Conformidade no Lançamento: Aplicativos Web Pré-avaliados
A maioria das empresas é necessária para certificar que seus aplicativos atendem a padrões internacionais comuns de segurança, como ISO 27001, AICPA SOC-2 ou PCI-DSS. Para simplificar o processo de obtenção dessa certificação durante a implantação no OCI, criamos uma arquitetura de referência que atende a todos os três padrões - e ela foi pré-avaliada por Schellman & Co - uma das principais empresas de certificação.
Além do PCI, se suas cargas de trabalho confiarem na eficácia dos controles relevantes para a segurança, disponibilidade ou integridade de processamento do sistema usado para processar as informações dos clientes ou a confidencialidade ou privacidade dessas informações, você precisará proteger seus sistemas e projetar as políticas de segurança de dados de maneira compatível com ISO 27001 e SOC-2. Você pode usar os serviços ISO 27001 e do Cloud Infrastructure compatíveis com SOC-2 da Oracle para iniciar seu aplicativo Web e seguindo as recomendações nesta Arquitetura de Referência, você pode manter e gerenciar sua conformidade com ISO 27001 e SOC em relação aos aplicativos e cargas de trabalho que você usa na nuvem.
Uma Avaliação de Prontidão de implantação dessa arquitetura de referência foi realizada pela Schellman & Company, LLC: uma empresa independente de Contabilidade Pública Certificada (CPA), um Avaliador de Segurança Qualificado PCI globalmente licenciado e um Corpo de Certificação ISO.
Conformidade com PCI
Seu relatório de Prontidão PCI valida que a implantação dessa arquitetura, conforme configurado, atende aos requisitos de PCI-DSS, SOC-2 e ISO 27001. Uma Matriz de Funções e Responsabilidade que descreve as etapas adicionais recomendadas também está disponível no GitHub.
Conformidade com ISO 27001
O relatório de Prontidão ISO valida que a implantação dessa arquitetura conforme configurado atende aos requisitos de controle definidos no Anexo A ISO 27001, bem como identifica as responsabilidades da entidade de usuário (cliente) para a implementação de determinados aspectos de cada atividade de controle para obter alinhamento com o Anexo A ISO 27001.
Conformidade com SOC 2
Seu relatório de prontidão SOC 2 valida que a implantação dessa arquitetura conforme configurado atende à adequação do design dos controles para atingir os compromissos de serviço (clientes) de uma entidade de usuário e os requisitos de sistema com base nos critérios para as categorias de segurança, disponibilidade e confidencialidade estabelecidos na seção 100 do TSP de 2017, Critérios de Serviços Confiáveis para Segurança, Disponibilidade, Integridade do Processamento, Confidencialidade e Privacidade (AICPA, Critérios de Serviços Confiáveis) (os "critérios de serviços de confiança aplicáveis"), bem como para identificar as responsabilidades da entidade de usuário (cliente) para implementar determinados aspectos de cada atividade de controle para alcançar o alinhamento com os Critérios de Confiança SOC 2 da AICPA.
Você deve avaliar e configurar seu ambiente para conformidade com PCI, ISO 27001 e SOC e concluir a auditoria de certificação do seu sistema de produção.
Arquitetura
Esta arquitetura de referência ilustra como as organizações podem aumentar a segurança de seus dados no OCI configurando um aplicativo Web compatível com PCI, ISO 27001 e SOC usando foguetes compatíveis com Chef e módulos Terraform compatíveis com PCI, ISO 27001 e SOC.
O diagrama a seguir ilustra essa arquitetura de referência. 
Descrição da ilustração launch_pci_webapp_on_oci.png
Esta arquitetura contém um balanceador de carga e um gateway NAT para fornecer acesso seguro à Internet. O balanceador de carga, a camada de aplicativo com o Apache Tomcat e a camada de banco de dados com o Oracle Autonomous Transaction Processing estão em sub-redes diferentes. Essas sub-redes podem ser acessadas por meio de um bastion host. O tráfego entre a internet e o bastião é feito através de um gateway de internet. Os clientes podem acessar instâncias na sub-rede privada por meio do Firewall da Aplicação Web OCI e do balanceador de carga por meio de um gateway de internet. O gateway NAT (Network Address Translation) permite que as instâncias da aplicação e da Wazuh anexadas a sub-redes privadas no VCN acessem a internet pública. As conexões por meio do gateway NAT podem ser iniciadas a partir dos recursos da VCN, e não da internet pública.
