Gerenciamento de Configuração no Autonomous Database on Dedicated Exadata Infrastructure

Criado com base no Oracle Cloud Infrastructure (OCI), o Autonomous Database on Dedicated Exadata Infrastructure fornece configurações de segurança padrão e reforçadas para que você e sua equipe não precisem gastar grandes quantidades de tempo e dinheiro gerenciando configurações na sua frota do Autonomous Database.

Os patches e atualizações de segurança são feitos automaticamente, portanto você não precisa se preocupar em manter a segurança atualizada. Esses recursos protegem seus bancos de dados e dados altamente confidenciais de vulnerabilidades e violações de segurança caras e potencialmente desastrosas. Consulte Manutenção de Serviços do Autonomous Database para obter mais detalhes.

Tópicos Relacionados

Proteção Autônoma de Máquina Virtual

As imagens de Máquina Virtual (VM Autônoma) do Autonomous Database, também conhecidas como VMs clientes, são protegidas por segurança. Conforme descrito no Oracle Software Security Assurance, suas configurações são protegidas por meio das práticas de desenvolvimento e garantia de software da Oracle. As VMs autônomas têm software antivírus e antimalware adequados configurados para detectar software e malware não autorizados. O software Asset Endpoint Protection and Configuration Management da Oracle, instalado nas máquinas virtuais do cliente, garante que as alterações de configuração sejam feitas apenas por meio de processos seguros e aprovados. OS logs de auditoria do SO Linux são coletados e transferidos para um sistema central do OCI Security Information and Event Management (SIEM) para detecção e auditoria de incidentes de segurança pela DART (Security Incident Detection and Response Team) da OCI. Os logs são mantidos por 13 meses a partir da data de geração.

A DART é responsável por gerenciar painéis SIEM, avaliar alertas de incidentes e iniciar ações de remediação sobre verdadeiros positivos, abrindo tickets em equipes de serviço interno. Quando um evento de segurança exige uma atualização do cliente, a DART trabalha com equipes globais de segurança da informação e serviço para emitir uma atualização do cliente.

Todas as Oracle Autonomous VMs são compatíveis com o DISA STIG (Defense Information Systems Agency Security Technical Implementation Guide) e são reforçadas de acordo com o Oracle Linux Security Technical Implementation Guide, que trata de problemas relacionados a controles de acesso de usuários, portas abertas, pacotes indesejados e configurações de daemon, entre outros. Você pode encontrar uma lista completa de controles do Oracle Linux DISA STIG aqui.

O acesso manual a VMs Autônomas é restrito a uma equipe principal de operações em nuvem cuidadosamente verificada pela empresa. Os membros da equipe de operações devem estar no Oracle Cloud Network Attach (uma rede de nuvem privada e segura) de um dispositivo fornecido pela empresa para acessar a Infraestrutura do Exadata. As credenciais de acesso são geradas dinamicamente em resposta a tickets de suporte válidos. Qualquer alteração de configuração nas VMs do Cliente passa por uma revisão de segurança interna rigorosa e um processo de gerenciamento de alterações. Todas as ferramentas, scripts ou software são instalados ou modificados apenas após passarem pelo ciclo de vida do software aprovado e pelo processo de gerenciamento de alterações.

A integração com o serviço de Controle de Acesso do Operador para infraestrutura e VMs Autônomas restringe ainda mais esse acesso e coloca permissão de acesso e notificação em suas mãos. As ações do operador são conectadas quase em tempo real e enviadas a um SIEM configurado pelo cliente e ao serviço de log da Oracle para download pelo cliente, conforme desejado. Você pode fazer download dos logs para SIEM/Storage do cliente ou arquivá-los indefinidamente no armazenamento de objetos do OCI. Consulte Serviço Operator Access Control para obter mais detalhes.

A arquitetura de segurança da OCI define ainda mais a segurança exclusiva de hardware e virtualização gen2 em várias camadas da OCI. Você pode consultar a Arquitetura de Segurança do Oracle Cloud Infrastructure para obter mais detalhes.

Gerenciamento de Tendência de Configuração

O desenvolvimento do serviço Autonomous Database e o build de imagem de VM Autônoma fazem parte do escopo das práticas de segurança corporativa da Oracle. Essa implementação é cuidadosamente controlada no processo do Oracle Software Security Assurance, publicado aqui.

