Diretrizes de segurança para o Oracle Database@Azure
Este artigo se baseia em várias considerações e recomendações definidas na área de design de segurança do Azure. Ele fornece as principais considerações de design e recomendações para as medidas de segurança do Oracle Database@Azure.
Visão geral
A maioria dos bancos de dados contém dados confidenciais que exigem uma arquitetura segura além das proteções no nível do banco de dados. A estratégia de defesa em profundidade fornece segurança abrangente colocando vários mecanismos de defesa em camadas. Essa abordagem combina várias medidas para evitar a dependência de um só tipo de segurança, como defesas de rede. Essas medidas incluem estruturas fortes de autenticação e autorização, segurança de rede, criptografia de dados em repouso e em trânsito. Essa estratégia multicamadas é essencial para proteger as cargas de trabalho Oracle de forma eficaz.
Para obter mais informações, confira Guia de segurança do Oracle Exadata Database Service sobre infraestrutura dedicada e Controles de segurança do Exadata.
Considerações sobre o design
Considere as seguintes orientações quando você criar suas diretrizes de segurança para o Oracle Database@Azure:
As cargas de trabalho do Oracle Database@Azure contêm recursos implantados em redes virtuais e datacenters do Azure. O plano de controle do Azure e o painel de controle do OCI (Oracle Cloud Infrastructure) gerenciam esses recursos. O painel de controle do Azure gerencia a iniciação da infraestrutura e da conectividade de rede. O plano de controle Oracle lida com o gerenciamento de banco de dados e o gerenciamento de nós individuais. Para obter mais informações, confira Grupos e funções do Oracle Database@Azure.
O serviço Oracle Database@Azure é implantado em sub-redes privadas somente no Azure. O serviço não é imediatamente acessível pela Internet.
As sub-redes delegadas do Oracle Database@Azure não oferecem suporte a NSGs (grupos de segurança de rede).
A solução Oracle Database@Azure usa muitas portas TCP (protocolo de controle de transmissão) padrão para várias operações. Para obter a lista completa de portas, confira Atribuições de porta padrão.
Para armazenar e gerenciar chaves usando TDE (Transparent Data Encryption), que é ativado por padrão, a solução Oracle Database@Azure pode usar vaults da OCI ou o Oracle Key Vault. A solução Oracle Database@Azure não é compatível com o Azure Key Vault.
Por padrão, o banco de dados é configurado usando chaves de criptografia gerenciadas pela Oracle. O banco de dados também oferece suporte a chaves gerenciadas pelo cliente.
Para aprimorar a proteção de dados, use o Oracle Data Safe com o Oracle Database@Azure.
Agentes que não são da Microsoft e agentes da Oracle podem acessar o sistema operacional Oracle Database@Azure se não modificarem ou comprometerem o kernel do sistema operacional.
Recomendações de design
Considere as seguintes recomendações quando você desenvolver a segurança para o Oracle Database@Azure:
Segmente o acesso à infraestrutura com base no acesso aos serviços de dados, principalmente quando equipes diferentes acessam vários bancos de dados na mesma infraestrutura por vários motivos.
Use regras NSG para limitar o intervalo de endereços IP de origem, o que protege o plano de dados e o acesso à rede virtual. Para impedir o acesso não autorizado de e para a Internet, abra apenas as portas necessárias para uma comunicação segura. Você pode configurar regras do NSG na OCI.
Configure a NAT (conversão de endereços de rede) se precisar de acesso à Internet. Sempre exija criptografia para dados em trânsito.
Se você usa suas próprias chaves de criptografia, estabeleça um processo rigoroso de rotação de chaves para manter os padrões de segurança e conformidade.
Se você usa agentes que não são da Microsoft ou agentes da Oracle no Oracle Database@Azure, instale esses agentes em locais que os patches de infraestrutura de banco de dados ou de grade não afetam.