建站
咨詢
售后
建站咨詢
新聞中心
數(shù)據(jù)庫安全一直以來都是人們關(guān)注的熱門話題，眾所周知，對(duì)于Oracle數(shù)據(jù)庫來說，Oracle數(shù)據(jù)庫中的數(shù)據(jù)信息都是非常重要的，不容泄露，下文中就為大家總結(jié)了一些Oracle數(shù)據(jù)庫的安全措施，希望對(duì)大家能夠有所幫助。
成都創(chuàng)新互聯(lián)公司-專業(yè)網(wǎng)站定制、快速模板網(wǎng)站建設(shè)、高性價(jià)比江州網(wǎng)站開發(fā)、企業(yè)建站全套包干低至880元,成熟完善的模板庫,直接使用。一站式江州網(wǎng)站制作公司更省心,省錢,快速模板網(wǎng)站建設(shè)找我們，業(yè)務(wù)覆蓋江州地區(qū)。費(fèi)用合理售后完善，10余年實(shí)體公司更值得信賴。
一、數(shù)據(jù)庫安全原則
1．只安裝oracle必須的組件；
2．鎖定并終止默認(rèn)用戶帳號(hào)；
3．改變默認(rèn)用戶密碼；
4．激活數(shù)據(jù)字典保護(hù)（oracle9i默認(rèn)具有此功能）；
5．根據(jù)實(shí)際情況給予最少的權(quán)限；
6．強(qiáng)制進(jìn)行有效的訪問控制（oracle9i默認(rèn)具有此功能）；
7．限制操作系統(tǒng)訪問；
8．限制網(wǎng)絡(luò)訪問；
9．安裝所有的安全補(bǔ)??；
二、具體安全加強(qiáng)措施
1．對(duì)默認(rèn)用戶進(jìn)行鎖定
在oracle安裝過程中默認(rèn)安裝會(huì)有很多的默認(rèn)用戶，造成安全潛在問題，可以將其鎖定，限制對(duì)數(shù)據(jù)庫進(jìn)行連接。
Oracle范例用戶：HR,OE,PM,SH,QS_ADM,QS,QS_WS,QS_ES,QS_OS,QS_CBADM,QS_CB,QS_CS
只是用于oracle的范例，沒有實(shí)際用處；
DBSNMP：負(fù)責(zé)運(yùn)行Oracle系統(tǒng)的智能代理(Intelligent Agent)，實(shí)際中很少使用，幾乎不使用；
OUTLN：用于存儲(chǔ)Outlines，不使用時(shí)可鎖定，使用時(shí)再打開；
MDSYS, ORDSYS, CTXSYS, ORDPLUGINS：用于支持oracle的Intermedia，默認(rèn)鎖定；
WMSYS：用于存儲(chǔ)Oracle Workspace Manager的元數(shù)據(jù)信息，默認(rèn)鎖定；
ANONYMOUS：用于允許HTTP 訪問Oracle XML DB；
XDB：用于存儲(chǔ)Oracle XML DB數(shù)據(jù)和元數(shù)據(jù)；
此外還有一些系統(tǒng)自帶的用戶，不再列舉，建議對(duì)除sys，system，rman，perfstat以外的系統(tǒng)自帶用戶進(jìn)行鎖定，減少安全隱患。
Sql：select username,account_status from dba_users;
alter user username account lock; 2．安裝最新的安全補(bǔ)丁
安全公告和補(bǔ)丁位置如下：
http://otn.oracle.com/deploy/security/alerts.htm
3．密碼管理機(jī)制
在Oracle，我們可以通過修改用戶概要文件來設(shè)置密碼的安全策略，可以自定義密碼的復(fù)雜度。在概要文件中有以下參數(shù)是和密碼安全有關(guān)系的：
FAILED_LOGIN_ATTEMPTS：最大錯(cuò)誤登錄次數(shù)
PASSWORD_GRACE_TIME：口令失效后鎖定時(shí)間
PASSWORD_LIFE_TIME：口令有效時(shí)間
PASSWORD_LOCK_TIME：登錄超過有效次數(shù)鎖定時(shí)間
PASSWORD_REUSE_MAX：口令歷史記錄保留次數(shù)
PASSWORD_REUSE_TIME：口令歷史記錄保留時(shí)間
PASSWORD_VERIFY_FUNCTION：口令復(fù)雜度審計(jì)函數(shù)。
缺省這個(gè)安全策略是沒有啟用的。
啟用安全策略：
