OCIでのゼロトラスト・アーキテクチャの構築- パート1: アイデンティティとアクセス (2024/02/28)

OCIでのゼロトラスト・アーキテクチャの構築- パート1: アイデンティティとアクセス (2024/02/28)

https://blogs.oracle.com/cloud-infrastructure/post/zerotrust-oci-identity

投稿者： Harsh Aseeja | Senior Principal Product Manager


今日の急速に進化する脅威の状況では、フィッシング攻撃、権限のないエスカレーション、資格証明の盗難、内部脅威、ランサムウェアなどのセキュリティ上の課題に直面しています。ゼロトラスト・セキュリティ・モデルは、クラウド・リソースを安全な方法でデプロイするためのフレームワークを提供します。米国立標準技術研究所(NIST)によると、ゼロトラストは、「資産またはユーザーアカウントに、物理的またはネットワーク上の場所(つまり、ローカルエリアネットワークとインターネット)のみに基づいて、または資産所有権(企業または個人所有)に基づいて暗黙の信頼が付与されていない」ことを前提としています。次の原則は、ゼロ・トラストの中心です。


  • 信頼を明示的に検証
  • 最小特権アクセスの適用
  • 常に侵害を前提に


これらの原則は、複数の防御層を提供するために、包括的なコントロール・プレーン全体に適用されます。


ゼロトラスト・モデルを採用するには、かなりの時間と労力が必要です。セキュアなアプローチを確立し、維持するために、時間の経過とともに増分的な進歩をコミットする必要があります。まず、ユーザー、デバイス、サービスおよびデータを理解し、ユーザーの行動を評価し、制限ポリシーを確立し、ネットワークに対する固有の信頼を排除することから始めます。Oracleは、ゼロトラスト・セキュリティ・イニシアチブを支援します。


Oracle Cloud Infrastructure(OCI)は、クラウド内のワークロードを迅速かつ効果的に保護するために、組み込みのセキュリティ・アーキテクチャとセキュリティ・サービスをお客様に提供するように設計されています。この目標は、マルチチーム・マルチマイルストーン・プロジェクトであり、ゼロトラスト・アーキテクチャを実現するために実行可能なステップに分けられます。OCIでのゼロトラスト・アプローチの導入の詳細をご覧ください。



ゼロトラストとは、アイデンティティとアクセスの管理から始まります。


ゼロトラスト・モデルを確立するための最初のステップは、アイデンティティとアクセス制御を実装することです。OCI Identity and Access Management (IAM)サービスは、ゼロトラスト・モデルの実装に向けたジャーニーを開始し、リソースへのアクセスを許可されている人、デバイスおよびプロセスのみがアクセスできることを確認するのに役立ちます。OCI IAMは、Oracleのクラウドへの玄関口として機能しますが、エンタープライズ・オーディエンスとコンシューマ・オーディエンスの両方に対応するスタンドアロンのIdentity-as-a-Service (IDaaS)プラットフォームとしても機能します。OCI、サードパーティ・クラウド、オンプレミスで実行されているアプリケーションとサービスの様々なアイデンティティおよびアクセス管理のユースケースに対応します。



明示的に検証


OCI IAMは、あるアプリケーションから別のアプリケーションに移動する際に、認証および認可ステータスを常に評価することで、ユーザーの保護を支援します。様々なシグナルとポリシーを使用して、リソースおよびアプリケーションへのシングル・サインオン(SSO)を中断を最小限に抑えながらシームレスなエクスペリエンスを提供します。また、複数の資格証明および弱いパスワードの使用の防止にも役立ちます。必要に応じて、OCI IAMは、多要素認証(MFA)、パスワードレス認証、リスクベースの認証など、幅広い認証要素でユーザーにチャレンジできます。


Oracle Mobile Authenticator


OCI IAMは、柔軟なポリシー・フレームワークを通じて、OCIリソースのコースおよびファイングレイン認可を定義する機能も提供します。



最小特権アクセスの適用


OCIでは、アクセスはデフォルトで拒否されます。管理者は、ポリシーで権限を付与されている少なくとも1つのグループに割り当てられるまでは、どのリソースにもアクセスできません。OCI内のすべての認可は、次のようなアクセス・ポリシーを作成するための使いやすいポリシー構文を提供するIAMポリシーを介して提供されます。


