Guida per la sicurezza di Base Database Service
In questo articolo viene descritta la sicurezza per Base Database Service.
Panoramica sulla sicurezza
In questo argomento viene fornita una panoramica della sicurezza nel servizio Base Database. Oracle gestisce la sicurezza per la maggior parte dei componenti, mentre gli utenti sono responsabili della sicurezza di alcuni componenti.
I componenti del servizio cloud sono classificati in servizi accessibili all'utente e in infrastruttura gestita da Oracle. Il servizio accessibile all'utente fa riferimento ai componenti a cui gli utenti possono accedere nell'ambito della propria sottoscrizione al servizio Base Database. Si tratta di virtual machine e servizi di database comunemente chiamati sistemi DB e database rispettivamente. L'infrastruttura gestita da Oracle si riferisce all'hardware di cui Oracle è proprietaria e gestisce per supportare i servizi accessibili agli utenti. È costituito da forme di database computing basate su AMD o Intel.
Oracle gestirà la sicurezza e l'accesso ai componenti dell'infrastruttura gestiti da Oracle. Gli utenti gestiranno la sicurezza e l'accesso ai servizi accessibili dall'utente che includono l'accesso al sistema DB e ai servizi di database, l'accesso di rete al sistema DB, l'autenticazione per accedere al sistema DB e l'autenticazione per accedere ai database in esecuzione sui sistemi DB. Il personale Oracle non è autorizzato ad accedere ai servizi accessibili all'utente.
Gli utenti accedono ai database Oracle in esecuzione sui sistemi DB tramite una connessione layer 2 (VLAN con tag) dall'apparecchiatura utente utilizzando i metodi di connessione standard di Oracle Database, ad esempio Oracle Net sulla porta 1521. Gli utenti possono utilizzare i metodi Oracle Linux standard per connettersi al sistema DB che esegue i database Oracle, ad esempio SSH basato su token sulla porta 22.
Base Database Service utilizza più controlli di sicurezza indipendenti e che si rafforzano a vicenda per aiutare le organizzazioni a creare un ambiente operativo sicuro per i carichi di lavoro e i dati. Base Database Service fornisce i controlli di sicurezza riportati di seguito.
- Difesa avanzata per la protezione dell'ambiente operativo
- Privilegio minimo per servizi e utenti
- Audit e responsabilità di eventi e azioni
- Automazione delle operazioni cloud
Difesa avanzata per la protezione dell'ambiente operativo
Base Database Service fornisce diversi controlli per mantenere la riservatezza, l'integrità e la responsabilità in tutto il servizio. Il Base Database Service promuove il principio di difesa approfondita come segue:
- Le virtual machine per i sistemi DB sono create a partire dall'immagine del sistema operativo potenziata basata su Oracle Linux 7. Protegge l'ambiente operativo di base limitando l'immagine di installazione solo ai pacchetti software necessari, disabilitando i servizi non necessari e implementando parametri di configurazione sicuri in tutto il sistema.
- Ulteriori scelte di configurazione predefinite sicure vengono implementate nelle istanze di servizio oltre a ereditare tutti i punti di forza della piattaforma Oracle Linux matura. Ad esempio, tutte le tablespace del database richiedono la cifratura dei dati trasparente (TDE), l'applicazione efficace delle password per gli utenti iniziali del database e i superutenti e regole avanzate di audit ed eventi.
- Il servizio Base Database costituisce anche una distribuzione e un servizio completi ed è soggetto a audit esterni standard del settore come PCI, HIPPA e ISO27001. Questi requisiti di audit esterni impongono funzionalità di servizio a valore aggiunto aggiuntive come la scansione antivirus, l'invio automatico di avvisi per modifiche impreviste al sistema e la scansione delle vulnerabilità per tutti i sistemi di infrastruttura gestiti da Oracle nella flotta.
