Memberikan keamanan untuk workload perusahaan di lingkungan Solusi Bare Metal

Karena Solusi Bare Metal memungkinkan Anda menghadirkan workload perusahaan tradisional lebih dekat ke Google Cloud, pertanyaan umum dari arsitek perusahaan dan arsitek keamanan adalah "Bagaimana cara mengamankan workload saya?" Tujuan panduan ini adalah memberi Anda elemen desain keamanan dan kepatuhan yang harus dipertimbangkan saat berencana memindahkan workload perusahaan Anda, seperti database Oracle, ke Solusi Bare Metal. Kita juga akan membahas kontrol dan fitur keamanan Google Cloud yang mengamankan aset perusahaan Anda, dan menunjukkan beberapa praktik terbaik keamanan Oracle.

Keamanan dalam lingkungan Solusi Bare Metal

Lingkungan Solusi Bare Metal mencakup server bare metal yang dibangun khusus yang dihosting di ekstensi regional. Seperti yang terlihat pada Gambar 1, ekstensi regional adalah fasilitas kolokasi yang ditempatkan di dekat region Google Cloud tertentu dan terhubung ke Google Cloud dengan koneksi berperforma tinggi yang terkelola dan fabric jaringan latensi rendah.

Gambar 1: Solusi Bare Metal - Ekstensi Regional yang terhubung ke Google Cloud

Karena arsitektur ini, Anda perlu mempertimbangkan cara untuk mengamankan server Solusi Bare Metal dan komponen Google Cloud yang disertakan dalam desain Anda. Untungnya, Google Cloud menyediakan dan mengelola komponen berikut untuk Solusi Bare Metal:

• Infrastruktur inti, termasuk fasilitas dan kekuatan lingkungan yang aman dan terkontrol
• Keamanan fisik
• Infrastruktur dan keamanan jaringan
• Kemampuan pemantauan hardware
• Akses ke layanan Google Cloud
• Penyediaan dan pemeliharaan hardware tenant tunggal
• Jaringan area penyimpanan lokal (SAN)
• Dukungan tangan cerdas: Dukungan di tempat untuk aktivitas seperti penggantian hardware

Dalam lingkungan Solusi Bare Metal, keamanan adalah tanggung jawab bersama. Kabar baiknya, Anda dapat menerapkan praktik terbaik keamanan Anda sendiri dan melengkapinya dengan penawaran bawaan yang disediakan Solusi Bare Metal. Gambar 2 menunjukkan ringkasan komponen keamanan mana yang perlu Anda sediakan dan mana yang disediakan oleh Google Cloud.

Gambar 2: Ringkasan tanggung jawab keamanan - pelanggan dan Google Cloud

Merencanakan keamanan untuk lingkungan Solusi Bare Metal Anda

Jika ingin merencanakan strategi keamanan untuk Solusi Bare Metal, Anda perlu mempertimbangkan enam pilar keamanan berikut:

1. Keamanan fisik
2. Kepatuhan
3. Keamanan jaringan
4. Keamanan data
5. Keamanan operasional
6. Keamanan database

Mari kita pelajari setiap pilar keamanan ini secara lebih rinci.

Keamanan fisik

Komponen fisik Solusi Bare Metal berada di ekstensi regional (fasilitas kolokasi) yang dijalankan oleh vendor. Koneksi Partner Interconnect yang berkecepatan tinggi dan berlatensi rendah menautkan ekstensi regional ke region Google Cloud terdekat.

