'ensemble de votre parc Autonomous Database.

Les mises à jour et les patches de sécurité sont appliqués automatiquement. Vous n'avez donc pas à vous préoccuper du maintien à jour de la sécurité. Ces fonctions protègent vos bases de données et vos données hautement sensibles contre les violations et les vulnérabilités coûteuses et potentiellement désastreuses au niveau de la sécurité. Pour plus d'informations, reportez-vous à Maintenance des services d'Autonomous Database.

Rubriques connexes

Durcissement de la machine virtuelle autonome

Les images de machine virtuelle Autonomous Database, également appelées machines virtuelles client, sont sécurisées. Comme indiqué dans Oracle Software Security Assurance, leurs configurations sont sécurisées via les pratiques de développement et d'assurance de logiciels Oracle. Les machines virtuelles autonomes disposent de logiciels antivirus et anti-malware appropriés configurés pour détecter les logiciels et les logiciels malveillants non autorisés. Le logiciel Asset Endpoint Protection and Configuration Management d'Oracle, installé sur les machines virtuelles client, garantit que les modifications de configuration ne sont effectuées que par le biais de processus sécurisés et approuvés. Les journaux d'audit du système d'exploitation Linux sont collectés et transférés vers un système SIEM (Security Information and Event Management) central OCI pour la détection et l'audit des incidents de sécurité par l'équipe DART (Security Incident Detection And Response Team) d'OCI. Les journaux sont conservés pendant 13 mois à compter de la date de génération.

DART est responsable de la gestion des tableaux de bord SIEM, de l'évaluation des alertes d'incident et du lancement d'actions de correction sur les vrais positifs en ouvrant des tickets sur les équipes de service internes. Lorsqu'un événement de sécurité nécessite une mise à jour client, DART travaille avec les équipes de sécurité de l'information mondiale et de service pour émettre une mise à jour client.

Toutes les machines virtuelles Oracle Autonomous sont conformes au STIG DISA (Defense Information Systems Agency Security Technical Implementation Guide) et sont renforcées conformément au Guide d'implémentation technique de la sécurité Oracle Linux, qui traite des problèmes liés aux contrôles d'accès utilisateur, aux ports ouverts, aux packages indésirables et aux configurations de démon, entre autres. Vous trouverez la liste complète des contrôles STIG DISA Oracle Linux ici.

L'accès manuel aux machines virtuelles Autonomous est limité à une équipe d'opérations cloud centrale soigneusement vérifiée par l'entreprise. Les membres de l'équipe des opérations doivent figurer sur l'attachement réseau Oracle Cloud (réseau cloud sécurisé privé) à partir d'un appareil fourni par l'entreprise pour accéder à l'infrastructure Exadata. Les informations d'identification d'accès sont générées dynamiquement en réponse à des tickets d'assistance valides. Toute modification de configuration apportée aux machines virtuelles client est soumise à un examen de sécurité interne strict et à un processus de gestion des modifications. Tous les outils, scripts ou logiciels ne sont installés ou modifiés qu'après le cycle de vie du logiciel approuvé et le processus de gestion des modifications.

L'intégration au service Operator Access Control pour les machines virtuelles d'infrastructure et Autonomous restreint davantage cet accès et met les droits d'accès et les notifications entre vos mains. Les actions de l'opérateur sont consignées en temps quasi réel et envoyées à un SIEM configuré par le client et au service de journalisation Oracle pour téléchargement par le client selon ses besoins. Vous pouvez télécharger les journaux vers le SIEM/stockage du client ou les archiver indéfiniment dans OCI Object Storage. Pour plus d'informations, reportez-vous à Service Operator Access Control.

L'architecture de sécurité OCI définit davantage la sécurité unique du matériel gen2 multicouche et de la virtualisation d'OCI. Pour plus de détails, reportez-vous à Architecture de sécurité Oracle Cloud Infrastructure.

Gestion des dérives de configuration

Le développement de services Autonomous Database et la création d'images de machine virtuelle autonome font partie des pratiques de sécurité d'entreprise d'Oracle. Cette implémentation est soigneusement contrôlée dans le processus Oracle Software Security Assurance, publié ici.

Les configurations d'image de machine virtuelle autonome sont contrôlées via du code et font l'objet de plusieurs révisions de code et cycles d'assurance qualité avant qu'une modification de configuration ne soit apportée à une version de production. Reportez-vous à la section Configurations sécurisées de la documentation Oracle Software Security Assurance pour connaître l'état d'Oracle et les pratiques standard de sécurisation des configurations logicielles.

