La tenda ha bisogno di prevenire le impostazioni pericolose, scoprire i problemi e proteggere le informazioni. Nessun servizio isolato risolve tutti questi compiti.
Concetti Chiave
Attorno modello di responsabilità condivisa, Oracle protegge l'infrastruttura cloud e gestisce componenti che corrispondono al servizio. Il client imposta la sua risorse, controlla le identità e protegge i suoi dati e le sue applicazioni. A IaaS VM gestisce anche il sistema operativo guest e la sua patching. Il servizio di esecuzione A può spostare le attività in Oracle ma non decide chi leggere gli ordini per voi. Vedi Sicurezza di OCI.
The difesa approfondita combina i controlli: IAM autorizza le operazioni su risorse; regole di rete fermare il traffico; Il sistema operativo e l'implementazione applicano i propri controlli. cipher protegge le ricerche di informazioni e il rilevamento consentono un'indagine. Per consentire a HTTPS di entrare in una NSG non è di per sé valida il contenuto di un web richiesta.
Prevenire, rilevare e rispondere
Protezione della nuvola e attività per identificare i rischi. A Obiettivo delimita cosa osservare. le ricette di Rilevatori determinare i controlli; e risposte consentire azioni di correzione in base alla configurazione e autorizzazioni. La rilevazione di un problema non significa una correzione automatica.
Zone di sicurezza applicare una politica di ricetta a scomparti e la loro portata. La transazione A che viola una politica applicabile è rifiutata. Ad esempio, una ricetta può impedire secchi pubblici o richiedere chiavi a gestione cliente. Sicurezza Consulentealla dimostrazione, guida la creazione di risorse seguendo i controlli di sicurezza. non sostituisce la politica o trasforma qualsiasi risorsa in assicurazione da sola.
Web Applicazione Firewall (WAF) Ispeziona web richieste e può filtrare i cattivi modelli, come tentativi di iniezione SQL o Scripting crosssite, come stabilito. Non sostituisce la validazione degli input dall'applicazione. Audita registrare azioni API per la ricerca; Registrazione imposta i record di servizio o di applicazione; Monitoraggio Lavora con metriche e allarmi. Per capire chi ha cambiato un risorsa, cerca prove di audit. Per capire se la sua CPU e' sveglia, guardali.
Riempimento, chiavi e segreti
Figura Riforma testo leggibile in testo cifrato utilizzando un algoritmo e una chiave. Decifrazione Riforma il contenuto se le condizioni di crittografia e di accesso sono soddisfatte. La crittografia simmetrica utilizza una chiave condivisa. e asimmetricoCoppia di chiavi A con funzioni correlate. A hash non è solo un cifrario che è possibile annullare con una chiave.
La crittografia a riposo protegge i dati memorizzati; in transito proteggere il vostro trasporto, ad esempio utilizzando TLS. Non confondere nulla con autorizzazione: un utente legittimamente autorizzato può ottenere i suoi dati decifrati. Cipher pubblico A ma esposto può continuare a rivelare informazioni attraverso il servizio.
OCI Vault gestisce chiavi e segreti. Uno. Chiave crittografica Viene utilizzato nelle operazioni di crittografia; a segreto può contenere una password, token o altro materiale sensibile. Separarli dal codice impedisce loro di incorporare in file di configurazione distribuiti. Le modalità di protezione Chiave, come il software o HSM, e le loro opzioni devono essere scelte in base ai requisiti di servizio.
Il servizio A può utilizzare le chiavi gestite da Oracle o da una chiave supportata dal cliente. Quest'ultimo fornisce un ulteriore monitoraggio del ciclo di vita con responsabilità su autorizzazioni, disponibilità e smaltimento. Ruotare una chiave e ruotare una password sono processi diversi. Query Gestione Chiave e Vault.
Esempio guidato
- Il negozio identifica gli ordini come dati privati e imposta l'accesso minimo al tuo picket.
- Applicare una Zona di Sicurezza la cui ricetta richiede la chiave di un cliente. Prima controllare la ricetta e creare il necessario crittografico risorse con un manager autorizzato.
- Quando si cerca di creare il picchetto con una chiave somministrata da Oracle, l'operazione viene rifiutata da quella regola particolare. Il messaggio descrive il requisito non misurato.
- Selezionare una chiave di corrispondenza a cui il servizio ha accesso e creare un bug come richiesto dalla ricetta. Alla dimostrazione, Security Consulente aiuta a superare quel flusso.
- Configura Cloud Guard con un'adeguata portata e risposte Controlla i risultati e conferma la loro correzione. Protegge l'ingresso web con WAF a seconda del rischio di applicazione.
La dimostrazione Vault identifica la volta, la chiave e la versione e il servizio che userai. Non rimuovere la chiave come semplice pulizia da un lab se ci sono ancora dati che dipendono da esso.
Errori comuni
- "Cloud Guard previene una cattiva configurazione." Il loro ruolo principale è quello di rilevare e facilitare la correzione. Le zone di sicurezza possono negare operazioni incompatibili.
- "La figura è uguale a quella privata". L'accesso di lettura autorizzato del servizio rimane cruciale.
- "La regola firewall A protegge da qualsiasi iniezione SQL." Per consentire una porta è diverso da ispezionare il contenuto HTTP. L'applicazione dovrebbe anche convalidare gli input e controllare i dati in modo sicuro.
Esercizio di pensionamento
Il negozio chiamate per tre misure: negare i secchi pubblici prima di crearli, rivedere costantemente le impostazioni di rischio e filtrare gli attacchi HTTP al suo web. Assegnare un servizio a ogni misura e spiegare quali controlli del cliente sono ancora necessari.
Soluzione
Zone di sicurezza con una ricetta per vietare l'esposizione pubblica Cloud Guard per impostare il rilevamento e le risposte WAF per il monitoraggio del web richieste. Il client dovrebbe definire le politiche IAM, impostare le regole e la portata, rivedere i risultati e mantenere la loro applicazione sicura. I nomi della services non sostituiscono la loro configurazione.
Fonti e recensioni
Query Protezione della nuvola, Zone di sicurezza, FAVORE y Vaccino. Confronta rivelatore e risposta, segreto e chiave, crittografia e autorizzazione.