Serviços de Segurança

Uma região do Oracle Cloud Infrastructure é o componente de nível superior da infraestrutura. Cada região é uma área geográfica separada com vários locais em que há isolamento de falhas chamados de domínios de disponibilidade. Um domínio de disponibilidade é um subcomponente de uma região e é independente e altamente confiável. Cada domínio de disponibilidade é construído com uma infraestrutura totalmente independente: edifícios, geradores de energia, equipamento de refrigeração e conectividade de rede. Com a separação física, é fornecida proteção contra desastres naturais e outros tipos de acidente.

Os domínios de disponibilidade dentro da mesma região são conectados por uma rede segura de alta velocidade e baixa latência que permite criar e executar aplicativos e cargas de trabalho altamente confiáveis com mínimo impacto no desempenho e na latência do aplicativo. Todos os links entre os domínios de disponibilidade são criptografados.

Para obter mais informações, consulte Regiões e Domínios de Disponibilidade.

A Oracle Cloud Infrastructure também oferece regiões com características específicas para atender aos requisitos de segurança e conformidade de organizações governamentais:

• Oracle Cloud Infrastructure - Nuvem do Setor Governamental dos EUA
• Oracle Cloud Infrastructure - Nuvem do Setor Governamental do Reino Unido

O serviço Oracle Cloud Infrastructure Identity and Access Management fornece autenticação e autorização para todos os recursos e serviços do Oracle Cloud Infrastructure. Você pode usar uma única tenancy compartilhada por várias unidades de negócios, equipes e indivíduos, mantendo, ao mesmo tempo, segurança, isolamento e governança.

O serviço IAM usa os componentes descritos nesta seção. Para entender melhor como os componentes se encaixam, consulte Exemplo de Cenário.

COMPARTIMENTO

Uma coleção de recursos relacionados. Compartimentos são um componente fundamental do Oracle Cloud Infrastructure para organizar e isolar seus recursos na nuvem. Utilize-os para separar claramente recursos com o objetivo de medir o uso e o faturamento, o acesso (por meio do uso de políticas) e o isolamento (separando os recursos de um projeto ou unidade de negócios de outro). Uma abordagem comum é criar um compartimento para cada parte principal da sua organização. Para obter mais informações, consulte Conheça as Melhores Práticas para Configurar a Sua Tenancy.

GRUPOS DINÂMICOS

Um tipo especial de grupo que contém recursos (como instâncias do serviço Compute) que correspondem às regras definidas por você (portanto, a associação pode ser alterada dinamicamente à medida que os recursos correspondentes são criados ou excluídos). Essas instâncias atuam como atores "principais" e podem fazer chamadas de API para serviços de acordo com as políticas gravadas para o grupo dinâmico.

FEDERAÇÃO

Uma relação na qual um administrador configura entre um provedor de identidades e um provedor de serviços. Quando você federa o Oracle Cloud Infrastructure com um provedor de identidades, você gerencia usuários e grupos no provedor de identidades. Você gerencia a autorização no serviço IAM do Oracle Cloud Infrastructure.

GROUP

Um conjunto de usuários que compartilham um conjunto semelhante de privilégios de acesso. Os administradores podem conceder políticas de acesso que autorizam um grupo a consumir ou gerenciar recursos em uma tenancy. Todos os usuários de um grupo herdam o mesmo conjunto de privilégios.

REGIÃO HOME

A região na qual residem os recursos do serviço IAM. Todos os recursos do serviço IAM são globais e estão disponíveis em todas as regiões, mas o conjunto mestre de definições reside em uma única região, a região local. Você deverá fazer alterações nos recursos do serviço IAM na sua região local. As alterações serão propagadas automaticamente para todas as regiões. Para obter mais informações, consulte Gerenciando Regiões.

DOMÍNIO DE IDENTIDADES

Domínio de identidades é um contêiner para gerenciar usuários e atribuições, federar e provisionar usuários, proteger a integração de aplicativos por meio da configuração do Oracle Single Sign-On (SSO) e da administração OAuth. Ele representa uma população de usuários do Oracle Cloud Infrastructure e suas configurações e definições de segurança associadas (como MFA).

