Condividi tramite

Ottimizzare la sicurezza per il carico di lavoro Oracle

  • Articolo

La sicurezza è fondamentale per qualsiasi architettura. Azure offre una gamma completa di strumenti per proteggere efficacemente il carico di lavoro Oracle. Questo articolo descrive le raccomandazioni sulla sicurezza per il piano di controllo di Azure correlato ai carichi di lavoro delle applicazioni Oracle distribuiti in macchine virtuali (VM) in Azure. Per altre informazioni sulle funzionalità di sicurezza in Oracle Database, vedere La guida alla sicurezza di Oracle Database.

La maggior parte dei database archivia i dati sensibili. Le misure di sicurezza solo a livello di database non sono sufficienti per proteggere l'intera architettura in cui inserire questi carichi di lavoro. La difesa avanzata è un approccio completo alla sicurezza in cui si implementano diversi livelli di meccanismi di difesa per proteggere i dati. Non ci si basa su una singola misura di sicurezza a un livello specifico, ad esempio meccanismi di sicurezza di rete. Usare la strategia di difesa avanzata per usare una combinazione di varie misure di sicurezza a livello per creare un comportamento di sicurezza affidabile.

È possibile progettare un approccio di difesa approfondito per i carichi di lavoro Oracle usando un framework di autenticazione e autorizzazione avanzato, la sicurezza di rete avanzata e la crittografia dei dati inattivi e dei dati in transito. È possibile distribuire carichi di lavoro Oracle come modello cloud IaaS (Infrastructure as a Service) in Azure. Rivedere la matrice di responsabilità condivisa per comprendere meglio le attività e le responsabilità specifiche assegnate al provider di servizi cloud e al cliente.

È consigliabile valutare periodicamente i servizi e le tecnologie usati per garantire che le misure di sicurezza siano allineate al panorama delle minacce mutevole.

Usare la gestione centralizzata delle identità

La gestione delle identità è un framework fondamentale che regola l'accesso alle risorse importanti. La gestione delle identità diventa fondamentale quando si lavora con vari personale, ad esempio interns temporanei, dipendenti part-time o dipendenti a tempo pieno. Queste persone richiedono livelli di accesso diversi che è necessario monitorare, gestire e revocare tempestivamente in base alle esigenze.

L'organizzazione può migliorare la sicurezza delle macchine virtuali Windows e Linux in Azure grazie all'integrazione con Microsoft Entra ID, un servizio di gestione delle identità e degli accessi completamente gestito.

Distribuire carichi di lavoro in sistemi operativi Windows o Linux

È possibile usare Microsoft Entra ID con Single Sign-On (SSO) per accedere alle applicazioni Oracle e distribuire database Oracle in sistemi operativi Linux e sistemi operativi Windows. Integrare il sistema operativo con Microsoft Entra ID per migliorarne il comportamento di sicurezza.

Migliorare la sicurezza dei carichi di lavoro Oracle in Azure IaaS assicurandosi di rafforzare la protezione avanzata del sistema operativo per eliminare le vulnerabilità che gli utenti malintenzionati potrebbero sfruttare per danneggiare il database Oracle.

Per altre informazioni su come migliorare la sicurezza di Oracle Database, vedere Linee guida per la sicurezza per i carichi di lavoro Oracle in Azure Macchine virtuali acceleratore di zona di destinazione.

Consigli

  • Usare coppie di chiavi SSH (Secure Shell) per l'accesso all'account Linux invece delle password.

  • Disabilitare gli account Linux protetti da password e abilitarli solo su richiesta per un breve periodo.

  • Disabilitare l'accesso per gli account Linux con privilegi, ad esempio gli account radice e Oracle, che consente l'accesso solo agli account personalizzati.

  • Usare il sudo comando per concedere l'accesso agli account Linux con privilegi, ad esempio gli account radice e oracle, da account personalizzati invece di un accesso diretto.

  • Assicurarsi di acquisire i log degli audit trail linux e sudo di accedere ai log nei log di Monitoraggio di Azure usando l'utilità syslog Linux.

  • Applicare patch di sicurezza e patch del sistema operativo e aggiornamenti regolarmente solo da origini attendibili.

  • Implementare restrizioni per limitare l'accesso al sistema operativo.

  • Limitare l'accesso non autorizzato ai server.

  • Controllare l'accesso al server a livello di rete per migliorare la sicurezza complessiva.

  • Prendere in considerazione l'uso del daemon del firewall Linux come ulteriore livello di protezione, oltre ai gruppi di sicurezza di rete di Azure.

