Protezione della computazione

Per utilizzare la computazione in modo sicuro, scopri le tue responsabilità in termini di sicurezza e conformità.

In generale, Oracle fornisce la sicurezza dell'infrastruttura e delle operazioni cloud, come i controlli di accesso degli operatori cloud e l'applicazione di patch di sicurezza dell'infrastruttura. Sei responsabile della configurazione sicura delle tue risorse cloud. La sicurezza nel cloud è una responsabilità condivisa tra te e Oracle.

Oracle è responsabile dei seguenti requisiti di sicurezza:

• Sicurezza fisica: Oracle è responsabile della protezione dell'infrastruttura globale che esegue tutti i servizi offerti in Oracle Cloud Infrastructure. Questa infrastruttura è costituita da hardware, software, networking e strutture che eseguono i servizi Oracle Cloud Infrastructure.

In questa pagina sono descritte le responsabilità di sicurezza dell'utente, che includono le aree riportate di seguito.

• Controllo dell'accesso: limitare il più possibile i privilegi. Agli utenti dovrebbe essere concesso solo l'accesso necessario per svolgere il proprio lavoro.
• Cifratura e riservatezza: utilizzare le chiavi di cifratura e i segreti per proteggere i dati e connettersi a risorse protette. Ruotare questi tasti regolarmente.
• Applicazione delle patch: mantenere il software aggiornato con le patch di sicurezza più recenti per prevenire le vulnerabilità.

Utilizzare questa lista di controllo per identificare i task eseguiti per proteggere la computazione in una nuova tenancy Oracle Cloud Infrastructure.

Dopo aver iniziato a usare Compute, utilizza questa lista di controllo per identificare i task di sicurezza che ti consigliamo di eseguire regolarmente.

Utilizza i criteri per limitare l'accesso alla computazione.

Si consiglia di concedere le autorizzazioni DELETE a un set minimo di utenti e gruppi IAM. Questa pratica riduce al minimo la perdita di dati da eliminazioni involontarie da parte di utenti autorizzati o da attori malintenzionati. Assegnare solo le autorizzazioni DELETE agli amministratori della tenancy e del compartimento.

In tutti gli esempi riportati di seguito, i criteri vengono applicati a una tenancy. Tuttavia, specificando un nome di compartimento, è possibile applicarlo a un compartimento specifico in una tenancy.

Allow group InstanceUsers to manage instance-family in tenancy
 where request.permission!='INSTANCE_DELETE' 
Allow group InstanceUsers to use volume-family in tenancy 
Allow group InstanceUsers to use virtual-network-family in tenancy

Allow group InstanceUsers to manage instance-console-connection in tenancy
 where all {request.permission!= INSTANCE_CONSOLE_CONNECTION_READ, 
            request.permission!= INSTANCE_CONSOLE_CONNECTION_CREATE}

Per ulteriori informazioni sui criteri di computazione e per visualizzare altri esempi, vedere Dettagli per i servizi di base.

Oltre a creare criteri IAM, blocca l'accesso alle istanze di computazione.

Abilita Cloud Guard e usalo per rilevare e rispondere ai problemi di sicurezza nelle risorse di computazione.

Quando rileva un problema, Cloud Guard suggerisce azioni correttive. Inoltre, puoi configurare Cloud Guard in modo che esegua automaticamente determinate azioni. Cloud Guard include le seguenti regole del rilevatore per la computazione.

• L'istanza ha un indirizzo IP pubblico
• L'istanza sta eseguendo un'immagine Oracle
• L'istanza non esegue un'immagine Oracle
• L'istanza è accessibile pubblicamente
• Istanza arrestata
• Esporta immagine
• Importa immagine
• Aggiorna immagine

Per una lista di tutte le regole del rilevatore disponibili in Cloud Guard, vedere Riferimento ricetta rilevatore.