Vendor mengelola ekstensi regional dan fasilitasnya, seperti daya, pendinginan, racking dan stacking, serta pengelolaan penyimpanan. Vendor juga mengelola fitur keamanan dan keselamatan fisik standar industri, termasuk, tetapi tidak terbatas pada hal berikut:

• Kandang memiliki dinding dari pelat ke lempengan atau bagian atas mesh yang aman.
• Kamera video di setiap fasilitas memantau kandang, lorong, dan pintu 24 jam sehari, 7 hari seminggu. Kamera memiliki pandangan yang jelas di dalam setiap kandang, untuk setiap lorong, dan untuk setiap pintu masuk dan keluar.
• Semua pintu di fasilitas memiliki alarm untuk memastikan pintu tertutup dengan benar.
• Siapa pun yang memasuki kandang harus memiliki persetujuan sebelumnya dari tim koordinasi ekstensi regional dan akses yang sesuai yang diberikan melalui tim keamanan ekstensi regional.
• Tim koordinasi ekstensi regional mengelola semua akses dengan tiket individual per kunjungan.
• Fasilitas ini mewajibkan staf yang berwenang untuk menggunakan kunci biometrik untuk masuk ke fasilitas dan badge untuk keluar.
• Semua rak dikunci. Loker kunci elektronik mendistribusikan kunci untuk rak tertentu kepada staf resmi berdasarkan "kebutuhan penggunaan" yang terbatas. Loker kunci juga melacak akses rak.
• Tim keamanan kolokasi mengelola akses dan memelihara pelaporan berdasarkan persyaratan sertifikasi kepatuhan PCI dan ISO.
• Langkah-langkah keamanan fisik lainnya konsisten dengan praktik terbaik industri dan persyaratan peraturan yang berlaku.

Kepatuhan

Solusi Bare Metal memenuhi persyaratan kepatuhan yang ketat dengan sertifikasi industri seperti ISO, PCI DSS, dan HIPAA, serta sertifikasi regional jika berlaku. Untuk mengetahui informasi selengkapnya tentang kepatuhan, kunjungi Pusat referensi kepatuhan.

Keamanan jaringan

Keamanan jaringan ditawarkan dalam dua lapisan, seperti yang ditunjukkan pada Gambar 3:

1. Lampiran VLAN Lapisan 3 menghubungkan Google Virtual Private Cloud Anda ke instance perutean dan penerusan virtual (VRF) yang unik di router edge Solusi Bare Metal.

2. Dalam lingkungan Solusi Bare Metal, VLAN Lapisan 2 menyediakan keamanan dan isolasi yang diperlukan untuk data Anda. Anda menggunakan subnet klien untuk terhubung ke Google Cloud, dan subnet pribadi opsional untuk menghosting layanan dan penyimpanan Anda sendiri.

Gambar 3: Keamanan jaringan dalam lingkungan Solusi Bare Metal

Jika Anda menggunakan Google Cloud API dari dalam lingkungan Solusi Bare Metal untuk mengakses layanan Google Cloud, Google Cloud akan mengenkripsi transfer data secara default antara Solusi Bare Metal dan layanan tertentu sesuai dengan kebijakan enkripsi kami. Misalnya, jika Anda menggunakan utilitas gsutil atau API untuk mencadangkan data di Cloud Storage, transfer data dari Solusi Bare Metal ke Cloud Storage menggunakan enkripsi data secara default.

Menerapkan perimeter yang aman dengan Akses Google Pribadi

Akses Google Pribadi (juga dikenal sebagai kontrol layanan VPC) memungkinkan Anda menentukan perimeter keamanan seputar data sensitif dalam layanan Google Cloud dan menawarkan manfaat berikut:

• Memitigasi risiko pemindahan data yang tidak sah. Pemindahan data yang tidak sah terjadi saat orang yang berwenang mengekstrak data dari sistem yang aman tempat data tersebut berada, dan membagikannya kepada pihak ketiga yang tidak sah atau memindahkannya ke sistem yang tidak aman.
• Mengakses layanan Google Cloud secara pribadi dari infrastruktur lokal.
• Menerapkan akses kontekstual dari internet.
• Mengelola kebijakan keamanan dari satu lokasi terpusat.

Dengan Solusi Bare Metal, Anda dapat memanfaatkan layanan Google Cloud yang skalabel dan berbasis cloud melalui Partner Interconnect. Dengan mengaktifkan perimeter berbasis kontrol Layanan VPC, perimeter berbasis kontrol Layanan VPC dapat semakin memastikan bahwa akses ke semua layanan Google Cloud, seperti BigQuery dan Cloud Storage, terjadi tanpa pemindahan data yang tidak sah ke internet.

