Panduan keamanan untuk beban kerja Oracle pada akselerator zona pendaratan Azure Virtual Machines

  • Artikel

Artikel ini menjelaskan cara menjalankan beban kerja Oracle dengan aman pada akselerator zona pendaratan Azure Virtual Machines pada setiap tahap siklus hidup mereka. Artikel ini membahas komponen desain tertentu dan memberikan saran terfokus tentang keamanan infrastruktur sebagai layanan (IaaS) Azure untuk beban kerja Oracle.

Gambaran Umum

Keamanan sangat penting untuk arsitektur apa pun. Azure menawarkan berbagai alat yang komprehensif untuk membantu Anda mengamankan beban kerja Oracle Anda secara efektif. Tujuan dari artikel ini adalah untuk memberikan rekomendasi keamanan untuk sarana kontrol Azure yang terkait dengan beban kerja aplikasi Oracle yang disebarkan di Komputer Virtual. Untuk informasi terperinci dan panduan implementasi mengenai langkah-langkah keamanan dalam Oracle Database, lihat Panduan keamanan Oracle Database.

Sebagian besar database menyimpan data sensitif. Menerapkan keamanan hanya di tingkat database tidak cukup untuk mengamankan arsitektur tempat Anda menyebarkan beban kerja ini. Pertahanan mendalam adalah pendekatan komprehensif untuk keamanan yang mengimplementasikan beberapa lapisan mekanisme pertahanan untuk melindungi data. Alih-alih mengandalkan satu langkah keamanan pada tingkat tertentu, seperti hanya berfokus pada mekanisme keamanan jaringan, strategi pertahanan mendalam menggunakan kombinasi langkah-langkah keamanan lapisan yang berbeda untuk membuat postur keamanan yang kuat. Anda dapat merancang pendekatan mendalam pertahanan untuk beban kerja Oracle dengan menggunakan kerangka kerja autentikasi dan otorisasi yang kuat, keamanan jaringan yang diperkeras, dan enkripsi data saat tidak aktif dan data saat transit.

Anda dapat menyebarkan beban kerja Oracle sebagai model cloud IaaS di Azure. Kunjungi kembali matriks tanggung jawab bersama untuk pemahaman yang lebih jelas tentang tugas dan tanggung jawab tertentu yang ditetapkan untuk penyedia cloud dan pelanggan. Untuk informasi selengkapnya, lihat Tanggung jawab bersama di cloud.

Anda harus menilai layanan dan teknologi yang Anda gunakan secara berkala untuk memastikan bahwa langkah-langkah keamanan Anda selaras dengan lanskap ancaman yang berubah.

Menggunakan manajemen identitas terpusat

Manajemen identitas adalah kerangka kerja mendasar yang mengatur akses ke sumber daya penting. Manajemen identitas menjadi penting ketika Anda bekerja dengan berbagai jenis personel, seperti magang sementara, karyawan paruh waktu, atau karyawan penuh waktu. Personel ini memerlukan berbagai tingkat akses yang perlu dipantau, dipertahankan, dan segera dicabut seperlunya. Ada empat kasus penggunaan manajemen identitas yang berbeda untuk dipertimbangkan untuk beban kerja Oracle Anda, dan setiap kasus penggunaan memerlukan solusi manajemen identitas yang berbeda.

  • Aplikasi Oracle: Pengguna dapat mengakses aplikasi Oracle tanpa harus memasukkan kembali kredensial mereka setelah mereka diotorisasi melalui akses menyeluruh (SSO). Gunakan integrasi MICROSOFT Entra ID untuk mengakses aplikasi Oracle. Tabel berikut mencantumkan strategi SSO yang didukung untuk setiap solusi Oracle.

    Aplikasi Oracle Menautkan ke dokumen
    E-Business Suite (EBS) Mengaktifkan SSO untuk EBS R12.2
    JD Edwards (JDE) Menyiapkan SSO JDE
    PeopleSoft Mengaktifkan SSO untuk Orang Soft
    Hipersi Dokumen dukungan Oracle #2144637.1
    Siebel Dokumen dukungan Oracle #2664515.1

  • Keamanan tingkat sistem operasi (OS): Beban kerja Oracle dapat berjalan pada berbagai varian OS Linux atau OS Windows. Organisasi dapat meningkatkan keamanan komputer virtual (VM) Windows dan Linux mereka di Azure dengan mengintegrasikannya dengan ID Microsoft Entra. Untuk informasi selengkapnya, lihat:

  • Azure Key Vault untuk menyimpan kredensial: Key Vault adalah alat canggih untuk aplikasi dan layanan cloud yang dapat Anda gunakan untuk mengamankan penyimpanan rahasia, seperti kata sandi dan string koneksi database. Anda dapat menggunakan Key Vault untuk menyimpan kredensial untuk VM Windows dan Linux dengan cara yang terpusat dan aman, terlepas dari OS.