Privilegio minimo per servizi e utenti
Gli standard di codifica di sicurezza Oracle richiedono il paradigma dei privilegi minimi. Garantire che le applicazioni, i servizi e gli utenti abbiano accesso alle funzionalità di cui hanno bisogno per eseguire le proprie attività è solo un lato del principio dei privilegi minimi. È altrettanto importante garantire che l'accesso a funzionalità, servizi e interfacce non necessari sia limitato. Base Database Service promuove il principio del privilegio minimo come indicato di seguito.
- Ogni processo e daemon deve essere eseguito come utente normale senza privilegi, a meno che non sia in grado di dimostrare un requisito per un livello di privilegi più elevato. Questo aiuta a contenere eventuali problemi imprevisti o vulnerabilità allo spazio utente senza privilegi e non compromettere un intero sistema.
- Questo principio si applica anche ai membri del team operativo Oracle che utilizzano singoli account denominati per accedere all'infrastruttura per la manutenzione o la risoluzione dei problemi. Solo quando necessario, utilizzeranno l'accesso controllato a livelli di privilegio più elevati per risolvere o risolvere un problema. La maggior parte dei problemi viene risolta tramite l'automazione, quindi utilizziamo anche il privilegio minimo non consentendo agli operatori umani di accedere a un sistema a meno che l'automazione non sia in grado di risolvere il problema.
Audit e responsabilità di eventi e azioni
Un sistema deve essere in grado di riconoscere e notificare gli incidenti non appena si verificano. Allo stesso modo, quando un incidente non può essere evitato, un'organizzazione deve essere in grado di identificare la sua occorrenza al fine di intraprendere le azioni appropriate. Base Database Service incoraggia l'audit e la responsabilità nei modi seguenti:
- L'audit e la responsabilità garantiscono che sia Oracle che gli utenti siano a conoscenza dell'attività svolta sul sistema e del suo tempo. Questi dettagli non solo ci assicurano di rimanere conformi ai requisiti di reporting per gli audit esterni, ma possono anche aiutare a identificare l'attività che ha portato a un comportamento imprevisto.
- Le funzionalità di audit sono disponibili per tutti i componenti dell'infrastruttura per garantire l'acquisizione di tutte le azioni. Gli utenti possono anche configurare l'auditing per la configurazione del database e del dominio utente (domU) e possono scegliere di integrarli con altri sistemi di audit aziendali.
- Oracle non accede alla domU utente.
Automazione delle operazioni cloud
Eliminando le operazioni manuali necessarie per eseguire il provisioning, applicare patch, mantenere, risolvere i problemi e configurare i sistemi, la possibilità di errori viene ridotta e viene garantita una configurazione sicura.
Base Database Service è progettato per essere sicuro automatizzando tutti i provisioning, la configurazione e la maggior parte delle altre attività operative. Automatizzando, è possibile evitare configurazioni perse e garantire che tutti i percorsi necessari nel sistema siano configurati correttamente.
Funzioni di sicurezza
In questo argomento vengono descritte le funzioni di sicurezza disponibili in Base Database Service.
Base Database Service offre le funzioni di sicurezza riportate di seguito.
- Immagine sistema operativo potenziata
- Superficie di attacco ridotta al minimo
- Funzioni di sicurezza aggiuntive abilitate
- Metodi di accesso sicuro
- Audit e registrazione
Immagine sistema operativo potenziata
- Installazione minima dei pacchetti: vengono installati solo i pacchetti necessari per eseguire un sistema efficiente. Installando un set più piccolo di pacchetti, la superficie di attacco del sistema operativo viene ridotta e il sistema rimane più sicuro.
- Configurazione sicura: durante l'installazione vengono impostati molti parametri di configurazione non predefiniti per migliorare le impostazioni di sicurezza del sistema e del relativo contenuto. Ad esempio, SSH è configurato per l'ascolto solo su determinate interfacce di rete, sendmail è configurato per accettare solo connessioni host locali e molte altre restrizioni simili vengono implementate durante l'installazione.