Allow group DBAdmins to manage database-family in tenancy


同様に、グループのメンバーには、そのグループが1つ以上のアプリケーションまたはアプリケーション・ロールにマップされるまで、アプリケーションにアクセスする権限がありません。グループがマップされると、グループ・メンバーは適切なアクセス権を持ちます。


「アクセス許可」にデフォルト設定するのではなく、許可されている場所に明示的にアクセス権を付与する必要があるため、ゼロトラスト・アプローチを採用しています。



常に侵害を前提に


OCI IAMは、すべての認証リクエストでリスクを評価します。OCI IAM Adaptive Securityは、リスクベースの認証を提供し、ユーザーのセッション・コンテキストを履歴動作を含む複数のリスク要因に対して調査および評価して、リクエストを許可するか、ブロックするか、追加の認証ファクタに対してチャレンジするかを判断できるようにします。この構成では、ゼロ・トラストを実装する重要な機能である適応型セキュリティ・モデルが作成されます。また、サードパーティ・プロバイダーのリスク・スコアを活用して、リスク評価の精度を高めることもできます。サインオン試行の失敗が多すぎたり、場所間を移動できないなどの要因に基づいて、ユーザーに強力な認証機能を適用します。

OCI IAMアダプティブ・セキュリティ・リスク・プロバイダ




アダプティブ・セキュリティは、各ユーザーをプロファイルし、独自のリスク・スコアと全体的な統合リスク・レベル(高、中、低)に到達します。これらのスコアおよびリスク・レベルをポリシーとともに使用して、サインオン要件をリアルタイムで変更できます。



まとめ


ゼロトラスト・セキュリティ・モデルを採用することで、クラウド・プラットフォームでリスクに対処するための強力な基盤となります。この記事では、ゼロトラスト・アプローチの構築を支援する強力なアイデンティティとアクセス制御の実装に焦点を当てました。OCI IAMにより、組織は認証および認可ポリシー、リスク・スコアリング、ユーザーへのフラグ付け、修正ポリシーの適用を継続的に評価し、フィッシング、権限のエスカレーション、資格証明の盗難、内部脅威などのIDベースの攻撃を減らすことで、セキュリティ態勢を強化し、さまざまなサイバー脅威から保護することができます。


この記事で説明するアプローチの詳細は、次のドキュメントを参照してください。



Oracle Cloud Infrastructureの詳細は、Oracle Cloud Free Trialから始めるか、デモ用のOracle営業チームにお問い合せください。


コメント

コメントを投稿

このブログの人気の投稿

Oracle Database 19cサポート・タイムラインの重要な更新 (2024/11/20)

イメージ
Oracle Database 19cサポート・タイムラインの重要な更新 (2024/11/20) https://mikedietrichde.com/2024/11/20/important-update-to-oracle-database-19c-support-timelines/ 長い沈黙は、私が隠れているという意味ではありません。つまり、今はとても忙しいということです。そして、より少ない旅行で、私はあなたのコメントにもブログと返信するより多くの時間を持っていることを願っています。それでも、Oracle Database 19cサポート・タイムラインの非常に重要な更新について説明します。 * 更新された内容 2024年11月19日現在、Oracle Database 19cのサポート・タイムラインが調整されています。 MOSノート: 742060.1 – 現在のデータベース・リリースのリリース・スケジュールを見ると、新しい日付が表示されます。 Premier Support、2029年12月31日まで 2030年1月1日から2032年12月31日までの拡張サポート 2033年1月1日から2034年12月31日までのアップグレード・サポート これは知ることがとても大切です。 他のリリースの更新はありますか。 MOSノートの終わりにある変更ログ: 742060.1 – 現在のデータベース・リリースのリリース・スケジュールでは、Oracle Database 21cの最新の更新も確認できます。このリリースのPremier Support期間は、2027年7月31日まで延長されました。 また、Oracle Database 23aiのパッチ適用終了日は2032年12月31日に設定されています。 Lifetime Support Policy 更新は、Oracle Technology Productsの Oracle Lifetime Support Policy (6ページ)でも確認できます。 From: Oracle Lifetime Support Policy for Oracle Technology Product s – page 6 – Nov 19, 2024 特に、次の表に示す制限事項に注意してください。 Oracle Database 1...
続きを読む