    • Anda dapat menghindari kebutuhan untuk menyimpan kredensial dalam teks biasa dalam kode atau file konfigurasi Anda dengan menggunakan Key Vault. Anda dapat mengambil kredensial dari Key Vault saat runtime, yang menambahkan lapisan keamanan tambahan ke aplikasi Anda dan membantu mencegah akses tidak sah ke VM Anda. Key Vault terintegrasi dengan mulus dengan layanan Azure lainnya, seperti Virtual Machines, dan Anda dapat mengontrol akses ke Key Vault dengan menggunakan Azure Active Directory (Azure AD). Proses ini memastikan bahwa hanya pengguna dan aplikasi yang berwenang yang dapat mengakses kredensial yang disimpan.

  • Gambar OS yang diperkeras: Gambar yang diperkuat Center for Internet Security (CIS) untuk Windows atau Linux di Azure memiliki beberapa manfaat. Tolok ukur CIS diakui secara global sebagai praktik terbaik untuk mengamankan sistem dan data IT. Gambar-gambar ini telah dikonfigurasi sebelumnya untuk memenuhi rekomendasi keamanan CIS, yang dapat menghemat waktu dan upaya dalam memperkuat OS. Gambar OS yang diperkeras dapat membantu organisasi meningkatkan postur keamanan mereka dan mematuhi kerangka kerja keamanan seperti National Institute of Standards and Technology (NIST) dan Interkoneksi Komponen Periferal (PCI).

Mengeraskan OS

Pastikan OS diperkuat untuk menghilangkan kerentanan yang dapat dieksploitasi untuk menyerang database Oracle.

  • Gunakan pasangan kunci Secure Shell (SSH) untuk akses akun Linux alih-alih kata sandi.
  • Nonaktifkan akun Linux yang dilindungi kata sandi dan aktifkan hanya berdasarkan permintaan untuk waktu yang singkat.
  • Nonaktifkan akses masuk untuk akun Linux istimewa (root atau Oracle), yang memungkinkan akses masuk hanya ke akun yang dipersonalisasi.
  • Alih-alih akses masuk langsung, gunakan sudo untuk memberikan akses ke akun Linux istimewa dari akun yang dipersonalisasi.
  • Ambil log jejak audit Linux dan log akses sudo di Log Azure Monitor dengan menggunakan utilitas Linux SYSLOG.
  • Terapkan patch keamanan dan patch OS atau pembaruan secara teratur hanya dari sumber tepercaya.
  • Terapkan pembatasan untuk membatasi akses ke OS.
  • Batasi akses tidak sah ke server.
  • Kontrol akses server di tingkat jaringan untuk meningkatkan keamanan keseluruhan.
  • Pertimbangkan untuk menggunakan daemon firewall Linux untuk perlindungan lokal selain kelompok keamanan jaringan (NSG) Azure.
  • Konfigurasikan daemon firewall Linux untuk berjalan secara otomatis saat startup.
  • Pindai port jaringan yang didengarkan untuk memahami titik akses potensial, dan pastikan Azure NSG atau daemon firewall Linux mengontrol akses ke port tersebut. Gunakan perintah netstat –l Linux untuk menemukan port.
  • Alias perintah Linux yang berpotensi merusak, seperti rm dan mv, untuk memaksanya ke mode interaktif sehingga Anda diminta setidaknya sekali sebelum perintah yang tidak dapat diubah dilakukan. Pengguna tingkat lanjut dapat menjalankan perintah unalias jika diperlukan.
  • Konfigurasikan log sistem terpadu database Oracle untuk mengirim salinan log audit Oracle ke Log Azure Monitor dengan menggunakan utilitas Linux SYSLOG.

Menggunakan keamanan jaringan

Keamanan jaringan adalah komponen mendasar dari pendekatan keamanan berlapis untuk beban kerja Oracle di Azure.

  • Menggunakan NSG: Anda dapat menggunakan Azure NSG untuk memfilter lalu lintas jaringan antara sumber daya Azure di jaringan virtual Azure. NSG berisi aturan keamanan yang mengizinkan atau menolak lalu lintas jaringan masuk ke sumber daya Azure atau lalu lintas jaringan keluar dari sumber daya Azure. NSG dapat memfilter lalu lintas antara jaringan lokal ke dan dari Azure dengan menggunakan rentang alamat IP dan port tertentu. Untuk informasi selengkapnya, lihat Kelompok keamanan jaringan.

