نظرة عامة

تحتضن شركة Oracle فرقًا من المتخصصين الأمنيين بغرض تقييم القوة الأمنية للبنية الأساسية للشركة ومنتجاتها وخدماتها. وتجري هذه الفرق مستويات مختلفة من اختبارات الأمان التكميلية:

• فحص الأمان التشغيلي يتم إجراؤه كجزء من الإدارة العادية للأنظمة لجميع أنظمة وخدمات شركة Oracle‎. ويستفيد هذا النوع من التقييم بشكل كبير من الأدوات بما في ذلك أدوات الفحص التجاري وكذلك منتجات Oracle الخاصة (مثل Oracle Enterprise Manager). والغرض من فحص الأمان التشغيلي بشكل أساسي هو الكشف عن تكوينات الأمان غير المصرح بها وغير الآمنة.
• اختبار الاختراق يتم أيضًا إجراؤه بشكل روتيني للتحقق من أن الأنظمة قد تم إعدادها وفقًا لمعايير الشركات الخاصة بشركة Oracle وأن هذه الأنظمة يمكنها تحمل بيئة التهديدات التشغيلية ومقاومة عمليات الفحص العدائية التي تنتشر في الإنترنت. ويمكن أن يأخذ اختبار الاختراق شكلين:
  • اختبار الاختراق السلبي يتم إجراؤه باستخدام أدوات الفحص التجاري والخطوات اليدوية. ويُجرى عادةً عبر الإنترنت وعادةً ما يكون بالحد الأدنى من المعرفة الداخلية. يُستخدم الاختبار السلبي لتأكيد وجود أنواع معروفة من الثغرات الأمنية بما يكفي من الثقة والدقة لإنشاء حالة اختبار يمكن استخدامها بعد ذلك بواسطة عمليات التطوير أو السحابة للتحقق من وجود المشكلة المبلغ عنها. وخلال اختبار الاختراق السلبي، لا يتم إجراء أي استغلال في بيئات الإنتاج، بخلاف الحد الأدنى المطلوب لتأكيد المشكلة. على سبيل المثال، لن يتم استغلال حقن SQL لسحب البيانات سريًا.
  • اختبار الاختراق النشط يكون أكثر تطفلاً من اختبار الاختراق السلبي ويسمح باستغلال الثغرات المكتشفة. كما أنه أوسع نطاقًا من اختبار الاختراق السلبي حيث يُسمح عادةً للفرق الأمنية بالتحرك من نظام إلى آخر. ويتم التحكم في اختبار الاختراق النشط عن كثب، وذلك لتجنب التأثيرات غير المقصودة على أنظمة الإنتاج.
• على نقيض فحص الأمان التشغيلي واختبار الاختراق، تعتبر القرصنة الأخلاقية مشاركة كتابية مفتوحة حيث يكون لدى فريق القرصنة الأخلاقية حق الوصول إلى وثائق الهندسة كمواصفات التصميم والتعليمات البرمجية المصدر للمنتج قيد الاختبار على سبيل المثال. وللسماح بإجراء تحليل أكثر تطفلاً للأنظمة المستهدفة، قد يتم تزويد فريق القرصنة الأخلاقية بحقوق الوصول الإداري لتمكين القدرة على الاستفادة من أوضاع التسجيل والتصحيح الإضافية. يتم عادةً تنفيذ عمليات القرصنة الأخلاقية في بيئات اختبار مخصصة حيث إنها عادةً ما تشوّش النظام المستهدف إلى الحد الذي يُحتّم إعادة إنشائه.

فحص الأمان التشغيلي

تعتبر مؤسسات تكنولوجيا المعلومات لدى Oracle مسؤولة عن الفحص الأمني للخدمات السحابية وأنظمة الشركات التي تديرها Oracle، وفقًا لسياسة أمان الخادم من Oracle والمعايير التقنية ذات الصلة. ويجب أن تتم الموافقة على جميع أدوات الفحص وفقًا لـ عملية ضمان حلول أمان الشركات (CSSAP). ويتم تحليل نتائج الفحص باتباع نهج يستند إلى المخاطر. ويتم استخدام عمليات إدارة التغيير لمعالجة أي مشكلات محددة وفقًا للأولويات المستندة إلى المخاطر، وفقًا لموافقة الإدارة.

