概要
共有セキュリティモデル
オンプレ環境であれば顧客にすべての範囲の責任がある。
共有席にモデルであれば、物理的な範囲と仮想化の範囲はOracleが責任を持ち、その他を顧客が責任を持つ。
主なセキュリティ・サービス
- インフラ・ストラクチャーの保護
外部ネットワークから（パブリックから）のトラフィックを対策。
DDos Protection（DDos攻撃）
WAF（悪意のあるWEBトラフィックのフィルタリング）
Security List（パブリックからのトラフィック） - OSとワークロードの保護
パッチ管理やワークロードの分離、要塞管理など。
Dedicated Host（専用ホスト、ほかのユーザとハードウェアを共有しないワークロード）
Bastion（要塞、重要なデータは内部に保持し要塞からアクセス）
OS Manager（OS管理） - 検知と修復
セキュリティ・ポスチャー（クラウド環境精査）、セキュア・エンクレープ（システム上で実行されている他のプロセスから機密性の高いコードとデータを分離して保護）、自動セキュリティ診断、セキュリティ・アドバイザなど。
Cloud Guard
Max Security Zone
脆弱性Scanning
Security Advisor - データ保護
保存中・転送中のデータ暗号化、鍵の保存・管理など。
Ecription（暗号化）
Key Management
Key Vault（ボールト）
Data Safe - アイデンティティとアクセス管理
IAMによる管理。
クラウド・ガード
セキュリティの問題の検出と対策（修正）の流れをクラウド・ガードを用いて構成する。
① ターゲット（調査対象）を決める。コンパートメントやサブコンパートメント。
② 問題点の検出。問題を検出した際に警告を発する（トリガーを発生させる）。
③ 問題として挙がる。
④ 措置を行う（自動または手動）。
セキュリティ・ゾーンとセキュリティ・アドバイザ
セキュリティ・ゾーン
セキュリティを無効にできない場所（コンパートメント）を作り出す。
コンパートメントにセキュリティ・ゾーンを設定すると、セキュリティ・レシピが作られる。
セキュリティ・アドバイザ
セキュアなリソース作成のためのウィザード（テンプレートなどをもとに作成することができる）が用意されている。
脆弱性スキャン
潜在的脆弱性がないかCVE（脆弱性の情報を集めたデータベース、日々更新される）をもとに毎日または毎週検査する。
また、ポートのスキャン（不必要なポートが設定されていないかなど）をチェックする。脆弱性のレベルや適用すべきパッチなども教えてくれる。
Vault（ボールト）
各キーをマスターキーで暗号化する。（マスターキーのみ守ればよい。各キーは対応するデータと同じバケットに保存）
キーのローテーションも可能。マスターキーのみをローテーションし、各キーは新しいキーで復号できる（暗号化はできない）。
対応する暗号鍵はAES、RSA、ECDSA（暗号化無し）
鍵はHSM（ハードウェア・セキュリティ・モジュール）かソフトウェアにてサーバー内に保存
HSMからエクスポートはできない。サーバーからエクスポート可能。
WAFとDDoS
| 機能 | DDoS | WAF |
|---|---|---|
| 保護対象 | OCI | OCI、他クラウド、オンプレミス |
| 監視レイヤー | 3,4 | 3,4,7 |
| 保護ポリシー変更 | なし | あり |
| アラート通知 | なし | あり |
| 有償 | なし | あり |