Gestione della configurazione in Autonomous AI Database su un'infrastruttura Exadata dedicata

Basato su Oracle Cloud Infrastructure (OCI), Autonomous AI Database on Dedicated Exadata Infrastructure fornisce configurazioni di sicurezza standard e rafforzate in modo che tu e il tuo team non dobbiate dedicare enormi quantità di tempo e denaro alla gestione delle configurazioni nella vostra flotta di Autonomous AI Database.

Le patch e gli aggiornamenti di sicurezza vengono eseguiti automaticamente, quindi non devi preoccuparti di mantenere la sicurezza aggiornata. Queste funzionalità proteggono i tuoi database e dati altamente sensibili da vulnerabilità e violazioni della sicurezza costose e potenzialmente disastrose. Per ulteriori dettagli, consulta la manutenzione del servizio di Autonomous AI Database.

Harding Autonomous Virtual Machine

Le immagini di Autonomous AI Database Virtual Machine (Autonomous VM), note anche come VM client, sono potenziate a livello di sicurezza. Come indicato in Oracle Software Security Assurance, le configurazioni vengono protette tramite le policy di sviluppo e sicurezza del software Oracle. Le VM autonome dispongono di un software antivirus e anti-malware appropriato configurato per rilevare software e malware non autorizzati. Il software Asset Endpoint Protection and Configuration Management di Oracle, installato sulle virtual machine client, garantisce che le modifiche alla configurazione vengano apportate solo attraverso processi sicuri e approvati. I log di audit del sistema operativo Linux vengono raccolti e trasferiti a un sistema SIEM (Security Information and Event Management) OCI centrale per il rilevamento e il controllo degli incidenti di sicurezza da parte del team DART (Security Incident Detection And Response Team) di OCI. I log vengono conservati per 13 mesi dalla data di generazione.

DART è responsabile della gestione dei dashboard SIEM, della valutazione degli avvisi sugli incidenti e dell'avvio di azioni correttive sui veri positivi aprendo i ticket ai team di assistenza interni. Quando un evento di sicurezza richiede un aggiornamento del cliente, DART collabora con i team di Global Information Security e di assistenza per emettere un aggiornamento del cliente.

Tutte le VM Oracle Autonomous sono conformi a DISA STIG (Defense Information Systems Agency Security Technical Implementation Guide) e sono rafforzate in base a Oracle Linux Security Technical Implementation Guide, che risolve i problemi relativi ai controlli di accesso degli utenti, alle porte aperte, ai pacchetti indesiderati e alle configurazioni di daemon, tra gli altri. Puoi trovare un elenco completo dei controlli DISA STIG di Oracle Linux qui.

L'accesso manuale alle VM autonome è limitato a un team di operations cloud di base accuratamente controllato dall'azienda. I membri del team operativo devono essere su Oracle Cloud Network Attach (una rete cloud privata e sicura) da un dispositivo fornito dall'azienda per accedere all'infrastruttura Exadata. Le credenziali di accesso vengono generate in modo dinamico in risposta a ticket di supporto validi. Qualsiasi modifica alla configurazione delle VM client è sottoposta a una rigorosa revisione della sicurezza interna e a un processo di gestione delle modifiche. Tutti gli strumenti, gli script o il software vengono installati o modificati solo dopo aver eseguito il ciclo di vita del software approvato e il processo di gestione delle modifiche.

L'integrazione con il servizio di controllo dell'accesso operatore sia per l'infrastruttura che per le VM autonome limita ulteriormente questo accesso e mette l'autorizzazione di accesso e la notifica nelle tue mani. Le azioni dell'operatore vengono registrate quasi in tempo reale e inviate a un SIEM configurato dal cliente e al servizio di registrazione Oracle per il download da parte del cliente, se necessario. Puoi scaricare i log in SIEM/Storage del cliente o archiviarli a tempo indeterminato nello storage degli oggetti OCI. Per ulteriori dettagli, vedere Servizio di controllo dell'accesso operatore.