Se non lo hai già fatto, abilita Cloud Guard e configuralo per monitorare i compartimenti che contengono le tue risorse. Puoi configurare le destinazioni Cloud Guard per esaminare l'intera tenancy (compartimento radice e tutti i compartimenti secondari) o per controllare solo compartimenti specifici. Vedere Introduzione a Cloud Guard.

Dopo aver abilitato Cloud Guard, puoi visualizzare e risolvere i problemi di sicurezza rilevati. Vedere Elaborazione dei problemi segnalati.

L'utilizzo di Security Zones garantisce che le risorse in Compute siano conformi alle best practice di sicurezza.

Una zona di sicurezza è associata a uno o più compartimenti e a una ricetta della zona di sicurezza. Quando crei e aggiorni le risorse nel compartimento di una zona di sicurezza, Oracle Cloud Infrastructure convalida queste operazioni rispetto alla lista dei criteri della zona di sicurezza nella ricetta. Se un criterio nella ricetta viene violato, l'operazione viene negata. I criteri della zona di sicurezza riportati di seguito sono disponibili per le risorse in Compute.

• deny instance_in_security_zone_​launch_from_boot_volume_​not_in_security_zone
• deny instance_in_security_zone_​in_subnet_not_in_security_​zone
• deny instance_without_​sanctioned_image
• deny boot_volume_not_in_security_​zone_attach_to_instance_​in_security_zone
• deny boot_volume_without_​vault_key

Per una lista di tutti i criteri delle zone di sicurezza, vedere Criteri delle zone di sicurezza.

Per spostare le risorse esistenti in un compartimento che si trova in una zona di sicurezza, le risorse devono essere conformi a tutti i criteri della zona di sicurezza nella ricetta della zona. Allo stesso modo, le risorse in una zona di sicurezza non possono essere spostate in un compartimento esterno alla zona di sicurezza perché potrebbero essere meno sicure. Vedere Gestione delle zone di sicurezza.

Creare e ruotare le chiavi di cifratura nel servizio Vault per proteggere le risorse in Compute.

Un vault è un'entità logica che memorizza le chiavi di cifratura utilizzate per proteggere i dati. A seconda della modalità di protezione, le chiavi vengono memorizzate sul server o su moduli di sicurezza hardware (HSM) ad alta disponibilità e durata. I nostri HSM soddisfano la certificazione di sicurezza FIPS (Federal Information Processing Standards) 140-2 Security Level 3. Vedere Gestione dei vault e Gestione delle chiavi.

Sebbene le chiavi di cifratura predefinite possano essere generate automaticamente quando si creano determinate risorse di Oracle Cloud Infrastructure, si consiglia di creare e gestire le proprie chiavi di cifratura personalizzate nel servizio Vault.

I volumi di avvio dell'istanza sono cifrati per impostazione predefinita. Quando crei un'istanza, puoi usare una chiave di cifratura personalizzata per cifrare i dati archiviati nel volume di avvio. Se si abilita la cifratura in transito per l'istanza, la chiave personalizzata viene utilizzata anche per la cifratura in transito. Vedere Creazione di un'istanza.

A ogni chiave di cifratura master viene assegnata automaticamente una versione della chiave. Quando si ruota una chiave, il servizio Vault genera una nuova versione della chiave. La rotazione periodica delle chiavi limita la quantità di dati cifrati o firmati da una versione della chiave. Se una chiave è sempre inclusa, la rotazione delle chiavi riduce il rischio per i tuoi dati. Vedere Gestione delle chiavi.

Si consiglia di utilizzare i criteri IAM per limitare in modo rigoroso la creazione, la rotazione e l'eliminazione delle chiavi di cifratura. Vedere Dettagli per il servizio Vault.

Accesso di rete sicuro alle risorse nel servizio di computazione, inclusa SSH (Secure Shell).

Rafforza SSH su tutte le istanze. La tabella riportata di seguito mostra alcuni suggerimenti per la sicurezza SSH. Le opzioni di configurazione SSH possono essere impostate nel file sshd_config. Su Linux, questo file si trova in /etc/ssh/sshd_config.