以sys用戶執(zhí)行：SQL> @?/rdbms/admin/utlpwdmg.sql
設(shè)置舉例：
CREATE PROFILE app_user2 LIMIT
FAILED_LOGIN_ATTEMPTS 5
PASSWORD_LIFE_TIME 60
PASSWORD_REUSE_TIME 60
PASSWORD_REUSE_MAX UNLIMITED
PASSWORD_VERIFY_FUNCTION verify_function
PASSWORD_LOCK_TIME 1/24
PASSWORD_GRACE_TIME 10;
4．資源管理機(jī)制
啟用資源管理：
SQL> alter system set resource_limit=true;
設(shè)置舉例：
CREATE PROFILE app_user LIMIT
SESSIONS_PER_USER UNLIMITED
CPU_PER_SESSION UNLIMITED
CPU_PER_CALL 3000
CONNECT_TIME 45
LOGICAL_READS_PER_SESSION DEFAULT
LOGICAL_READS_PER_CALL 1000
PRIVATE_SGA 15K
COMPOSITE_LIMIT 5000000;
指定profile可以使用create user 或者alter user,舉例如下：
CREATE USER test
IDENTIFIED BY aZ7bC2
DEFAULT TABLESPACE data_ts
QUOTA 100M ON test_ts
QUOTA 500K ON data_ts
TEMPORARY TABLESPACE temp_ts
PROFILE profile_name;
ALTER USER test
IDENTIFIED BY A12BDD
DEFAULT TABLESPACE data_ts
TEMPORARY TABLESPACE temp_ts
QUOTA 100M ON data_ts
QUOTA 0 ON test_ts
PROFILE profile_name;
5. 權(quán)限管理
根據(jù)實(shí)際情況，細(xì)分權(quán)限，建立角色，對(duì)于系統(tǒng)權(quán)限慎重給予。采用最小授權(quán)原則，給用戶盡量少的權(quán)限。
用戶組PUBLIC，顧名思義，表示數(shù)據(jù)庫中的每一位用戶，因此，對(duì)PUBLIC 用戶組授予權(quán)限其實(shí)也就是對(duì)數(shù)據(jù)庫中的每一位用戶都授予了相應(yīng)的權(quán)限。這是在授予或撤銷權(quán)限時(shí)非常有用的一條捷徑。但也可能帶來巨大的安全隱患，尤其是在試圖確保以最少權(quán)限的方式運(yùn)行數(shù)據(jù)庫時(shí)，更是如此。
撤銷Public 組的一些不必要權(quán)限，嚴(yán)格限制以下程序包的權(quán)限：
UTL_FILE:該程序包允許oralce 用戶讀取服務(wù)器上的文件，如果設(shè)置錯(cuò)誤的話，可能可以得到任何文件。
UTL_HTTP：該程序包允許oracle 用戶通過HTTP 訪問外部資源包括惡意的web 代碼和文件。
UTL_TCP: 該程序包允許oracle 通過TCP 建立連接，從而從網(wǎng)絡(luò)上得到可執(zhí)行文件。
UTL_SMTP: 該程序包允許oracle 通過SMTP 方式進(jìn)行通信，從而轉(zhuǎn)發(fā)關(guān)鍵文件。
撤銷以上包的執(zhí)行權(quán)限：
Sql：
revoke EXECUTE on UTL_FILE from public;
revoke EXECUTE on UTL_TCP from public;
revoke EXECUTE on UTL_SMTP from public;
revoke EXECUTE on UTL_HTTP from public; 6．修改認(rèn)證方式
Oracle默認(rèn)使用操作系統(tǒng)認(rèn)證，只要能進(jìn)入系統(tǒng)可直接以sys進(jìn)入oracle，存在較大安全隱患，可修改為數(shù)據(jù)庫認(rèn)證方式。