Oracle APEXのInteractive Gridで、Oracle Formsと比較して、重複行の検証を制御/通過させる方法 (2022/07/21)

イメージ
Oracle APEXのInteractive Gridで、Oracle Formsと比較して、重複行の検証を制御/通過させる方法 (2022/07/21) https://medium.com/oracledevs/how-to-control-or-pass-validation-for-duplicate-rows-in-interactive-grid-of-oracle-apex-as-compare-18f453f750bf 投稿者： Jignesh oracle Formsでは、データブロックの重複行を制御するのは非常に簡単ですが、IGの検証を制御するにはどうすればよいでしょうか。 必要な出力 ステップ1：インタラクティブグリッドのある白紙ページを作成します（私は1つの領域「IG」を作成し、インタラクティブグリッドとしてタイプを選択しました） ステップ 2: リージョンに Static ID を定義する (私の場合、リージョンは IG で、Static ID も IG です) ステップ3：複製を制御したいカラムのStatic IDを定義します ステップ4：関数とグローバル変数に移動します コード： var validity, message, ui = this.data; (function($) { function update(model) { var projKey = model.getFieldKey(“PROJECT_ID”), recObj = [], recArray = []; model.forEach(function(record, index, id) { var projid = parseInt(record[projKey], 10), // record[salKey] should be a little faster than using model.getValue in a loop meta = model.getRecordMetadata(id); if (!isNaN(projid) && !meta.deleted && !meta.agg) { recObj = {ID: id, project_id: projid}; recArray.push(recObj)...
続きを読む

Oracle APEX 24.1の一般提供の発表 (2024/06/17)

イメージ
Oracle APEX 24.1の一般提供の発表 (2024/06/17) https://blogs.oracle.com/apex/post/announcing-oracle-apex-241 投稿者： Ashish Mohindroo | Vice President, Product Management APEX Low Code Application Platform Oracle APEX 24.1は、 ダウンロード が一般的に可能になり、世界中のOCI APEX Application DevelopmentおよびAutonomous Database Cloud Serviceリージョンにロールアウトされています。この最新リリースで、GenAIを使用して最初のローコード・アプリケーションを構築する方法を学習します。リリースのお知らせのリプレイはこちらからご覧いただけます。 このリリースでは、優れたエンタープライズ・グレードのアプリケーションを簡単に構築できるイノベーションの3つの主要な柱(AI支援アプリケーション開発、Oracleの次世代データ・プラットフォームのパワー活用、高度なWebおよびモバイル・アプリケーションを構築するための強力なエンタープライズ・グレードのコンポーネント)が提供されています。 AI支援アプリ開発 このリリースでは、AIをローコード開発に直接取り込み、すべての開発者が高度なクラウドおよびモバイル・アプリケーションを簡単に構築できるようにしています。開発者は、AIをアシスタントとして使用して、時間と労力を削減してアプリを構築できるようになりました。APEX AIアシスタントを使用すると、開発者は複数のウィンドウを使用して表名と列名を検索する必要がなくなります。 APEX 24.1 では、クラウドおよびモバイル・アプリの自然言語ベースの開発を可能にするネイティブAI搭載APEX AIアシスタントを導入しました。APEX AIアシスタントを使用すると、すべての開発者は自然言語を使用してSQLを生成できるため、アプリケーションをより簡単に構築したり、ワンクリックで構文修正を実行したり、表名を覚える必要がなくなります。開発者は、自然言語プロンプトを使用して目的の機能とコンポーネントを指定し、直感的な会話型インタフェースを使用し...
続きを読む