Utilizza chiavi private SSH sicure per accedere alle istanze e impedire divulgazioni involontarie. Per ulteriori informazioni sulla creazione di una coppia di chiavi SSH e sulla configurazione di un'istanza con le chiavi, vedere Gestione delle coppie di chiavi sulle istanze Linux.

Utilizzare elenchi di sicurezza , gruppi di sicurezza di rete o una combinazione di entrambi per controllare il traffico a livello di pacchetto all'interno e all'esterno delle risorse nella VCN (rete cloud virtuale) . Vedere Accesso e sicurezza.

Fail2ban è un'applicazione che blocca gli indirizzi IP coinvolti nei tentativi di accesso brute-force, ovvero troppi tentativi non riusciti di accesso a un'istanza. Per impostazione predefinita, Fail2ban ispeziona gli accessi SSH ed è possibile configurarlo per ispezionare altri protocolli. Per ulteriori informazioni su Fail2ban, vedere Fail2ban Pagina principale.

Oltre ai gruppi di sicurezza di rete VCN e agli elenchi di sicurezza, utilizzare firewall basati su host, come iptables e firewalld, per limitare l'accesso di rete alle istanze controllando porte, protocolli e tipi di pacchetto. Utilizzare questi firewall per impedire potenziali attacchi di sicurezza della rete, come la scansione delle porte e i tentativi di intrusione. Le regole firewall personalizzate possono essere configurate, salvate e inizializzate ad ogni avvio di istanza. L'esempio seguente mostra i comandi per iptables.

# save iptables rules after configuration 
sudo iptables-save > /etc/iptables/iptables.rules 
# restore iptables rules on next reboot 
sudo /sbin/iptables-restore < /etc/iptables.rules 
# restart iptables after restore 
sudo service iptables restart

Quando crei una subnet in una VCN, per impostazione predefinita la subnet viene considerata pubblica e la comunicazione Internet è consentita. Utilizzare le subnet private per ospitare risorse che non richiedono l'accesso a Internet. Puoi anche configurare un gateway di servizi nella tua VCN per consentire alle risorse su una subnet privata di accedere ad altri servizi cloud. Vedere Scelte di connettività.

Il servizio Bastion fornisce accesso limitato e a tempo limitato alle risorse di destinazione che non dispongono di endpoint pubblici. Utilizzando un bastion, puoi consentire agli utenti autorizzati di connettersi alle risorse di destinazione su endpoint privati tramite sessioni Secure Shell (SSH). Quando si è connessi, gli utenti possono interagire con la risorsa di destinazione utilizzando qualsiasi software o protocollo supportato da SSH. Vedere Gestione dei bastion.

Utilizzare Web Application Firewall (WAF) per creare e gestire le regole di protezione per le minacce Internet, tra cui Cross-Site Scripting (XSS), SQL Injection e altre vulnerabilità definite da OWASP. È possibile limitare l'ingresso di bot non desiderati e, al contempo, consentire l'accesso di quelli più appropriati. WAF osserva il traffico verso la tua applicazione Web nel tempo e consiglia nuove regole da configurare. Vedere Introduzione ai criteri perimetrali.

Assicurati che le risorse di computazione stiano eseguendo gli aggiornamenti di sicurezza più recenti.

Mantenere aggiornato il software dell'istanza con le patch di sicurezza. Si consiglia di applicare periodicamente gli ultimi aggiornamenti software disponibili alle istanze. Le immagini Oracle Autonomous Linux vengono aggiornate automaticamente con le patch più recenti. Per le immagini Oracle Linux, è possibile eseguire il comando sudo yum update (sudo dnf update su Oracle Linux 8). Su Oracle Linux, puoi ottenere informazioni sulle patch di sicurezza disponibili e installate utilizzando il plugin yum-security. L'esempio seguente fornisce comandi per yum-security.

