Gerenciamento de Configuração no Autonomous AI Database na Infraestrutura Dedicada do Exadata

Desenvolvido na Oracle Cloud Infrastructure (OCI), o Autonomous AI Database na Dedicated Exadata Infrastructure fornece configurações de segurança padrão e reforçadas para que você e sua equipe não precisem gastar grandes quantidades de tempo e dinheiro gerenciando configurações em sua frota de Autonomous AI Database.

Os patches e atualizações de segurança são feitos automaticamente, portanto você não precisa se preocupar em manter a segurança atualizada. Esses recursos protegem seus bancos de dados altamente confidenciais e dados de brechas e vulnerabilidades de segurança dispendiosas e possivelmente desastrosas. Consulte Manutenção de Serviços do Autonomous AI Database para obter mais detalhes.

Protegendo a Máquina Virtual Autônoma

As imagens do Autonomous AI Database Virtual Machine (Autonomous VM), também conhecidas como VMs clientes, são protegidas pela segurança. Conforme descrito no Oracle Software Security Assurance, suas configurações são protegidas por meio de práticas de desenvolvimento e garantia de software da Oracle. As VMs autônomas têm software antivírus e anti-malware adequado configurado para detectar software e malware não autorizados. O software Asset Endpoint Protection and Configuration Management da Oracle, instalado em máquinas virtuais clientes, garante que as alterações na configuração sejam feitas apenas por meio de processos seguros e aprovados. OS logs de auditoria do SO Linux são coletados e transferidos para um sistema central do OCI Security Information and Event Management (SIEM) para detecção e auditoria de incidentes de segurança pela Equipe de Detecção e Resposta de Incidentes de Segurança (DART) da OCI. Os logs são retidos por 13 meses a partir da data de geração.

A DART é responsável por gerenciar painéis SIEM, avaliar alertas de incidentes e iniciar ações de remediação em verdadeiros aspectos positivos, abrindo tickets em equipes de serviço interno. Quando um evento de segurança exige uma atualização do cliente, a DART trabalha com as equipes de Segurança da Informação Global e de serviços para emitir uma atualização do cliente.

Todas as VMs Autônomas da Oracle são compatíveis com o DISA STIG (Defense Information Systems Agency Security Technical Implementation Guide) e são reforçadas de acordo com o Oracle Linux Security Technical Implementation Guide, que aborda problemas relacionados a controles de acesso de usuários, portas abertas, pacotes indesejados e configurações daemon, entre outros. Você pode encontrar uma lista completa dos controles do Oracle Linux DISA STIG aqui.

O acesso manual a VMs autônomas é restrito a uma equipe principal de operações na nuvem cuidadosamente verificada pela empresa. Os membros da equipe de operações devem estar no Oracle Cloud Network Attach (uma rede de nuvem privada e segura) de um dispositivo fornecido pela empresa para acessar a Infraestrutura Exadata. As credenciais de acesso são geradas dinamicamente em resposta a tickets de suporte válidos. Qualquer alteração de configuração nas VMs do Cliente passa por uma rigorosa revisão de segurança interna e um processo de gerenciamento de alterações. Todas as ferramentas, scripts ou softwares são instalados ou modificados somente após passarem pelo ciclo de vida do software aprovado e pelo processo de gerenciamento de alterações.

A integração com o serviço Operator Access Control para infraestrutura e VMs Autônomas restringe ainda mais esse acesso e coloca a permissão de acesso e a notificação em suas mãos. As ações do operador são registradas quase em tempo real e enviadas a um SIEM configurado pelo cliente e ao serviço de log da Oracle para download pelo cliente, conforme desejado. Você pode fazer download dos logs para o SIEM/Storage do cliente ou arquivá-los indefinidamente no OCI Object Storage. Consulte Serviço Operator Access Control para obter mais detalhes.