L'architettura di sicurezza OCI definisce ulteriormente l'esclusivo hardware gen2 su più livelli e la sicurezza della virtualizzazione di OCI. Puoi fare riferimento all'architettura di sicurezza di Oracle Cloud Infrastructure per ulteriori dettagli.

Gestione deviazioni configurazione

Lo sviluppo del servizio Autonomous AI Database e la creazione di immagini Autonomous VM fanno parte dell'ambito delle pratiche di sicurezza aziendali di Oracle. Questa implementazione viene controllata con attenzione nel processo Oracle Software Security Assurance, pubblicato qui.

Le configurazioni delle immagini VM autonome vengono controllate tramite codice e vengono sottoposte a più revisioni del codice e a cicli di Quality Assurance (QA) prima che una modifica alla configurazione arrivi a una release di produzione. Fare riferimento alla sezione Configurazioni sicure della documentazione di Oracle Software Security Assurance per informazioni sulle impostazioni e sulle procedure standard di Oracle per la protezione delle configurazioni software.

Un agente creato da Oracle, il software Asset Endpoint Protection and Configuration Management (AEP/CM) viene installato sui server del piano di controllo per raccogliere e trasferire i log di audit Linux e i log AIDE (Advanced Intrusion Detection Environment) di Linux dalle istanze dell'infrastruttura e di Autonomous VM. Questi log vengono trasferiti a un SIEM centrale OCI a scopo di controllo. Regole SIEM specifiche per la manomissione dei file di log, il download di contenuti esterni, la disabilitazione degli strumenti di sicurezza e altre generano avvisi a cui DART valuta e risponde come descritto.

Le istanze VM Autonomous sono protette dall'accesso diretto ssh ad eccezione degli operatori Oracle e dell'automazione approvati. Tutte le attività degli operatori possono essere monitorate tramite il controllo dell'accesso operatore.

Monitoraggio dell'integrità dei file e delle intrusioni

Le VM Autonomous sono configurate con una utility di intrusione e monitoraggio dei file che gestisce il conteggio e l'integrità dei file in una build specifica. Qualsiasi modifica nel conteggio dei file o nel checksum di un file è contrassegnata. I log AIDE e HIDS vengono inoltre raccolti e inviati a OCI SIEM e scansionati per rilevare eventuali minacce tramite il processo DART spiegato in Autonomous Virtual Machine Hardening.

Tutti gli artifact software distribuiti su un AVMC, inclusi gli strumenti, vengono distribuiti tramite un metodo di gestione delle modifiche sicuro che utilizza checksum e firma digitale utilizzando certificati SSL. Questa operazione è denominata distribuzione del codice firmato da certificati.

Analisi e risposta delle vulnerabilità VM Autonomous

Tutte le immagini Autonomous VM vengono create utilizzando le procedure di sviluppo sicure di Oracle, come documentato in Oracle Software Security Assurance. Il processo CSSAP (Corporate Security Solution Assurance Process) è un processo di verifica della sicurezza sviluppato dall'architettura di sicurezza aziendale di Oracle, dal GIS (Global Information Security) e dalle organizzazioni IT di Oracle per fornire un'analisi completa della gestione della sicurezza delle informazioni. GIS e CSSAP operano indipendentemente dai team di servizi OCI per proteggere le informazioni e gli asset software del cliente e di Oracle. Ogni funzione di servizio con un potenziale impatto sulla sicurezza viene sottoposta a un processo di revisione e approvazione CSSAP. Inoltre, i cicli di test di garanzia della qualità (QA) utilizzano strumenti di scansione appropriati per garantire che le immagini rispettino STIG, soddisfino le linee guida sulla sicurezza del servizio e siano pronte per la revisione CSSAP.

Gli strumenti forensi sugli AVMC svolgono un ruolo di primo piano nella gestione delle vulnerabilità. I log di audit Linux da ogni host Autonomous VM vengono caricati in un SIEM OCI centrale in cui le regole di avviso acquisiscono e individuano potenziali minacce. DART risponde a questi avvisi come spiegato in Autonomous Virtual Machine Hardening. Anche i registri HIDS e anti-virus vengono elaborati in modo simile. Uno scanner Common Vulnerabilities and Exposures (CVE) invia i risultati a uno strumento di automazione centrale in cui vengono classificati i risultati delle vulnerabilità e vengono aperti ticket che consentono ai team di assistenza di applicare patch ai sistemi su una scala temporale proporzionale alla gravità del risultato. È necessario applicare patch a tutti i CVE con punteggio maggiore di 7 entro 30 giorni.