# Install yum-security plugin
yum install yum-plugin-security
# Get list of security patches without installing them
yum updateinfo list security all
# Get list of installed security patches
yum updateinfo list security all

Le istanze Linux su Oracle Cloud Infrastructure possono utilizzare Oracle Ksplice per applicare patch kernel critiche senza riavviare. Ksplice può gestire versioni specifiche del kernel per Oracle Linux, CentOS e Ubuntu. Per ulteriori informazioni, vedere Oracle Ksplice.

Configurare le risorse di computazione per le distribuzioni di produzione.

Stabilisci una baseline per il potenziamento della sicurezza delle immagini Linux e Windows in esecuzione sulle istanze. Per ulteriori informazioni sulla protezione avanzata delle immagini Oracle Linux, consulta Suggerimenti per la protezione avanzata di un server Oracle Linux. Il Center for Internet Security Benchmarks offre un set completo di benchmark di protezione della sicurezza del sistema operativo per diverse distribuzioni di Linux e Windows Server.

Individua i log degli accessi e altri dati di sicurezza per le istanze di computazione.

Nei file di log vengono acquisiti vari eventi correlati alla sicurezza. Si consiglia di rivedere periodicamente questi file di log per rilevare eventuali problemi di sicurezza. In Oracle Linux, i file di log si trovano nella cartella /var/log. Nella tabella seguente sono elencati alcuni file di log relativi alla sicurezza.

Il servizio di audit registra automaticamente tutte le chiamate API alle risorse Oracle Cloud Infrastructure. È possibile raggiungere gli obiettivi di sicurezza e conformità utilizzando il servizio di audit per monitorare tutte le attività utente all'interno della tenancy. Poiché tutte le chiamate alla console, all'SDK e alla riga di comando (CLI) passano attraverso le nostre API, viene inclusa tutta l'attività da tali origini. I record di audit sono disponibili tramite un'interfaccia API di query autenticata e filtrabile oppure possono essere recuperati come file in batch dallo storage degli oggetti. I contenuti del log di audit includono l'attività che si è verificata, l'utente che l'ha avviata, la data e l'ora della richiesta, nonché l'IP di origine, l'user agent e le intestazioni HTTP della richiesta. Vedere Visualizzazione degli eventi del log di audit.