A arquitetura de segurança da OCI define ainda mais a segurança exclusiva de hardware e virtualização gen2 em várias camadas da OCI. Você pode consultar Arquitetura de Segurança do Oracle Cloud Infrastructure para obter mais detalhes.

Gerenciamento de Desvio de Configuração

O desenvolvimento de serviços do Autonomous AI Database e a criação de imagem de VM Autônoma fazem parte do escopo das práticas de segurança corporativa da Oracle. Essa implementação é controlada cuidadosamente no processo do Oracle Software Security Assurance, publicado aqui.

As configurações de imagem de VM autônoma são controladas por meio de código e passam por várias revisões de código e ciclos de garantia de qualidade (QA) antes que uma alteração de configuração chegue a uma versão de produção. Consulte a seção Configurações de segurança da documentação do Oracle Software Security Assurance para obter a postura e as práticas padrão da Oracle para proteger configurações de software.

Um agente criado pela Oracle, o software AEP/CM (Active Endpoint Protection and Configuration Management) é instalado em servidores de plano de controle para coletar e transferir logs de auditoria do Linux e logs AIDE (Advanced Intrusion Detection Environment) do Linux de instâncias de infraestrutura e de VM Autônoma. Esses logs são transferidos para um SIEM central do OCI para fins de auditoria. As regras SIEM específicas para adulteração de arquivos de log, download de conteúdo externo, desativação de ferramentas de segurança e outros geram alertas que o DART avalia e responde conforme descrito na Proteção de Máquina Virtual Autônoma.

As instâncias de VM autônoma são protegidas do acesso direto ao ssh, exceto de operadores e automação Oracle aprovados. Toda a atividade do operador pode ser monitorada através do Operator Access Control.

Integridade de Arquivos e Monitoramento de Invasão

As VMs autônomas são configuradas com um utilitário de intrusão e monitoramento de arquivos que mantém a contagem e a integridade de arquivos em um build específico. Qualquer alteração na contagem de arquivos ou alteração na soma de verificação de um arquivo é sinalizada. Os logs do AIDE e do HIDS também são coletados e enviados para o OCI SIEM e verificados em busca de ameaças por meio do processo DART explicado no Autonomous Virtual Machine Hardening.

Todos os artefatos de software implantados em um AVMC, incluindo ferramentas, são implantados por meio de um método seguro de gerenciamento de alterações que emprega somas de verificação e assinado digitalmente usando certificados SSL. Isso denomina-se implantação de código assinada pelo certificado.

Verificação e Resposta de Vulnerabilidade de VM Autônoma

Todas as imagens de VM Autônoma são criadas usando as práticas de desenvolvimento seguro da Oracle, conforme documentado no Oracle Software Security Assurance. O Corporate Security Solution Assurance Process (CSSAP) é um processo de revisão de segurança desenvolvido pela arquitetura de segurança corporativa da Oracle, Global Information Security (GIS) e pelas organizações de TI da Oracle para fornecer uma revisão abrangente do gerenciamento de segurança da informação. O GIS e o CSSAP operam independentemente das equipes de serviço da OCI para proteger os ativos de informações e software do Cliente e da Oracle. Cada recurso de serviço com um potencial impacto na segurança passa por um processo de revisão e aprovação CSSAP. Além disso, os ciclos de teste de garantia de qualidade (QA) usam ferramentas de varredura apropriadas para garantir que as imagens sigam o STIG, atendam às diretrizes de segurança do serviço e estejam prontas para revisão de CSSAP.

Ferramentas forenses em AVMCs desempenham um papel proeminente no gerenciamento de vulnerabilidades. Os logs de auditoria do Linux de cada host de VM Autônoma são transferidos por upload para um SIEM central da OCI, no qual as regras de alerta capturam e apresentam ameaças potenciais. O DART responde a esses alertas conforme explicado no Autonomous Virtual Machine Hardening. HIDS e logs de antivírus também são processados de forma semelhante. Um scanner de Vulnerabilidades e Exposições Comuns (CVE) envia suas descobertas para uma ferramenta de automação central em que as descobertas de vulnerabilidade são categorizadas e os tickets são abertos para que as equipes de serviço apliquem patches aos sistemas em uma escala de tempo proporcional à gravidade da descoberta. Todos os CVEs com uma pontuação maior que 7 devem ser corrigidos em até 30 dias.

