Autonomous Database on Dedicated Exadata Infrastructure 中的組態管理
Autonomous Database on Dedicated Exadata Infrastructure (OCI) 建置在 Oracle Cloud Infrastructure 上，提供標準、強化的安全性組態，因此您和您的團隊不需要將大量時間和金錢用於管理整個 Autonomous Database 機組的組態。
系統會自動完成安全修補程式和更新，因此您不需要擔心安全性的更新。這些功能可保護您的高敏感性資料庫和資料，使其免於昂貴且可能遭受危害的安全漏洞和漏洞。如需詳細資訊，請參閱 Autonomous Database 的服務維護。
自動化虛擬機器強化
Autonomous Database 虛擬機器 (自治式 VM) 映像檔 (亦稱為從屬端 VM) 具備安全性強化功能。如 Oracle Software Security Assurance 所述，配置是透過 Oracle 軟體開發與保證措施來保護。自治式 VM 設定了合適的防毒和防惡意軟體，以偵測未經授權的軟體和惡意軟體。安裝在從屬端虛擬機器上的 Oracle 資產端點保護與組態管理軟體，可確保只有透過安全且經過核准的處理作業才能變更組態。Linux 作業系統稽核日誌會收集並傳輸至中央 OCI 安全資訊與事件管理 (SIEM) 系統，供 OCI 的安全未預期事件偵測與回應團隊 (DART) 進行安全未預期事件偵測與稽核。日誌會從產生日期起 13 個月內保留。
DART 負責處理 SIEM 儀表板、評估事件警示，並透過開啟內部服務團隊的票證啟動真正的正面補救措施。當安全事件要求客戶更新時，DART 會與 Global Information Security 及服務團隊合作發出客戶更新。
所有 Oracle Autonomous VM 均符合 DISA STIG (Defense Information Systems Agency Security Technical Implementation Guide) 規範，且將根據 Oracle Linux Security Technical Implementation Guide 來進行強化，此指南可解決使用者存取控制、開啟連接埠、不想要的套裝程式以及協助程式組態等問題。您可以從此處找到完整的 Oracle Linux DISA STIG 控制項清單。
手動存取自治式 VM 僅限於公司徹底審查的核心雲端作業團隊。營運團隊成員必須透過公司提供的裝置加入 Oracle Cloud Network Attach (私人、安全的雲端網路) 以存取 Exadata 基礎架構。存取憑證會動態產生，以回應有效的支援票證。對用戶端 VM 所做的任何配置變更都會進行嚴格的內部安全審查和變更管理程序。所有工具、指令碼或軟體只有在經過核准的軟體生命週期及變更管理程序之後，才會進行安裝或修改。
與基礎架構和自治式 VM 的 Operator Access Control 服務整合可進一步限制此存取權，並讓存取權限和通知交由您處理。操作員動作會即時登入，並傳送給客戶設定的 SIEM 和 Oracle 記錄服務以供客戶視需要下載。您可以將日誌下載至客戶 SIEM/ 儲存，或在 OCI 物件儲存中無限期封存。請參閱操作員存取控制服務以瞭解詳細資訊。
OCI 安全架構進一步定義 OCI 的獨特多層 gen2 硬體和虛擬化安全性。如需詳細資訊，請參閱 Oracle Cloud Infrastructure Security Architecture 。
組態偏差管理
Autonomous Database 服務開發和自主 VM 映像檔建置是 Oracle 公司安全實務的一部分。在此處發布的 Oracle Software Security Assurance 流程中仔細控制此導入。
自治式 VM 映像檔組態是透過程式碼控制，並在組態變更使其成為生產環境版本之前進行多個程式碼複查和品質保證 (QA) 週期。請參閱 Oracle Software Security Assurance 文件的安全配置一節，瞭解 Oracle 在保護軟體配置方面的姿態及標準應用。