PROVEDOR DE IDENTIDADES

Uma relação confiável com um provedor de identidades federado. Os usuários federados que tentam autenticar a console do Oracle Cloud Infrastructure são redirecionados para o provedor de identidades configurado. Após a autenticação bem-sucedida, os usuários federados poderão gerenciar recursos do Oracle Cloud Infrastructure na console, como um usuário nativo do serviço IAM.

MFA

A Autenticação Multifator (MFA) é um método de autenticação que exige o uso de mais de um fator para verificar a identidade de um usuário.

ORIGEM DE REDE

Um grupo de endereços IP com permissão para acessar recursos em sua tenancy. Os endereços IP podem ser endereços IP públicos ou endereços IP de uma VCN em sua tenancy. Depois de criar a origem da rede, você usa a política para restringir o acesso apenas às solicitações originadas dos IPs na origem da rede.

RECURSO

Um objeto de nuvem que você cria e usa ao interagir com os serviços do Oracle Cloud Infrastructure. Por exemplo, instâncias de computação, volumes de armazenamento em blocos, redes virtuais na nuvem (VCNs ), sub-redes, bancos de dados, aplicativos de terceiros, aplicativos Software-as-a-Service (SaaS), software local e aplicativos web de varejo.

ROLE

Um conjunto de privilégios administrativos que podem ser designados a um usuário em um domínio de identidades.

POLÍTICA DE SEGURANÇA

Um documento que especifica quem pode acessar quais recursos e como. Você pode gravar políticas para controlar o acesso a todos os serviços no Oracle Cloud Infrastructure. O acesso é concedido no nível de grupo e compartimento, o que significa que você pode gravar uma política que dá a um grupo um tipo específico de acesso em um compartimento específico ou à tenancy em si. Se você conceder a um grupo acesso à tenancy, o grupo obterá automaticamente o mesmo tipo de acesso a todos os compartimentos na tenancy. Para obter mais informações, consulte Exemplo de Cenário e Visão Geral de Políticas do Serviço IAM. A palavra "política" é usada pelas pessoas de maneiras distintas: para se referir a uma instrução individual escrita na linguagem da política; para se referir a um conjunto de instruções em um único documento chamado de "política" (que tem um OCID (Oracle Cloud ID) designado a ele); e para indicar o conjunto completo das políticas que sua organização usa para controlar o acesso aos recursos.

Quando você aplica uma política, pode haver um pequeno atraso antes que a política seja efetiva.

POLÍTICA DE SIGN-ON

Uma política de sign-on permite que administradores de domínio de identidades, administradores de segurança e administradores de aplicativos definam critérios que determinem se um usuário poderá acessar um domínio de identidades.

TAGS

As tags permitem que você organize recursos em vários compartimentos para fins de geração de relatórios ou para executar ações em massa.

TENANCY

O compartimento raiz que contém todos os recursos do Oracle Cloud Infrastructure da organização. O sistema Oracle cria automaticamente a tenancy de sua empresa para você. Diretamente na tenancy estão suas entidades do serviço IAM (usuários, grupos, compartimentos e algumas políticas); você também pode colocar políticas em compartimentos dentro da tenancy. Você coloca os outros tipos de recursos de nuvem (por exemplo, instâncias, redes virtuais, volumes de armazenamento em blocos etc.) nos compartimentos que você cria.

Os administradores de tenancy podem criar usuários e grupos e designar a eles o acesso menos privilegiado a recursos particionados em compartimentos.

Usuário

Um funcionário ou sistema individual que precisa gerenciar ou usar os recursos do Oracle Cloud Infrastructure da sua empresa. Os usuários podem precisar iniciar instâncias, gerenciar discos remotos, trabalhar com sua rede virtual na nuvem etc. Os usuários finais do seu aplicativo não são normalmente usuários do IAM. Os usuários têm uma ou mais credenciais do serviço IAM (consulte Credenciais do Usuário).