È possibile pianificare bundle di patch dell'infrastruttura comprendenti Hypervisor, Grid Infrastructure, sistemi operativi di storage e client e firmware su base trimestrale. Gli aggiornamenti delle release del database e le revisioni degli aggiornamenti delle release possono essere pianificati separatamente ogni trimestre. Tutte le patch vengono posizionate nell'area intermedia e applicate utilizzando gli strumenti di automazione cloud e Autonomous Cloud Operations, come richiede l'aggiornamento di patch specifico.

Lo sviluppo di patch software segue le procedure di sviluppo del software sicuro di Oracle, il test QA e le revisioni CSSAP, se necessario. La separazione dei compiti tra sviluppatori di patch, tester di controllo qualità, operazioni di gestione delle release e applicazione delle patch garantisce il coinvolgimento di più personale prima che una patch arrivi all'hardware del cliente.

Quando possibile, gli aggiornamenti vengono applicati al sistema in esecuzione senza tempi di inattività utilizzando strumenti come Linux ksplice. Se un aggiornamento richiede il riavvio di un componente, Oracle esegue il riavvio del componente in sequenza per garantire la disponibilità del servizio durante il processo di aggiornamento. Puoi pianificare gli orari di inizio dell'applicazione delle patch per allinearti agli SLA aziendali. L'applicazione delle patch può essere pianificata separatamente per i componenti dell'infrastruttura (GI, sistema operativo) e per ogni home DBMS.

Scansioni delle vulnerabilità e applicazione di patch

Autonomous AI Database on Dedicated Exadata Infrastructure esegue spesso scansioni di vulnerabilità esterne e interne (che includono la ricerca automatica dei sistemi di fine supporto) utilizzando strumenti di scansione delle vulnerabilità commerciali. Le vulnerabilità identificate vengono analizzate e monitorate per la risoluzione da parte del Cloud Compliance Standard for Vulnerability Management. Utilizza varie misure tecniche per valutare e identificare gli aggiornamenti per librerie di terze parti e open source. Le scansioni delle vulnerabilità autenticate dei sistemi distribuiti nell'ambiente, nonché le scansioni delle immagini del sistema pre-distribuzione, sono state implementate per identificare tali librerie e determinare se sono necessarie correzioni della sicurezza. Le politiche aziendali e le procedure delle business unit governano questi programmi e li valutano annualmente.

Autonomous AI Database utilizza un meccanismo per aggregare i risultati della sicurezza provenienti da più origini (incluse le scansioni delle vulnerabilità) e assegnare i risultati al team di servizi appropriato. Questo sistema consente ai team di assistenza di gestire i risultati e di integrarsi con i sistemi di ticketing per l'accodamento automatico dei lavori di correzione, incluse le notifiche e le escalation automatiche, se necessario. Il sistema riassume anche il lavoro di correzione in tutta l'organizzazione e guida le attività quotidiane di gestione delle vulnerabilità.

Oracle Software Security Assurance (OSSA) definisce la metodologia Oracle per l'integrazione della sicurezza nelle fasi di progettazione, creazione, test e manutenzione dei prodotti, sia che vengano utilizzati on-premise dai clienti, sia che vengano forniti tramite Oracle Cloud. Le policy Oracle Corporate Security (incluse le policy che gestiscono le minacce e le vulnerabilità) vengono riviste annualmente e aggiornate in base alle esigenze. Almeno una volta all'anno, terzi indipendenti conducono un test di penetrazione del sistema.