控制層伺服器上安裝了 Oracle 建置的代理程式、資產端點保護與組態管理 (AEP/CM) 軟體，以從基礎架構和自治式 VM 執行處理收集和傳輸 Linux 稽核日誌和 Linux Advanced Intrusion Detection Environment (AIDE) 日誌。這些日誌會傳輸至 OCI 中央 SIEM 以供稽核之用。SIEM 規則專用於竄改日誌檔、下載外部內容、停用安全性工具以及其他規則，會產生 DART 依照自治式虛擬機器強化所述評估和回應的警示。
自治式 VM 執行個體可以透過直接 ssh 存取進行保護，但獲得批准的 Oracle 操作員和自動化除外。所有的操作員活動都可以透過「操作員存取控制」來進行監督。
檔案完整性和入侵監督
自治式 VM 會設定成檔案入侵和監督公用程式，以維持特定組建中的檔案計數和完整性。會標記檔案總和檢查中的任何檔案計數或變更。此外，也會收集 AIDE 和 HIDS 日誌並傳送至 OCI SIEM，並透過自主虛擬機器強化中說明的 DART 流程掃描是否有威脅。
所有部署到 AVMC 的軟體使用者自建物件 (包括工具) 都是透過採用總和檢驗的安全變更管理方法進行部署，並使用 SSL 憑證進行數位簽署。這稱為憑證簽署的程式碼部署。
自治式 VM 漏洞掃描與回應
如 Oracle Software Security Assurance 中所述，所有自治式 VM 映像檔都是使用 Oracle 的安全開發做法所建立。企業安全解決方案保證流程 (CSSAP) 是由 Oracle 的企業安全架構、全球資訊安全 (GIS) 和 Oracle 的 IT 組織所開發的安全審查流程，旨在提供全面的資訊安全管理審查。GIS 和 CSSAP 獨立於 OCI 服務團隊營運，以保護客戶和 Oracle 的資訊和軟體資產。每個具有潛在安全性影響的服務功能都會進行 CSSAP 審核與核准程序。此外，品質保證 (QA) 測試週期使用適當的掃描工具來確保影像符合 STIG、符合服務安全準則，並已準備好進行 CSSAP 審查。
AVMC 的鑑識工具在漏洞管理中扮演著顯著的角色。每個自治式 VM 主機的 Linux 稽核日誌會上傳至中央 OCI SIEM，其中警示規則會擷取並顯示潛在威脅。DART 會回應這些警示，如自主虛擬機器強化中所述。HIDS 和防毒記錄檔的處理方式也類似。Common Vulnerabilities and Exposures (CVE) 掃描器會將其發現項目傳送至中央自動化工具，其中已分類漏洞發現項目，服務團隊已開啟回報項目，以按照發現項目的嚴重性按時間比例修正系統。分數大於 7 的所有 CVE 都必須在 30 天內修正。
您可以每季排定由 Hypervisor、Grid Infrastructure、Storage and Client Operating System 及 Firmware 組成的基礎架構修正程式組合。「資料庫版本更新」和「版本更新修訂版本」也可以每季個別排定。所有修補程式皆使用雲端自動化工具和自主雲端作業進行暫存和套用，因為需要特定的修補程式更新。
軟體修補程式開發會遵循 Oracle 的安全軟體開發實務、QA 測試和 CSSAP 審查，視需要進行。修補程式開發人員、QA 測試人員、版本管理與修補作業之間的職責劃分，可確保在修補程式導入客戶硬體之前，會有多位人員參與。
儘可能使用 Linux ksplice 等工具，將更新套用至執行中的系統，而不需停機。如果更新需要重新啟動元件，Oracle 會以輪流方式執行元件重新啟動，以確保更新處理作業期間的服務可用性。您可以排定修正開始時間來配合您的業務 SLA。您可以分別為基礎架構元件 (GI、OS) 和每個 DBMS 本位目錄排定修正。
漏洞掃描和修正
專用 Exadata 基礎架構上的 Autonomous Database 會經常使用商業漏洞掃描工具執行外部和內部漏洞掃描 (包括尋找支援端系統)。「漏洞管理的雲端相容性標準」會調查並追蹤識別的漏洞以解決問題。它使用各種技術性措施來評估和識別第三方和開放原始碼程式庫的更新。已實作部署到環境中的系統已驗證漏洞掃描，以及部署前系統映像掃描，以識別這類程式庫並判斷是否需要進行安全性修正。企業政策與業務單位程序會管理這些方案，並每年進行評估。
Autonomous Database 使用一種機制來彙總來自多個來源的安全發現項目 (包括漏洞掃描)，並將發現項目指派給適當的服務團隊。此系統可讓服務團隊管理其發現項目，並與回報系統整合，以自動將補救工作排入佇列，包括視需要提供通知和自動提升。系統還總結了整個組織的補救工作，並推動了日常的弱點管理工作。
