Tutti conoscono Oracle che con le sue tecnologie si trova dietro a una quantità enorme di servizi che usiamo ogni giorno e gestisce quantità enormi di dati, oggetto del desiderio di migliaia di hacker.
Viene quindi quasi spontaneo chiedersi come si siano organizzati per gestire la sicurezza dei dati trattati dai loro prodotti. Di sicuro, è un tema ampiamente trattato in azienda e in ogni evento mettono sempre la sicurezza tra i punti fondamentali della loro offerta, ma poi i dettagli tendono a sfuggire, lasciandoci con qualche dubbio di troppo.
Siamo andati, quindi, a investigare sulla situazione per rendere più accessibile come la grande azienda americana tratti uno degli aspetti imprescindibili della trasformazione digitale. Per capire come funziona, però, serve una breve introduzione generale.
Riassumendo ai minimi termini, possiamo dire che Oracle è organizzata per grandi temi tecnologici e la maggior parte della sua struttura è raggruppata in tre grandi team che sono presenti e ben distinti in ogni sede: un team per le core Technologies, un team Application e uno chiamato Systems. Ci sono poi degli altri team più piccoli a corollario, che si occupano di temi più specifici, ma il grosso delle decisioni viene preso pensando a queste tre divisioni.
La divisione Technologies, come prevedibile dal nome, si occupa di tutto quello che è Database, PAAS e IAAS. La seconda si occupa dell’offerta Saas, ovvero i servizi tipo ERP o Customer Experience. La terza divisione di infrastrutture convergenti, che potremmo definire come la parte più hardware. Per esempio, tutto quello che sta nei datacenter dei loro clienti che non nel public cloud è di loro pertinenza.
La security è di fatto calata in ogni divisione in maniera orizzontale. Ogni team la gestisce per le tematiche di loro pertinenza e la promuove sul mercato in maniera indipendente.
Quindi quello delle technologies si occupa di gestire e comunicare come il database implementa crittografia e autenticazione. La sua missione è quella di proteggere il dato ovunque sia: dal datacenter al public cloud.
La parte Application (Saas e Paas) si occupa principalmente della parte di riconoscimento dei bot e di proteggere quanto viene esposto su Internet. Per esempio, se un bot cerca di sfruttare una chiamata CX (l’infrastruttura di customer experience) per cercare di attaccare il sistema, la parte di sicurezza delle applicazioni lo riconosce e se ne occupa.
Infine, la divisione Systems tratta la sicurezza più “brutale” che si compone della protezione perimetrale, eventuali piccoli firewall, tecnologie di intrution detection e, dulcis in fundo, la parte che si chiama Autonomous database.
Mentre le parti di messa in sicurezza del perimetro hanno bisogno di poche spiegazioni, l’Autonomous Database merita qualche riga in più. Il progetto punta a creare un database che possa autogestirsi, autoconfigurarsi e autoripararsi: traguardi ambiziosi, ma che grazie al machine learning sembrano raggiungibili.
Tutto è nato creando una struttura di machine learning alla quale sono state date in pasto ben 30 anni di dati relativi a tutti gli attacchi che Oracle ha visto indirizzare ai database. Su questa base, già ampia, è stato creato un honey pot, ovvero un server esposto sul web, che funge da collettore di ulteriori attacchi. Tutto quello che viene registrato come attacco, viene inserito nella base dei dati del sistema di machine learning.
Il risultato è un sistema che è in grado di riconoscere gli attacchi sul nascere e prendere le necessarie contromisure. Tentativi di Malware injection, Buffer Overflow e simili vengono identificati in pochi secondi, grazie anche alla capacità dell’Autonomous Database di mettere in relazione più tipologie di attacco, “immaginando” delle varianti che magari non sono ancora state riscontrate in uso, ma che vengono già classificate come operazioni malevole.
A contorno del cuore basato sul machine learning, l’Autonomous Database ha una serie di interfacce e servizi che lo rendono davvero molto autonomo. “L’idea” – ci dice Riccardo Romani, Direttore Prevendita EMEA South, Divisione Systems di Oracle – “è quella di avere un sistema che comunica con gli operatori nel modo più chiaro e naturale possibile”. “Un amministratore di sistema” – continua Romani – “può chiedere al nostro Autonomous DB di controllare i vecchi database che non tocca da anni e ricevere in cambio un report semplice da comprendere ma molto dettagliato. Come prima cosa, il report si apre con un codice colore che indica il livello di sicurezza del DB. Poi segue un elenco delle criticità riscontrate e un elenco delle operazioni necessarie per riportare il tutto in condizioni di sicurezza. Volendo, Autonomous DB può compiere le operazioni necessarie in autonomia.”
Autonomous Database può, durante i suoi controlli, verificare che le password non siano facilmente aggirabili, che siano effettivamente state cambiate di recente, che siano presenti dei firewall, che le porte aperte non rappresentino un vettore d’attacco e che siano state applicate le patch più recenti.
“Dopo l’immancabile periodo di test” – dice Romani – “l’amministratore di sistema può addirittura scegliere di dare più autonomia al nostro sistema e permettergli di procedere automaticamente a riparare i problemi riscontrati. Un caso tipico è quello del report che resta ‘inascoltato’ per giorni: è possibile impostare un’azione per la quale se dopo tre giorni una condizione con pericolosità elevata (tipo un report che ha restituito ‘rosso’ come condizione di sicurezza di un db) resta irrisolta, l’autonomous DB è autorizzato a intervenire e risolvere”.
Nelle installazioni già effettuate, questo modo di operare ha ridotto gli errori umani da subito del 40% circa, arrivando a oltre l’80% dopo alcuni mesi di utilizzo e per il momento, non c'è stata alcuna intrusione non autorizzata scoperta in un "autonomous database". Forse perché è una tecnologia ancora nuova, ma le premesse sono incoraggianti.
La morale è quella che ormai conosciamo bene: i computer funzionano meglio degli esseri umani e per le operazioni di routine sono imbattibili. Sempre più dovremo affidarci alle macchine per controllare le altre macchine che compongono l’infrastruttura. Prima lo faremo, prima le nostre reti diventeranno più sicure e meglio progettate grazie al tempo in più che gli amministratori potranno dedicare ai compiti più importanti.