Oracle安全改善方案

1、Oracle 安全改善方案1. 主機(jī)安全：1.1. 賬號安全管理1.2. 網(wǎng)絡(luò)的訪問控制管理1.3. OS的備份和恢復(fù)2. 數(shù)據(jù)庫安全：2.1. 用戶管理 用戶是通過賬號連接到數(shù)據(jù)庫中的，關(guān)于賬號的管理是數(shù)據(jù)庫安全的最重要的一部分。其主要包括密碼安全設(shè)置，以及權(quán)限設(shè)置。2.1.1. 鎖定非使用賬號對于非使用的賬號，要及時鎖定，禁止任何人使用其來登錄到系統(tǒng)中。2.1.2. 更改系統(tǒng)賬號默認(rèn)密碼系統(tǒng)賬號的默認(rèn)密碼要及時更改掉。像SYS賬號最好改掉并把它遺忘掉。2.1.3. 禁止給非系統(tǒng)用戶授予SYSDBA權(quán)限 SYSDBA權(quán)限是Oracle數(shù)據(jù)庫的最高權(quán)限，可以對數(shù)據(jù)庫做任何的操作。包括建庫，刪除

2、數(shù)據(jù)庫，以及備份恢復(fù)數(shù)據(jù)庫。系統(tǒng)中應(yīng)該只用SYS擁有這個權(quán)限。2.1.4. 禁止SYSDBA非本機(jī)連入對于擁有SYSDBA的權(quán)限的賬號，禁止通過非數(shù)據(jù)庫主機(jī)登錄。2.1.5. 最小權(quán)限在新建賬號時，要滿足最小權(quán)限規(guī)則，用戶要求什么權(quán)限給什么權(quán)限，不該擁有的權(quán)限一定要控制好。系統(tǒng)權(quán)限盡量不使用角色授權(quán)。對象權(quán)限可以使用角色授權(quán)。2.1.6. 表空間使用及quota設(shè)置為有存儲對象的賬號指定默認(rèn)的表空間，和臨時表空間，同時給表空間指定quota設(shè)置。但是禁止指定賬號的默認(rèn)表空間為系統(tǒng)表空間。2.1.7. 概要文件管理概要文件控制著密碼策略和對系統(tǒng)資源的使用，根據(jù)不同賬號的使用和訪問數(shù)據(jù)庫重要性來管

3、理不同的概要文件。概要文件不易過多。對系統(tǒng)資源的設(shè)置要大于最大使用值。2.1.8. 失敗登陸鎖定通過概要文件設(shè)置登錄失敗次數(shù)，例如用戶連續(xù)嘗試登陸3次失敗，則該賬戶被鎖定。2.1.9. 密碼復(fù)雜度設(shè)置密碼必須符合一定的復(fù)雜度，如長度必須超過6個字符，且要包括數(shù)字、小寫字母、大寫字母和特殊符號4類中至少2類。具體設(shè)置可參看數(shù)據(jù)庫自帶的verify_function函數(shù)。2.1.10. 密碼的生命周期控制對于采用靜態(tài)口令認(rèn)證技術(shù)的數(shù)據(jù)庫，賬戶口令的生存期不長于30天。30天不改，下次登錄提示更改，如果還不更改，5天后鎖定賬號。2.1.11. 密碼的重復(fù)設(shè)置用戶不能重復(fù)使用最近10次內(nèi)已使用的口令2

4、.1.12. XX2.2. 權(quán)限和角色管理 權(quán)限是賬號擁有的可執(zhí)行操作的授權(quán)。只有有了相應(yīng)的權(quán)限授權(quán)才能執(zhí)行相應(yīng)的操作。權(quán)限分為系統(tǒng)權(quán)限和對象權(quán)限。系統(tǒng)權(quán)限是對數(shù)據(jù)庫對象的操作。對象權(quán)限是對數(shù)據(jù)庫中對象的數(shù)據(jù)訪問和操作的權(quán)限。2.2.1. 高權(quán)限賬號管理高權(quán)即是能對數(shù)據(jù)庫系統(tǒng)級做變更的權(quán)限。高權(quán)只能分配給DBA，其他人員一般來說不該擁有這些權(quán)限。防止其他人員的誤操作導(dǎo)致系統(tǒng)故障。2.2.2. 系統(tǒng)權(quán)限對于開發(fā)運(yùn)維人員，有時候要使用某些系統(tǒng)權(quán)限，比如創(chuàng)建對象，更改對象等。可以根據(jù)不同的工作崗位和職責(zé)來分配系統(tǒng)權(quán)限。2.2.3. 對象權(quán)限對象權(quán)限管理著數(shù)據(jù)的安全，通過對象權(quán)限可以訪問非本賬號擁有的對象。2.2.4. 角色管理可以將一組權(quán)限定義為一個角色，這樣就方便管理不同賬號的相同權(quán)限組。系統(tǒng)權(quán)限不建議通過角色管理，對象權(quán)限可以使用角色管理3. 審計4. 數(shù)據(jù)安全4.1. 數(shù)據(jù)訪問控制網(wǎng)絡(luò)訪問控制更改默認(rèn)端口監(jiān)聽口令設(shè)置4.2. 數(shù)據(jù)庫的備份還原5. 規(guī)章制度5.1. 禁止公用賬號5.2. 應(yīng)用程序賬號專用對應(yīng)應(yīng)用程序連接數(shù)據(jù)庫的