- Eseguire solo i servizi necessari: tutti i servizi che possono essere installati sul sistema, ma non sono richiesti per il normale funzionamento, sono disabilitati per impostazione predefinita. Ad esempio, mentre NFS è un servizio spesso configurato dagli utenti per vari scopi dell'applicazione, viene disabilitato per impostazione predefinita in quanto non è necessario per le normali operazioni del database. Gli utenti possono scegliere di configurare i servizi in base alle proprie esigenze.
Superficie di attacco ridotta al minimo
Come parte dell'immagine indurita, la superficie di attacco viene ridotta installando ed eseguendo solo il software necessario per fornire il servizio.
Funzioni di sicurezza aggiuntive abilitate
- Base Database Service è progettato per essere sicuro per impostazione predefinita e fornisce uno stack di sicurezza completo, dal controllo del firewall di rete ai criteri di sicurezza del controllo dell'accesso.
- È possibile abilitare anche FIPS, SE Linux e STIG per migliorare la sicurezza sui sistemi utilizzando l'interfaccia CLI
dbcli secure-dbsystem. - Lo strumento STIG viene fornito per aumentare la conformità con lo standard Oracle Linux 7 di DISA su ciascun nodo di sistema nei sistemi di cui è stato eseguito il provisioning.
Metodi di accesso sicuro
- Accedere ai database server tramite SSH utilizzando crittografie avanzate. Le cifrature deboli sono disattivate per impostazione predefinita.
- Accedere ai database tramite connessioni Oracle Net cifrate. Per impostazione predefinita, i nostri servizi sono disponibili utilizzando canali cifrati e un client Oracle Net configurato per impostazione predefinita utilizzerà sessioni cifrate.
Audit e registrazione
Per impostazione predefinita, l'auditing e la registrazione non aggiungono alcuna configurazione aggiuntiva per le distribuzioni commerciali da quanto fornito dal sistema operativo, ma possono essere migliorate aggiungendo impostazioni di sicurezza aggiuntive abilitando STIG.
Per ulteriori informazioni, fare riferimento agli argomenti sotto riportati.
- Abilitare FIPS, SE Linux e STIG nei componenti del sistema DB
- Strumento Security Technical Implementation Guide (STIG) per il sistema DB
Sicurezza degli utenti
In questo argomento viene descritta la sicurezza utente disponibile nel servizio Base Database. I componenti di Base Database Service vengono gestiti a intervalli regolari da diversi account utente. Oracle utilizza e consiglia solo il login SSH basato su token. Gli utenti o i processi Oracle non utilizzano l'autenticazione basata su password.
Per impostazione predefinita, vengono creati i seguenti tipi di utenti:
Utenti predefiniti: nessun privilegio di accesso
Questo elenco di utenti è composto da utenti del sistema operativo predefiniti. Questi utenti non devono essere modificati. Questi utenti non possono eseguire il login al sistema.
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin
lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
sync:x:5:0:sync:/sbin:/bin/sync
shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
halt:x:7:0:halt:/sbin:/sbin/halt
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
operator:x:11:0:operator:/root:/sbin/nologin
games:x:12:100:games:/usr/games:/sbin/nologin
ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
nobody:x:99:99:Nobody:/:/sbin/nologin
systemd-network:x:192:192:systemd Network Management:/:/sbin/nologin
dbus:x:81:81:System message bus:/:/sbin/nologin
rpc:x:32:32:Rpcbind Daemon:/var/lib/rpcbind:/sbin/nologin
polkitd:x:999:996:User for polkitd:/:/sbin/nologin
rpcuser:x:29:29:RPC Service User:/var/lib/nfs:/sbin/nologin
nfsnobody:x:65534:65534:Anonymous NFS User:/var/lib/nfs:/sbin/nologin
ntp:x:38:38::/etc/ntp:/sbin/nologin
tss:x:59:59:Account used by the trousers package to sandbox the
tcsd daemon:/dev/null:/sbin/nologin
sssd:x:998:994:User for sssd:/:/sbin/nologin
named:x:25:25:Named:/var/named:/sbin/nologin
sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin
dhcpd:x:177:177:DHCP server:/:/sbin/nologin
saslauth:x:997:76:Saslauthd user:/run/saslauthd:/sbin/nologin
tcpdump:x:72:72::/:/sbin/nologinUtenti predefiniti: con privilegi di login
Questi utenti privilegiati sono responsabili dell'esecuzione della maggior parte dei compiti nel sistema. Questi utenti non dovrebbero mai essere modificati o eliminati in quanto avrebbero un impatto significativo sul sistema in esecuzione. Le chiavi SSH vengono utilizzate per eseguire il login.
