保护数据库
确保数据库服务器、对其的网络访问和实际数据是安全的。
控制用户和网络访问
企业架构师、安全架构师、数据架构师
使用口令、专用子网和网络安全组控制用户和网络访问。
- 确保用于对数据库进行身份验证的口令强大。
- 将数据库系统连接到专用子网。
专用子网没有 Internet 连接。您可以使用 NAT 网关进行安全出站通信，并使用服务网关连接到备份端点（对象存储）。
- 使用网络安全组或安全列表仅允许对数据库系统进行所需的网络访问。
限制删除数据库资源的权限
企业架构师、安全架构师、数据架构师
要防止无意中删除或恶意删除数据库，请将删除权限（
DATABASE_DELETE 和 DB_SYSTEM_DELETE）授予一组最小用户和组。
以下 IAM 策略语句允许数据库用户管理数据库、数据库系统和数据库主目录。但是，条件 where request.permission!='DB_SYSTEM_DELETE' 确保数据库用户无法删除数据库。
Allow group DBUsers to manage db-systems in tenancy where request.permission!='DB_SYSTEM_DELETE'
Allow group DBUsers to manage databases in tenancy where request.permission!='DATABASE_DELETE'
Allow group DBUsers to manage db-homes in tenancy where request.permission!='DB_HOME_DELETE'加密数据
企业架构师、安全架构师、数据架构师
在 Oracle Cloud Infrastructure 中创建的所有数据库都使用透明数据加密 (TDE) 进行加密。确保任何迁移的数据库也已加密。
定期滚动 TDE 主体密钥。建议的轮换期为 90 天或更短。
使用数据库安全性工具
企业架构师、安全架构师、数据架构师
Oracle Database 安全评估工具提供了 Oracle Cloud Infrastructure 中 Oracle 数据库的自动安全配置检查。Oracle Audit Vault and Database Firewall (AVDF) 监视数据库审计日志并创建预警。
启用数据安全
企业架构师、安全架构师、数据架构师
数据安全是 Oracle 云和内部部署数据库的统一控制中心。使用数据安全可以评估数据库和数据安全配置、检测用户帐户的关联风险、标识现有敏感数据、实施控制以保护数据以及审计用户活动。
- 将数据安全审计保留策略延长一年。
- 遮蔽数据搜索标识为敏感的数据。
- 使用安全评估确定由 Internet 安全中心 (CIS)、一般数据保护条例 (GDPR) 和国防部安全技术实施指南图书馆 (STIG) 推荐的安全控制。
- 在数据安全活动审计中为关键事件设置预警。
为自治数据库启用专用端点
企业架构师、安全架构师、数据架构师
如果可能，请将专用端点与 Oracle Autonomous Transaction Processing 一起使用。专用端点用于消除对共享自治数据库的公共访问。数据库的所有通信在 Oracle Cloud Infrastructure 中使用 VCN 保持专用状态，无需传输路由或使用服务网关。
- 定义专用端点时使用专用专用子网。
- 对于专用端点网络安全组，定义协议 TCP 和目标端口等于数据库监听程序端口的无状态 Ingress 规则。将源 CIDR 标签限制为仅子网，对于内部部署，限制为具有允许访问权限的动态路由网关 (Dynamic Routing Gateways, DRG)。
- 对于专用端点网络安全组，使用协议 TCP 定义无状态出站规则。将目标 CIDR 限制为仅子网，对于内部部署，将 DRG 限制为允许访问的子网。