A arquitetura tem os seguintes componentes:
- Região
Uma região do Oracle Cloud Infrastructure é uma área geográfica localizada que contém um ou mais data centers, chamados domínios de disponibilidade. As regiões são independentes de outras regiões e vastas distâncias podem separá-las (entre países ou mesmo continentes).
- Domínios de disponibilidade
Os domínios de disponibilidade são centros de dados independentes e independentes em uma região. Os recursos físicos em cada domínio de disponibilidade são isolados dos recursos nos outros domínios de disponibilidade, o que fornece tolerância a falhas. Os domínios de disponibilidade não compartilham infraestrutura, como energia ou resfriamento, ou a rede de domínios de disponibilidade interna. Portanto, é improvável que uma falha em um domínio de disponibilidade afete os outros domínios de disponibilidade na região.
- Domínios de falha
Um domínio de falha é um agrupamento de hardware e infraestrutura dentro de um domínio de disponibilidade. Cada domínio de disponibilidade tem três domínios de falha com energia e hardware independentes. Quando você distribui recursos entre vários domínios de falha, seus aplicativos podem tolerar falhas físicas do servidor, manutenção do sistema e falhas de energia dentro de um domínio de falha.
- Rede virtual na nuvem (VCN) e sub-redes
Um VCN é uma rede personalizável definida por software que você configura em uma região do Oracle Cloud Infrastructure. Como as redes tradicionais de data center, as VCNs oferecem controle total sobre seu ambiente de rede. Uma VCN pode ter vários blocos CIDR não sobrepostos que você pode alterar depois de criar a VCN. Você pode segmentar uma VCN em sub-redes, que podem ter escopo para uma região ou para um domínio de disponibilidade. Cada sub-rede consiste em uma faixa contígua de endereços que não se sobrepõem às outras sub-redes da VCN. É possível alterar o tamanho de uma sub-rede após a criação. Uma sub-rede pode ser pública ou privada.
- Listas de segurança
Para cada sub-rede, você pode criar regras de segurança que especifiquem a origem, o destino e o tipo de tráfego que deve ser permitido dentro e fora da sub-rede.
- Host de Bastion
O host bastion é uma instância de computação que serve como um ponto de entrada seguro e controlado para a topologia de fora da nuvem. O bastião host é provisionado normalmente em uma zona desmilitarizada (DMZ). Ele permite proteger recursos confidenciais colocando-os em redes privadas que não podem ser acessadas diretamente de fora da nuvem. A topologia tem um único ponto de entrada conhecido que você pode monitorar e auditar regularmente. Assim, você pode evitar expor os componentes mais sensíveis da topologia sem comprometer o acesso a eles.
- Servidor Tomcat
O Apache Tomcat® é um servidor de aplicativos Java de código-fonte aberto. Ele implementa as tecnologias Java Servlet, JavaServer Pages, Java Expression Language e Java WebSocket. A aplicação Web existe nesta camada.
- Processamento de Transação Autônoma
O Oracle Autonomous Transaction Processing é um serviço de banco de dados autônomo, auto-seguro e autorreparável que é otimizado para cargas de trabalho de processamento de transações. Você não precisa configurar ou gerenciar nenhum hardware ou instalar nenhum software. O Oracle Cloud Infrastructure trata da criação do banco de dados, bem como do backup, aplicação de patches, upgrade e ajuste do banco de dados.
- Servidor WazuhO Wazuh é uma solução de monitoramento de segurança gratuita, de código-fonte aberto e pronta para empresas para detecção de ameaças, monitoramento de integridade, resposta a incidentes e fornecimento de conformidade.
- Detecção de Intrusão Baseada em Host
O agente do Wazuh é executado em nível de host, combinando tecnologias baseadas em anomalia e assinatura para detectar intrusões ou uso indevido do software. Também pode ser usado para monitorar atividades do usuário, avaliar a configuração do sistema e detectar vulnerabilidades.
- Solução SIEM abrangente
O Wazuh é usado para coletar, analisar e correlacionar dados, com a capacidade de fornecer recursos de detecção de ameaças, gerenciamento de conformidade e resposta a incidentes. Ele pode ser implantado no local ou em ambientes híbridos e de nuvem.