Oracle Software Security Assurance (OSSA) 定義 Oracle 在產品設計、構建、測試和維護中構建安全的方法，無論是由客戶在內部部署環境使用，還是透過 Oracle Cloud 提供。Oracle 企業安全政策 (包括解決威脅和弱點管理的政策) 每年檢閱並視需要更新。至少每年，獨立第三方進行系統滲透測試。
為了向所有 Oracle 客戶提供最佳安全態勢，Oracle 會根據對客戶造成的潛在風險來修正重大安全漏洞。最嚴重風險的問題是先解決的。一般而言，安全漏洞的修正會依照下列順序產生：
- 主要程式碼行優先—即為下一個主要產品版本開發的程式碼行。
- 針對每個有漏洞的支援版本，建立重要修補程式更新修補程式，並在下一個修補程式集 (如果該支援版本計畫另一個修補程式集的話) 中套用該修正。
修補程式和更新是透過持續整合 / 持續部署 (CI/CD) 工具實作的。除了存在於多個可用性網域 (例如更新網域名稱服務) 的相依性外，變更會在每個區域和可用性網域中個別實行。Oracle 修補和安全警報導入政策需要部署 Oracle 重要修補程式更新和安全警報更新以及相關建議。此原則也包括使用風險型方法修正非 Oracle 技術漏洞的需求。如需詳細資訊，請參閱重要修補程式更新與安全警報程式。
Oracle 會排定並執行每月基礎架構安全維護活動，以及每季維護。但是，這些安全修補程式僅適用於具有重大安全更新的月份，包括修復 CVSS 分數大於或等於 7 的漏洞。
- 在 Oracle 排定安全維護之前佈建的任何 Exadata 基礎架構，都將有資格進行安全維護。
- 每月的安全維護處理作業會更新資料庫伺服器，以修正重要的安全漏洞和產品問題。他們也會將儲存伺服器更新為可解決已知安全漏洞和產品問題的 Exadata 儲存軟體映像檔。
Oracle Cloud 安全測試原則
Oracle 會定期對 Oracle Cloud 基礎架構、平台和應用程式執行滲透與漏洞測試和安全性評估，以驗證並提升 Oracle Cloud 服務的整體安全性。不過，Oracle 不會評估或測試您透過 Oracle Cloud 服務 (以下稱「客戶元件」) 管理或導入的任何元件 (包括非 Oracle 應用軟體、非 Oracle 資料庫或其他非 Oracle 軟體、程式碼或資料，視情況而定)。
Oracle 客戶安全測試政策描述安全測試活動，例如 Oracle 客戶可對其 Oracle 內部部署產品和 Oracle Cloud Services 執行的滲透測試和漏洞掃描 (「安全測試」或「安全測試」)。統稱為「測試原則」，並包含在 Oracle Cloud Services 的服務規範中。本政策不會處理或提供任何對客戶元件中所包含之任何第三方資料進行測試的權利。只有具備 Oracle 帳戶必要權限的客戶，才能夠提出服務維護要求，以及已登入將進行此類測試的環境，才可以進行任何漏洞或滲透測試。
除非您的 Oracle Cloud 服務協議另有允許或限制，否則具有 Autonomous Database 服務系統層級存取權的服務管理員，可能會根據Oracle Cloud 的安全測試中所述的限制，針對 Autonomous Database 服務中所包含的客戶元件執行滲透與漏洞測試。
您也可以參考安全測試常見問題，尋找與您的安全測試相關的問題解答。
端點、惡意軟體及勒索軟體保護
自治式 VM 從屬端機器使用端點、惡意軟體以及勒索軟體保護建立，如下所述：
- 定期安裝及更新合適的防毒及防惡意軟件工具。
- 用戶端網路上的
ssh/sftp存取已關閉。 - 從屬端 VM 上的指定使用者帳戶極為僅限於必要的程序。
- 自治式 VM 會強化為 DISA STIG 標準，以確保系統上不會執行未使用的連接埠或常駐程式。
- Oracle 操作員存取是透過與客戶所選 OCI 區域中 Oracle 管理網路的安全外送連線。
- Oracle 操作員動作可以透過「操作員存取控制」服務整合來控制和稽核。
安全性事件管理
安全事件偵測與回應團隊 (DART) 的安全分析師專用團隊負責管理安全事件儀表板 24 / 7，以及處理警示以篩選真正的正面。如果偵測到真陽性，就會根據事件的嚴重性和影響起始適當的回應。這包括進一步分析、根本原因評估，以及修復服務團隊和客戶溝通。
安全未預期事件回應中概述了 Oracle 的安全未預期事件回應原則。