Untuk menyiapkan akses pribadi ke Google API, lihat Mengonfigurasi Akses Google Pribadi untuk host lokal. Gambar 4 menunjukkan contoh Akses Google Pribadi:

Gambar 4: Akses Google Pribadi di lingkungan Solusi Bare Metal

Keamanan data

Saat merencanakan keamanan data di lingkungan Solusi Bare Metal, Anda harus mengetahui cara data terenkripsi disimpan dan cara mengamankan aplikasi yang berjalan di Google Cloud atau di pusat data lokal.

Enkripsi penyimpanan

Secara default, Solusi Bare Metal mengenkripsi data dalam penyimpanan. Berikut ini beberapa fakta tentang enkripsi penyimpanan dalam penyimpanan di lingkungan Solusi Bare Metal:

• Untuk menyediakan penyimpanan, kami membuat Mesin Virtual Storage (SVM) di cluster NetApp untuk setiap pelanggan, dan mengaitkan SVM dengan volume data yang dicadangkan sebelum memberikannya kepada pelanggan.
• Saat kami membuat volume data terenkripsi, proses enkripsi akan menghasilkan kunci enkripsi data XTSAES-256 yang unik. Kita tidak pernah membuat kunci di awal.
• SVM menyediakan isolasi di lingkungan multitenant. Setiap SVM muncul sebagai satu server independen, yang memungkinkan beberapa SVM berdampingan dalam suatu cluster dan memastikan tidak ada aliran data di antara SVM.
• Kami tidak menampilkan kunci dalam teks biasa. Key manager bawaan NetApp menyimpan, mengelola, dan melindungi kunci.
• Baik Google Cloud maupun vendor tidak memiliki akses ke kunci Anda.
• Cluster Netapp Storage menyimpan dan mengenkripsi semua data dalam penyimpanan, termasuk sistem operasi dan partisi booting.
• Jika Anda memilih untuk berhenti menggunakan Solusi Bare Metal pada akhir kontrak, kami akan menghapus dan mengarantina volume penyimpanan Anda secara kriptografis selama 7 hari sebelum dapat digunakan kembali.

Keamanan aplikasi

Ketika menggunakan Solusi Bare Metal, Anda dapat mengamankan aplikasi yang berjalan di Google Cloud atau di lingkungan lokal.

Aplikasi yang berjalan di Google Cloud

• Solusi Bare Metal berjalan di ekstensi regional; satu-satunya jalur jaringan ke atau dari ekstensi regional adalah melalui Partner Interconnect ke region Google Cloud terkait melalui lampiran VLAN khusus pelanggan.
• Secara default, server Solusi Bare Metal tidak memiliki akses internet. Jika Anda memerlukan akses internet untuk operasi seperti patching atau update, buat instance NAT. Untuk informasi selengkapnya, lihat Mengakses internet.
• Sesi BGP menyediakan perutean dinamis antara Cloud Router di VPC dan router ekstensi regional. Oleh karena itu, jika Anda menempatkan resource di VPC yang terpasang ke ekstensi regional, resource ini memiliki akses langsung ke server Solusi Bare Metal. Demikian pula, resource yang berjalan di subnet yang baru ditambahkan juga memiliki akses ke server Solusi Bare Metal. Jika Anda perlu mengizinkan atau menolak akses ke resource tertentu, gunakan kebijakan firewall untuk membatasi perilaku default yang mengizinkan akses ke semua resource Solusi Bare Metal.

• Seperti yang ditunjukkan pada Gambar 5, gunakan peering VPC untuk mengaktifkan resource yang berjalan di VPC yang berbeda dalam project yang sama atau project yang berbeda untuk mengakses server Solusi Bare Metal. Di Cloud Router redundan, tambahkan iklan khusus yang mengarah ke rentang CIDR dari jaringan yang di-peering.