- Detecção de Intrusão Baseada em Host
- Armazenamento de objetos
O armazenamento de objetos oferece acesso rápido a grandes quantidades de dados estruturados e não estruturados de qualquer tipo de conteúdo, incluindo backups de bancos de dados, dados analíticos e conteúdo rico, como imagens e vídeos. Use o armazenamento padrão para armazenamento "quente" que você precisa acessar rapidamente, imediatamente e com frequência. Use o armazenamento de arquivos para armazenamento "frio" que você retém por longos períodos de tempo e raramente ou raramente acessa.
- Vault
O Oracle Cloud Infrastructure Vault permite gerenciar centralmente as chaves de criptografia que protegem seus dados e as credenciais secretas que você usa para proteger o acesso aos seus recursos na nuvem.
- Firewall do Aplicativo Web
O Oracle Cloud Infrastructure Web Application Firewall (WAF) é um serviço de segurança global compatível com PCI (indústria de cartões de pagamento) baseado em nuvem que protege os aplicativos contra tráfego de internet malicioso e indesejado. O WAF pode proteger qualquer ponto final voltado para a Internet, fornecendo aplicação de regras consistente entre os aplicativos de um cliente.
- DNS
O serviço DNS (Oracle Cloud Infrastructure Domain Name System) permite que você crie e gerencie suas zonas do DNS. Você pode criar zonas, adicionar registros a zonas e permitir que a rede de borda do Oracle Cloud Infrastructure trate as consultas DNS do seu domínio.
- Certificados SSL
Os certificados SSL são criados usando a opção Criptografar e implantados no Web Application Firewall.
Recomendações
- VCN
Ao criar uma VCN, determine o número de blocos CIDR necessários e o tamanho de cada bloco com base no número de recursos que você planeja anexar a sub-redes na VCN. Use blocos CIDR que estejam dentro do espaço de endereço IP privado padrão.
Selecione blocos CIDR que não se sobreponham a nenhuma outra rede (no Oracle Cloud Infrastructure, seu data center local ou outro provedor de nuvem) para a qual você pretenda configurar conexões privadas.
Após criar um VCN, você pode alterar, adicionar e remover seus blocos CIDR.
Ao projetar as sub-redes, considere o fluxo de tráfego e os requisitos de segurança. Anexe todos os recursos em uma camada ou atribuição específica à mesma sub-rede, que pode servir como limite de segurança.
- Conectividade da rede
Para permitir que seus administradores gerenciem o ambiente, você pode conectar a topologia da nuvem à sua infraestrutura local existente usando conexões IPSec VPN site a site ou circuitos FastConnect dedicados.
Se a topologia da nuvem precisar ser isolada da infraestrutura local, você poderá implantar um host bastião para proteger o acesso de gerenciamento aos recursos nas sub-redes privadas.
Considerações
Considere os seguintes pontos ao implantar esta arquitetura de referência.
- Desempenho
Esta Arquitetura de Referência implanta inicialmente uma única Máquina Virtual que executa o Apache Tomcat. Com base nos requisitos do seu aplicativo, você deve modificar as regras de dimensionamento automático para ativar hosts adicionais com base em métricas de carregamento apropriadas.
- Segurança
Use políticas para restringir quem pode acessar os recursos do Oracle Cloud Infrastructure que sua empresa tem e como. Para o serviço Object Storage, a criptografia é ativada por default e não pode ser desativada.
Exceto para o bastion host (se você tiver um em sua arquitetura) e balanceadores de carga, todos os componentes devem ser colocados em sub-redes privadas.
- Capacidade de gerenciamento
Um script Terraform implanta uma tenancy pré-configurada. Você pode usá-lo como modelo para gerenciar essa infraestrutura como código em seu próprio repositório de código.
- Disponibilidade
Essa arquitetura de referência pode alavancar serviços e configurações que não estão disponíveis em regiões do realm do Government Cloud.
Implantar
O código Terraform desta arquitetura de referência está disponível no GitHub. Você pode fazer download do código do GitHub para seu computador, personalizar o código e implantar a arquitetura usando a CLI do Terraform.
- Vá para o GitHub.
- Clonar ou fazer download do repositório para seu computador local.
- Siga as instruções no documento
README.