Allow group <group_name> to <verb> <resource-type> in compartment <compartment_name>

Allow group GroupAdmins to manage groups in tenancy

Allow group TestNetworkAdmins to manage virtual-network-family in compartment TestCompartment

Para obter mais informações, consulte:

• Visão Geral do Serviço IAM
• Tipos de Domínio de Identidades do Serviço IAM
• Gerenciando Domínios de Identidade
• Gerenciando Compartimentos
• Visão Geral de Políticas do Serviço IAM
• Credenciais do Usuário
• Federação com Provedores de Identidades
• Protegendo o IAM

Use o Cloud Guard para examinar os recursos do Oracle Cloud Infrastructure em busca de falhas de segurança relacionadas à configuração e para examinar os operadores e os usuários em busca de atividades de risco. Após a detecção, o Cloud Guard sugere ações corretivas e pode ser configurado para tomar determinadas ações automaticamente. Por exemplo:

• Detecte uma instância acessível publicamente (tem um endereço IP público ou está em uma sub-rede pública) e interrompa a instância.
• Detecte um bucket do serviço Object Storage que seja acessível publicamente e desative o bucket.
• Detecte um login de usuário de um endereço IP suspeito e restrinja o tráfego desse endereço.
• Detecte atividades do usuário que possam indicar uma conta comprometida ou uma ameaça interna.

A Oracle recomenda que você ative o Cloud Guard em sua tenancy. Você pode configurar um destino do Cloud Guard para examinar toda a sua tenancy (compartimento raiz e todos os subcompartimentos) ou pode configurar destinos para verificar apenas compartimentos específicos.

Cada destino é associado a receitas do detector, que definem ações específicas do usuário ou configurações de recursos que fazem com que o Cloud Guard relate um problema. A Oracle fornece várias receitas padrão do detector do Cloud Guard, que você pode usar como estão ou personalizar conforme necessário. Por exemplo, talvez você queira alterar o nível de risco ou as definições associadas a determinadas regras do detector. À medida que o Cloud Guard adiciona novas regras do detector, elas são ativadas automaticamente em receitas gerenciadas pela Oracle e desativadas em receitas personalizadas.

A receita do Detector de Ameaças no Cloud Guard contém um conjunto de regras projetadas especificamente para detectar padrões sutis de atividade em sua tenancy que podem eventualmente representar um problema de segurança.

Uma receita de respondedor do Cloud Guard define a ação ou o conjunto de ações a serem tomadas em resposta a um problema identificado por um detector. Você também pode usar os serviços Eventos e Notificações para enviar notificações sempre que o Cloud Guard detectar um tipo de problema para o qual você deseja ser notificado. Você pode enviar notificações por e-mail ou Slack ou executar código personalizado no serviço Functions.

Para obter mais informações, consulte Cloud Guard.

O Oracle Cloud Infrastructure Vulnerability Scanning Service ajuda a melhorar sua postura de segurança, verificando regularmente instâncias de computação e imagens de contêiner em busca de possíveis vulnerabilidades. O serviço gera relatórios com métricas e detalhes sobre essas vulnerabilidades e atribui a cada uma delas um nível de risco. Por exemplo:

• As portas que são deixadas em abertas acidentalmente podem ser um vetor de ataque potencial para seus recursos de nuvem ou permitir que hackers explorem outras vulnerabilidades.
• Pacotes do SO que requerem atualizações e patches para tratar vulnerabilidades
• Configurações do SO que os hackers podem explorar
• benchmarks padrão do setor publicados pelo Center for Internet Security (CIS) para o sistema operacional de destino

Você também pode monitorar essas vulnerabilidades no Cloud Guard. Após a detecção de uma vulnerabilidade, o Cloud Guard sugere ações corretivas e pode ser configurado para tomar automaticamente determinadas ações.

Para obter mais informações, consulte Visão Geral do Scanning.

