Gestione della configurazione in Autonomous Database su un'infrastruttura Exadata dedicata

Basato su Oracle Cloud Infrastructure (OCI), Autonomous Database on Dedicated Exadata Infrastructure fornisce configurazioni di sicurezza standard e rafforzate in modo che tu e il tuo team non dovete spendere enormi quantità di tempo e denaro per gestire le configurazioni nella vostra flotta di Autonomous Database.

Le patch e gli aggiornamenti di sicurezza vengono eseguiti automaticamente, quindi non devi preoccuparti di mantenere la sicurezza aggiornata. Queste funzionalità proteggono database e dati altamente sensibili da vulnerabilità e violazioni di sicurezza costose e potenzialmente disastrose. Per ulteriori dettagli, consulta la sezione relativa alla manutenzione del servizio di Autonomous Database.

Argomenti correlati

Indurimento delle virtual machine autonome

Le immagini delle Virtual Machine (Autonomous VM) di Autonomous Database, anche note come VM client, sono potenziate dalla sicurezza. Come indicato in Oracle Software Security Assurance, le relative configurazioni sono protette mediante procedure di sicurezza e sviluppo software Oracle. Le VM Autonomous dispongono di un software antivirus e anti-malware adatto configurato per rilevare software e malware non autorizzati. Il software Asset Endpoint Protection and Configuration Management di Oracle, installato sulle virtual machine client, garantisce che le modifiche alla configurazione vengano apportate solo tramite processi sicuri e approvati. I log di audit del sistema operativo Linux vengono raccolti e trasferiti in un sistema SIEM (Security Information and Event Management) OCI centrale per il rilevamento e l'audit degli incidenti di sicurezza da parte del DART (Security Incident Detection And Response Team) di OCI. I log vengono conservati per 13 mesi dalla data di generazione.

DART è responsabile della gestione dei dashboard SIEM, della valutazione degli avvisi sugli incidenti e dell'avvio di azioni correttive sui veri positivi aprendo i ticket ai team di assistenza interni. Quando un evento di sicurezza richiede un aggiornamento del cliente, DART collabora con i team Global Information Security e Service per eseguire un aggiornamento del cliente.

Tutte le VM Oracle Autonomous sono conformi a DISA STIG (Defense Information Systems Agency Security Technical Implementation Guide) e sono potenziate secondo Oracle Linux Security Technical Implementation Guide, che risolve i problemi relativi ai controlli dell'accesso utente, alle porte aperte, ai pacchetti indesiderati e alle configurazioni dei daemon. Puoi trovare un elenco completo dei controlli Oracle Linux DISA STIG qui.

L'accesso manuale alle VM Autonomous è limitato a un team operativo cloud di base accuratamente controllato dall'azienda. I membri del team operativo devono trovarsi in Oracle Cloud Network Attach (una rete cloud privata e sicura) da un dispositivo fornito dall'azienda per accedere all'infrastruttura Exadata. Le credenziali di accesso vengono generate in modo dinamico in risposta a ticket di supporto validi. Qualsiasi modifica alla configurazione delle VM client viene sottoposta a una rigorosa revisione della sicurezza interna e a un processo di gestione delle modifiche. Tutti gli strumenti, gli script o il software vengono installati o modificati solo dopo aver superato il ciclo di vita del software approvato e il processo di gestione delle modifiche.

L'integrazione con il servizio di controllo dell'accesso operatore sia per l'infrastruttura che per le VM Autonomous limita ulteriormente questo accesso e mette a disposizione le autorizzazioni di accesso e le notifiche. Le azioni dell'operatore vengono registrate quasi in tempo reale e inviate a un SIEM configurato dal cliente e al servizio di registrazione Oracle per il download da parte del cliente, se lo si desidera. Puoi scaricare i log nel SIEM/storage del cliente o archiviarli a tempo indeterminato nello storage degli oggetti OCI. Per ulteriori dettagli, vedere Servizio di controllo dell'accesso operatore.

L'architettura di sicurezza OCI definisce ulteriormente l'esclusivo hardware gen2 su più livelli di OCI e la sicurezza della virtualizzazione. Per ulteriori dettagli, puoi fare riferimento a Architettura di sicurezza di Oracle Cloud Infrastructure.

Gestione deviazioni configurazione

Lo sviluppo del servizio Autonomous Database e la creazione di immagini Autonomous VM fanno parte dell'ambito delle procedure di sicurezza aziendale di Oracle. Questa implementazione viene attentamente controllata nel processo Oracle Software Security Assurance, pubblicato qui.

