库平格科尔 管理层观点：Oracle 安全区域

KuppingerCole报告由迈克小2022年5月10日执行视图氧自由基吸收le交会urity佐薇nesP oorly managed s e curity Control in a cloud s ervices tenant's ures ources越来越成为安全事件和合规性失败的原因。当今的动态基础设施和发展方法需要网络安全的动态方法。本报告回顾了甲骨文的安全性在 Oracle 云上实施基于资源的安全策略的区域下文tructure。由迈克小sm@kuppingercole.com 孔蒂nt1 介绍 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32 产品 描述 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52.1 实现 动态 安全 与 安全 区 . . . . . . . . . . . . . . . . . . . . . . . 63 的优势 和 挑战 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 94 相关的 研究 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11内容 的 数据 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12版权 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13KuppingerCole执行官视图甲骨文的安全区域报告没有。:ev80956第二页13 1介绍duc tio n云服务的按需可用性提供了一种开发和交付新应用程序的方法以及比传统方法。这是由于虚拟云基础架构的即时性而实现的结合“左移”DevOps趋势，并越来越多地基于容器和微服务。但是，这种动态虚拟基础架构的趋势带来了安全挑战。传统方法IT安全假设一个相对静态的环境，这对于当今的需求来说不是最佳的动态基础设施和开发方法。动态即时基础架构和开发需要动态的即时 IT 安全方法。当IT服务直接从拥有的物理设备提供时，采购成本，流程和延迟意味着变化缓慢，创新困难。IT 安全工具和为管理与此静态环境相关的安全风险而发展的方法。控件可以是在设备安装后应用，并且可以在配置中准确编目 IT 资产管理数据库。由于变革是高度管理的，因此风险相对稳定，并且手动或部分自动化的安全管理流程就足够了。例如，每周扫描可以查找并修复任何新发现的漏洞和身份，手动过程是足够的管理访问权限。当使用基础架构是虚拟的云服务并且资源是虚拟的云服务时，情况不再如此。根据需要动态创建和销毁。这些虚拟资源的清单不是固定的但随着需求的波动和应用程序的部署，它会不断变化。在这个动态的环境中所有众所周知的风险（例如未修补的漏洞）仍然存在，但除此之外，还存在新的风险。这些新风险可能来自云提供的新型服务，例如无服务器。计算，或由于尚未完全掌握组件或平台使用。一个值得关注的领域是DevOps和快速部署。传统的部署方法涉及事先风险评估和实施适当安全性的IT服务要素控制。但是，DevOps 提供的灵活性和云服务的弹性特性使其变得容易快速部署新的服务元素，而无需严格执行检查。在部署功能的竞赛中，它通常情况下，安全性排在第二位。这可能导致云服务元素配置错误，然后可以被网络利用对手。此外，在此动态环境中，虚拟基础架构组件具有特权而且，如果这些漏洞过多，则还可以利用其他漏洞。重要的是云环境提供网络安全功能，以确保安全性和合规性策略在应用程序开发和部署期间动态实施，而不会减慢 DevOps 的速度。KuppingerCole执行官视图甲骨文的安全区域报告没有。:ev80956第3页13 动态即时 IT 需要动态的即时安全控制。这些控制必须基于策略并在创建、修改、移动和删除 IT 服务元素时自动实施。这是最好由云服务本身实现，因为它对客户的资源有深入的了解以及控制飞机实施控制。本报告介绍了 Oracle 云安全区域如何实现这些目标，这些安全区域是一组OCI（Oracle 云基础设施）提供的安全功能。KuppingerCole执行官视图甲骨文的安全区域报告没有。:ev80956第4页13 2产品描述Oracle 安全区域提供基于策略的功能，以保护客户在甲骨文云基础设施。这有助于客户管理其云安全状况，并确保他们对服务的使用符合其合规义务。安全区域是对 Oracle 云防护的补充通过分配安全策略来提供对客户安全状况的可见性，这些策略将是在客户的 OCI 基础架构资源上强制执行。图 1：上下文中的 Oracle 安全区域（经 Oracle 许可复制的图像）Oracle 安全区域在云基础设施上实施基于资源的安全策略，并帮助客户通过从 S TART 强制实施安全态势来实施有效的云安全实践。客户可以创建安全区域，这些区域使用客户定义的集覆盖一个或多个基础结构区间的安全策略。在安全区域内创建的资源受所有适用的安全区域的约束已经应用的政策。安全区域是对身份和访问管理 （IAM） 的补充。安全区域策略已关联与 OCI 资源一起使用，这些资源在基础设施控制平面上强制执行。因此，安全区KuppingerCole执行官视图甲骨文的安全区域报告没有。:ev80956第5页13 特权帐户操作不能直接覆盖策略。OCI 于 2020 年 9 月发布了安全区域，作为最高安全区域，强制实施严格的安全性策略，并使这些策略不可变。