Di seguito è riportato l'elenco degli utenti predefiniti con privilegi di login.
rootè un requisito Linux. Viene utilizzato con moderazione per eseguire comandi con privilegi locali. La radice viene utilizzata anche per alcuni processi come l'agente TFA. Esegue l'agente locale (detto anche "Agente DCS") che esegue operazioni del ciclo di vita per il software RDBMS (applicazione di patch, creazione di database e così via).oraclepossiede l'installazione del software di Oracle Database ed esegue i processi RDBMS.gridpossiede l'installazione del software di Oracle Grid Infrastructure ed esegue i processi GI.opcviene utilizzato da Oracle Cloud Automation per le attività di automazione. L'utente ha la possibilità di eseguire determinati comandi privilegiati senza ulteriore autenticazione (per supportare le funzioni di automazione).mysqlè un utente critico e deve essere attivo e in esecuzione per il corretto funzionamento dell'agente DCS in quanto proprietario del metastore dell'agente DCS.
root:x:0:0:root:/root:/bin/bash
opc:x:54322:54323::/home/opc:/bin/bash
mysql:x:54323:54331::/home/mysql:/bin/bash
grid:x:102:1001::/home/grid:/bin/bash
oracle:x:101:1001::/home/oracle:/bin/bashImpostazioni sicurezza
Questo argomento descrive le impostazioni di sicurezza disponibili nel servizio Base Database. Di seguito sono riportate le impostazioni di sicurezza predefinite fornite nel sistema.
| Impostazioni sicurezza | Valori predefiniti |
|---|---|
| Complessità password | Lunghezza minima della password: 15 Password al massimo di caratteri ripetuti consecutivi della stessa classe di caratteri: 4 Caratteri ripetuti consecutivi al massimo della password: 3 Caratteri numerici minimi della forza della password: 1 Caratteri diversi minimi della forza della password: 4 Caratteri diversi minimi della forza della password: 8 Caratteri speciali minimi della forza della password: 1 Caratteri minuscoli della forza della password: 1 Caratteri maiuscoli minimi della forza della password: 1 |
| Configurazione account utente | Numero massimo di giorni di utilizzo di una password: 60 Numero minimo di giorni consentiti tra le modifiche della password: 1 Algoritmo hash cifratura: SHA512 Ritardo errore di accesso: 4 secondi |
| Opzioni disabilitate | Disabilitato Ctrl-Alt-Del Reboot Il supporto DCCP è disabilitato Il dispositivo di archiviazione USB è disabilitato X Gruppo di pacchetti Windows rimosso |
| Configurazioni SSH | È consentito solo il protocollo SSH 2 Uso abilitato della separazione dei privilegi Intervallo di timeout inattività SSH: 600 secondi Autenticazione GSSAPI disabilitata Compressione impostata su ritardata Autenticazione non certificata consentita per l'accesso SSH al sistema Il daemon SSH non consente l'autenticazione utilizzando l'autenticazione degli host noti |
| Pacchetti | Rimozione di tutti i componenti software dopo l'installazione delle versioni aggiornate Il sistema impedisce l'installazione di pacchetti locali per software, patch, service pack, driver del dispositivo o componenti del sistema operativo non verificati |
| Registrazione | I messaggi di sistema e kernel vengono inviati all'host remoto (rsyslog) Cron configurato per il log in rsyslog Configurare AIDE per l'esecuzione periodica |
| Altri | Autenticazione richiesta al boot in modalità monoutente e di manutenzione Timeout della sessione interattiva: 600 secondi PAM configurato in dispositivi SSSD Servizio di sistema PAM configurato per memorizzare solo rappresentazioni cifrate di password SSSD configurato Posizione certificato CA client backend LDAP Backend LDAP SSSD configurato per utilizzare TLS per tutte le transazioni Disabilita account dopo la scadenza della password Le utility di amministrazione degli account di gruppo sono configurate per memorizzare solo rappresentazioni cifrate delle password |
Inoltre, per impostazione predefinita, le aree ONSR consentono a FIPS, SE Linux e STIG di soddisfare gli standard dei requisiti. È possibile migliorare la sicurezza del sistema abilitando configurazioni aggiuntive. Lo standard di configurazione (STIG, Configuration Standard) può essere impostato in modo da seguire gli standard più restrittivi e aumentare la conformità alla sicurezza con lo standard Oracle Linux 7 DISA. Viene fornito uno strumento come parte dell'immagine per abilitare FIPS, SE Linux e STIG.