O serviço Security Zones permite que você tenha certeza de que seus recursos do serviço Compute, Networking, Object Storage, Database e outros recursos estão em conformidade com os princípios de segurança e as práticas recomendadas da Oracle. Uma zona de segurança está associada a um ou mais compartimentos  e a uma receita de zona de segurança. Quando você criar e atualizar recursos em uma zona de segurança, o Oracle Cloud Infrastructure validará essas operações de acordo com as políticas de zona de segurança na receita da zona. Se qualquer política de zona de segurança for violada, a operação será negada.

Seguem alguns exemplos de políticas de zona de segurança:

• As sub-redes em uma zona de segurança não podem ser públicas. Todas as sub-redes devem ser privadas.
• O volume de inicialização de uma instância de computação em uma zona de segurança também deve estar em uma zona de segurança.
• Os buckets do serviço Object Storage em uma zona de segurança devem usar uma chave de criptografia principal gerenciada pelo cliente.
• Não é possível mover determinados recursos, como volumes em blocos e instâncias de computação de uma zona de segurança para um compartimento padrão.

Ative o Cloud Guard antes de criar zonas de segurança. O Cloud Guard ajuda a detectar violações de política nos recursos existentes que foram criados antes da zona de segurança.

Para obter mais informações, consulte Visão Geral de Zonas de Segurança.

Você pode usar o serviço Vault para criar e gerenciar os seguintes recursos:

• Vaults
• Chaves
• Segredos

Um vault inclui as chaves de criptografia e credenciais secretas que você usa para proteger seus dados e se conectar a recursos protegidos. Como recursos gerenciados pelo cliente, você tem controle completo sobre quem tem acesso aos seus vaults, chaves e segredos. Você também controla o que os usuários e serviços autorizados podem fazer com os recursos do serviço Vault. Os níveis de acesso podem variar de algo tão granular quanto se uma chave individual pode ser usada por um determinado serviço até atividades de gerenciamento do ciclo de vida mais amplamente impactantes, como se um usuário pode excluir uma chave de um vault para evitar completamente seu uso.

As chaves são armazenadas em módulos de segurança de hardware altamente disponíveis e duráveis (HSM) que atendem à certificação de segurança FIPS (Federal Information Processing Standards) 140-2 Nível de Segurança 3. Segredos e versões secretas são codificados em base64 e criptografados com chaves de criptografia principais, mas não residem no HSM.

Os algoritmos de criptografia de chave suportados pelo serviço Vault incluem o AES (Advanced Encryption Standard), o algoritmo RSA (Rivest-Shamir-Adleman) e o ECDSA (eliptic curve digital signature algorithm). Você pode criar e usar chaves simétricas AES e chaves assimétricas RSA para criptografia e decriptografia. Você também pode usar chaves assimétricas RSA ou ECDSA para assinar mensagens digitais.

As políticas de zona de segurança exigem que você criptografe recursos usando chaves gerenciadas pelo cliente sempre que possível. Os serviços a seguir suportam o uso de chaves gerenciadas pelo cliente para criptografia de recursos:

• Serviço Block Volume
• Kubernetes Engine
• Oracle Cloud Infrastructure Database
• Serviço File Storage
• Serviço Object Storage
• Fluxo

Para obter mais informações, consulte Visão Geral do Serviço Vault.

O Security Advisor ajuda a criar recursos de nuvem que se alinham aos princípios de segurança e às melhores práticas da Oracle. Ele também garante que seus recursos atendam aos requisitos impostos pelas políticas de zona de segurança. Por exemplo, você pode criar rapidamente recursos criptografados com uma chave de criptografia principal gerenciada pelo cliente usando o serviço Vault.

Por exemplo, você pode usar o Security Advisor para criar os seguintes recursos:

• bucket do Serviço Object Storage
• sistema de arquivos do serviço File Storage
• Instância do serviço Compute (Compute) (e volume de inicialização associado)
• Volume de armazenamento em blocos do serviço Block Volume

Para obter mais informações, consulte Visão Geral do Security Advisor.

O Oracle Cloud Infrastructure Bastion oferece acesso restrito e com tempo limitado para recursos de destino que não têm pontos finais públicos.