Un agent créé par Oracle, le logiciel Asset Endpoint Protection and Configuration Management (AEP/CM), est installé sur les serveurs de plan de contrôle pour collecter et transférer les journaux d'audit Linux et les journaux AIDE (Advanced Intrusion Detection Environment) Linux à partir de l'infrastructure et des instances de machine virtuelle Autonomous. Ces journaux sont transférés vers un SIEM central OCI à des fins d'audit. Les règles SIEM spécifiques à l'altération des fichiers journaux, au téléchargement de contenu externe, à la désactivation des outils de sécurité, entre autres, génèrent des alertes que DART évalue et auxquelles il répond, comme décrit dans la section Autonomous Virtual Machine Hardening.

Les instances de machine virtuelle Autonomous sont sécurisées à partir d'un accès direct à ssh, à l'exception des opérateurs Oracle approuvés et de l'automatisation. Toutes les activités des opérateurs peuvent être surveillées via Operator Access Control.

Surveillance de l'intégrité des fichiers et de l'intrusion

Les machines virtuelles Autonomous sont configurées avec un utilitaire de surveillance et d'intrusion de fichiers qui gère le nombre et l'intégrité des fichiers dans un build spécifique. Toute modification du nombre de fichiers ou de la somme de contrôle d'un fichier est marquée. Les journaux AIDE et HIDS sont également collectés et envoyés au SIEM OCI et analysés pour détecter les menaces via le processus DART expliqué dans Sécurisation de la machine virtuelle autonome.

Tous les artefacts logiciels déployés sur un AVMC, y compris les outils, sont déployés via une méthode de gestion des modifications sécurisée utilisant des sommes de contrôle et signés numériquement à l'aide de certificats SSL. Il s'agit du déploiement de code signé par un certificat.

Analyse et réponse des vulnérabilités de machine virtuelle autonome

Toutes les images de machine virtuelle Autonomous sont créées à l'aide des pratiques de développement sécurisé d'Oracle, comme indiqué dans Oracle Software Security Assurance. Le processus d'assurance de la solution de sécurité d'entreprise (CSSAP) est un processus d'examen de la sécurité développé par l'architecture de sécurité d'entreprise d'Oracle, la sécurité globale de l'information (GIS) et les organisations informatiques d'Oracle pour fournir un examen complet de la gestion de la sécurité des informations. SIG et CSSAP fonctionnent indépendamment des équipes de service OCI pour protéger les informations et les ressources logicielles du client et d'Oracle. Chaque fonctionnalité de service ayant un impact potentiel sur la sécurité est soumise à un processus d'examen et d'approbation CSSAP. En outre, les cycles de test d'assurance qualité (AQ) utilisent des outils d'analyse appropriés pour s'assurer que les images respectent STIG, respectent les directives de sécurité du service et sont prêtes pour la révision CSSAP.

Les outils médico-légaux sur les MAV jouent un rôle important dans la gestion des vulnérabilités. Les journaux d'audit Linux de chaque hôte de machine virtuelle Autonomous sont téléchargés vers un SIEM OCI central où les règles d'alerte capturent et détectent les menaces potentielles. DART répond à ces alertes comme expliqué dans Sécurisation des machines virtuelles autonomes. Les journaux HIDS et anti-virus sont également traités de la même manière. Un scanner CVE (Common Vulnerabilities and Exposures) envoie ses résultats à un outil d'automatisation central dans lequel les résultats de vulnérabilité sont catégorisés et des tickets sont ouverts pour que les équipes de service appliquent des correctifs aux systèmes sur une échelle de temps proportionnelle à la gravité des résultats. Tous les CVE avec un score supérieur à 7 doivent être corrigés dans les 30 jours.

Vous pouvez programmer des regroupements de patches d'infrastructure comprenant les systèmes d'exploitation Hypervisor, Grid Infrastructure, Storage et Client et Firmware tous les trimestres. Les mises à jour de version de base de données et les révisions de mise à jour de version peuvent également être programmées séparément chaque trimestre. Tous les correctifs sont préparés et appliqués à l'aide des outils d'automatisation du cloud et des opérations Autonomous Cloud, selon les besoins de la mise à jour de correctif spécifique.