Per fornire il miglior livello di sicurezza a tutti i clienti Oracle, Oracle corregge vulnerabilità di sicurezza significative in base al probabile rischio che rappresentano per i clienti. I problemi con i rischi più gravi vengono risolti per primi. In generale, le correzioni per le vulnerabilità della sicurezza sono prodotte nel seguente ordine:

Le patch e gli aggiornamenti vengono implementati tramite strumenti di integrazione/implementazione continua (CI/CD). Tranne dove esistono dipendenze in più domini di disponibilità (ad esempio, aggiornamenti ai servizi dei nomi di dominio), le modifiche vengono implementate separatamente in ogni area e dominio di disponibilità. La policy di implementazione Oracle Patching and Security Alerts richiede la distribuzione degli aggiornamenti di patch critiche e avvisi di sicurezza di Oracle e dei suggerimenti associati. Questo criterio include anche i requisiti per correggere le vulnerabilità nella tecnologia non Oracle utilizzando un approccio basato sul rischio. Per ulteriori informazioni, vedere Programmi Critical Patch Update and Security Alert.

Oracle pianifica ed esegue un'attività di manutenzione mensile della sicurezza dell'infrastruttura insieme alla manutenzione trimestrale. Tuttavia, queste patch di sicurezza vengono applicate solo in quei mesi con aggiornamenti di sicurezza critici, incluse le correzioni per le vulnerabilità con punteggi CVSS superiori o uguali a 7.

Criterio di test della sicurezza Oracle Cloud

Oracle esegue regolarmente test di penetrazione e vulnerabilità e valutazioni della sicurezza sull'infrastruttura, sulle piattaforme e sulle applicazioni Oracle Cloud per convalidare e migliorare la sicurezza complessiva dei servizi Oracle Cloud. Tuttavia, Oracle non valuta né sottopone a test alcun componente (comprese le applicazioni non Oracle, i database non Oracle o altri software, codice o dati non Oracle, come eventualmente applicabile) che Voi gestite tramite o introduciate, inclusa l'introduzione tramite il Vostro sviluppo o la creazione nei servizi Oracle Cloud (i "Componenti dei Clienti").

Oracle Customer Security Testing Policy descrive le attività di test di sicurezza come test di penetrazione e scansione delle vulnerabilità che i clienti Oracle possono eseguire sui prodotti Oracle On-Premises e su Oracle Cloud Services ("Test di sicurezza" o "). e viene indicata collettivamente come "Testing Policy" e inclusa nelle Specifiche dei Servizi per Oracle Cloud Services. Questa politica non riguarda né fornisce alcun diritto di condurre test di materiali di terze parti inclusi nei Componenti del Cliente. Solo i clienti con un account Oracle con i privilegi necessari per presentare le richieste di manutenzione del servizio e che hanno eseguito l'accesso all'ambiente che sarà oggetto di tale test possono eseguire test di vulnerabilità o penetrazione.

Ad eccezione di quanto diversamente consentito o limitato negli accordi sui servizi Oracle Cloud, l'amministratore del servizio che dispone dell'accesso a livello di sistema al servizio Autonomous AI Database può eseguire test di penetrazione e vulnerabilità per i componenti cliente inclusi nel servizio Autonomous AI Database in conformità alle limitazioni descritte nel test di sicurezza in Oracle Cloud.

Puoi anche fare riferimento alle Domande frequenti sui test di sicurezza per trovare le risposte alle domande che potresti avere sui tuoi test di sicurezza.

Protezione da endpoint, malware e ransomware

I computer client Autonomous VM sono creati con protezione endpoint, malware e ransomware come descritto di seguito:

Gestione degli incidenti di sicurezza

Un team dedicato di analisti della sicurezza del Security Incident Detection and Response Team (DART) è responsabile della gestione delle dashboard degli eventi di sicurezza 24 / 7 e dell'elaborazione degli avvisi per filtrare i veri positivi. Se viene rilevato un vero positivo, viene avviata una risposta appropriata in base alla gravità e all'impatto dell'evento. Ciò può includere ulteriori analisi, una valutazione della causa principale e una correzione con i team di servizi e la comunicazione con i clienti.

Le policy di risposta agli incidenti di sicurezza di Oracle sono descritte in Risposta agli incidenti di sicurezza.

Contenuto correlato

Funzioni di sicurezza in Autonomous AI Database