تعتبر المعلومات المتعلقة بعمليات فحص الأمان التشغيلي للخدمات السحابية وأنظمة الشركات من Oracle معلومات سرية لشركة Oracle ولا تتم مشاركتها خارجيًا.

اختبار الاختراق

تتطلب شركة Oracle أن تخضع الخدمات السحابية والأنظمة المُوجهة للخارج لاختبارات اختراق تقوم بها فرق مستقلة مختصة بالأمان. يقوم فريق اختبار الاختراق الخاص بأمان المعلومات العالمي بإجراء اختبارات الاختراق ويوفر الإشراف على جميع خطوط الأعمال في الحالات التي تقوم فيها فرق أمنية داخلية أخرى أو جهة خارجية معتمدة بتنفيذ أنشطة اختبار الاختراق. ويتم تصميم هذا الإشراف لتحقيق جودة، ودقة، واتساق أنشطة اختبار الاختراق والمنهجية المرتبطة بها. ولدى شركة Oracle متطلبات رسمية لاختبار الاختراق تتضمن تعريف البيئة ونطاق الاختبار، والأدوات المعتمدة، وتصنيف النتائج، وفئات الاستغلال للمحاولة عبر الأتمتة والخطوات اليدوية، وإجراءات الإبلاغ عن النتائج.

تتم مراجعة جميع تقارير ونتائج اختبارات الاختراق بواسطة فرق أمان الشركات لدى Oracle للتحقق من إجراء اختبارات مستقلة وشاملة. وقبل السماح لخط أعمال بإدخال نظام أو خدمة سحابية جديدة في الإنتاج، تتطلب Oracle أن يتم الانتهاء من معالجة نتائج اختبار الاختراق المهمة.

تعتبر المعلومات المتعلقة باختبارات الاختراق للخدمات السحابية وأنظمة الشركات من Oracle معلومات سرية لشركة Oracle ولا تتم مشاركتها خارجيًا.

القرصنة الأخلاقية

يتم تنفيذ تفاعلات القرصنة الأخلاقية من قِبل فريق القرصنة الأخلاقية (EHT)، وهي مجموعة مستقلة من الباحثين الأمنيين في مؤسسة أمان المنتجات العالمية.

في حين أنه لا يتم الكشف عن تقارير اختبارات فريق القرصنة الأخلاقية (EHT) خارجيًا مطلقًا، يقوم الفريق بإبلاغ مهندس أمان الشركة بالإضافة إلى القيادة العليا لخطوط الأعمال المتأثرة بالنتائج التي توصل إليها. بالإضافة إلى ذلك، يعد فريق القرصنة الأخلاقية (EHT) مساهمًا كبيرًا في معايير الترميز الآمن التي تطبقها Oracle ويعرض بشكل دوري نتائج مختصرة للنتائج التي تم التوصل إليها كـ “دروس مستفادة” لتطوير Oracle.

Oracle Labs (مختبرات Oracle)

تعتبر مهمة Oracle Labs (مختبرات Oracle) واضحة ومباشرة، ألا وهي: تحديد واستكشاف ونقل التقنيات الجديدة التي لها القدرة على تحسين برامج Oracle وخدمات Oracle Cloud وعمليات الشركات بشكل كبير. ويتطلع باحثو Oracle Labs (مختبرات Oracle) إلى أساليب ومنهجيات جديدة، وغالبًا ما يضطلعون بمشاريع ذات مخاطر عالية أو عدم يقين، أو يصعب معالجتها داخل مؤسسة تطوير المنتجات.

يعد التزام Oracle تجاه البحث والتطوير عاملاً دافعًا في تطوير التقنيات التي أبقت Oracle في مقدمة صناعة الكمبيوتر. وعلى الرغم من أن العديد من التقنيات الرائدة من Oracle تُبتكر في مؤسساتها لتطوير المنتجات، فإن Oracle Labs (مختبرات Oracle) هي المؤسسة الوحيدة في Oracle التي المكرسة حصريًا للبحث.