Per ulteriori informazioni, fare riferimento agli argomenti sotto riportati.
- Abilitare FIPS, SE Linux e STIG nei componenti del sistema DB
- Strumento Security Technical Implementation Guide (STIG) per il sistema DB
Processi di sicurezza
In questo argomento vengono descritti i processi di sicurezza predefiniti disponibili nel servizio Base Database. Di seguito è riportata la lista dei processi eseguiti per impostazione predefinita sulla virtual machine utente (sistema DB) denominata anche domU.
| Processi | Descrizione |
|---|---|
| agente domU | Si tratta di un agente cloud per la gestione delle operazioni del ciclo di vita del database. Esegue come utente rootla tabella di processo la mostra in esecuzione come processo java con i seguenti nomi jar: dcs-agent-VersionNumber-SNAPSHOT.jardcs-admin-VersionNumber-SNAPSHOT.jar |
| Agente TFA | Oracle Trace File Analyzer (TFA) fornisce diversi strumenti di diagnostica in un singolo bundle, semplificando la raccolta di informazioni di diagnostica su Oracle Database e Clusterware, che a loro volta aiutano a risolvere i problemi quando si tratta del supporto Oracle. Esegue come utente rootesegue come initd demoni (/etc/init.d/init.tfa)le tabelle di processo mostrano un'applicazione java ( oracle.rat.tfa.TFAMain) |
| Database e GI (clusterware) | Viene eseguita come utenti oracle e gridalcuni dei processi daemon CRS/clusterware vengono eseguiti come utenti rootla tabella dei processi mostra le applicazioni seguenti: ora_*, apx_*, ams_* e oracle+ASM*mysqld e zookeeperalcuni altri processi da /u01/<version>/grid/* |
Sicurezza della rete
Questo argomento descrive la sicurezza di rete nel servizio Base Database. Di seguito è riportato l'elenco delle porte predefinite, dei processi e delle regole iptables eseguiti per impostazione predefinita sulla virtual machine utente (sistema DB), denominata anche domU.
Porte per servizio domU
Nella tabella seguente viene fornito un elenco di porte predefinite per i servizi domU.