{
  "datetime": 1642192740551,
  "logContent": {
    "data": {
      "additionalDetails": {
        "X-Real-Port": 50258,
        "imageId": "ocid1.image.oc1.<unique_id>",
        "shape": "VM.Standard.E3.Flex",
        "type": "CustomerVmi",
        "volumeId": "null"
      },
      "availabilityDomain": "AD1",
      "compartmentId": "ocid1.tenancy.oc1..<unique_id>",
      "compartmentName": "mytenancy",
      "definedTags": {},
      "eventGroupingId": "<unique_id>",
      "eventName": "LaunchInstance",
      "freeformTags": {},
      "identity": {
        "authType": null,
        "callerId": null,
        "callerName": null,
        "consoleSessionId": null,
        "credentials": "<key>",
        "ipAddress": "<ip_address>",
        "principalId": "<user_id>",
        "principalName": "<user_name>",
        "tenantId": "ocid1.tenancy.oc1..<unique_id>",
        "userAgent": "Oracle-JavaSDK/1.33.2 (Linux/4.14.35-2047.509.2.2.el7uek.x86_64; Java/1.8.0_301; Java HotSpot(TM) 64-Bit Server VM GraalVM EE 20.3.3/25.301-b09-jvmci-20.3-b18)"
      },
      "message": "myinstance LaunchInstance succeeded",
      "request": {
        "action": "POST",
        "headers": {
          "Accept": [
            "application/json"
          ],
          "Connection": [
            "keep-alive"
          ],
          "Date": [
            "Fri, 14 Jan 2022 20:38:59 GMT"
          ]
        },
        "id": "<unique_id>",
        "parameters": {},
        "path": "/20160918/instances"
      },
      "resourceId": "ocid1.instance.oc1.phx.<unique_id>",
      "response": {
        "headers": {
          "Connection": [
            "keep-alive"
          ],
          "Content-Type": [
            "application/json"
          ],
          "Date": [
            "Fri, 14 Jan 2022 20:39:00 GMT"
          ],
          "ETag": [
            "<unique_id>"
          ],
          "Transfer-Encoding": [
            "chunked"
          ],
          "X-Content-Type-Options": [
            "nosniff"
          ],
          "opc-request-id": [
            "<unique_id>"
          ],
          "opc-work-request-id": [
            "ocid1.coreservicesworkrequest.oc1.phx.<unique_id>"
          ]
        },
        "message": null,
        "payload": {},
        "responseTime": "2022-01-14T20:39:00.551Z",
        "status": "200"
      },
      "stateChange": {
        "current": {
          "agentConfig": {
            "areAllPluginsDisabled": false,
            "isManagementDisabled": false,
            "isMonitoringDisabled": false
          },
          "availabilityConfig": {
            "recoveryAction": "RESTORE_INSTANCE"
          },
          "availabilityDomain": "EMIr:PHX-AD-1",
          "compartmentId": "ocid1.tenancy.oc1..<unique_id>",
          "definedTags": {},
          "displayName": "<unique_id>",
          "extendedMetadata": {},
          "faultDomain": "FAULT-DOMAIN-1",
          "freeformTags": {},
          "id": "ocid1.instance.oc1.phx.<unique_id>",
          "imageId": "ocid1.image.oc1.phx.<unique_id>",
          "instanceOptions": {
            "areLegacyImdsEndpointsDisabled": false
          },
          "launchMode": "PARAVIRTUALIZED",
          "launchOptions": {
            "bootVolumeType": "PARAVIRTUALIZED",
            "firmware": "UEFI_64",
            "isConsistentVolumeNamingEnabled": true,
            "isPvEncryptionInTransitEnabled": false,
            "networkType": "PARAVIRTUALIZED",
            "remoteDataVolumeType": "PARAVIRTUALIZED"
          },
          "lifecycleState": "PROVISIONING",
          "region": "phx",
          "shape": "VM.Standard.E3.Flex",
          "shapeConfig": {
            "gpus": 0,
            "localDisks": 0,
            "maxVnicAttachments": 2,
            "memoryInGBs": 16,
            "networkingBandwidthInGbps": 1,
            "ocpus": 1,
            "processorDescription": "2.25 GHz AMD EPYC™ 7742 (Rome)"
          },
          "sourceDetails": {
            "imageId": "ocid1.image.oc1.phx.<unique_id>",
            "sourceType": "image"
          },
          "systemTags": {},
          "timeCreated": "2022-01-14T20:39:00.260Z"
        },
        "previous": {}
      }
    },
    "dataschema": "2.0",
    "id": "<unique_id> ",
    "oracle": {
      "compartmentid": "ocid1.tenancy.oc1..<unique_id>",
      "ingestedtime": "2022-01-14T20:39:05.212Z",
      "loggroupid": "_Audit",
      "tenantid": "ocid1.tenancy.oc1..<unique_id>"
    },
    "source": "<unique_id>",
    "specversion": "1.0",
    "time": "2022-01-14T20:39:00.551Z",
    "type": "com.oraclecloud.computeApi.LaunchInstance.begin"
  }
}

Se Cloud Guard è stato abilitato nella tenancy, viene segnalato qualsiasi attività utente che costituisce un potenziale problema di sicurezza. Quando rileva un problema, Cloud Guard suggerisce azioni correttive. Inoltre, puoi configurare Cloud Guard in modo che esegua automaticamente determinate azioni. Vedere la Guida introduttiva a Cloud Guard e l'elaborazione dei problemi segnalati.