Conformidade com o STIG do AlloyDB Omni

Selecione uma versão da documentação:

A matriz de conformidade do Guia de Implementação Técnica de Segurança (STIG, na sigla em inglês) para o AlloyDB Omni descreve detalhes de implementação para controles relevantes à segurança no nível do banco de dados e do sistema. Para mais informações, consulte a lista de verificação de conformidade do PostgreSQL 9.x no Guia de implementação técnica de segurança (STIG, na sigla em inglês) do Red Hat Enterprise Linux.

Todos os controles gerenciados pelo Google são totalmente implementados e verificados continuamente. Para manter a conformidade, o cliente precisa configurar e gerenciar os controles que exigem ação do cliente. Para mais informações, consulte Responsabilidade compartilhada do STIG.

Matriz de conformidade com o STIG

A tabela a seguir mostra os IDs do STIG, as descrições, os status de aplicação por operador, os requisitos de responsabilidade do cliente e a gravidade:

ID do STIG Descrição do controle de segurança Aplicado por padrão Responsabilidade do cliente Gravidade
V-214151 O acesso aos arquivos do banco de dados precisa ser limitado aos processos relevantes e aos usuários administrativos autorizados. Sim Não Média
V-214127 O acesso a executáveis externos precisa ser desativado ou restrito. Sim Não Média
V-214154 Os registros de auditoria precisam ser gerados quando informações categorizadas, como níveis de classificação e de segurança, são excluídas. Sim Não Média
V-214150 O conteúdo do banco de dados precisa ser protegido contra transferência de informações não autorizada e não intencional pela aplicação de uma política de transferência de dados. Não Não Média
V-214074 Os objetos de banco de dados, incluindo, entre outros, tabelas, índices, armazenamento, procedimentos de acionamento, funções e links para software externo ao PostgreSQL, precisam ser de propriedade de principais de banco de dados e SGBD autorizados. Sim Não Média
V-214076 O software de banco de dados, incluindo arquivos de configuração do PostgreSQL, precisa ser armazenado em diretórios dedicados separados do SO host e de outros aplicativos. Não Não Média
V-214078 A execução de módulos de software, incluindo funções e procedimentos de acionamento, com privilégios elevados precisa ser restrita apenas aos casos necessários. Não Não Média
V-214130 Se as senhas forem usadas para autenticação, o PostgreSQL só poderá armazenar representações com hash e sal das senhas. Sim Não Alta
V-214056 Se as senhas forem usadas para autenticação, o PostgreSQL precisará transmitir apenas representações criptografadas de senhas. Sim Não Alta
V-214064 O PostgreSQL e os aplicativos associados precisam reservar o uso da execução dinâmica de código para situações que exigem isso. Não Não Média
V-214065 O PostgreSQL e os aplicativos associados, ao usar a execução de código dinâmico, precisam verificar os dados de entrada em busca de valores inválidos que possam indicar um ataque de injeção de código. Não Não Média
V-214066 O PostgreSQL precisa alocar capacidade de armazenamento de registros de auditoria de acordo com os requisitos de armazenamento de registros de auditoria definidos pela organização. Não Sim Média
V-214071 O PostgreSQL precisa permitir que apenas o Gerente de Segurança do Sistema de Informações (ISSM, na sigla em inglês) ou indivíduos ou papéis designados pelo ISSM selecionem quais eventos auditáveis serão auditados. Não Sim Média
V-214129 O PostgreSQL precisa associar tipos de rótulos de segurança definidos pela organização que tenham valores de rótulos de segurança definidos pela organização com informações em processo. Não Sim Média
V-214062 O PostgreSQL precisa associar os tipos de rótulos de segurança definidos pela organização que têm valores de rótulo de segurança definidos pela organização com as informações no armazenamento. Não Sim Média
