Protezione del database

Suggerimenti di sicurezza

In questa sezione vengono elencati i suggerimenti di sicurezza per la gestione delle istanze di Oracle Cloud Infrastructure Database. I suggerimenti per la configurazione sicura dei database Oracle sono disponibili in Oracle Database Security Guide. In questa documentazione, per "sistema di database" si intendono le distribuzioni di Oracle Database che utilizzano il servizio Base Database, Exadata Database Service on Dedicated Infrastructure e Autonomous AI Database su un'infrastruttura Exadata dedicata . Tenere presente che alcuni argomenti potrebbero non essere applicabili ad Autonomous AI Database in situazioni in cui Oracle gestisce la funzionalità descritta.

Controllo dell'accesso al database

• Gli utenti eseguono l'autenticazione al database utilizzando la password. La Oracle consiglia che queste password siano sicure. Per le linee guida sulla scelta delle password del database Oracle, vedere Linee guida per la protezione delle password. Inoltre, il database Oracle fornisce uno script PL/SQL per verificare la complessità delle password del database. Questo script si trova in $ORACLE_HOME/rdbms/admin/UTLPWDMG.SQL. Per istruzioni sull'esecuzione dello script UTLPWDMG.SQL per verificare la complessità delle password, vedere Applicazione della verifica della complessità delle password.
• Oltre alla password del database, è possibile utilizzare i gruppi di sicurezza di rete VCN o le liste di sicurezza per applicare il controllo dell'accesso di rete alle istanze di database. Oracle consiglia di configurare i gruppi di sicurezza di rete VCN o le liste di sicurezza per consentire l'accesso con privilegi minimi ai database dei clienti in Oracle Cloud Infrastructure Database.

• I sistemi di database creati all'interno di una subnet pubblica possono inviare traffico in uscita direttamente a Internet. I sistemi di database creati all'interno di una subnet privata non dispongono di connettività Internet e il traffico Internet (sia in uscita che in entrata) non può raggiungere direttamente l'istanza. Se si tenta di definire un instradamento a un sistema di database all'interno di una subnet privata utilizzando un gateway Internet, l'instradamento viene ignorato.

  Per eseguire l'applicazione di patch e il backup del sistema operativo per un sistema di database nella subnet privata, è possibile utilizzare un gateway di servizi o un gateway NAT per connettersi agli endpoint di applicazione di patch o backup.

  In una rete cloud virtuale (VCN), puoi utilizzare le regole di sicurezza insieme a una subnet privata per limitare l'accesso a un sistema di database. Nelle distribuzioni su più livelli, è possibile utilizzare una subnet privata e regole di sicurezza VCN per limitare l'accesso al sistema di database dai livelli dell'applicazione.

Durabilità dei dati

• Oracle consiglia di concedere le autorizzazioni di eliminazione del database (DATABASE_DELETE, DB_SYSTEM_DELETE) a un set minimo possibile di utenti e gruppi IAM. Ciò riduce al minimo la perdita di dati a causa di eliminazioni involontarie da parte di un utente autorizzato o a causa di eliminazioni dannose. Assegnare solo le autorizzazioni DELETE agli amministratori della tenancy e del compartimento.
• È possibile utilizzare RMAN per eseguire backup periodici dei database, in cui le copie di backup cifrate vengono memorizzate nello storage locale (ad esempio volumi a blocchi) o in Oracle Cloud Infrastructure Object Storage. RMAN cifra ogni backup di un database con una chiave di cifratura univoca. In modalità trasparente, la chiave di cifratura viene memorizzata in Oracle Wallet. I backup RMAN nello storage degli oggetti richiedono il gateway Internet (IGW) e i gruppi di sicurezza di rete VCN o le liste di sicurezza devono essere configurati per consentire l'accesso sicuro allo storage degli oggetti. Per informazioni sull'impostazione della VCN per il backup dei database Bare Metal, vedere Eseguire il backup di un database nello storage degli oggetti mediante RMAN. Per informazioni sul backup e sui database Exadata, vedere Gestione dei backup dei database Exadata mediante bkup_api.

Cifratura del database e gestione delle chiavi

• Tutti i database creati in Oracle Cloud Infrastructure vengono cifrati utilizzando la cifratura dei dati trasparente (TDE). Tenere presente che se si esegue la migrazione di un database non cifrato da on premise a Oracle Cloud Infrastructure utilizzando RMAN, il database migrato non verrà cifrato. Oracle richiede la cifratura di tali database dopo averli migrati nel cloud.

  Per informazioni su come cifrare il database con tempi di inattività minimi durante la migrazione, consulta il white paper Oracle Maximum Availability Architecture Converting to Transparent Data Encryption with Oracle Data Guard using Fast Offline Conversion.

  Tenere presente che i sistemi DB virtual machine utilizzano lo storage a blocchi Oracle Cloud Infrastructure anziché lo storage locale. Lo storage a blocchi è cifrato per impostazione predefinita.

