Autonomous Database on Dedicated Exadata Infrastructure 中的配置管理
Autonomous Database on Dedicated Exadata Infrastructure 基于 Oracle Cloud Infrastructure (OCI) 构建，可提供标准、强化的安全配置，让您和您的团队无需花费大量时间和金钱来管理整个 Autonomous Database 组中的配置。
安全修补程序和更新是自动完成的，因此您无需担心安全性保持最新。这些功能可保护高度敏感的数据库和数据免遭代价高昂且可能造成灾难性的安全漏洞和泄露。有关详细信息，请参阅Autonomous Database 的服务维护。
自治虚拟机强化
Autonomous Database 虚拟机 (Autonomous VM) 映像（也称为客户端 VM）具有安全性。如 Oracle Software Security Assurance 中所述，其配置通过 Oracle 软件开发和保证实践进行保护。自治 VM 具有适当的防病毒和防恶意软件，这些软件配置为检测未经授权的软件和恶意软件。安装在客户端虚拟机上的 Oracle Asset Endpoint Protection and Configuration Management 软件可确保仅通过安全、经批准的流程进行配置更改。Linux OS 审计日志会收集并传输到 OCI 安全信息和事件管理 (Security Information and Event Management，SIEM) 中央系统，以便由 OCI 的安全事件检测和响应团队 (Security Event Detection and Response Team，DART) 进行安全事件检测和审计。日志自生成之日起保留 13 个月。
DART 负责管理 SIEM 仪表盘，评估事件警报，并通过在内部服务团队中开票，对真正的积极因素启动补救措施。当安全事件需要客户更新时，DART 与全球信息安全和服务团队合作发布客户更新。
所有 Oracle 自治 VM 都符合 DISA STIG（Defense Information Systems Agency Security Technical Implementation Guide，国防信息系统局安全技术实施指南）要求，并根据 Oracle Linux Security Technical Implementation Guide 进行强化，该指南解决了用户访问控制、开放端口、不需要的软件包和守护进程配置等方面的问题。您可以在此处找到 Oracle Linux DISA STIG 控件的完整列表。
手动访问自治 VM 仅限于经过公司全面审查的核心云运营团队。运营团队成员需要使用公司提供的设备上的 Oracle Cloud Network Attach（私有、安全的云网络）来访问 Exadata Infrastructure。系统会动态生成访问身份证明以响应有效的支持请求单。对客户机 VM 的任何配置更改都会经过严格的内部安全检查和更改管理过程。所有工具、脚本或软件仅在经过批准的软件生命周期和变更管理过程后才会安装或修改。
与基础设施和自治 VM 的操作员访问控制服务集成可进一步限制此访问，并将访问权限和通知交给您。操作员操作会近乎实时地登录，并发送到客户配置的 SIEM 和 Oracle 日志记录服务，以便客户根据需要下载。您可以将日志下载到客户 SIEM/Storage 或将其无限期归档到 OCI 对象存储中。有关更多详细信息，请参见 Operator Access Control service 。
OCI 安全架构进一步定义了 OCI 独特的多层 gen2 硬件和虚拟化安全性。有关更多详细信息，请参阅 Oracle Cloud Infrastructure 安全架构。
配置偏差管理
Autonomous Database 服务开发和自治 VM 映像构建是 Oracle 企业安全实践的一部分。此实施在此处发布的 Oracle Software Security Assurance 过程中得到精心控制。
自治 VM 映像配置通过代码进行控制，并在配置更改变为生产版本之前进行多次代码审查和质量保证 (QA) 周期。有关保护软件配置的 Oracle 态势和标准实践，请参阅 Oracle Software Security Assurance 文档中的安全配置部分。