    Tabel berikut ini mencantumkan penetapan port masuk untuk VM database Oracle:

    Protokol Nomor port Nama layanan Komentar
    TCP 22 SSH Port manajemen untuk VM Linux
    TCP 1521 Pendengar Oracle TNS Nomor port lain yang sering digunakan untuk tujuan keamanan atau tujuan penyeimbangan beban koneksi
    TCP 3389 RDP Port manajemen untuk VM Windows

  • Memutuskan cara menyambungkan ke VM Anda: VM tempat beban kerja database Oracle berada harus diamankan terhadap akses yang tidak sah. Akses manajemen sensitif karena izin yang lebih tinggi yang diperlukan untuk pengguna manajemen. Di Azure, pengguna yang berwenang memiliki beberapa mekanisme yang tersedia untuk mengelola VM dengan aman.

    • akses just-in-time (JIT) Microsoft Defender untuk Cloud memanfaatkan mekanisme keamanan jaringan Azure secara cerdas untuk memberikan peluang terbatas waktu untuk mengakses port manajemen pada VM Anda.
    • Azure Bastion adalah solusi platform as a service (PaaS) yang Anda sebarkan di Azure. Azure Bastion menghosting jump box.

Anda dapat menggunakan salah satu solusi untuk mengamankan manajemen VM database Oracle Anda. Jika diinginkan, Anda dapat menggabungkan kedua solusi untuk pendekatan multilapis tingkat lanjut.

Secara umum, akses JIT meminimalkan tetapi tidak menghilangkan paparan risiko dengan membatasi waktu ketika port manajemen untuk SSH atau RDP tersedia. JIT memang membiarkan terbuka kemungkinan untuk akses oleh sesi lain yang disesuaikan selama jendela JIT yang diperoleh. Tailgater tersebut masih harus melewati port SSH atau RDP yang terekspos, sehingga risiko paparannya kecil. Namun, paparan tersebut dapat membuat akses JIT kurang palatable untuk memblokir akses dari internet terbuka.

Azure Bastion pada dasarnya adalah jump box yang diperkeras yang membantu mencegah akses dari internet terbuka. Namun, ada banyak batasan untuk Azure Bastion untuk Anda pertimbangkan.

  • Gunakan X-Windows dan Virtual Networking Computing (VNC): Perangkat lunak database Oracle biasanya mengharuskan Anda menggunakan X-Windows karena konektivitas antara VM Linux di Azure dan desktop atau laptop Anda mungkin melintasi firewall dan Azure NSG. Karena itu, Anda harus menggunakan penerusan port SSH untuk terowongan koneksi X-Windows atau VNC melalui SSH. Untuk contoh yang menggunakan -L 5901:localhost:5901 parameter , lihat Membuka klien VNC dan menguji penyebaran Anda.

  • Opsi interkoneksi lintas cloud: Aktifkan konektivitas antara beban kerja database Oracle yang berjalan di Azure dan beban kerja di Oracle Cloud Infrastructure (OCI). Anda dapat membuat tautan atau alur privat antara aplikasi dengan menggunakan interkoneksi Azure atau OCI antara wilayah tertentu di Azure dan OCI. Untuk informasi selengkapnya, lihat Menyiapkan interkoneksi langsung antara Azure dan Oracle Cloud Infrastructure. Artikel tersebut tidak mencakup pembuatan firewall di kedua sisi interkoneksi Azure atau OCI, yang umumnya merupakan persyaratan untuk masuk atau keluar di seluruh cloud. Pendekatan ini menggunakan rekomendasi jaringan Microsoft Zero Trust.

Keamanan berbasis kebijakan Azure

Tidak ada definisi kebijakan Azure bawaan khusus untuk beban kerja Oracle pada akselerator zona pendaratan Komputer Virtual. Namun, Azure Policy menawarkan cakupan komprehensif untuk sumber daya dasar yang digunakan oleh solusi Oracle apa pun di Azure, termasuk VM, penyimpanan, dan jaringan. Untuk informasi selengkapnya, lihat Definisi kebijakan bawaan Azure Policy.

Anda juga dapat membuat kebijakan kustom untuk mengatasi persyaratan organisasi Anda untuk menjegal kesenjangan. Misalnya, gunakan kebijakan Oracle kustom untuk memberlakukan enkripsi penyimpanan, mengelola aturan NSG, atau melarang penugasan alamat IP publik ke Oracle VM.

