關於安全與規範的有效策略

安全與合規方法包含三種關鍵策略：設計、監控及最佳化。這些策略會反覆套用，每個策略都可以回饋給其他人。

建立設計策略

透過安全考量從頭開始設計雲端部署，建立安全性與規範。

完整的安全設計策略可透過身分識別管理提供安全保證：認證及授權安全主體處理作業。使用身分識別管理服務來認證並授予使用者、合作夥伴、客戶、應用程式、服務及其他實體的權限。

It also encourages protection of assets by placing controls on network traffic originating in Oracle Cloud Infrastructure, between on-premises and Oracle Cloud Infrastructure-hosted resources, and traffic to and from Oracle Cloud Infrastructure.如果沒有採取安全措施，攻擊者可以透過跨公用 IP 範圍進行掃描，取得存取權。適當的網路安全控制可提供深度防禦元素，協助偵測、包含及停止嘗試進入雲端部署的攻擊者。

成功的設計策略也將盡力使用 Oracle Cloud Infrastructure 的存取控制、加密及登入來分類、保護及監控機密資料資產。它也會對靜態和傳輸中的資料進行控制。

應用系統及其相關資料可作為雲端平台的主要業務價值存放區。應用程式可以在風險中扮演角色，因為它們會封裝並執行需要可用且具有高完整性的業務流程。應用程式也會儲存及處理需要高度保密、完整性和可用性的業務資料。因此，成功的策略應著重於應用系統和資料安全性。

將成本考量整合至安全措施，讓 FinOps 建立安全設計策略時請牢記在心。透過符合成本效益的平衡安全措施，符合最佳化價值的 FinOps 原則。

OCI Landing Zones 是使用內建這些安全性和規範設計功能來部署架構的選項。登陸區可讓您在強化租用戶與工作負載基礎架構的 1-Click 佈建作業中重複執行，包括身分識別、安全性、網路、可觀察性及治理等重要的雲端服務。使用 OCI 登陸區啟用 OCI 安全服務，包括 Oracle Cloud Guard 、 OCI Vault 和 OCI 漏洞掃描服務，以實現強大的安全狀態。

建立監督與稽核策略

成功的監督策略將著重於狀況模型化。

狀況模型設計是指透過監督維持工作負載安全態勢的活動。這些活動可以指出目前的安全措施是否有效，或是否有新的需求。狀況模型製作可以包括下列類別：

  • 監督工作負載及其執行所在的基礎架構。
  • 設定及使用警示與通知。
  • 使用安全資訊和事件管理 (SIEM) 平台聚總服務日誌。
  • 執行稽核。
  • 啟用、取得和儲存稽核記錄。
  • 更新及修正安全修正。
  • 回應事件。
  • 根據實際事件模擬攻擊。

建立最佳化策略

在為雲端安全作業建立安全基準之後，安全團隊將需要持續調查雲端特定的安全流程和控制項，以便在現有的安全實務上進行進階和最佳化。

數千家企業成功且安全地使用雲端服務來達成業務目標，以提升靈活性並降低 IT 服務成本。此最佳實務架構為跨安全作業組織提供建議，這些組織將提供所需的安全架構、流程和控制，以實現安全的雲端服務業務使用。除了從安全部署開始，您還應該實施持續改進的策略。

遵循安全設計原則

此支柱中的文章說明如何導入設計、監控和最佳化的三個策略，並提供在 Oracle Cloud Infrastructure 中導入這些策略的建議。這些建議事項實行一或多個下列安全設計原則。

這些原則支援這三個關鍵策略，並說明託管於雲端或內部部署資料中心 (或兩者混合的組合) 的安全架構系統。應用這些原則將會大幅增加安全性架構對於機密性、完整性和可用性的可能性。