Oracle 构建的代理、资产端点保护和配置管理 (AEP/CM) 软件安装在控制层服务器上，用于从基础设施和自治 VM 实例收集和传输 Linux 审计日志和 Linux 高级入侵检测环境 (Advanced Intrusion Detection Environment，AIDE) 日志。这些日志将传输到 OCI 中央 SIEM 进行审计。特定于篡改日志文件、下载外部内容、禁用安全工具等的 SIEM 规则会生成 DART 评估和响应的警报，如 Autonomous Virtual Machine Hardening 所述。
自治 VM 实例不受 ssh 直接访问的影响，但获得批准的 Oracle 操作员和自动化服务除外。可通过操作员访问控制监控所有操作员活动。
文件完整性和入侵监视
自治 VM 配置有文件入侵和监视实用程序，用于维护特定构建中文件的计数和完整性。将标记文件计数的任何更改或文件校验和中的更改。此外，还将收集 AIDE 和 HIDS 日志并将其发送到 OCI SIEM，并通过 Autonomous Virtual Machine Hardening 中介绍的 DART 流程扫描威胁。
部署到 AVMC 的所有软件构件（包括工具）都通过采用校验和并通过 SSL 证书进行数字签名的安全更改管理方法进行部署。这称为证书签名代码部署。
自治 VM 漏洞扫描和响应
所有自治 VM 映像均使用 Oracle 的安全开发实践构建，如 Oracle Software Security Assurance 中所述。企业安全解决方案保证流程 (CSSAP) 是由 Oracle 企业安全架构、全球信息安全 (Global Information Security，GIS) 和 Oracle IT 组织开发的安全审查流程，用于提供全面的信息安全管理审查。GIS 和 CSSAP 独立于 OCI 服务团队运营，以保护客户和 Oracle 的信息和软件资产。每个具有潜在安全影响的服务功能都经过 CSSAP 审查和审批流程。此外，质量保证 (QA) 测试周期使用适当的扫描工具来确保图像符合 STIG，满足服务安全准则，并准备进行 CSSAP 审查。
AVMC 的法医工具在漏洞管理中发挥着重要作用。每个自治 VM 主机的 Linux 审计日志将上载到中央 OCI SIEM，其中警报规则可捕获并显示潜在威胁。DART 响应这些警报，如 Autonomous Virtual Machine Hardening 中所述。HIDS 和防病毒日志也同样进行处理。通用漏洞和暴露 (Common Vulnerabilities and Exposures，CVE) 扫描仪将其发现发送到集中式自动化工具，在其中对漏洞发现进行分类，并为服务团队打开与发现严重程度成正比的时间标尺的系统打补丁的票证。分数大于 7 的所有 CVE 必须在 30 天内打补丁。
您可以按季度安排由虚拟机管理程序、网格基础结构、存储和客户端操作系统以及固件构成的基础设施补丁程序包。数据库版本更新和版本更新修订也可能在每个季度单独安排。根据具体的补丁程序更新要求，使用云自动化工具和自治云运营来暂存和应用所有补丁程序。
软件补丁程序开发遵循 Oracle 的安全软件开发实践、质量保证测试和 CSSAP 审查（如有必要）。修补程序开发人员、质量保证测试人员、版本管理和修补操作之间的职责分离可确保在将修补程序部署到客户硬件之前涉及多名人员。
如果可能，可以使用 Linux ksplice 等工具将更新应用到正在运行的系统，而不会停机。如果更新需要重新启动组件，则 Oracle 会以滚动方式执行组件重新启动，以确保更新过程中的服务可用性。您可以安排打补丁开始时间以符合业务 SLA。可以分别为基础结构组件（GI、OS）和每个 DBMS 主目录安排打补丁。
漏洞扫描和打补丁
Autonomous Database on Dedicated Exadata Infrastructure 经常使用商业漏洞扫描工具执行外部和内部漏洞扫描（包括发现支持端系统）。根据 Cloud Compliance Standard for Vulnerability Management 对识别的漏洞进行调查和跟踪，以解决问题。它使用各种技术措施来评估和识别第三方和开源库的更新。已实施部署到环境中的系统的经过验证的漏洞扫描以及部署前系统映像的扫描，以标识此类库并确定是否需要安全修复。公司政策和业务单位程序管理这些计划，并每年对其进行评估。
Autonomous Database 使用一种机制来汇总来自多个来源的安全查找结果（包括漏洞扫描），并将查找结果分配给相应的服务团队。通过此系统，服务团队可以管理其查找结果并与票务系统集成，以自动排队补救工作，包括根据需要发送通知和自动升级。该系统还汇总了整个组织的补救工作，并推动了日常漏洞管理工作。