  Gambar 5: Peering VPC dan lingkungan Solusi Bare Metal

  

• Seperti ditunjukkan dalam Gambar 6, gunakan arsitektur VPC bersama untuk mengizinkan resource dari berbagai project mengakses server Solusi Bare Metal. Dalam hal ini, Anda harus membuat lampiran VLAN di project host sehingga semua resource dapat mengakses server yang terpasang pada VPC bersama.

  Gambar 6: VPC Bersama dan lingkungan Solusi Bare Metal

  

• Anda dapat mencadangkan database dengan Oracle Recovery Manager (RMAN) atau solusi pencadangan seperti Actifio. Untuk mempelajari cara Actifio terintegrasi secara native dengan RMAN, lihat Panduan Actifio berikut. Anda dapat menyimpan data cadangan di Cloud Storage dan memilih berbagai tingkat Cloud Storage untuk memenuhi persyaratan Anda untuk Batas Waktu Pemulihan (RTO) dan Toleransi Jumlah Data yang Hilang (RPO).

Aplikasi yang berjalan secara lokal

• Seperti yang telah disebutkan, satu-satunya jalur jaringan ke atau dari ekstensi regional Solusi Bare Metal adalah melalui Partner Interconnect ke region Google Cloud terkait. Untuk terhubung ke server Solusi Bare Metal dari lingkungan lokal, Anda harus menghubungkan pusat data lokal ke Google Cloud menggunakan Dedicated Interconnect, Partner Interconnect, atau Cloud VPN. Untuk mengetahui informasi selengkapnya tentang opsi koneksi ini, lihat Memilih produk Konektivitas Jaringan.
• Untuk mengaktifkan rute ke jaringan lokal, Anda harus memodifikasi Cloud Router yang redundan dengan iklan kustom yang mengarah ke rentang CIDR subnet lokal. Gunakan aturan {i>firewall<i} untuk mengizinkan atau memblokir akses ke server.

Keamanan operasional

Di bagian Keamanan Fisik dalam panduan ini, Anda telah mengetahui bahwa kami sangat membatasi akses ke infrastruktur Solusi Bare Metal dalam ekstensi regional. Kami memberikan akses ke staf yang memiliki akses sementara, terbatas, dan bersifat "perlu digunakan". Kami mengaudit log akses, menganalisisnya untuk mendeteksi anomali, serta menggunakan pemantauan dan pemberitahuan 24/7 untuk mencegah akses yang tidak sah.

Untuk keamanan operasional, terdapat beberapa opsi. Salah satu solusi yang terintegrasi secara native dengan Google Cloud adalah produk Bindplane Blue Medora. Bindplane terintegrasi dengan agen Kemampuan Observasi Google Cloud dan memungkinkan Anda mengambil metrik dan log dari infrastruktur Solusi Bare Metal, termasuk log aplikasi database Oracle dan Oracle.

Prometheus adalah solusi pemantauan open source yang dapat Anda gunakan untuk memantau infrastruktur Solusi Bare Metal dan database Oracle yang berjalan di atasnya. Anda dapat mengarahkan jejak audit sistem dan database ke Prometheus, yang berfungsi sebagai satu panel terpadu untuk memantau dan mengirim pemberitahuan jika ada aktivitas mencurigakan.

Oracle Enterprise Manager populer di kalangan pengguna yang menggunakannya di lingkungan lokal. Anda dapat menggunakan OEM di lingkungan Solusi Bare Metal untuk melakukan tugas pemantauan dan pemberitahuan dengan cara yang sama seperti pusat data lokal Anda.

Keamanan database

Kami merancang Solusi Bare Metal semirip mungkin dengan lingkungan lokal Anda, sehingga Anda dapat menggunakannya dengan upaya dan pembelajaran paling sedikit. Dengan demikian, Anda dapat dengan mudah memindahkan fitur database Oracle terkait keamanan, praktik keamanan, dan proses ke Solusi Bare Metal. Anda dapat melengkapi portofolio keamanan Anda dengan fitur keamanan yang disediakan Google Cloud.