| Tipo diinterfaccia | Nome dell'interfaccia | Porta | Processo in esecuzione |
|---|---|---|---|
| Ascolta su tutte le interfacce | 0.0.0.0 | 22 | SSH |
| Ascolta su tutte le interfacce | 0.0.0.0 | 1.522 | RDBMS: listener TNS |
| Ascolta su tutte le interfacce | 0.0.0.0 | 7.060 | Amministratore DCS |
| Ascolta su tutte le interfacce | 0.0.0.0 | 7.070 | Agente DCS |
| Ascolta su tutte le interfacce | 0.0.0.0 | 2.181 | Zookeeper |
| Ascolta su tutte le interfacce | 0.0.0.0 | 8888.8895 | RAC: Server QOMS (Quality of Management Service) |
| Ascolta su tutte le interfacce | 0.0.0.0 | 9.000 | RAC: Oracle Clusterware |
| Ascolta su tutte le interfacce | 0.0.0.0 | 68 | DHCP |
| Ascolta su tutte le interfacce | 0.0.0.0 | 123 | NTP |
| Ascolta su tutte le interfacce | 0.0.0.0 | 5.353 | DNS multicast |
| Interfaccia client | ens3 | 1.521 | RDBMS: listener TNS |
| Interfaccia client | ens3 | 5.000 | RDBMS: Autonomous Health Framework (AHF) (include TFA) |
| Interfaccia client | ens3:1 | 1.521 | RDBMS: listener TNS |
| Interfaccia client | ens3:2 | 1.521 | RDBMS: listener TNS |
| Interfaccia client | ens3:3 | 1.521 | RDBMS: listener TNS |
| Interconnessione cluster | ens4 | 1.525 | RDBMS: listener TNS |
| Interconnessione cluster | ens4 | 2.888 | Zookeeper |
| Interconnessione cluster | ens4 | 3.888 | Zookeeper |
| Interconnessione cluster | ens4 | 6.000 | RAC: comunicazione tra processi griglia |
| Interconnessione cluster | ens4 | 7.000 | RAC: servizio High Availability |
Regole iptables per domU
L'iptables predefinito è impostato su connessioni ACCEPT nelle catene di input, forward e output.
Di seguito sono riportate le regole iptables predefinite per i servizi domU.
CHAIN INPUTCHAIN FORWARDCHAIN OUTPUT
Esempio - Regole iptables
Nell'esempio seguente vengono fornite le regole iptables predefinite per i servizi domU.
iptables -L -n -vOutput:
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
43M 110G ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
2664 224K ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0
40793 2441K ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- ens4 * 0.0.0.0/0 0.0.0.0/0
3 192 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
40 2400 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:1521 /* Required for access to Database Listener, Do not remove or modify. */
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:5000 /* Required for TFA traffic. */
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:6200 /* This rule is recommended and enables the Oracle Notification Services (ONS) to communicate about Fast Application Notification (FAN) events. */
343 20580 ACCEPT tcp -- * * 169.254.0.0/16 0.0.0.0/0 state NEW tcp dpt:7070 /* Required for instance management by the Database Service, Do not remove or modify. */
132 7920 ACCEPT tcp -- * * 169.254.0.0/16 0.0.0.0/0 state NEW tcp dpt:7060 /* Required for instance management by the Database Service, Do not remove or modify. */
0 0 ACCEPT tcp -- * * 169.254.0.0/16 0.0.0.0/0 state NEW tcp dpt:22 /* Required for instance management by the Database Service, Do not remove or modify. */
3 424 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT 51078 packets, 3218K bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- * ens4 0.0.0.0/0 0.0.0.0/0
52M 170G ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
8003 548K InstanceServices all -- * * 0.0.0.0/0 169.254.0.0/16
Chain InstanceServices (1 references)
pkts bytes target prot opt in out source destination
11 660 ACCEPT tcp -- * * 0.0.0.0/0 169.254.2.0/24 owner UID match 0 tcp dpt:3260 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
1 60 ACCEPT tcp -- * * 0.0.0.0/0 169.254.0.2 owner UID match 0 tcp dpt:3260 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
0 0 ACCEPT tcp -- * * 0.0.0.0/0 169.254.0.2 tcp dpt:80 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
678 63323 ACCEPT udp -- * * 0.0.0.0/0 169.254.169.254 udp dpt:53 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
0 0 ACCEPT tcp -- * * 0.0.0.0/0 169.254.169.254 tcp dpt:53 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