Você pode programar pacotes de patches de infraestrutura que incluem Hypervisor, Grid Infrastructure, Sistemas Operacionais de Armazenamento e Cliente e Firmware trimestralmente. Atualizações de Release do Banco de Dados e Revisões de Atualização de Release também podem ser programadas separadamente a cada trimestre. Todos os patches são preparados e aplicados usando ferramentas de automação na nuvem e Operações Autônomas na Nuvem, conforme a atualização de patch específica exige.

O desenvolvimento de patches de software segue as práticas de desenvolvimento de software seguro da Oracle, teste de QA e revisões de CSSAP conforme necessário. A separação de tarefas entre desenvolvedores de patches, testadores de QA, gerenciamento de versões e operações de aplicação de patches garante que vários funcionários estejam envolvidos antes que um patch entre no hardware do cliente.

Quando possível, as atualizações são aplicadas ao sistema em execução sem tempo de inatividade usando ferramentas como o Linux ksplice. Se uma atualização exigir uma reinicialização do componente, o sistema Oracle executará a reinicialização do componente de forma incremental para garantir a disponibilidade do serviço durante o processo de atualização. Você pode programar os horários iniciais da aplicação de patches para se alinhar aos SLAs de negócios. A aplicação de patches pode ser programada separadamente para componentes de infraestrutura (GI, SO) e cada home do DBMS.

Verificações de Vulnerabilidade e Aplicação de Patches

O Autonomous AI Database on Dedicated Exadata Infrastructure executa varreduras de vulnerabilidade externas e internas (que incluem a descoberta de sistemas de fim de suporte) frequentemente usando ferramentas de varredura de vulnerabilidade comercial. As vulnerabilidades identificadas são investigadas e rastreadas até a resolução pelo Cloud Compliance Standard for Vulnerability Management. Ele usa várias medidas técnicas para avaliar e identificar atualizações para bibliotecas de terceiros e de código aberto. Varreduras de vulnerabilidade autenticadas de sistemas implantados no ambiente, bem como varreduras de imagens do sistema de pré-implantação, foram implementadas para identificar essas bibliotecas e determinar se as correções de segurança são necessárias. As políticas corporativas e os procedimentos das unidades de negócios regem esses programas e os avaliam anualmente.

O Autonomous AI Database usa um mecanismo para agregar descobertas de segurança de várias fontes (incluindo varreduras de vulnerabilidade) e atribuir descobertas à equipe de serviço apropriada. Esse sistema permite que as equipes de serviço gerenciem suas descobertas e se integrem aos sistemas de emissão de tíquetes para enfileiramento automatizado do trabalho de remediação, incluindo notificações e escalações automáticas, conforme necessário. O sistema também resume o trabalho de remediação em toda a organização e impulsiona os esforços diários de gerenciamento de vulnerabilidades.

O Oracle Software Security Assurance (OSSA) define a metodologia da Oracle para integrar a segurança ao design, à criação, aos testes e à manutenção de seus produtos, seja usado localmente pelos clientes ou entregue por meio do Oracle Cloud. As políticas de Segurança Corporativa da Oracle (incluindo políticas que tratam do gerenciamento de ameaças e vulnerabilidades) são revisadas anualmente e atualizadas conforme necessário. Pelo menos anualmente, terceiros independentes realizam um teste de penetração do sistema.