As configurações de imagem de VM autônoma são controladas por meio de código e passam por várias revisões de código e ciclos de garantia de qualidade (QA) antes que uma alteração de configuração chegue a uma versão de produção. Consulte a seção Configurações seguras da documentação do Oracle Software Security Assurance para obter a postura e as práticas padrão da Oracle para proteger as configurações de software.

Um agente criado pela Oracle, o software Asset Endpoint Protection and Configuration Management (AEP/CM) é instalado em servidores de plano de controle para coletar e transferir logs de auditoria do Linux e logs do AIDE (Linux Advanced Intrusion Detection Environment) de instâncias de infraestrutura e VM Autônoma. Esses logs são transferidos para um SIEM central do OCI para fins de auditoria. Regras SIEM específicas para adulteração de arquivos de log, download de conteúdo externo, desativação de ferramentas de segurança e outras geram alertas aos quais o DART avalia e responde conforme descrito em Proteção de Máquina Virtual Autônoma.

As instâncias de VM autônoma são protegidas do acesso direto ssh, exceto por operadores e automação aprovados da Oracle. Toda a atividade do operador pode ser monitorada por meio do Operator Access Control.

Integridade de Arquivos e Monitoramento de Invasão

As VMs autônomas são configuradas com um utilitário de intrusão e monitoramento de arquivos que mantém a contagem e a integridade dos arquivos em um build específico. Qualquer alteração na contagem de arquivos ou alteração em uma soma de verificação de arquivo é sinalizada. Os logs do AIDE e do HIDS também são coletados e enviados para o OCI SIEM e verificados quanto a ameaças por meio do processo DART explicado em Proteção de Máquina Virtual Autônoma.

Todos os artefatos de software implantados em um AVMC, incluindo ferramentas, são implantados por meio de um método seguro de gerenciamento de alterações que emprega somas de verificação e assinados digitalmente usando certificados SSL. Isso é chamado de implantação de código assinado pelo certificado.

Verificação e Resposta de Vulnerabilidade de VM Autônoma

Todas as imagens de VM Autônoma são criadas usando as práticas de desenvolvimento seguro da Oracle, conforme documentado no Oracle Software Security Assurance. O Processo de Garantia de Solução de Segurança Corporativa (CSSAP) é um processo de revisão de segurança desenvolvido pela arquitetura de segurança corporativa da Oracle, pelo Global Information Security (GIS) e pelas organizações de TI da Oracle para fornecer uma revisão abrangente do gerenciamento de segurança da informação. GIS e CSSAP operam independentemente das equipes de serviço da OCI para proteger as informações e os ativos de software do Cliente e da Oracle. Cada recurso de serviço com um potencial impacto na segurança passa por um processo de revisão e aprovação CSSAP. Além disso, os ciclos de teste de garantia de qualidade (QA) usam ferramentas de verificação apropriadas para garantir que as imagens sigam o STIG, atendam às diretrizes de segurança de serviço e estejam prontas para revisão CSSAP.

Ferramentas forenses em AVMCs desempenham um papel proeminente no gerenciamento de vulnerabilidades. Os logs de auditoria do Linux de cada host de VM Autônoma são submetidos a upload para um SIEM central da OCI, em que as regras de alerta capturam e revelam possíveis ameaças. O DART responde a esses alertas conforme explicado em Proteção de Máquina Virtual Autônoma. Os registros de HIDS e antivírus também são processados da mesma forma. Um scanner Common Vulnerabilities and Exposures (CVE) envia suas descobertas para uma ferramenta de automação central, na qual as descobertas de vulnerabilidade são categorizadas, e os tickets são abertos para que as equipes de serviço corrijam os sistemas em uma escala de tempo proporcional à gravidade da descoberta. Todos os CVEs com uma pontuação maior que 7 devem ser corrigidos em 30 dias.

Você pode programar pacotes de patches de infraestrutura que incluem Hypervisor, Grid Infrastructure, Sistemas Operacionais de Armazenamento e Cliente e Firmware trimestralmente. As Atualizações de Versão do Banco de Dados e as Revisões de Atualização de Versão também podem ser programadas separadamente a cada trimestre. Todos os patches são preparados e aplicados usando ferramentas de automação em nuvem e Operações do Autonomous Cloud, conforme a atualização de patch específica exigir.