V-214058 O PostgreSQL precisa associar os tipos de rótulos de segurança definidos pela organização que têm valores de rótulos de segurança definidos pela organização com informações em transmissão. Não Sim Média
V-214147 O PostgreSQL precisa encerrar automaticamente uma sessão de usuário após condições definidas pela organização ou eventos de acionamento que exijam a desconexão da sessão. Sim Não Média
V-214096 O PostgreSQL precisa ser capaz de gerar registros de auditoria quando privilégios e permissões são recuperados. Sim Não Média
V-214101 O PostgreSQL precisa gerar registros de auditoria quando objetos de segurança são acessados. Sim Não Média
V-214048 O PostgreSQL precisa ser configurado para proibir ou restringir o uso de funções, portas, protocolos e serviços definidos pela organização, conforme definido na Lista de Garantia de Categoria (CAL, na sigla em inglês) de Gerenciamento de Portas, Protocolos e Serviços (PPSM, na sigla em inglês) e nas avaliações de vulnerabilidade. Sim Não Média
V-214063 O PostgreSQL precisa verificar a validade de todas as entradas de dados, exceto aquelas identificadas especificamente pela organização. Não Não Média
V-214131 O PostgreSQL precisa aplicar restrições de acesso associadas a mudanças na configuração do PostgreSQL ou do banco de dados. Sim Não Média
V-214057 O PostgreSQL precisa aplicar autorizações aprovadas para acesso lógico a informações e recursos do sistema de acordo com as políticas de controle de acesso aplicáveis. Não Não Alta
V-214136 O PostgreSQL precisa aplicar o acesso autorizado a todas as chaves privadas de PKI armazenadas e usadas por ele. Sim Não Alta
V-214067 O PostgreSQL precisa aplicar políticas de controle de acesso discricionário, conforme definido pelo proprietário dos dados, em assuntos e objetos definidos. Sim Não Média
V-214156 O PostgreSQL precisa gerar registros de auditoria para todos os acessos diretos ao banco de dados. Sim Não Média
V-214099 O PostgreSQL precisa gerar registros de auditoria para todas as atividades privilegiadas ou outros acessos no nível do sistema. Sim Não Média
V-214088 O PostgreSQL precisa gerar registros de auditoria que mostrem o horário de início e término do acesso do usuário ao banco de dados. Sim Não Média
V-214085 O PostgreSQL precisa gerar registros de auditoria quando informações categorizadas, como níveis de classificação e de segurança, são acessadas. Sim Não Média
V-214108 O PostgreSQL precisa gerar registros de auditoria quando informações categorizadas, como níveis de classificação e de segurança, são modificadas. Não Sim Média
V-214103 O PostgreSQL precisa gerar registros de auditoria quando ocorrem conexões e logins simultâneos do mesmo usuário em diferentes estações de trabalho. Sim Não Média
V-214090 O PostgreSQL precisa gerar registros de auditoria quando privilégios e permissões são adicionados. Sim Não Média
V-214102 O PostgreSQL precisa gerar registros de auditoria quando privilégios e permissões são excluídos. Sim Não Média
V-214105 O PostgreSQL precisa gerar registros de auditoria quando privilégios e permissões são modificados. Sim Não Média
V-214093 O PostgreSQL precisa gerar registros de auditoria quando objetos de segurança são excluídos. Sim Não Média
V-214107 O PostgreSQL precisa gerar registros de auditoria quando objetos de segurança são modificados. Sim Não Média
V-214155 O PostgreSQL precisa gerar registros de auditoria quando ocorrem acessos bem-sucedidos a objetos. Sim Não Média
V-214092 O PostgreSQL precisa gerar registros de auditoria quando há conexões ou logins bem-sucedidos. Sim Não Média
V-214098 O PostgreSQL precisa gerar registros de auditoria quando ocorrem acessos sem sucesso a objetos. Sim Não Média
V-214100 O PostgreSQL precisa gerar registros de auditoria quando houver tentativas malsucedidas de acessar informações categorizadas, como níveis de classificação e de segurança. Sim Não Média