最佳安全和合規措施實施這些設計原則：

  • 彈性設計：您的安全策略應該假設控制項將會失敗並據此設計。若要讓您的安全態勢更具彈性，必須透過以下幾種方法共同運作：
    • 持續警覺：確保能及時處理對組織造成風險的異常和潛在威脅。
    • 深度防禦：在主要安全控制失敗時，考量設計中的其他控制項來降低對組織的風險。此設計應考慮主要控制失敗的可能性、可能的組織風險 (如果有的話) 以及額外控制的有效性 (尤其是在可能導致主要控制失敗的可能情況下)。
    • 邊緣防衛：在威脅對應用程式造成影響之前，請考慮使用有效的整合式邊緣安全來控制威脅。這對資訊安全原則規範而言非常重要。
  • 攻擊者設計：您的安全性設計和優先順序應著重於攻擊者查看環境的方式，這通常不是 IT 和應用程式團隊看到環境的方式。通知您的安全設計，並透過滲透測試進行測試，以模擬一次性攻擊。使用紅色團隊來模擬長期持續性攻擊群組。設計企業區隔策略和其他安全控制，以包含攻擊者在您的環境中的後續移動。主動測量並減少攻擊者在環境中利用資源所鎖定的潛在攻擊面。
    • 依據要求限制權限。撰寫就目標資源和必要存取權限而言，儘可能精細的原則。
    • 強制網路區隔。限制流量以隔離網路層次的應用程式部署，並且針對所有必要的網路流程使用允許清單。將過度寬鬆的流量降到最低。
    • 最低權限：這是實行多層防禦以保護組織資產的策略性方法。帳戶應被授予完成指定工作所需的最低權限。依權限層級和時間限制存取。這有助於減輕取得帳戶存取權的外部攻擊者，或無意間 (或蓄意攻擊者) 危害安全保證的內部員工。
    • 預設拒絕。確定沒有預設允許原則可供攻擊者利用。依據需求和最低權限原則的限制權限，只建立所需的原則。
  • 運用原生控制項：在適用情況下使用原生安全控制項，同時確保它們符合您的整體工具策略。服務提供者會維護並支援原生安全控制，以免除或減少整合外部安全工具和隨時間更新整合所需的工作。
  • 運用安全性工具：使用專為您營運之雲端或雲端所設計的工具。服務提供者會維護及支援原生安全控制。不過，就此而言，雲端原生工具的限制可能不支援其他雲端或內部部署環境。例如，如果您需要在多雲端部署中保護 OCI 和 Azure 內的資料，偏好可同時支援這兩種雲端的第三方安全工具。
  • 使用識別作為主要存取控制：雲端架構中資源的存取主要是由識別型認證和存取控制的授權所管理。您的帳號控制策略應該仰賴身分識別系統來控制存取，而非依靠網路控制或直接使用加密金鑰。
  • 責任：指定資產和安全責任的明確所有權，並確保可追蹤無法否認的動作。您也應該確保已將所需的最低權限 (授予可管理的資料值層級)。
  • 擁抱自動化：自動化任務可降低造成風險的人為錯誤機會，因此 IT 作業和安全性最佳實務都應該盡可能自動化，以減少人為錯誤 (同時確保熟練的人類能夠治理和稽核自動化)。
  • 專注於資訊保護：智慧財產權通常是組織價值的最大儲存區域之一，且此資料應該在任何地方受到保護，包括雲端服務、行動裝置、工作站和協作平台 (不會阻礙可建立商業價值的協作)。您的安全性策略應以分類和標記資訊和資產為基礎，以實現安全性優先順序、利用強大的存取控制和加密技術，並滿足生產力、可用性和彈性等業務需求。
  • 假設零信任：評估存取要求時，所有要求的使用者、裝置和應用程式應被視為不信任，直到其完整性能夠充分驗證為止。存取要求應根據要求者的信任層次和目標資源的機密度有條件地授予。合理的嘗試提供增加信任驗證的方法 (例如，要求多重因素認證)，並修正已知的風險 (變更已知洩漏的密碼，修正惡意程式感染)，以支援生產力目標。