Para oferecer a melhor postura de segurança a todos os clientes da Oracle, a Oracle corrige vulnerabilidades de segurança significativas com base no risco provável que elas representam para os clientes. Os problemas com os riscos mais graves são corrigidos primeiro. Em geral, as correções para vulnerabilidades de segurança são produzidas na seguinte ordem:

Patches e atualizações são implementados por meio de ferramentas de integração contínua/implantação contínua (CI/CD). Exceto quando existem dependências em vários domínios de disponibilidade (por exemplo, atualizações em serviços de nome de domínio), as alterações são implementadas separadamente em cada região e domínio de disponibilidade. A Política de Implementação de Patches e Alertas de Segurança da Oracle requer a implantação de atualizações de Atualização de Patches Críticos e Alertas de Segurança da Oracle e recomendações associadas. Esta política também inclui requisitos para remediar vulnerabilidades em tecnologia não Oracle usando uma abordagem baseada em risco. Para obter mais informações, consulte Programas Críticos de Atualização de Patches e Alerta de Segurança.

A Oracle programa e executa uma manutenção mensal de segurança da infraestrutura juntamente com a manutenção trimestral. No entanto, esses patches de segurança são aplicados apenas nos meses com atualizações de segurança críticas, incluindo correções de vulnerabilidades com pontuações de CVSS maiores ou iguais a 7.

Política de Teste de Segurança do Oracle Cloud

A Oracle executa regularmente testes de penetração e vulnerabilidade e avaliações de segurança em relação à infraestrutura, plataformas e aplicativos Oracle Cloud para validar e melhorar a segurança geral dos serviços Oracle Cloud. No entanto, a Oracle não avalia ou testa nenhum componente (incluindo aplicativos não Oracle, bancos de Dados não Oracle ou outro software, código ou dados não Oracle, conforme aplicável) que você gerencie por meio ou introduza em ; incluindo introdução por meio de seu desenvolvimento ou criação em - os serviços do Oracle Cloud (os "Componentes do cliente").

A Política de Teste de Segurança do Cliente da Oracle descreve as atividades de teste de segurança, como teste de invasão e varredura de vulnerabilidade que os clientes da Oracle podem executar em seus Produtos no Local da Oracle e no Oracle Cloud Services ("Testes de Segurança" ou). Ele é coletivamente referido como "Política de Teste" e incluído nas Especificações de Serviço dos Oracle Cloud Services. Essa política não abrange nem fornece qualquer direito para conduzir testes de materiais de terceiros incluídos nos Componentes do Cliente. Somente os clientes com uma Conta Oracle com os privilégios necessários para registrar solicitações de manutenção de serviço e que estiverem conectados ao ambiente que será o objeto de tal teste poderão conduzir qualquer teste de vulnerabilidade ou penetração.

Exceto se permitido ou restrito nos seus acordos de serviços do Oracle Cloud, o administrador de serviços que tiver acesso no nível do sistema ao seu serviço Autonomous AI Database pode executar testes de penetração e vulnerabilidade para os Componentes do Cliente incluídos no seu serviço Autonomous AI Database de acordo com as restrições descritas em Teste de Segurança no Oracle Cloud.

Você também pode consultar as Perguntas Frequentes sobre Testes de Segurança para encontrar respostas para perguntas que possa ter sobre seus Testes de Segurança.

Endpoint, Malware e Proteção contra Ransomware

As máquinas clientes de VM autônomas são criadas com proteção contra endpoint, malware e ransomware, conforme discutido abaixo:

Gerenciamento de Incidentes de Segurança

Uma equipe dedicada de analistas de segurança da equipe de detecção e resposta de incidentes de segurança (DART) é responsável por gerenciar os painéis de eventos de segurança 24 / 7 e processar alertas para filtrar verdadeiros positivos. Se for detectado um positivo verdadeiro, uma resposta adequada será iniciada com base na gravidade e no impacto do evento. Isso pode incluir análise adicional, uma avaliação de causa raiz e correção com as equipes de serviço e comunicação com o cliente.

As políticas de resposta a incidentes de segurança da Oracle são descritas em Resposta a Incidentes de Segurança.

Conteúdo Relacionado

Recursos de Segurança no Autonomous AI Database