V-214086 O PostgreSQL precisa gerar registros de auditoria quando ocorrem tentativas sem sucesso de acessar objetos de segurança. Sim Não Média
V-214110 O PostgreSQL precisa gerar registros de auditoria quando ocorrem tentativas sem êxito de adicionar privilégios e permissões. Sim Não Média
V-214091 O PostgreSQL precisa gerar registros de auditoria quando ocorrem tentativas sem êxito de excluir informações categorizadas, por exemplo, níveis de classificação/níveis de segurança. Sim Não Média
V-214095 O PostgreSQL precisa gerar registros de auditoria quando houver tentativas malsucedidas de excluir privilégios e permissões. Sim Não Média
V-214104 O PostgreSQL precisa gerar registros de auditoria quando houver tentativas malsucedidas de excluir objetos de segurança. Sim Não Média
V-214106 O PostgreSQL precisa gerar registros de auditoria quando houver tentativas malsucedidas de executar atividades privilegiadas ou outros acessos no nível do sistema. Sim Não Média
V-214097 O PostgreSQL precisa gerar registros de auditoria quando ocorrem tentativas sem êxito de modificar informações categorizadas, por exemplo, níveis de classificação/níveis de segurança. Sim Não Média
V-214109 O PostgreSQL precisa gerar registros de auditoria quando ocorrem tentativas sem êxito de modificar privilégios e permissões. Sim Não Média
V-214089 O PostgreSQL precisa gerar registros de auditoria quando ocorrem tentativas sem êxito de modificar objetos de segurança. Sim Não Média
V-214094 O PostgreSQL precisa gerar registros de auditoria quando houver tentativas malsucedidas de recuperar privilégios e permissões. Sim Não Média
V-214087 O PostgreSQL precisa gerar registros de auditoria quando ocorrem tentativas de conexão ou falhas de login. Sim Não Média
V-214115 O PostgreSQL precisa gerar carimbos de data/hora para registros de auditoria e dados de aplicativos com uma granularidade mínima de um segundo. Sim Não Média
V-214139 O PostgreSQL precisa implementar mecanismos criptográficos que impeçam a divulgação não autorizada de informações definidas pela organização em repouso nos componentes do sistema de informações definidos pela organização. Sim Não Média
V-214124 O PostgreSQL precisa implementar mecanismos criptográficos para evitar a modificação não autorizada de informações em repouso definidas pela organização, incluindo, no mínimo, PIIs e informações confidenciais, em componentes do sistema de informações definidos pela organização. Sim Não Média
V-214117 O PostgreSQL precisa implementar módulos criptográficos validados pelo NIST FIPS 140-2 ou 140-3 para gerar e validar hashes criptográficos. Não Não Alta
V-214119 O PostgreSQL precisa implementar módulos criptográficos validados pelo NIST FIPS 140-2 ou 140-3 para proteger informações não classificadas que exigem confidencialidade e proteção criptográfica, de acordo com os requisitos dos proprietários de dados. Não Não Alta
V-214077 O PostgreSQL precisa incluir informações adicionais e mais detalhadas definidas pela organização nos registros de auditoria para eventos identificados por tipo, local ou assunto. Não Sim Média
V-214123 O PostgreSQL precisa iniciar a auditoria de sessão na inicialização. Sim Não Média
V-214052 O PostgreSQL precisa se integrar a um mecanismo de autenticação e acesso no nível da organização que forneça gerenciamento de contas e automação para todos os usuários, grupos, papéis e outros principais. Não Não Alta
V-214140 O PostgreSQL precisa invalidar os identificadores de sessão quando o usuário sair ou quando a sessão for encerrada. Sim Não Média
V-214081 O PostgreSQL precisa isolar as funções de segurança das funções que não são de segurança. Sim Não Média
V-214055 O PostgreSQL precisa limitar os privilégios para mudar funções e gatilhos, além de links para softwares externos ao PostgreSQL. Sim Não Média
V-214059 O PostgreSQL precisa limitar o número de sessões simultâneas a um número definido pela organização por usuário para todas as contas e tipos de conta. Não Não Média