O desenvolvimento de patches de software segue as práticas seguras de desenvolvimento de software da Oracle, testes de QA e revisões CSSAP conforme necessário. A separação do dever entre desenvolvedores de patches, testadores de QA, gerenciamento de versões e operações de aplicação de patches garante que várias pessoas estejam envolvidas antes que um patch chegue ao hardware do cliente.

Quando possível, as atualizações são aplicadas ao sistema em execução sem tempo de inatividade usando ferramentas como o Linux ksplice. Se uma atualização exigir uma reinicialização do componente, a Oracle executará a reinicialização do componente de forma incremental para garantir a disponibilidade do serviço durante o processo de atualização. Você pode programar horários iniciais de aplicação de patches para se alinhar aos SLAs de negócios. A aplicação de patches pode ser programada separadamente para componentes de infraestrutura (GI, SO) e cada home do DBMS.

Varreduras de Vulnerabilidade e Aplicação de Patches

O Autonomous Database na Infraestrutura Dedicada do Exadata executa varreduras de vulnerabilidade externas e internas (que incluem a descoberta de sistemas de fim de suporte) com frequência usando ferramentas comerciais de verificação de vulnerabilidade. As vulnerabilidades identificadas são investigadas e rastreadas até a resolução pelo Cloud Compliance Standard for Vulnerability Management. Ele usa várias medidas técnicas para avaliar e identificar atualizações para bibliotecas de terceiros e de código aberto. Varreduras de vulnerabilidade autenticadas de sistemas implantados no ambiente, bem como varreduras de imagens do sistema de pré-implantação, foram implementadas para identificar essas bibliotecas e determinar se as correções de segurança são necessárias. As políticas corporativas e os procedimentos da unidade de negócio regem esses programas e os avaliam anualmente.

O Autonomous Database usa um mecanismo para agregar descobertas de segurança de várias origens (incluindo varreduras de vulnerabilidade) e designar descobertas à equipe de serviço apropriada. Esse sistema permite que as equipes de serviço gerenciem suas descobertas e se integrem aos sistemas de tickets para enfileiramento automatizado do trabalho de remediação, incluindo notificações e escalações automáticas, conforme necessário. O sistema também resume o trabalho de correção em toda a organização e impulsiona os esforços diários de gerenciamento de vulnerabilidades.

O Oracle Software Security Assurance (OSSA) define a metodologia da Oracle para criar segurança no design, criação, teste e manutenção de seus produtos, sejam usados on-premises pelos clientes ou entregues por meio da Oracle Cloud. As políticas de Segurança Corporativa da Oracle (incluindo políticas que tratam do gerenciamento de ameaças e vulnerabilidades) são revisadas anualmente e atualizadas conforme necessário. Pelo menos anualmente, terceiros independentes realizam um teste de penetração do sistema.

Para fornecer a melhor postura de segurança a todos os clientes da Oracle, a Oracle corrige vulnerabilidades de segurança significativas com base no risco provável que elas representam para os clientes. Os problemas com os riscos mais graves são corrigidos primeiro. Em geral, as correções de vulnerabilidades de segurança são produzidas na seguinte ordem:

  • Linha de código principal primeiro — essa é a linha de código que está sendo desenvolvida para a próxima versão principal do produto.
  • Para cada versão suportada vulnerável, crie um patch de Atualização Crítica de Patch e aplique a correção no próximo conjunto de patches se outro conjunto de patches estiver planejado para essa versão suportada.

Patches e atualizações são implementados por meio de ferramentas de integração/implantação contínua (CI/CD). Exceto onde existem dependências entre vários domínios de disponibilidade (por exemplo, atualizações para serviços de nome de domínio), as alterações são implementadas separadamente em cada região e domínio de disponibilidade. A Política de Implementação de Alertas de Segurança e Patches da Oracle requer a implantação das atualizações de Patches Críticos da Oracle e atualizações de Alertas de Segurança e recomendações associadas. Essa política também inclui requisitos para corrigir vulnerabilidades em tecnologia não Oracle usando uma abordagem baseada em risco. Para obter mais informações, consulte Programas Critical Patch Update and Security Alert.