Por meio da configuração de um bastion, você pode permitir que usuários autorizados se conectem a recursos de destino em pontos finais privados por meio de sessões SSH (Secure Shell). Quando conectados, os usuários podem interagir com o recurso de destino usando qualquer software ou protocolo suportado pelo SSH. Por exemplo, você pode emitir comandos RDP (Remote Desktop Protocol) ou estabelecer conexão com um banco de dados usando o Oracle Net Services. Os destinos podem incluir recursos como instâncias de computação, sistemas de BD e Autonomous Database para bancos de dados de Processamento de Transações e Cargas de Trabalho Mistas.

Os bastions residem em uma sub-rede pública e estabelecem a infraestrutura de rede necessária para conectar um usuário a um recurso de destino em uma sub-rede privada. A integração com o serviço IAM fornece autenticação e autorização de usuário. Os bastions fornecem uma camada extra de segurança, permitindo especificar quais endereços IP podem se conectar a uma sessão hospedada pelo bastion.

Para obter mais informações, consulte Bastion.

A Oracle Cloud Infrastructure Threat Intelligence agrega dados de inteligência de ameaças em muitas fontes diferentes e seleciona esses dados para fornecer orientação acionável para detecção e prevenção de ameaças no Oracle Cloud Guard e em outros serviços da Oracle Cloud Infrastructure.

Atores maliciosos geralmente usam técnicas conhecidas para atacar ambientes de destino. As informações contextuais sobre os indicadores de ameaça encontrados em seu ambiente podem ajudá-lo a priorizar alertas e entender seu cenário de ameaças. A Inteligência de Ameaças fornece insights de pesquisadores de segurança da Oracle de elite, nossa própria telemetria exclusiva, feeds de código aberto padrão do setor e parceiros de terceiros.

Quando a receita do Detector de Ameaças está ativada no Cloud Guard, ela compara dados do Threat Intelligence com seus logs e telemetria de Auditoria para detectar atividades suspeitas e reportá-las como um problema.

Para obter mais informações, consulte Visão Geral do Serviço Threat Intelligence.

O Oracle Cloud Infrastructure Web Application Firewall (WAF) é um serviço de segurança baseado na nuvem e compatível com o PCI (Payment Card Industry) que protege aplicativos do tráfego malicioso e indesejado na internet. O WAF pode proteger qualquer ponto final voltado para a Internet, fornecendo aplicação de regras consistente entre seus aplicativos.

Use o WAF para criar e gerenciar regras de proteção para ameaças da internet, incluindo XSS (Cross-Site Scripting), Injeção de SQL e outras vulnerabilidades definidas pelo OWASP. Os bots indesejados podem ser mitigados enquanto os bots desejáveis podem entrar. Você também pode definir e aplicar regras de proteção personalizadas às suas configurações de WAF usando o Idioma da Regra ModSecurity.

Use o serviço WAF para criar regras de acesso que definam ações explícitas para solicitações que atendam a várias condições. Por exemplo, as regras de acesso podem limitar as solicitações com base na geografia ou na assinatura da solicitação. Uma ação de regra pode ser definida para registrar em log e permitir, detectar, bloquear, redirecionar, ignorar ou mostrar um CAPTCHA para todas as solicitações que correspondem às condições.

Para obter mais informações, consulte Visão Geral do Serviço Web Application Firewall.

O serviço Oracle Cloud Infrastructure Audit registra todas as chamadas de API para recursos na tenancy de um cliente e atividade de login na Console. Você pode atingir suas metas de segurança e conformidade usando o serviço Audit para monitorar todas as atividades do usuário em sua tenancy. Como todas as chamadas da Console, SDK e CLI (linha de comando) passam por nossas APIs, todas as atividades dessas origens são incluídas. Os registros de auditoria estão disponíveis por meio de uma API de consulta filtrável autenticada ou podem ser recuperados como arquivos batch do Oracle Cloud Infrastructure Object Storage. O conteúdo do log de auditoria inclui a atividade ocorrida, o usuário que a iniciou, a data e a hora da solicitação, bem como o IP de origem, o agente do usuário e cabeçalhos HTTP da solicitação.

Para obter mais informações, consulte: Visão Geral do Audit.