Diretrizes de segurança para Oracle Database@Azure
Este artigo baseia-se em várias considerações e recomendações definidas na área de design de segurança do Azure. Ele fornece as principais considerações de projeto e recomendações para Oracle Database@Azure medidas de segurança.
Descrição geral
A maioria dos bancos de dados contém dados confidenciais que exigem uma arquitetura segura além das proteções no nível do banco de dados. A estratégia de defesa em profundidade fornece segurança abrangente ao colocar em camadas vários mecanismos de defesa. Essa abordagem combina várias medidas para evitar depender apenas de um tipo de segurança, como defesas de rede. Essas medidas incluem autenticação forte e estruturas de autorização, segurança de rede, criptografia de dados em repouso e criptografia de dados em trânsito. Essa estratégia em várias camadas é essencial para proteger as cargas de trabalho Oracle de forma eficaz.
Para obter mais informações, consulte Guia de segurança do Oracle Exadata Database Service sobre infraestrutura dedicada e controles de segurança Exadata.
Considerações de design
Considere as seguintes diretrizes ao projetar suas diretrizes de segurança para o Oracle Database@Azure:
As cargas de trabalho do Oracle Database@Azure contêm recursos que são implantados em redes virtuais e datacenters do Azure. O plano de controle do Azure e o plano de controle do Oracle Cloud Infrastructure (OCI) gerenciam esses recursos. O plano de controle do Azure gerencia o início da infraestrutura e a conectividade de rede. O plano de controle Oracle lida com o gerenciamento de banco de dados e o gerenciamento de nós individuais. Para obter mais informações, consulte Grupos e funções para Oracle Database@Azure.
O serviço Oracle Database@Azure é implantado em sub-redes privadas somente no Azure. O serviço não está imediatamente acessível a partir da Internet.
As sub-redes delegadas Oracle Database@Azure não suportam NSGs (grupos de segurança de rede).
A solução Oracle Database@Azure usa muitas portas TCP (Transmission Control Protocol) padrão para várias operações. Para obter a lista completa de portas, consulte Atribuições de porta padrão.
Para armazenar e gerenciar chaves usando a Transparent Data Encryption (TDE), que é habilitada por padrão, a solução Oracle Database@Azure pode usar cofres OCI ou Oracle Key Vault. A solução Oracle Database@Azure não suporta o Azure Key Vault.
Por padrão, o banco de dados é configurado usando chaves de criptografia gerenciadas pela Oracle. O banco de dados também suporta chaves gerenciadas pelo cliente.
Para melhorar a proteção de dados, use o Oracle Data Safe com o Oracle Database@Azure.
Agentes que não são da Microsoft e da Oracle podem acessar o Oracle Database@Azure OS se não modificarem ou comprometerem o kernel do sistema operacional.
Recomendações de design
Considere as seguintes recomendações ao projetar sua segurança para o Oracle Database@Azure:
Segmente o acesso à infraestrutura a partir do acesso a serviços de dados, especialmente quando equipes diferentes acessam vários bancos de dados na mesma infraestrutura por vários motivos.
Use as regras NSG para limitar o intervalo de endereços IP de origem, que protege o plano de dados e o acesso à rede virtual. Para impedir o acesso não autorizado de e para a Internet, abra apenas as portas necessárias para uma comunicação segura. Você pode configurar regras NSG no OCI.
Configure a conversão de endereços de rede (NAT) se precisar de acesso à Internet. Exija sempre encriptação para os dados em trânsito.
Se você usa suas próprias chaves de criptografia, estabeleça um rigoroso processo de rotação de chaves para manter os padrões de segurança e conformidade.
Se você usar agentes que não sejam da Microsoft ou Oracle no Oracle Database@Azure, instale esses agentes em locais que os patches de infraestrutura de banco de dados ou de grade não afetam.