Untuk keamanan database, mari kita tinjau kontrol keamanan Oracle yang harus Anda aktifkan. Pengelolaan ini mencakup autentikasi pengguna, otorisasi dan kontrol akses, pengauditan, serta enkripsi.

Autentikasi pengguna

• Terapkan kebijakan sandi, seperti kompleksitas dan panjangnya, jika menggunakan autentikasi dasar.
• Perkuat sistem autentikasi Anda dengan menggunakan sertifikat TLS, Kerberos, atau RADIUS.
• Gunakan autentikasi berbasis proxy untuk mengaktifkan autentikasi dan pengauditan di level database. Metode ini berguna jika Anda memilih untuk tidak memetakan pengguna aplikasi ke pengguna database dan mengaktifkan autentikasi di tingkat aplikasi.

Untuk rekomendasi autentikasi lainnya, lihat Mengonfigurasi Authentication di Panduan Keamanan Oracle Database.

Otorisasi dan kontrol akses

• Mengelola otorisasi melalui hak istimewa objek, hak istimewa sistem, dan peran yang diidentifikasi di dalam database. Anda juga dapat melengkapi praktik ini dengan fitur yang lebih canggih dan aman seperti Database Vault.

• Mengelola pengguna dan grup dengan Pengguna yang Dikelola Secara Pusat (CMU). Dengan CMU, Anda dapat memanfaatkan infrastruktur Active Directory yang ada untuk memusatkan pengelolaan pengguna database dan otorisasi di beberapa database Oracle.

  Untuk informasi selengkapnya tentang CMU, lihat Mengonfigurasi Pengguna yang Dikelola Secara Pusat dengan Microsoft Active Directory di Panduan Keamanan Oracle Database.

• Gunakan Database Vault untuk memperkenalkan pemisahan tugas dan kontrol akses bagi pengguna dengan hak istimewa tinggi.

  Untuk informasi selengkapnya tentang Database Vault, lihat Panduan Administrator Oracle Database Vault.

• Manfaatkan alat dan teknik tambahan, seperti analisis hak istimewa dan penyamaran data.

  • Alat analisis hak istimewa membantu Anda secara aktif memantau penggunaan hak istimewa dan peran oleh pengguna akhir. Untuk mengetahui informasi selengkapnya tentang analisis hak istimewa, lihat Melakukan Analisis Hak Istimewa untuk Menemukan Penggunaan Hak Istimewa di Panduan Keamanan Oracle Database.
  • Penyamaran data menghapus data kolom sensitif dan hanya mengizinkan akses untuk pengguna yang diperlukan. Untuk mengetahui informasi lebih lanjut tentang penyamaran data, baca Menggunakan Penyamaran Data Oracle di Panduan Keamanan Lanjutan Oracle Database.

• Gunakan Virtual Private Database (VPD) dan Oracle Label Security (OLS) untuk membuat akses terperinci ke data dengan mengubah kueri pengguna secara dinamis. Alat ini mengecualikan baris yang difilter oleh kebijakan VPD, dan mengelola baris serta label pengguna untuk mengidentifikasi apakah pengguna harus memiliki akses ke baris tertentu atau tidak.

  • Untuk detail lebih lanjut tentang VPD, lihat Menggunakan Oracle Virtual Private Database untuk Mengontrol Akses Data di Panduan Keamanan Oracle Database.
  • Untuk detail selengkapnya tentang OLS, lihat Panduan Administrator Keamanan Oracle Label.

• Ikuti prinsip hak istimewa terendah dengan menetapkan hak istimewa peran yang terperinci ke grup dan pengguna.

Pengauditan

• Manfaatkan audit terpadu, fitur yang mengirim semua data audit ke jejak audit terpadu. Diperkenalkan pada Rilis 12c untuk menggantikan audit database tradisional, fitur ini membuat file jejak terpusat untuk semua peristiwa audit terkait database dan meningkatkan performa laporan audit.
• Aktifkan pengauditan terperinci (FGA) untuk memperluas kemampuan audit tradisional. Fitur ini menangkap data audit hanya saat pengguna mengakses kolom tertentu atau memenuhi kondisi tertentu.