V-214145 O PostgreSQL precisa manter a autenticidade das sessões de comunicação protegendo contra ataques no caminho que adivinham os valores de ID da sessão. Sim Não Média
V-214113 O PostgreSQL precisa manter a confidencialidade e a integridade das informações durante a preparação para transmissão. Sim Não Média
V-214073 O PostgreSQL precisa manter a confidencialidade e a integridade das informações durante o recebimento. Sim Não Média
V-214149 O PostgreSQL precisa mapear a identidade autenticada por PKI para uma conta de usuário associada. Não Não Média
V-214144 O PostgreSQL precisa descarregar os dados de auditoria em um recurso separado de gerenciamento de registros. Isso precisa ser contínuo e quase em tempo real para sistemas com uma conexão de rede com o depósito. A transferência precisa ocorrer semanalmente ou com mais frequência para sistemas independentes. Não Sim Média
V-214137 O PostgreSQL só pode aceitar certificados de entidade final emitidos por ICP ou autoridades certificadoras (CAs) de ICP aprovadas para o estabelecimento de todas as sessões criptografadas. Não Não Média
V-214148 O PostgreSQL precisa impedir que usuários não privilegiados executem funções privilegiadas, o que inclui desativar, burlar ou alterar as proteções e contramedidas de segurança implementadas. Sim Não Alta
V-214116 O PostgreSQL precisa produzir registros de auditoria com informações suficientes para estabelecer a identidade de qualquer usuário, sujeito ou processo associado ao evento. Sim Não Média
V-214049 O PostgreSQL precisa gerar registros de auditoria com informações suficientes para estabelecer o resultado (sucesso ou falha) dos eventos. Sim Não Média
V-214125 O PostgreSQL precisa gerar registros de auditoria com informações suficientes para estabelecer as fontes ou origens dos eventos. Sim Não Média
V-214138 O PostgreSQL precisa produzir registros de auditoria com informações suficientes para estabelecer que tipo de evento ocorreu. Sim Não Média
V-214112 O PostgreSQL precisa produzir registros de auditoria com informações suficientes para estabelecer onde os eventos ocorreram. Sim Não Média
V-214142 O PostgreSQL precisa gerar registros de auditoria com carimbos de data/hora para estabelecer quando os eventos ocorreram. Sim Não Média
V-214082 O PostgreSQL precisa produzir registros de auditoria da aplicação de restrições de acesso associadas a mudanças na configuração do PostgreSQL ou dos bancos de dados. Sim Não Média
V-214121 O PostgreSQL precisa proibir a instalação de módulos lógicos pelo usuário, como funções, procedimentos de gatilho e visualizações, sem status privilegiado explícito. Sim Não Média
V-214132 O PostgreSQL precisa proteger contra um usuário que repudia falsamente ter realizado ações definidas pela organização. Sim Não Média
V-214152 O PostgreSQL precisa proteger a configuração de auditoria contra modificações não autorizadas. Sim Não Média
V-214141 O PostgreSQL precisa proteger os recursos de auditoria contra acesso não autorizado. Sim Não Média
V-214143 O PostgreSQL precisa proteger os recursos de auditoria contra remoção não autorizada. Sim Não Média
V-214120 O PostgreSQL precisa proteger a confidencialidade e a integridade de todas as informações em repouso. Sim Não Alta
V-214072 O PostgreSQL precisa fornecer um alerta imediato em tempo real à equipe de suporte apropriada sobre todas as falhas de registro de auditoria. Não Sim Média
V-214114 O PostgreSQL precisa fornecer capacidade de geração de registros de auditoria para eventos auditáveis definidos pela organização em todos os componentes de SGBD e banco de dados. Não Não Média
V-214053 O PostgreSQL precisa fornecer aos usuários sem privilégios mensagens de erro com informações necessárias para ações corretivas sem revelar dados que possam ser explorados por adversários. Sim Não Média
