保護您的資料庫

確定資料庫伺服器、對其進行網路存取，以及實際資料均安全無虞。

控制使用者和網路存取

Data Architect - 安全性規劃總監

使用密碼、專用子網路以及網路安全群組來控制使用者和網路存取。
  • 確定用於認證資料庫的密碼非常重要。
  • 將資料庫系統連附至專用子網路。

    專用子網路沒有網際網路連線。您可以使用 NAT 閘道作為安全的傳出流量和服務閘道，連線至備份端點 (物件儲存)。

  • 使用網路安全群組或安全清單，僅允許必要的網路存取您的資料庫系統。

限制刪除資料庫資源的權限

Data Architect - 安全性規劃總監

若要避免意外或惡意刪除資料庫，請將刪除權限 (DATABASE_DELETE 和 DB_SYSTEM_DELETE) 授與一組最少的使用者和群組。

下列 IAM 原則敘述句可讓資料庫使用者管理資料庫、資料庫系統以及資料庫本位目錄。但 where request.permission!='DB_SYSTEM_DELETE' 條件可確保資料庫使用者無法刪除資料庫。 

Allow group DBUsers to manage db-systems in tenancy where request.permission!='DB_SYSTEM_DELETE'
Allow group DBUsers to manage databases in tenancy where request.permission!='DATABASE_DELETE'
Allow group DBUsers to manage db-homes in tenancy where request.permission!='DB_HOME_DELETE'

加密資料

Data Architect - 安全性規劃總監

所有在 Oracle Cloud Infrastructure 中建立的資料庫都使用通透資料加密 (TDE) 加密。確定所有移轉的資料庫都已加密。
定期輪換 TDE 主要金鑰。建議的輪換期間為 90 天或更少。

安全與管理金鑰

Data Architect - 安全性規劃總監

使用通透資料加密 (TDE) 保護及管理金鑰。

TDE 是 Oracle Database 的功能，用來加密機密資料。對於更複雜的設定和大型組織而言，需要集中式金鑰管理，因為管理不同資料庫、應用程式及伺服器的加密金鑰可能是複雜的工作。集中式金鑰管理提供統一的平台，可安全地儲存及管理所有加密金鑰、Oracle 公事包、Java 金鑰存放區及其他加密密碼。此集中化可降低管理負荷、改善安全性狀態，並確保整個企業的關鍵管理做法一致。

套用安全修正程式

Data Architect - 安全性規劃總監

套用 Oracle Database 安全補丁 (Oracle 重要補丁更新) 以減輕已知的安全問題，並讓補丁保持在最新狀態。

使用資料庫安全工具

Data Architect - 安全性規劃總監

Oracle Database Security Assessment Tool 為 Oracle Cloud Infrastructure 中的 Oracle 資料庫提供自動化的安全組態檢查。Oracle Audit Vault and Database Firewall (AVDF) 可監控資料庫稽核日誌並建立警示。

啟用資料安全

Data Architect - 安全性規劃總監

Data Safe 是 Oracle 雲端和內部部署資料庫的統一控制中心。使用「資料安全」評估資料庫和資料安全組態、偵測使用者帳戶的相關風險、識別現有的機密資料、實行保護資料的控制項，以及稽核使用者活動。
  • 將「資料安全」稽核保留原則擴充至一年。
  • 遮罩「資料尋找」識別為機密的資料。
  • 使用安全評估，依 Center for Internet Security (CIS)、General Data Protection Regulation (GDPR) 和 Department of Defense Library of Security Technical Implementation Guides (STIG) 識別建議的安全控制。
  • 設定「資料安全活動稽核」中主要事件的警示。

啟用自治式資料庫的專用端點

Data Architect - 安全性規劃總監

如有可能，請將專用端點與 Oracle Autonomous Database 搭配使用。

專用端點可用來排除對共用自治式資料庫的公用存取。使用 Oracle Cloud Infrastructure 中的 VCN，資料庫的所有流量都會保持私有狀態，而無需傳輸路由或使用服務網關。
  • 定義專用端點時，請使用專用專用子網路。
  • 若為專用端點網路安全群組，請定義「協定 TCP」和「目的地連接埠」等於「資料庫監聽器連接埠」的無狀態傳入規則。將來源 CIDR 標籤僅限於子網路，或允許存取的內部部署動態路由閘道 (DRG)。
  • 若為專用端點網路安全群組，請以協定 TCP 定義無狀態傳出規則。將目的地 CIDR 限制為只有子網路，或限制為內部部署的 DRG (具備允許的存取權)。

導入 Oracle Database 最高安全性架構

Oracle 的最高安全性架構為保護資料庫中的機密資料提供了完善的架構。它提供全面的資料庫安全方法，專注於三個重要領域：評估、偵測以及避免。藉由評估資料庫目前的狀態，組織可以識別攻擊者可能攻擊的漏洞和弱點。這包括評估資料庫組態、使用者存取控制和資料保護措施。

偵測不適當或未經授權的存取嘗試，是下一道非常重要的防禦層。Oracle 的進階稽核功能可讓組織監控資料庫活動、識別可疑的行為，以及立即回應潛在威脅。透過設定警示及監控關鍵資料庫事件，管理員可以在攻擊造成重大損害之前偵測並降低攻擊。防止未經授權存取資料是 Oracle 安全架構的最後階段。這包括實作強式認證機制、存取控制清單和加密技術。組織可以透過使用最低權限原則來區隔職責，並採用虛擬專用資料庫，確保只有獲得授權的使用者才能存取機密資料，進而防止未經授權的修改或揭露。

進一步瞭解