在$ORACLE_HOME/network/admin中，打開sqlnet.ora，將SQLNET.AUTHENTICATION_SERVICES= (NTS)注釋掉，在前面加#即可。 7．限制IP連接
由于Oracle 的TNS 監(jiān)聽器有許多安全漏洞，其中的一些漏洞甚至能讓入侵者得到操作系統(tǒng)的超級(jí)用戶權(quán)限或者修改數(shù)據(jù)庫中的數(shù)據(jù)，因此在打好補(bǔ)丁的同時(shí)，對(duì)連接IP 的限制也能做到防患于未然。
在$ORACLE_HOME\network\admin 目錄下修改SQLNET.ORA文件，
增加如下內(nèi)容：
tcp.validnode_checking = YES
tcp.invited_nodes = (IP地址, hostname)
IP地址和hostname是允許連接的主機(jī)的名字和IP地址。 8．關(guān)掉Extproc 功能
由于extproc 存在安全問題允許用戶不進(jìn)行身份認(rèn)證就可以調(diào)用系統(tǒng)函數(shù)，因此如果不需要該功能必須關(guān)閉。
修改TNSNAMES.ORA 和LISTENER.ORA 文件，刪除含有EXTPROC的條目，使兩個(gè)文件中只含有使用的有效連接信息。 9．啟動(dòng)審計(jì)功能
Oracle的審計(jì)機(jī)制是用來監(jiān)視用戶對(duì)ORACLE數(shù)據(jù)庫所做的各種操作。在缺省情況下，系統(tǒng)的審計(jì)功能是關(guān)閉的。可以在INIT.ORA參數(shù)文件中設(shè)置參數(shù)AUDIT_TRAIL來激活。它的值有：NONE 禁止審計(jì)；DB 啟用審計(jì)，寫入SYS.AUD$；OS 啟用審計(jì)，寫入操作系統(tǒng)。
當(dāng)AUDIT_TRAIL=OS，可設(shè)置AUDIT_FILE_DEST指定審計(jì)文件的位置，默認(rèn)情況在$ORACLE_HOME/rdbms/audit下面。
AUDIT_SYS_OPERATIONS, AUDIT_TRAIL, AUDIT_FILE_DEST都是靜態(tài)參數(shù)，需修改參數(shù)文件重啟后生效。
設(shè)置審計(jì)水平：
Statement：指定對(duì)影響數(shù)據(jù)庫對(duì)象的一個(gè)特定類型的特定SQL語句進(jìn)行審計(jì)。比如對(duì)表的audit table有以下語句：CREATE TABLE, TRUNCATE TABLE, COMMENT ON TABLE, and DELETE [FROM] TABLE等；
Privilege：對(duì)由指定系統(tǒng)權(quán)限授權(quán)的SQL語句進(jìn)行審計(jì)，比如AUDIT CREATE ANY TRIGGER是對(duì)由CREATE ANY TRIGGER系統(tǒng)權(quán)限授權(quán)的語句進(jìn)行審計(jì)；
Object：對(duì)特定對(duì)象上的特定操作進(jìn)行審計(jì)，比如ALTER TABLE on the emp。
設(shè)置審計(jì)條件：
BY SESSION/BY ACCESS：BY SESSION使oracle在同一session中的同一類型的SQL語句只寫一條記錄；BY ACCESS使oracle對(duì)每次訪問寫一條記錄。
WHENEVER SUCCESSFUL/WHENEVER NOT SUCCESSFUL：WHENEVER SUCCESSFU只審計(jì)那些成功執(zhí)行的SQL語句；WHENEVER NOT SUCCESSFUL只審計(jì)那些失敗或結(jié)果錯(cuò)誤的SQL語句。
審計(jì)操作舉例：
審計(jì)連接：
AUDIT SESSION; AUDIT SESSION BY scott, lori;
審計(jì)指定權(quán)限：
AUDIT DELETE ANY TABLE BY ACCESS WHENEVER NOT SUCCESSFUL;
AUDIT DELETE ANY TABLE;
AUDIT SELECT TABLE, INSERT TABLE, DELETE TABLE, EXECUTE PROCEDURE BY ACCESS WHENEVER NOT SUCCESSFUL;
審計(jì)指定對(duì)象：