Le configurazioni delle immagini delle VM Autonomous sono controllate tramite il codice e vengono sottoposte a più revisioni del codice e cicli di controllo qualità (QA) prima che una modifica della configurazione arrivi a una release di produzione. Consulta la sezione relativa alle configurazioni sicure della documentazione su Oracle Software Security Assurance per conoscere le procedure standard e di postura di Oracle per la protezione delle configurazioni software.

Un agente Oracle, Asset Endpoint Protection and Configuration Management (AEP/CM) viene installato sui server del piano di controllo per raccogliere e trasferire i log di audit Linux e i log AIDE (Advanced Intrusion Detection Environment) di Linux dall'infrastruttura e dalle istanze Autonomous VM. Questi log vengono trasferiti in un SIEM centrale OCI a scopo di audit. Le regole SIEM specifiche per la manomissione dei file di log, il download di contenuto esterno, la disabilitazione degli strumenti di sicurezza e altri generano avvisi ai quali DART valuta e risponde come descritto nella sezione Protezione avanzata automatica delle virtual machine.

Le istanze Autonomous VM sono protette dall'accesso diretto a ssh, ad eccezione degli operatori Oracle e dell'automazione approvati. È possibile monitorare tutte le attività dell'operatore tramite il controllo dell'accesso operatore.

Monitoraggio dell'integrità dei file e delle intrusioni

Le VM Autonomous sono configurate con una utility di monitoraggio e intrusione dei file che gestisce il conteggio e l'integrità dei file in una build specifica. Qualsiasi modifica nel conteggio dei file o in un checksum di file è contrassegnata. I log AIDE e HIDS vengono anche raccolti e inviati a OCI SIEM e analizzati per rilevare le minacce tramite il processo DART, spiegato in Autonomous Virtual Machine Hardening.

Tutti gli artifact software distribuiti in un AVMC, inclusi gli strumenti, vengono distribuiti tramite un metodo di gestione delle modifiche sicuro che utilizza checksum e firma digitale utilizzando certificati SSL. Si chiama distribuzione del codice firmato dal certificato.

Scansione e risposta alle vulnerabilità delle VM Autonomous

Tutte le immagini delle VM Autonomous vengono create utilizzando le procedure di sviluppo sicure di Oracle, come documentate in Oracle Software Security Assurance. Il Corporate Security Solution Assurance Process (CSSAP) è un processo di revisione della sicurezza sviluppato dall'architettura di sicurezza aziendale Oracle, Global Information Security (GIS) e dalle organizzazioni IT Oracle per fornire un'analisi completa della gestione della sicurezza delle informazioni. GIS e CSSAP operano in modo indipendente dai team di assistenza OCI per proteggere le informazioni e gli asset software di Oracle e dei clienti. Ogni funzionalità di servizio con un potenziale impatto sulla sicurezza è sottoposta a un processo di revisione e approvazione CSSAP. Inoltre, i cicli di test QA (Quality Assurance) utilizzano strumenti di scansione appropriati per garantire che le immagini aderiscano a STIG, soddisfino le linee guida sulla sicurezza del servizio e siano pronte per la revisione CSSAP.

Gli strumenti forensi sugli AVMC svolgono un ruolo di primo piano nella gestione delle vulnerabilità. I log di audit Linux di ogni host VM Autonomous vengono caricati in un SIEM OCI centrale in cui le regole di avviso acquisiscono e evidenziano potenziali minacce. DART risponde a questi avvisi come spiegato in Protezione automatica delle virtual machine. Anche i registri HIDS e anti-virus vengono elaborati in modo simile. Uno scanner CVE (Common Vulnerabilities and Exposures) invia i risultati a uno strumento di automazione centrale in cui vengono classificati i risultati delle vulnerabilità e vengono aperti ticket per consentire ai team di assistenza di applicare patch ai sistemi su una scala temporale proporzionale alla gravità del risultato. Tutti i CVE con un punteggio maggiore di 7 devono essere sottoposti a patch entro 30 giorni.

È possibile pianificare bundle di patch dell'infrastruttura che comprendono Hypervisor, Grid Infrastructure, Storage and Client Operating Systems e Firmware trimestralmente. Gli aggiornamenti delle release del database e le revisioni degli aggiornamenti delle release possono essere pianificati separatamente ogni trimestre. Tutte le patch vengono posizionate nell'area intermedia e applicate utilizzando gli strumenti di automazione cloud e le Autonomous Cloud Operations, come richiede l'aggiornamento delle patch specifico.