0 0 ACCEPT tcp -- * * 0.0.0.0/0 169.254.0.3 owner UID match 0 tcp dpt:80 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
0 0 ACCEPT tcp -- * * 0.0.0.0/0 169.254.0.4 tcp dpt:80 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
2569 195K ACCEPT udp -- * * 0.0.0.0/0 169.254.169.254 udp dpt:123 /* Allow access to OCI local NTP service */
4727 284K ACCEPT tcp -- * * 0.0.0.0/0 169.254.169.254 tcp dpt:80 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
15 4920 ACCEPT udp -- * * 0.0.0.0/0 169.254.169.254 udp dpt:67 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
0 0 ACCEPT udp -- * * 0.0.0.0/0 169.254.169.254 udp dpt:69 /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */
0 0 REJECT tcp -- * * 0.0.0.0/0 169.254.0.0/16 tcp /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */ reject-with tcp-reset
0 0 REJECT udp -- * * 0.0.0.0/0 169.254.0.0/16 udp /* See the Oracle-Provided Images section in the Oracle documentation for security impact of modifying or removing this rule */ reject-with icmp-port-unreachableResponsabilità utente per impostazioni di sicurezza
In questo argomento vengono descritte le responsabilità e le responsabilità utente di Oracle Cloud Operations per le impostazioni di sicurezza nel servizio Base Database. Nella tabella riportata di seguito viene fornita una lista di impostazioni di sicurezza che devono essere eseguite dall'utente e dalle operazioni Oracle Cloud.
| Operazione | Oracle Cloud Platform: responsabilità di Oracle Cloud | Oracle Cloud Platform: responsabilità dell'utente | Istanze utente/tenant: responsabilità di Oracle Cloud | Istanze utente/tenant: responsabilità utente |
|---|---|---|---|---|
| DISTRIBUZIONE DATABASE | Infrastruttura software e indicazioni per l'implementazione di Base Database Service | Amministratore di rete: configura l'infrastruttura di rete cloud (VCN e subnet, gateway e così via). Amministratore del database: imposta i requisiti del database (memoria, storage, calcolo, versione del database, tipo di database e così via). |
Installare il sistema operativo, il database e il sistema Grid Infrastructure se selezionati | Amministratore del database: aggiorna la versione del software di Oracle Database, la forma dei requisiti delle virtual machine (CPU/memoria), lo storage dei dati e le risorse di configurazione dello storage di recupero in base ai carichi di lavoro, se necessario (risorse di upgrade/downgrade). |
| MONITORING | Sicurezza fisica, infrastruttura, piano di controllo, guasti hardware, disponibilità, capacità | Nessun elemento richiesto | Disponibilità dell'infrastruttura per supportare il monitoraggio degli utenti dei servizi utente. | Amministratore del database: monitoraggio del sistema operativo degli utenti, dei database, delle applicazioni e di Grid Infrastructure |
| GESTIONE E RISOLUZIONE DEGLI INCIDENTI | Gestione degli incidenti e misure correttive Preparare parti e invio sul campo | Nessun elemento richiesto | Supporto per eventuali incidenti relativi alla piattaforma sottostante | Amministratore del database: gestione degli incidenti e risoluzione per le applicazioni utente |
| GESTIONE DELLE PATCH | Applicazione proattiva di patch all'hardware, stack di controllo IaaS/PaaS | Nessun elemento richiesto | Posizionamento nell'area intermedia delle patch disponibili, ad esempio il set di patch Oracle Database | Amministratore del database: applicazione di patch alle istanze dei tenant, test Amministratore del sistema operativo: applicazione di patch al sistema operativo |
| RIPRISTINO E BACKUP | Backup e ripristino dell'infrastruttura e del piano di controllo, ricreazione delle virtual machine utente | Nessun elemento richiesto | Fornire virtual machine in esecuzione e accessibili agli utenti | Amministratore del database: snapshot / backup e recupero dei dati IaaS e PaaS degli utenti utilizzando funzionalità native o di terze parti Oracle |
Abilita funzionalità di sicurezza aggiuntive
Base Database Service offre le funzionalità di sicurezza aggiuntive riportate di seguito.