V-214069 O PostgreSQL precisa registrar carimbos de data/hora, em registros de auditoria e dados de aplicativos, que possam ser mapeados para o Tempo Universal Coordenado (UTC, anteriormente GMT). Sim Não Média
V-214135 O PostgreSQL precisa exigir que os usuários se autentiquem novamente quando circunstâncias ou situações definidas pela organização exigirem uma nova autenticação. Sim Não Média
V-214070 O PostgreSQL precisa revelar mensagens de erro detalhadas apenas para o ISSO, o ISSM, o SA e o DBA. Sim Não Média
V-214122 O PostgreSQL precisa separar a funcionalidade do usuário, incluindo os serviços de interface do usuário, da funcionalidade de gerenciamento de bancos de dados. Sim Não Média
V-214061 O PostgreSQL precisa identificar e autenticar de forma exclusiva usuários ou processos não organizacionais que agem em nome de usuários não organizacionais. Sim Não Média
V-214146 O PostgreSQL precisa identificar e autenticar de forma exclusiva os usuários da organização ou os processos que agem em nome deles. Sim Não Média
V-214153 O PostgreSQL precisa usar módulos criptográficos validados pelo NIST FIPS 140-2 ou 140-3 para operações criptográficas. Não Não Alta
V-220321 O PostgreSQL precisa usar criptografia aprovada pela NSA para proteger informações confidenciais de acordo com os requisitos dos proprietários dos dados. Não Não Média
V-214080 O PostgreSQL precisa usar o gerenciamento centralizado do conteúdo capturado nos registros de auditoria gerados por todos os componentes do PostgreSQL. Não Não Média
V-214111 O PostgreSQL, ao usar a autenticação baseada em PKI, precisa validar os certificados realizando a validação do caminho de certificação em conformidade com a RFC 5280. Não Não Média
V-214054 Os privilégios para alterar os módulos de software do PostgreSQL precisam ser limitados. Sim Não Média
V-214050 As atualizações de software relevantes para a segurança do PostgreSQL precisam ser instaladas no período indicado por uma fonte confiável, como IAVM, CTOs, DTMs e STIGs. Sim Não Alta
V-214068 As informações de auditoria produzidas pelo PostgreSQL precisam ser protegidas contra exclusão não autorizada. Sim Não Média
V-214051 As informações de auditoria produzidas pelo PostgreSQL precisam ser protegidas contra modificações não autorizadas. Sim Não Média
V-214083 As informações de auditoria produzidas pelo PostgreSQL precisam ser protegidas contra acesso de leitura não autorizado. Sim Não Média
V-214157 O DBMS precisa ser configurado em uma plataforma que tenha uma instalação do OpenSSL com certificação FIPS 140-2 ou 140-3 do NIST. Não Não Alta
V-214075 A conta de instalação do software PostgreSQL precisa ser restrita a usuários autorizados. Não Não Alta
V-214060 As funções e os grupos usados para modificar a estrutura do banco de dados, incluindo, mas não necessariamente, tabelas, índices e armazenamento, e módulos lógicos, por exemplo, funções, procedimentos de acionamento e links para software externo ao PostgreSQL, precisam ser restritos a usuários autorizados. Sim Não Média
V-214133 O sistema precisa enviar um aviso à equipe de suporte apropriada quando o volume de armazenamento de registros de auditoria alocado atingir 75% da capacidade máxima. Não Sim Média
V-214128 Os componentes de banco de dados não utilizados que estão integrados ao PostgreSQL e não podem ser desinstalados precisam ser desativados. Não Não Média
V-214126 Componentes de banco de dados, software PostgreSQL e objetos de banco de dados não utilizados precisam ser removidos. Sim Não Média
V-214079 Quando entradas inválidas são recebidas, o PostgreSQL precisa se comportar de maneira previsível e documentada que reflita os objetivos organizacionais e do sistema. Sim Não Média
V-214084 Quando as atualizações são aplicadas ao software PostgreSQL, todos os componentes de software que foram substituídos ou se tornaram desnecessários precisam ser removidos. Não Não Média

A seguir