2022 年 5 月，Oracle 推出了新版本的安全性区域，使客户能够定义自己的安全区域策略集和更改安全策略每当需要。客户可以选择并应用支持其所需安全状况的安全策略其区间内的 OCI 资源。当前包含在安全区域中的资源是网络、计算、存储、数据库、加密、备份和需要批准的映像。安全区域策略使客户能够限制资源移动、限制资源关联、拒绝公共访问、要求加密并确保数据持久性。安全区域提供云安全态势管理的实施元素，并与 Oracle 配对云基础设施监控。2.1 使用安全区域实现动态安全性OCI 使组织能够快速灵活地响应新的和不断变化的业务需求。然而，在这种动态的 IT 环境存在丢失或错误配置安全控制的风险。为例如，当业务应用程序组件从开发和测试移动到生产时通常需要更改控件和配置。当标准计算资源用于可能需要调整安全控制的不同目的。当敏感或受监管的数据被处理时处理后，必须保护数据。以下使用案例说明了 Oracle 安全性区域有助于保护这种动态的 IT 环境。护栏 — 客户可以使用安全区域来实施规范性护栏以保护其资源反对错误和恶意行为者。例如，它们可以阻止资源移动到违反合规义务的地点。它们可以防止资源暴露到互联网，并通过确保数据加密来实施数据保护。他们还可以确保安全性卫生，例如确保自动备份数据或强制使用客户管理的加密密钥。应用程序保护 — 安全区域可帮助为 OCI 提供适当级别的保护交付客户应用程序所涉及的资源。业务应用程序依赖于多个每个技术层都需要适当的安全策略。API / Web 服务器和负载均衡器暴露在互联网上的人面临更大的外部攻击风险。安全区域可以确保在需要访问互联网的地方，对 OCI 资源实施适当的限制。应用程序服务器不需要访问互联网，但可以受到其他形式的攻击。安全区域可以为使用的 OCI 资源及其处理的数据提供保护。支持KuppingerCole执行官视图甲骨文的安全区域报告没有。:ev80956第6页13 如果发生违规行为，业务应用程序可能会使用增强的 RIS KS 保存敏感或受监管的数据。Oracle 安全区域策略有助于保护这些数据库使用的 OCI 资源，并有助于确保数据的安全性和耐久性。高安全性 — 政府机构和关键基础设施行业受到严格约束法规。满足这些美国的安全需求需要全面的安全性控制。最大安全区域配方提供了反映 OCI 最佳的强大安全策略集实践和甲骨文对各种政府合规义务的了解行业部门。高安全性客户往往带来独特的要求和定制的愿望满足严格需求的基础设施。“最大安全区域”策略集提供了一个起点，很容易修改以反映客户的特定要求。资源保护政策当客户在安全区域中创建或更新资源时，OCI 会根据为安全区域设置的策略。如果违反任何策略，该操作将被拒绝。2022年5月安全区域版本允许客户通过选择要定义的策略来定义自己的安全区域从预定义列表中执行。OCI 资源的这些预定义安全策略可解决以下问题：限制资源移动 — 防止资源从安全区域移动到区域外的隔间（保护级别较低或没有保护）。限制资源关联 — 确保安全区域内的资源不依赖于安全区域的外部资源。拒绝公共访问 — 防止公众访问安全区域中的资源互联网。需要加密 — 确保安全区域中的所有资源都使用客户托管密钥。OCI 保管库提供管理主加密密钥的功能，这些密钥是保护用于安全访问资源的数据和机密凭据。确保数据持久性 — 要求将安全区域中的数据库配置为执行自动备份，并确保备份保留在区域中。确保数据安全 — 防止将数据复制到该安全区域之外。仅使用 Oracle 批准的配置 — 要求安全区域中的资源具有启用并配置了经 Oracle 批准的安全功能。政府Oracle 安全区域为关键 OCI 资源提供保护，但这种保护只可能是如果易于管理，则使用。客户可以使用基于 Web 的控制台管理安全区域，KuppingerCole执行官视图甲骨文的安全区域报告没有。:ev80956第7页13 REST API、命令行界面 （CLI） 或开发工具包。Terraform也支持自动化。OCI提供集成的IAM认证和授权服务，覆盖上述所有接口。默认情况下，只有具有显式管理权限的我们才能访问安全区域。租户可以灵活地应用、创建和更改自定义策略集。此外，租户可以将管理访问权限委派给开发人员和安全管理员。所有安全区域策略更改由 Oracle 云卫士独立监控，自动反映主动安全性具有云防护监视目标的区域策略。KuppingerCole执行官视图甲骨文的安全区域报告没有。:ev8095613页8 3 S混乱关系ngths和挑战Oracle 安全区域为租户提供基于策略的动态功能，以保护云资源在 OCI 隔间内。通过提供真正的策略实施功能，Oracle 云安全P OSoture 管理解决方案超越了竞争中常见的可见性和监控供品。安全区域策略动态应用于一个或多个区间中的资源，其中可以创建、更改、使用或删除资源;只要操作不与“已应用”冲突安全策略。安全区域的这一增强功能为租户提供了选择保护级别的灵活性他们根据自己的要求需要。最大安全区域配方可作为起点，客户现在可以对其进行编辑以更能反映他们的需求。通常，安全区域策略是基于 Oracle 最佳实践，并倾向于反映政府和其他高度管控的需求行业。扩展了灵活性方面，现在可以将安全区域应用于现有工作负载。这只需应用安全区域策略即可改善现有区间的安全状况。云Guard 将检测现有的错误配置，以便客户可以修复最初发现的问题，以及安全区域策略实施将防止将来发生违规行为。安全区域策略在控制平面级别强制实施，以提供强大的防护，防止泄露。然而，租户管理做法和应享权利管理方面的弱点仍然可以被利用。恶意更改安全区域策略并削弱安全态势。Ma ny OCI资源类型目前由安全区域策略解决，Oracl