Le développement de correctifs logiciels suit les pratiques de développement logiciel sécurisé d'Oracle, les tests d'assurance qualité et les révisions CSSAP si nécessaire. La séparation des tâches entre les développeurs de correctifs, les testeurs d'assurance qualité, la gestion des versions et les opérations d'application de correctifs garantit que plusieurs membres du personnel sont impliqués avant qu'un correctif ne soit appliqué au matériel du client.

Lorsque cela est possible, les mises à jour sont appliquées au système en cours d'exécution sans temps d'arrêt à l'aide d'outils tels que Linux ksplice. Si une mise à jour nécessite un redémarrage de composant, Oracle l'exécute de manière non simultanée afin de garantir la disponibilité du service pendant le processus de mise à jour. Vous pouvez planifier les heures de début d'application des patches pour les aligner sur les contrats de niveau de service de votre entreprise. L'application de patches peut être programmée séparément pour les composants d'infrastructure (GI, OS) et chaque répertoire de base SGBD.

Analyses et patches de vulnérabilité

Autonomous Database on Dedicated Exadata Infrastructure effectue fréquemment des analyses de vulnérabilité externes et internes (qui incluent le repérage de systèmes en fin de prise en charge) à l'aide d'outils d'analyse de vulnérabilité commerciaux. Les vulnérabilités identifiées sont étudiées et suivies jusqu'à la résolution par la norme de conformité cloud pour la gestion des vulnérabilités. Il utilise diverses mesures techniques pour évaluer et identifier les mises à jour pour les bibliothèques tierces et open source. Des analyses de vulnérabilité authentifiées des systèmes déployés dans l'environnement, ainsi que des analyses des images système avant déploiement, ont été implémentées pour identifier ces bibliothèques et déterminer si des correctifs de sécurité sont nécessaires. Les politiques d'entreprise et les procédures des unités opérationnelles régissent ces programmes et les évaluent chaque année.

Autonomous Database utilise un mécanisme pour agréger les résultats de sécurité provenant de plusieurs sources (y compris les analyses de vulnérabilité) et les affecter à l'équipe de service appropriée. Ce système permet aux équipes de service de gérer leurs conclusions et de s'intégrer aux systèmes de billetterie pour la mise en file d'attente automatisée du travail de correction, y compris les notifications et les escalades automatiques si nécessaire. Le système résume également le travail de correction dans l'ensemble de l'entreprise et stimule les efforts quotidiens de gestion des vulnérabilités.

Oracle Software Security Assurance (OSSA) définit la méthodologie d'Oracle pour intégrer la sécurité dans la conception, la création, les tests et la maintenance de ses produits, qu'ils soient utilisés sur site par les clients ou fournis via Oracle Cloud. Les politiques de sécurité d'entreprise d'Oracle (y compris les politiques de gestion des menaces et des vulnérabilités) sont examinées chaque année et mises à jour si nécessaire. Au moins une fois par an, des tiers indépendants effectuent un test de pénétration du système.

Pour offrir la meilleure posture de sécurité à tous les clients Oracle, Oracle corrige les vulnérabilités de sécurité importantes en fonction du risque probable qu'elles posent aux clients. Les problèmes avec les risques les plus graves sont résolus en premier. En général, les correctifs pour les vulnérabilités de sécurité sont produits dans l'ordre suivant :

  • Ligne de code principale en premier - c'est la ligne de code en cours de développement pour la prochaine version majeure du produit.
  • Pour chaque version prise en charge vulnérable, créez un patch Critical Patch Update et appliquez le correctif dans le jeu de patches suivant si un autre jeu de patches est prévu pour cette version prise en charge.

Les correctifs et les mises à jour sont implémentés via des outils d'intégration continue/déploiement continu (CI/CD). Sauf s'il existe des dépendances entre plusieurs domaines de disponibilité (par exemple, les mises à jour des services de noms de domaine), les modifications sont implémentées séparément dans chaque région et domaine de disponibilité. La politique d'implémentation des alertes de sécurité et d'application de correctifs Oracle nécessite le déploiement des mises à jour des correctifs critiques et des alertes de sécurité Oracle, ainsi que des recommandations associées. Cette stratégie inclut également les exigences relatives à la correction des vulnérabilités dans les technologies autres qu'Oracle à l'aide d'une approche basée sur les risques. Pour plus d'informations, reportez-vous à la section Critical Patch Update and Security Alert programs.