Menggunakan enkripsi untuk menyimpan data

  • Mengenkripsi data saat transit: Berlaku untuk status data yang berpindah dari satu lokasi ke lokasi lain dan biasanya di seluruh koneksi jaringan. Data saat transit dapat dienkripsi dengan beberapa cara, tergantung pada sifat koneksi. Secara default, Anda harus mengaktifkan enkripsi data secara manual untuk data saat transit di dalam pusat data Azure. Untuk informasi selengkapnya dalam dokumentasi Azure, lihat Enkripsi data saat transit.

  • Mengenkripsi data tidak aktif: Anda juga harus melindungi data saat ditulis ke penyimpanan, saat tidak aktif. Data rahasia dapat diekspos atau diubah saat media penyimpanan dihapus atau diakses selama penggunaan. Oleh karena itu, data harus dienkripsi untuk memastikan bahwa hanya pengguna yang berwenang dan terautentikasi yang dapat melihat atau memodifikasinya. Azure menyediakan tiga lapisan enkripsi saat tidak aktif.

    • Semua data dienkripsi pada tingkat terendah saat disimpan ke perangkat Azure Storage apa pun dengan enkripsi sisi layanan Storage. Enkripsi sisi layanan memastikan bahwa tidak perlu menghapus atau menghancurkan media penyimpanan saat penyewa Azure dilakukan menggunakan penyimpanan. Data yang selalu dienkripsi saat tidak aktif dapat hilang secara permanen jika kunci yang dikelola platform dibuang. Enkripsi sisi layanan lebih cepat dan lebih aman daripada mencoba menghapus semua data dari penyimpanan.
    • Azure juga memberikan kesempatan untuk mengenkripsi ganda data tersimpan di dalam infrastruktur Storage dengan menggunakan enkripsi infrastruktur Storage, yang menggunakan dua kunci yang dikelola platform terpisah.
    • Selain itu, enkripsi disk Azure adalah enkripsi data tidak aktif yang dikelola dalam OS tamu (BitLocker untuk Windows dan DM-CRYPT untuk Linux).

Infrastruktur Storage memiliki hingga tiga kemungkinan lapisan data saat enkripsi tidak aktif. Jika Anda memiliki opsi Oracle Advanced Security, database Oracle juga dapat mengenkripsi file database dengan enkripsi data transparan (TDE) dan menyediakan tingkat enkripsi lain saat tidak aktif.

Opsi Oracle Advanced Security juga menawarkan fitur yang disebut redaksi data, yang merupakan bentuk masking data dinamis. Saat database mengambil data, database menutupi nilai data tanpa mengubah nilai data yang disimpan.

Beberapa lapisan enkripsi saat istirahat ini mewakili definisi pertahanan yang sangat mendalam. Jika karena alasan tertentu salah satu bentuk enkripsi saat tidak aktif disusupi, masih ada lapisan enkripsi lain untuk melindungi data.

  • Kelola kunci: Jika Anda menerapkan Oracle TDE sebagai lapisan enkripsi lain, penting untuk dicatat bahwa Oracle tidak mendukung solusi manajemen kunci asli, seperti Key Vault, yang disediakan oleh Azure atau penyedia cloud lainnya. Sebagai gantinya, lokasi default untuk dompet Oracle berada dalam sistem file VM database Oracle.

Untuk informasi selengkapnya, lihat Menyediakan Oracle Key Vault di Azure untuk mempelajari cara menggunakan Oracle Key Vault sebagai solusi manajemen kunci Azure.

Mengintegrasikan jejak audit

Pemantauan log aplikasi sangat penting untuk mendeteksi ancaman keamanan di tingkat aplikasi. Gunakan solusi Microsoft Sentinel untuk beban kerja Oracle Database. Konektor audit Oracle Database mengambil dan menyerap semua catatan audit database Oracle ke Log Azure Monitor dengan menggunakan antarmuka SYSLOG standar industri. Proses ini memungkinkan rekaman tersebut untuk ditinjau bersama dengan catatan audit infrastruktur Azure dan catatan audit OS tamu (Linux atau Windows). Solusi Microsoft Azure Sentinel adalah solusi informasi keamanan cloud-native dan manajemen peristiwa (SIEM) yang dibangun untuk beban kerja Oracle Anda yang berjalan di VM Linux atau Windows. Untuk informasi selengkapnya, lihat Konektor audit database Oracle untuk Microsoft Sentinel.

Langkah selanjutnya

Untuk memahami cara merencanakan persyaratan kapasitas untuk beban kerja Oracle di Azure, lihat Perencanaan kapasitas untuk memigrasikan beban kerja Oracle ke zona pendaratan Azure.