• Gunakan firewall database audit vault (AVDF) untuk mengelola kebijakan audit dan peristiwa yang direkam. Salah satu kasus penggunaan utama untuk ADVF adalah untuk mencegah serangan injeksi SQL. Anda menyiapkan firewall database untuk memantau semua pernyataan SQL yang dikeluarkan terhadap database selama siklus proses aplikasi lengkap. Database ini mem-build serangkaian cluster tepercaya, lalu memblokir semua pernyataan SQL yang tidak diketahui oleh firewall database.

  Untuk mengetahui informasi selengkapnya, lihat Memantau Aktivitas Database dengan Audit di Panduan Keamanan Oracle Database dan Panduan Audit Vault dan Firewall Database.

Enkripsi untuk data dalam penyimpanan dan saat transit

• Meskipun Solusi Bare Metal secara otomatis mengenkripsi data dalam penyimpanan menggunakan kunci AES 256-bit yang unik per volume data , Anda juga dapat mengaktifkan Transparent Data Encryption (TDE) untuk mendapatkan kontrol lebih besar atas siklus proses kunci enkripsi.
• Gunakan enkripsi jaringan native atau enkripsi berbasis Transport Layer Security (TLS) untuk mengamankan data antara klien dan database.

• Saat menggunakan kunci enkripsi yang dikelola pelanggan (CMEK) untuk data database Oracle, gunakan opsi keamanan lanjutan (ASO) untuk mengaktifkan enkripsi, checksum jaringan kriptografis (berbeda dengan checksum log saat pembacaan dan penulisan), serta layanan autentikasi antara sistem utama dan sistem standby di Data Guard.

  Untuk detail selengkapnya tentang opsi enkripsi, lihat Menggunakan Transparent Data Encryption di Panduan Keamanan Lanjutan Oracle Database.

Saran yang telah kami sebutkan untuk keamanan Oracle Database terkait Solusi Bare Metal tidak dimaksudkan sebagai daftar lengkap. Sebaiknya ikuti praktik terbaik dan rekomendasi yang diberikan oleh Oracle, serta terapkan kontrol yang sesuai dan sesuai dengan kebutuhan spesifik bisnis dan keamanan Anda.

Ringkasan

Solusi Bare Metal adalah gerbang Anda ke dunia Google Cloud. Dengan layanan ini, Anda dapat memigrasikan dan menjalankan workload penting apa adanya dan lebih dekat dengan cloud, sembari Anda memutuskan, mendesain, dan merencanakan masa depan cloud Anda. Bersama dengan praktik, alat, dan teknik terbaik yang dibagikan dalam panduan ini, Solusi Bare Metal menyediakan platform yang aman, tangguh, dan andal untuk menjalankan workload penting Anda.

Yang terpenting, upaya ini tidak harus mengorbankan keamanan. Saat berlangganan Solusi Bare Metal, Anda akan menerima server bare metal yang didukung oleh beberapa lapisan keamanan bawaan, termasuk lapisan fisik, lapisan penyimpanan, dan lapisan jaringan. Oleh karena itu, layanan Solusi Bare Metal mengintegrasikan keamanan di setiap tahap dalam infrastruktur untuk memenuhi kebutuhan Anda yang sangat penting akan performa yang aman dalam skala besar.

Poin-poin penting:

1. Keamanan adalah tanggung jawab bersama.
2. Ikuti prinsip hak istimewa terendah.
3. Ikuti prinsip pemisahan tugas.
4. Cegah pemindahan data yang tidak sah dengan mengakses layanan Google Cloud melalui restricted.googleapis.com.
5. Aktifkan Akses Google Pribadi di project Anda untuk memitigasi pemindahan data yang tidak sah, akses tidak sah, dan mengontrol kebijakan keamanan secara terpusat.
6. Mengikuti praktik terbaik yang ditetapkan Oracle untuk keamanan database Oracle.