Lo sviluppo di patch software segue le procedure di sviluppo software sicure di Oracle, il test QA e le revisioni CSSAP, se necessario. La separazione dei compiti tra sviluppatori di patch, verificatori del QA, gestione delle release e operazioni di applicazione delle patch garantisce l'intervento di più personale prima che una patch arrivi all'hardware del cliente.

Quando possibile, gli aggiornamenti vengono applicati al sistema in esecuzione senza tempi di inattività utilizzando strumenti come Linux ksplice. Se un aggiornamento richiede il riavvio di un componente, Oracle esegue il riavvio in sequenza per garantire la disponibilità del servizio durante il processo di aggiornamento. È possibile pianificare gli orari di inizio dell'applicazione delle patch per allinearsi agli SLA aziendali. L'applicazione delle patch può essere pianificata separatamente per i componenti dell'infrastruttura (GI, OS) e per ogni home DBMS.

Analisi delle vulnerabilità e applicazione di patch

Autonomous Database on Dedicated Exadata Infrastructure esegue frequentemente scansioni di vulnerabilità esterne e interne (che includono la ricerca automatica di sistemi di fine supporto) utilizzando strumenti di scansione delle vulnerabilità commerciali. Le vulnerabilità identificate vengono analizzate e monitorate per essere risolte dal Cloud Compliance Standard for Vulnerability Management. Utilizza varie misure tecniche per valutare e identificare gli aggiornamenti per librerie di terze parti e open source. Le scansioni di vulnerabilità autenticate dei sistemi distribuiti nell'ambiente, nonché le scansioni delle immagini del sistema di pre-distribuzione, sono state implementate per identificare tali librerie e determinare se sono necessarie correzioni della sicurezza. Le politiche aziendali e le procedure delle business unit regolano questi programmi e li valutano ogni anno.

Autonomous Database utilizza un meccanismo per aggregare i risultati di sicurezza da più origini (incluse le scansioni delle vulnerabilità) e assegnare i risultati al team di servizio appropriato. Questo sistema consente ai team di assistenza di gestire i risultati e di integrarsi con i sistemi di ticketing per l'accodamento automatico dei lavori di correzione, incluse le notifiche e le escalation automatiche, se necessario. Il sistema riepiloga anche il lavoro di correzione in tutta l'organizzazione e promuove le attività quotidiane di gestione delle vulnerabilità.

Oracle Software Security Assurance (OSSA) definisce la metodologia Oracle per creare sicurezza nella progettazione, nella creazione, nel test e nella manutenzione dei suoi prodotti, sia che vengano utilizzati on-premise dai clienti sia che vengano distribuiti tramite Oracle Cloud. Le policy di Oracle Corporate Security (incluse quelle relative alla gestione delle minacce e delle vulnerabilità) vengono esaminate annualmente e aggiornate in base alle esigenze. Almeno una volta all'anno, terze parti indipendenti conducono un test di penetrazione del sistema.

Per offrire il miglior livello di sicurezza a tutti i clienti Oracle, Oracle corregge le vulnerabilità significative della sicurezza in base al probabile rischio che comportano per i clienti. I problemi con i rischi più gravi vengono risolti per primi. In generale, le correzioni per le vulnerabilità della sicurezza vengono prodotte nel seguente ordine:

  • Prima linea codice principale, ovvero la linea di codice in fase di sviluppo per la prossima release principale del prodotto.
  • Per ogni versione supportata vulnerabile, creare una patch di aggiornamento di patch critiche e applicare la correzione nel set di patch successivo se per tale versione supportata è previsto un altro set di patch.

Le patch e gli aggiornamenti vengono implementati tramite strumenti di integrazione/distribuzione continua (CI/CD). Ad eccezione dei casi in cui esistono dipendenze in più domini di disponibilità (ad esempio, aggiornamenti ai servizi dei nomi di dominio), le modifiche vengono implementate separatamente in ogni area e dominio di disponibilità. Il criterio di implementazione Oracle Patching and Security Alerts richiede la distribuzione degli aggiornamenti Oracle Critical Patch Update and Security Alert e dei suggerimenti associati. Questa policy include anche i requisiti per correggere le vulnerabilità nella tecnologia non Oracle utilizzando un approccio basato sul rischio. Per ulteriori informazioni, vedere Programmi di aggiornamento di patch critiche e avvisi di sicurezza.