Oracle planifie et effectue une activité de maintenance mensuelle de la sécurité de l'infrastructure parallèlement à une maintenance trimestrielle. Toutefois, ces correctifs de sécurité sont appliqués uniquement au cours des mois avec des mises à jour de sécurité critiques, y compris des correctifs pour les vulnérabilités dont les scores CVSS sont supérieurs ou égaux à 7.

  • Toute infrastructure Exadata provisionnée avant qu'Oracle programme la maintenance de sécurité est éligible à cette maintenance.
  • Le processus mensuel de maintenance de la sécurité met à jour les serveurs de base de données pour corriger les vulnérabilités de sécurité critiques et les problèmes de produit. Ils mettent également à jour les serveurs de stockage vers une image du logiciel de stockage Exadata qui résout les vulnérabilités de sécurité connues et les problèmes de produit.

Politique relative aux tests de sécurité Oracle Cloud

Oracle effectue régulièrement des tests d'intrusion et de vulnérabilité, ainsi que des évaluations de sécurité sur les applications, les plates-formes et les infrastructures Oracle Cloud afin de valider et d'améliorer la sécurité globale des services Oracle Cloud. Toutefois, Oracle n'évalue ni ne teste aucun composant (y compris des applications non Oracle, des bases de données non Oracle ou d'autres logiciels, code ou données non Oracle, le cas échéant) que vous gérez par le biais des services Oracle Cloud (les "Composants Client") ou que vous les introduisez dans ceux-ci, y compris par le biais de votre développement ou de votre création dans ces services.

La Politique relative aux tests de sécurité des clients Oracle décrit les activités de test de sécurité telles que les tests d'intrusion et les analyses de vulnérabilité que les clients Oracle peuvent effectuer sur leurs produits sur site et services Oracle Cloud Oracle ("Tests de sécurité" ou "Tests de sécurité"). Il est collectivement dénommé les "Conditions Générales de Test" et incluses dans les Caractéristiques des Services pour les Services Oracle Cloud. Cette politique ne couvre pas le test d'éléments appartenant à un tiers inclus dans les Composants client et ne donne pas le droit de réaliser ces tests. Seuls les clients disposant d'un compte Oracle disposant des privilèges nécessaires pour enregistrer des demandes de maintenance de service et qui sont connectés à l'environnement faisant l'objet de ces tests peuvent effectuer des tests de vulnérabilité ou d'intrusion.

Sauf autorisation ou restriction contraire dans vos contrats de services Oracle Cloud, l'administrateur de service qui dispose d'un accès de niveau système à votre service Autonomous Database peut exécuter des tests d'intrusion et de vulnérabilité pour les composants client inclus dans votre service Autonomous Database conformément aux restrictions décrites dans Test de sécurité dans Oracle Cloud.

Vous pouvez également vous reporter à la FAQ sur les tests de sécurité pour obtenir des réponses aux questions que vous pourriez avoir sur vos tests de sécurité.

Protection des adresses, des logiciels malveillants et des ransomwares

Les machines client de machine virtuelle Autonomous sont conçues avec une protection d'adresse, de malware et de ransomware, comme indiqué ci-dessous :

  • Des outils antivirus et anti-malware appropriés sont installés et mis à jour régulièrement.
  • L'accès ssh / sftp sur le réseau client est fermé.
  • Les comptes utilisateur nommés sur les machines virtuelles client sont extrêmement limités aux processus requis uniquement.
  • Les machines virtuelles autonomes sont renforcées selon les normes STIG DISA pour garantir qu'aucun port inutilisé n'est ouvert ou que les démons sont exécutés sur le système.
  • L'accès des opérateurs Oracle se fait via une connexion sécurisée et sortante au réseau de gestion d'Oracle dans une région OCI choisie par le client.
  • Les actions des opérateurs Oracle peuvent être contrôlées et auditées via l'intégration du service Operator Access Control.

Gestion des incidents liés à la sécurité

Une équipe dédiée d'analystes de sécurité de l'équipe de détection et de réponse aux incidents de sécurité (DART) est chargée de gérer les tableaux de bord des événements de sécurité 24 / 7 et de traiter les alertes pour filtrer les vrais positifs. Si un vrai positif est détecté, une réponse appropriée est lancée en fonction de la gravité et de l'impact de l'événement. Cela peut inclure une analyse plus approfondie, une évaluation de la cause première et une correction avec les équipes de service et la communication avec les clients.

Les politiques de réponse aux incidents de sécurité d'Oracle sont décrites dans Réponse aux incidents de sécurité.