Oracle Software Security Assurance (OSSA) 定义了 Oracle 在产品设计、构建、测试和维护方面构建安全性的方法，无论是客户在本地使用还是通过 Oracle Cloud 交付。Oracle 企业安全政策（包括威胁和漏洞管理的政策）每年都会进行审查，并根据需要进行更新。独立第三方每年至少进行一次系统渗透测试。
为了向所有 Oracle 客户提供最佳的安全状况，Oracle 会根据其对客户的潜在风险修复重大安全漏洞。最严重风险的问题首先得到解决。通常，针对安全漏洞的修复按以下顺序生成：
- 首先是主代码行，即为产品的下一个主要版本开发的代码行。
- 对于每个易受攻击的受支持版本，如果计划为该受支持版本设置其他补丁程序集，请创建一个重要补丁程序更新补丁程序并在下一个补丁程序集中应用该修复。
通过持续集成/连续部署 (CI/CD) 工具实施补丁程序和更新。除了多个可用性域之间存在依赖关系（例如，域名服务的更新）外，更改在每个区域和可用性域中单独实施。Oracle Patching and Security Alerts Implementation Policy 要求部署 Oracle Critical Patch Update and Security Alert 更新和关联建议。此策略还包括使用基于风险的方法修复非 Oracle 技术漏洞的要求。有关更多信息，请参见 Critical Patch Update and Security Alert programs 。
Oracle 计划并执行每月基础设施安全维护活动，同时执行季度维护。但是，这些安全补丁程序仅应用于具有重要安全更新的月份，包括针对 CVSS 评分大于或等于 7 的漏洞的修复。
- 在 Oracle 安排安全维护之前预配的任何 Exadata 基础结构都有资格进行安全维护。
- 每月的安全维护流程会更新数据库服务器，以修复严重的安全漏洞和产品问题。他们还将存储服务器更新到 Exadata 存储软件映像，该映像可解决已知的安全漏洞和产品问题。
Oracle Cloud 安全测试策略
Oracle 会定期对 Oracle Cloud 基础设施、平台和应用执行渗透和漏洞测试以及安全评估，以验证和提高 Oracle Cloud 服务的整体安全性。但是，Oracle 不评估或测试贵方通过 Oracle Cloud 服务管理或引入的任何组件（包括非 Oracle 应用程序、非 Oracle 数据库或其他非 Oracle 软件、代码或数据（如适用），包括通过贵方在 Oracle Cloud 服务中开发或创建引进（“客户组件”）。
Oracle 客户安全测试策略介绍了 Oracle 客户可以针对其 Oracle 内部部署产品和 Oracle Cloud Services 执行的安全测试活动，例如渗透测试和漏洞扫描（“安全测试”或“安全测试”）。它统称为“测试策略”，并包含在 Oracle Cloud Services 的服务规范中。本政策不涉及或提供对客户组件中包含的任何第三方材料进行测试的任何权利。只有拥有 Oracle 账户且具有提交服务维护请求所需权限且已登录环境（将成为此类测试的主题）的客户可以执行任何漏洞或渗透测试。
除非 Oracle Cloud 服务协议中另有允许或限制，否则对 Autonomous Database 服务具有系统级访问权限的服务管理员可能会根据Oracle Cloud 中的安全测试中列出的限制对 Autonomous Database 服务中包含的客户组件运行渗透和漏洞测试。
您还可以参阅安全测试常见问题解答来了解有关安全测试的可能问题解答。
端点、恶意软件和勒索软件保护
自治 VM 客户端计算机使用端点、恶意软件和勒索软件保护构建，如下所述：
- 适当的防病毒和防恶意软件工具会定期安装和更新。
- 客户机网络上的
ssh/sftp访问已关闭。 - 客户机 VM 上的指定用户帐户极其限于仅必需的进程。
- 自治 VM 已强化为 DISA STIG 标准，以确保未使用的端口未打开或在系统上运行守护进程。
- Oracle 操作员通过安全的出站连接访问客户选择的 OCI 区域中的 Oracle 管理网络。
- Oracle 操作员操作可通过 Operator Access Control 服务集成进行控制和审计。
安全事件管理
安全事件检测和响应团队 (DART) 的一个专门的安全分析师团队负责管理安全事件仪表板 24 / 7，并处理警报以过滤真正的积极因素。如果检测到真正的正，则根据事件的严重性和影响启动适当的响应。这可能包括进一步分析、根本原因评估以及与服务团队和客户沟通的修复。
Oracle 的安全事件响应策略在安全事件响应中进行了概述。