AUDIT DELETE ON scott.emp;
AUDIT SELECT, INSERT, DELETE ON jward.dept BY ACCESS WHENEVER SUCCESSFUL;
AUDIT SELECT ON DEFAULT WHENEVER NOT SUCCESSFUL;
關(guān)閉審計(jì)操作：
關(guān)閉上面例子中的相應(yīng)審計(jì)：
NOAUDIT session;
NOAUDIT session BY scott, lori;
NOAUDIT DELETE ANY TABLE;
NOAUDIT SELECT TABLE, INSERT TABLE, DELETE TABLE,EXECUTE PROCEDURE;
關(guān)閉所有語句審計(jì)：
NOAUDIT ALL;
關(guān)閉所有權(quán)限審計(jì)：
NOAUDIT ALL PRIVILEGES;
關(guān)閉對(duì)象審計(jì)：
NOAUDIT DELETE ON emp;
NOAUDIT SELECT, INSERT, DELETE ON jward.dept;
關(guān)閉某一對(duì)象上的所有審計(jì)：
NOAUDIT ALL ON emp;
關(guān)閉所有的默認(rèn)對(duì)象審計(jì)：
NOAUDIT ALL ON DEFAULT;
相關(guān)審計(jì)信息視圖：
ALL_DEF_AUDIT_OPTS
USER_OBJ_AUDIT_OPTS
DBA_OBJ_AUDIT_OPTS
DBA_STMT_AUDIT_OPTS
DBA_PRIV_AUDIT_OPTS
DBA_AUDIT_TRAIL
USER_AUDIT_TRAIL
DBA_AUDIT_SESSION
USER_AUDIT_SESSION
DBA_AUDIT_STATEMENT
USER_AUDIT_STATEMENT
DBA_AUDIT_OBJECT
USER_AUDIT_OBJECT
DBA_AUDIT_EXISTS
SM$AUDIT_CONFIG
KU$_AUDIT_VIEW
KU$_AUDIT_OBJ_BASE_VIEW
KU$_AUDIT_OBJ_VIEW
DBA_AUDIT_POLICIES
ALL_AUDIT_POLICIES
USER_AUDIT_POLICIES
DBA_FGA_AUDIT_TRAIL
DBA_REPAUDIT_ATTRIBUTE
ALL_REPAUDIT_ATTRIBUTE
USER_REPAUDIT_ATTRIBUTE
DBA_REPAUDIT_COLUMN
ALL_REPAUDIT_COLUMN
USER_REPAUDIT_COLUMN
查看審計(jì)信息舉例：
列出活動(dòng)的語句審計(jì)操作：
SELECT * FROM DBA_STMT_AUDIT_OPTS;
列出活動(dòng)的權(quán)限審計(jì)操作：
SELECT * FROM DBA_PRIV_AUDIT_OPTS;
列出對(duì)指定對(duì)象的活動(dòng)對(duì)象審計(jì)操作：
SELECT * FROM DBA_OBJ_AUDIT_OPTS WHERE OWNER = 'SCOTT' AND OBJECT_NAME LIKE 'EMP%';
列出默認(rèn)的對(duì)象審計(jì)操作：
SELECT * FROM ALL_DEF_AUDIT_OPTS;
列出審計(jì)記錄：
SELECT * FROM DBA_AUDIT_OBJECT;
列出對(duì)于AUDIT SESSION審計(jì)操作的審計(jì)記錄：
SELECT USERNAME, LOGOFF_TIME, LOGOFF_LREAD, LOGOFF_PREAD, LOGOFF_LWRITE, LOGOFF_DLOCK FROM DBA_AUDIT_SESSION;
關(guān)于Oracle數(shù)據(jù)庫的安全措施就為大家總結(jié)了這么多，相信上文中講到的安全措施一定能夠幫助大家實(shí)現(xiàn)Oracle數(shù)據(jù)庫的安全，希望大家都能夠上文中涉及到的內(nèi)容中有所收獲。
名稱欄目：Oracle數(shù)據(jù)庫安全措施
轉(zhuǎn)載源于：http://www.5511xx.com/article/djegdhd.html