  • Assicurarsi di configurare il daemon del firewall Linux per l'esecuzione automatica all'avvio.

  • Analizzare le porte di ascolto della rete per determinare i potenziali punti di accesso. Usare il comando Linux netstat –l per elencare tali porte. Assicurarsi che i gruppi di sicurezza di rete di Azure o il daemon firewall Linux controllino l'accesso a tali porte.

  • Configurare gli alias per i comandi Linux potenzialmente distruttivi, ad esempio rm e mv, per forzare l'esecuzione in modalità interattiva in modo che venga richiesto almeno una volta prima che venga eseguito un comando irreversibile. Gli utenti avanzati sanno come rimuovere gli alias, se necessario.

  • Configurare i log di sistema unificati del database Oracle per usare l'utilità syslog Linux per inviare copie dei log di controllo Oracle ai log di monitoraggio di Azure.

Progettare la topologia di rete

La topologia di rete è il componente fondamentale di un approccio di sicurezza a più livelli per i carichi di lavoro Oracle in Azure.

Inserire tutti i servizi cloud in una singola rete virtuale e usare i gruppi di sicurezza di rete di Azure per monitorare e filtrare il traffico. Aggiungere un firewall per proteggere il traffico in ingresso. Assicurarsi di dedicare e separare in modo sicuro la subnet in cui si distribuisce il database da Internet e dalla rete locale. Valutare gli utenti che accedono internamente ed esternamente al database per garantire che la topologia di rete sia affidabile e sicura.

Per altre informazioni sulla topologia di rete, vedere Topologia di rete e connettività per Oracle in Azure Macchine virtuali acceleratore di zona di destinazione.

Consigli

  • Usare i gruppi di sicurezza di rete di Azure per filtrare il traffico di rete tra le risorse di Azure in una rete virtuale di Azure e filtrare il traffico tra reti locali e Azure.

  • Usare Firewall di Azure o un'appliance virtuale di rete per proteggere l'ambiente.

  • Proteggere la macchina virtuale in cui risiede il carico di lavoro di Oracle Database in base all'accesso non autorizzato usando funzionalità fornite da Azure, ad esempio Microsoft Defender per l'accesso JIT (Just-In-Time) cloud e le funzionalità di Azure Bastion.

  • Usare il port forwarding SSH per le utilità X Windows System e Rete virtuale Computing (VNC) per eseguire il tunneling delle connessioni tramite SSH. Per altre informazioni, vedere un esempio che apre un client VNC e testa una distribuzione.

  • Indirizzare tutto il traffico attraverso una rete virtuale hub inserendo le macchine virtuali in una subnet dedicata isolata da Internet e dalla rete locale.

Usare la crittografia per proteggere i dati

Crittografare i dati inattivi quando vengono scritti nella risorsa di archiviazione per proteggere i dati. Quando si crittografano i dati, gli utenti non autorizzati non possono esporre o modificarli. Solo gli utenti autorizzati e autenticati possono visualizzare o modificare i dati. Microsoft Azure offre varie soluzioni di archiviazione dati, tra cui file, disco e archiviazione BLOB, per soddisfare esigenze diverse. Queste soluzioni di archiviazione dispongono di funzionalità di crittografia per proteggere i dati inattivi.

Crittografare i dati in transito per proteggere i dati che si spostano da una posizione a un'altra, in genere attraverso una connessione di rete. È possibile usare vari metodi per crittografare i dati in transito a seconda della natura della connessione. Azure offre molti meccanismi per mantenere privati i dati in transito durante lo spostamento da una posizione a un'altra.

Consigli

Integrare gli audit trail di Oracle Database

Il monitoraggio dei log applicazioni è essenziale per rilevare le minacce alla sicurezza a livello di applicazione. Azure Sentinel è una soluzione SIEM (Security Information and Event Management) nativa del cloud che può essere usata per monitorare gli eventi di sicurezza del carico di lavoro Oracle.

Per altre informazioni, vedere Connettore di controllo di Oracle Database per Microsoft Sentinel.

Consigli

  • Usare la soluzione Microsoft Sentinel per i carichi di lavoro di Oracle Database. Il connettore di controllo di Oracle Database usa un'interfaccia syslog standard del settore per recuperare i record di controllo di Oracle Database e inserirli nei log di Monitoraggio di Azure.

  • Usare Azure Sentinel per esaminare i record di controllo delle applicazioni, dell'infrastruttura di Azure e dei sistemi operativi guest.

Passaggio successivo

Monitorare i carichi di lavoro