A Oracle programa e executa uma atividade de manutenção mensal de segurança de infraestrutura juntamente com a manutenção trimestral. No entanto, esses patches de segurança são aplicados apenas nesses meses com atualizações de segurança críticas, incluindo correções de vulnerabilidades com pontuações de CVSS maiores ou iguais a 7.

  • Qualquer Exadata Infrastructure provisionado antes de a Oracle programar a manutenção de segurança será elegível para manutenção de segurança.
  • O processo mensal de manutenção de segurança atualiza os servidores de banco de dados para corrigir vulnerabilidades críticas de segurança e problemas de produto. Eles também atualizam servidores de armazenamento para uma imagem do Software de Armazenamento Exadata que resolve vulnerabilidades de segurança conhecidas e problemas de produto.

Política de Teste de Segurança do Oracle Cloud

A Oracle realiza regularmente testes de penetração e vulnerabilidade e avaliações de segurança em relação à infraestrutura, plataformas e aplicativos do Oracle Cloud para validar e melhorar a segurança geral dos serviços do Oracle Cloud. No entanto, a Oracle não avalia nem testa qualquer componente (incluindo aplicativos não Oracle, bancos de dados não Oracle ou outros softwares, códigos ou dados não Oracle, conforme aplicável) que você gerencia ou insere - incluindo introdução por meio de desenvolvimento ou criação nos serviços Oracle Cloud (os "Componentes do Cliente").

A Política de Teste de Segurança do Cliente da Oracle descreve as atividades de teste de segurança, como teste de penetração e verificação de vulnerabilidade, que os clientes da Oracle podem executar em seus Produtos Locais da Oracle e no Oracle Cloud Services ("Testes de Segurança" ou "Teste de Segurança"). Ele é referido coletivamente como "Política de Teste" e incluído nas Especificações de Serviço do Oracle Cloud Services. Essa política não abrange nem fornece qualquer direito para conduzir testes de materiais de terceiros incluídos nos Componentes do Cliente. Somente clientes com uma Conta Oracle com os privilégios necessários para registrar solicitações de manutenção de serviço e que estejam conectados ao ambiente que será objeto de tais testes podem conduzir qualquer teste de vulnerabilidade ou penetração.

Exceto se permitido ou restrito nos acordos de serviços do Oracle Cloud, o administrador do serviço que tiver acesso no nível do sistema ao serviço do Autonomous Database poderá executar testes de penetração e vulnerabilidade para os Componentes do Cliente incluídos no serviço do Autonomous Database de acordo com as restrições descritas em Testes de Segurança no Oracle Cloud.

Você também pode consultar as Perguntas Frequentes sobre testes de segurança para encontrar respostas para perguntas que possa ter sobre seus Testes de Segurança.

Proteção contra Endpoint, Malware e Ransomware

As máquinas cliente de VM autônoma são criadas com proteção contra endpoint, malware e ransomware, conforme discutido abaixo:

  • Ferramentas antivírus e anti-malware adequadas são instaladas e atualizadas regularmente.
  • O acesso ssh / sftp na rede do cliente está fechado.
  • As contas de usuários nomeados em VMs cliente são extremamente limitadas apenas aos processos necessários.
  • As VMs autônomas são reforçadas para os padrões DISA STIG para garantir que nenhuma porta não utilizada esteja aberta ou que os daemons sejam executados no sistema.
  • O acesso do operador da Oracle é feito por meio de uma conexão segura de saída com a rede de gerenciamento da Oracle em uma região da OCI escolhida pelo cliente.
  • As ações do operador da Oracle podem ser controladas e auditadas por meio da integração do serviço Operator Access Control.

Gerenciamento de Incidentes de Segurança

Uma equipe dedicada de analistas de segurança da equipe de detecção e resposta a incidentes de segurança (DART) é responsável por gerenciar os painéis de eventos de segurança 24 / 7 e processar alertas para filtrar verdadeiros positivos. Se um verdadeiro positivo for detectado, uma resposta adequada será iniciada com base na severidade e no impacto do evento. Isso pode incluir análises adicionais, uma avaliação de causa raiz e correção com as equipes de serviço e comunicação com o cliente.

As políticas de resposta a incidentes de segurança da Oracle são descritas em Resposta a Incidentes de Segurança.