Oracle pianifica ed esegue un'attività di manutenzione mensile della sicurezza dell'infrastruttura insieme alla manutenzione trimestrale. Tuttavia, queste patch di sicurezza vengono applicate solo in quei mesi con aggiornamenti di sicurezza critici, incluse le correzioni per le vulnerabilità con punteggi CVSS maggiori o uguali a 7.

  • Qualsiasi infrastruttura Exadata di cui è stato eseguito il provisioning prima che Oracle pianifichi la manutenzione della sicurezza sarà idonea per la manutenzione della sicurezza.
  • Il processo mensile di manutenzione della sicurezza aggiorna i database server per correggere vulnerabilità critiche della sicurezza e problemi dei prodotti. Inoltre, aggiornano i server di storage in un'immagine software di storage Exadata che risolve le vulnerabilità di sicurezza note e i problemi del prodotto.

Criteri di test della sicurezza di Oracle Cloud

Oracle esegue regolarmente test di penetrazione e vulnerabilità e valutazioni della sicurezza sull'infrastruttura, sulle piattaforme e sulle applicazioni Oracle Cloud per convalidare e migliorare la sicurezza generale dei servizi Oracle Cloud. Tuttavia, Oracle non valuta né testa alcun componente (incluse applicazioni non Oracle, database non Oracle o altri software, codice o dati non Oracle, a seconda dei casi, applicabile) che l'utente gestisce o introduce, inclusa l'introduzione nello sviluppo o nella creazione, nei servizi Oracle Cloud (i "componenti del cliente").

Oracle Customer Security Testing Policy descrive le attività di test di sicurezza come i test di penetrazione e la scansione delle vulnerabilità che i clienti Oracle possono eseguire sui prodotti Oracle On-Premises e sugli Oracle Cloud Services ("Test di sicurezza" o "Test di sicurezza"). Viene collettivamente indicato come "Politica di test" e incluso nelle specifiche del servizio per Oracle Cloud Services. Questa politica non affronta o fornisce alcun diritto di condurre test di qualsiasi materiale di terze parti incluso nei componenti del cliente. Solo i clienti con un account Oracle con i privilegi necessari per inoltrare le richieste di manutenzione dei servizi e che hanno eseguito l'accesso all'ambiente che sarà oggetto di tali test possono eseguire test di vulnerabilità o penetrazione.

Salvo quanto altrimenti consentito o limitato negli accordi sui servizi Oracle Cloud, l'amministratore del servizio che dispone dell'accesso a livello di sistema al servizio Autonomous Database può eseguire test di penetrazione e vulnerabilità per i componenti cliente inclusi nel servizio Autonomous Database in conformità alle restrizioni descritte in Test della sicurezza in Oracle Cloud.

Puoi anche fare riferimento alle Domande frequenti sui test di sicurezza per trovare le risposte alle tue domande sui test di sicurezza.

Protezione da endpoint, malware e ransomware

Le macchine client Autonomous VM sono create con protezione da endpoint, malware e ransomware come descritto di seguito:

  • Strumenti anti-virus e anti-malware adatti vengono installati e aggiornati regolarmente.
  • L'accesso ssh/sftp sulla rete client è chiuso.
  • Gli account utente denominati sulle VM client sono estremamente limitati ai soli processi necessari.
  • Le VM Autonomous sono protette dagli standard DISA STIG per garantire che nessuna porta inutilizzata sia aperta o che i daemon vengano eseguiti sul sistema.
  • L'accesso degli operatori Oracle avviene tramite una connessione protetta e in uscita alla rete di gestione Oracle in un'area OCI scelta dal cliente.
  • Le azioni dell'operatore Oracle possono essere controllate e controllate tramite l'integrazione del servizio Operator Access Control.

Gestione incidenti sicurezza

Un team dedicato di analisti della sicurezza del DART (Security Incident Detection and Response Team) è responsabile della gestione dei dashboard degli eventi di sicurezza 24/7 e dell'elaborazione degli avvisi per filtrare i veri positivi. Se viene rilevato un vero positivo, viene avviata una risposta appropriata in base alla gravità e all'impatto dell'evento. Ciò può includere ulteriori analisi, una valutazione della causa principale e una correzione con i team di assistenza e la comunicazione con i clienti.

I criteri di risposta agli incidenti di sicurezza di Oracle sono descritti nella sezione Risposta agli incidenti di sicurezza.