• Le tablespace create dall'utente vengono cifrate per impostazione predefinita in Oracle Cloud Infrastructure Database. In questi database, il parametro ENCRYPT_NEW_TABLESPACES viene impostato su CLOUD_ONLY in cui le tablespace create in un database Database Cloud Service (DBCS) vengono cifrate in modo trasparente con l'algoritmo AES128 a meno che non venga specificato un altro algoritmo.
• L'amministratore del database crea un Oracle Wallet locale in un'istanza di database appena creata e inizializza la chiave master TDE (Transparent Data Encryption). Oracle Wallet viene quindi configurato per l'apertura automatica. Tuttavia, un cliente può scegliere di impostare una password per Oracle Wallet e Oracle consiglia di impostare una password sicura (almeno otto caratteri, con almeno una lettera maiuscola, una lettera minuscola, un numero e un simbolo speciale).
• Oracle consiglia di ruotare periodicamente la chiave principale TDE. Il periodo di rotazione consigliato è di 90 giorni o meno. È possibile ruotare la chiave principale TDE utilizzando i comandi del database nativo ("administer key management" in 12c, ad esempio) o dbaascli. Tutte le versioni precedenti della chiave principale TDE vengono gestite in Oracle Wallet.
• Oracle Key Vault (OKV) è un'appliance di gestione delle chiavi utilizzata per gestire le chiavi principali di Oracle TDE. OKV è in grado di memorizzare, ruotare e controllare gli accessi alle chiavi principali TDE. Per istruzioni su come installare e configurare OKV in Oracle Cloud Infrastructure, vedere Gestione delle chiavi di cifratura di Oracle Database in Oracle Cloud Infrastructure con Oracle Key Vault.

Applicazione patch database

L'applicazione delle patch di sicurezza del database Oracle (aggiornamenti di patch critiche Oracle) è fondamentale per ridurre i problemi di sicurezza noti e Oracle consiglia di mantenere aggiornate le patch. I set di patch e gli aggiornamenti dei set di patch (PSU, Patch Set Updates) vengono rilasciati su base trimestrale. Queste release di patch contengono correzioni della sicurezza e correzioni di bug critici ad alto impatto/basso rischio aggiuntive.

Per informazioni sugli ultimi problemi di sicurezza noti e sulle correzioni disponibili, vedere Aggiornamenti di patch critiche, avvisi di sicurezza e bollettini. Se l'applicazione non supporta le patch più recenti e deve utilizzare un sistema di database con patch precedenti, è possibile eseguire il provisioning di un sistema di database con una versione precedente dell'edizione di Oracle Database in uso. Oltre ad esaminare gli aggiornamenti di patch critiche e gli avvisi di sicurezza per Oracle Database, Oracle consiglia di analizzare e applicare patch al sistema operativo di cui è stato eseguito il provisioning con il sistema di database.

Per informazioni sull'applicazione di patch alle istanze di Oracle Cloud Infrastructure Database, vedere Aggiornare un sistema DB e Applicazione di patch ai database Oracle Grid Infrastructure e Oracle mediante dbaascli.

Controllo configurazione sicurezza database

• Lo strumento di valutazione della sicurezza di Oracle Database (DBSAT) fornisce controlli automatici della configurazione di sicurezza dei database Oracle in Oracle Cloud Infrastructure. DBSAT esegue controlli di sicurezza per l'analisi dei privilegi utente, i controlli di autorizzazione del database, i criteri di audit, la configurazione del listener del database, le autorizzazioni dei file del sistema operativo e i dati riservati memorizzati. Le immagini del database Oracle in Oracle Cloud Infrastructure Database vengono scansionate con DBSAT prima del provisioning. Dopo il provisioning, Oracle consiglia di eseguire periodicamente la scansione dei database con DBSAT e di risolvere eventuali problemi rilevati. DBSAT è disponibile gratuitamente per i clienti Oracle.

Audit della sicurezza del database

Oracle Audit Vault and Database Firewall (AVDF) monitora i log di audit dei database e crea avvisi. Per istruzioni su come installare e configurare AVDF in Oracle Cloud Infrastructure, vedere Distribuzione di Oracle Audit Vault and Database Firewall in Oracle Cloud Infrastructure.

Data Safe

Oracle consiglia di utilizzare il servizio Data Safe per migliorare la sicurezza delle distribuzioni del database. Oracle Data Safe è un centro di controllo unificato per i database Oracle che aiuta a comprendere la riservatezza dei dati, valutare i rischi per i dati, mascherare i dati riservati, implementare e monitorare i controlli di sicurezza, valutare la sicurezza degli utenti, monitorare l'attività degli utenti e soddisfare i requisiti di conformità di sicurezza dei dati. Per informazioni complete, consulta Per iniziare.

Backup del database

Oracle consiglia di utilizzare i backup gestiti (backup creati utilizzando la console di Oracle Cloud Infrastructure o l'API) quando possibile. Quando si utilizzano i backup gestiti, Oracle gestisce l'utente e le credenziali dell'area di memorizzazione degli oggetti e le ruota ogni 3 giorni. Oracle Cloud Infrastructure cifra tutti i backup gestiti nell'area di memorizzazione degli oggetti. Per impostazione predefinita, Oracle utilizza la funzione di cifratura trasparente del database per cifrare i backup.

Se non si utilizzano backup gestiti, Oracle consiglia di modificare le password dell'area di memorizzazione degli oggetti a intervalli regolari.