NetSecurity dbcli
La dbcli NetSecurity si occupa della crittografia dei dati mentre viaggia attraverso la rete. Quando i dati vengono spostati da Oracle Database a una terza parte o da un server a un client, devono essere cifrati alla fine del mittente e decifrati alla fine del destinatario. In NetSecurity, le regole vengono configurate con valori predefiniti sia per il client che per il server durante le operazioni di provisioning e creazione della home del database. L'interfaccia CLI dcs-agent fornisce comandi per aggiornare queste regole NetSecurity e migliorare la sicurezza per gli algoritmi di cifratura, gli algoritmi di integrità e i tipi di connessione.
Per impostazione predefinita, dcs-agent configura le seguenti regole predefinite per la home del database:
SQLNET.ENCRYPTION_SERVER=REQUIREDSQLNET.CRYPTO_CHECKSUM_SERVER=REQUIREDSQLNET.ENCRYPTION_TYPES_SERVER=(AES256,AES192,AES128)SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER=(SHA1)SQLNET.ENCRYPTION_CLIENT=REQUIREDSQLNET.CRYPTO_CHECKSUM_CLIENT=REQUIREDSQLNET.ENCRYPTION_TYPES_CLIENT=(AES256,AES192,AES128)SQLNET.CRYPTO_CHECKSUM_TYPES_CLIENT=(SHA1)
Per ulteriori informazioni sull'aggiornamento delle impostazioni, vedere Oracle Database CLI Reference.
Integrazione di OCI Vault
Il servizio Base Database ora dispone dell'integrazione con il servizio OCI Vault in tutte le aree commerciali OCI. Ora puoi creare e gestire le chiavi principali TDE all'interno del vault OCI che proteggono i tuoi database. Con questa funzione, puoi iniziare a utilizzare il servizio OCI Vault per memorizzare e gestire le chiavi di cifratura master. Le chiavi del vault OCI utilizzate per proteggere i database vengono memorizzate in un servizio ad alta disponibilità, durevole e gestito.
Nota: l'integrazione di OCI Vault è disponibile solo per Oracle Database versioni 19.13 e successive.
Con l'integrazione di OCI Vault con Base Database Service, puoi:
- Controlla e gestisci centralmente le chiavi principali TDE abilitando la cifratura delle chiavi basata su OCI Vault durante il provisioning dei database Oracle su Base Database Service.
- Conservare le chiavi principali TDE in un servizio ad alta disponibilità, durevole e gestito in cui le chiavi sono protette da moduli di sicurezza hardware (HSM) che soddisfano gli standard FIPS (Federal Information Processing Standards) 140-2 (Security Level 3) di certificazione di sicurezza.
- Ruotare periodicamente le chiavi di cifratura per mantenere la conformità alla sicurezza e, in caso di modifiche al personale, disabilitare l'accesso a un database.
- Eseguire la migrazione dalle chiavi gestite da Oracle alle chiavi gestite dall'utente per i database esistenti.
- Porta le tue chiavi, ovvero BYOK (Bring Your Own Key), e utilizzale durante la creazione di database con crittografia gestita dall'utente.
Nota:
- BYOK è applicabile solo al container database (CDB). Al pluggable database (PDB) verrà assegnata una nuova versione della chiave generata automaticamente.
- I database Oracle che utilizzano la cifratura gestita dall'utente supportano la duplicazione del sistema DB, il ripristino in loco, il ripristino in loco, la configurazione Data Guard intraregionale e le operazioni specifiche del PDB come la creazione del PDB e la duplicazione locale.
CLI per abilitare FIPS
Oracle fornisce uno strumento per gli utenti commerciali che consente di migliorare la sicurezza per impostazione predefinita. Questo strumento viene utilizzato per consentire a FIPS, SE Linux e STIG di seguire gli standard più rigorosi.
Per ulteriori informazioni, vedere Abilitare FIPS, SE Linux e STIG sui componenti del sistema DB.