oracle數(shù)據(jù)庫安全配置手冊

《oracle數(shù)據(jù)庫安全配置手冊》由會員上傳分享，免費在線閱讀，更多相關(guān)內(nèi)容在行業(yè)資料-天天文庫。

1、Oracle數(shù)據(jù)庫安全配置手冊Version1.0版本控制版本號日期參與人員更新說明1.020110501王海林目錄第一章目的與范圍11.1目的11.2適用范圍11.3數(shù)據(jù)庫類型1第二章數(shù)據(jù)庫安全規(guī)范12.1操作系統(tǒng)安全12.2帳戶安全22.3密碼安全22.4訪問權(quán)限安全22.5日志記錄32.6加密32.7管理員客戶端安全32.8安全補丁32.9審計3第三章數(shù)據(jù)庫安全配置手冊43.1Oracle數(shù)據(jù)庫安全配置方法43.1.1基本漏洞加固方法43.1.2特定漏洞加固方法12第一章目的與范圍1.1目的為了加強xx的數(shù)據(jù)安全管理，全面提高xx各業(yè)

2、務(wù)系統(tǒng)的數(shù)據(jù)安全水平，保證業(yè)務(wù)系統(tǒng)的正常運營，提高業(yè)務(wù)服務(wù)質(zhì)量，特制定本方法。本文檔旨在于規(guī)范xx對各業(yè)務(wù)系統(tǒng)的Oracle數(shù)據(jù)庫進行安全加固處理。1.2適用范圍本手冊適用于對xx公司的各業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫系統(tǒng)加固進行指導(dǎo)。1.3數(shù)據(jù)庫類型數(shù)據(jù)庫類型為Oracle9i及oracle10g。第二章數(shù)據(jù)庫安全規(guī)范2.1操作系統(tǒng)安全要使數(shù)據(jù)庫安全，首先要使其所在的平臺和網(wǎng)絡(luò)安全。然后就要考慮操作系統(tǒng)的安全性。Oracl第16頁共32頁e使用大量用戶不需要直接訪問的文件。例如，數(shù)據(jù)文件和聯(lián)機重做日志文件只能通過Oracle的后臺進程進行讀寫。因此，只

3、有要創(chuàng)建和刪除這些文件的數(shù)據(jù)庫管理員才需要在操作系統(tǒng)級直接訪問它們。導(dǎo)出轉(zhuǎn)儲文件和其他備份文件也必須受到保護?？梢园褦?shù)據(jù)復(fù)制到其他數(shù)據(jù)庫上，或者是作為復(fù)制模式的一部分，或者是提供一個開發(fā)數(shù)據(jù)庫。若要保護數(shù)據(jù)的安全，就要對數(shù)據(jù)所駐留的每一個數(shù)據(jù)庫及這些數(shù)據(jù)庫的備份進行保護。如果某人能從含有你的數(shù)據(jù)備份的數(shù)據(jù)庫中帶走備份磁帶，那么你在數(shù)據(jù)庫中所做的全部保密工作就失去意義。必須防止對全部數(shù)據(jù)備份的非法訪問。2.2帳戶安全為了避免數(shù)據(jù)庫帳戶大量耗費系統(tǒng)資源，影響其它用戶的正常訪問，可以根據(jù)應(yīng)用的實際需要，對數(shù)據(jù)庫帳戶所使用的資源（如CPU等）進行限

4、制。這樣可以控制惡意攻擊者發(fā)起大量的連接及事務(wù)破壞數(shù)據(jù)庫系統(tǒng)的正常運行，限制數(shù)據(jù)庫帳戶的系統(tǒng)資源可以用profile實施。此外，數(shù)據(jù)庫創(chuàng)建后，會存在一些內(nèi)建的帳戶，這些帳戶都有初始密碼。出于安全的考慮，需要修改這些內(nèi)建帳戶的初始密碼，防止惡意攻擊者以眾所周知的初始密碼登錄數(shù)據(jù)庫。另外，對不使用的帳戶應(yīng)鎖定，消除帳戶安全隱患。2.3密碼安全用戶登錄數(shù)據(jù)庫的密碼非常重要，一旦密碼被竊聽，數(shù)據(jù)庫的安全就面臨嚴(yán)重的威脅。從Oracle7.1開始，client遠程連接數(shù)據(jù)庫，OracleNet會自動對通過網(wǎng)絡(luò)傳輸?shù)牡卿浢艽a進行加密，保證密碼不被明文傳

5、輸而被竊聽。在Oracle7.1之前，可在sqlnet.ora中設(shè)置ora_encrypt_login=true。此外，對密碼進行嚴(yán)格的管理?？梢允褂胮rofile來管理口令的終止、重新使用和復(fù)雜性。例如，可以限制一個口令的壽命、鎖定口令過舊的帳戶等。也可以強制一個口令至少有一定程度的復(fù)雜性并鎖定一個多次注冊失敗的帳戶。這樣可以有效地防止黒客猜測帳戶口令，減少口令安全隱患。2.4訪問權(quán)限安全對帳戶的訪問權(quán)限進行嚴(yán)格控制，給予帳戶需要的最少權(quán)限，包括系統(tǒng)權(quán)限和對象權(quán)限。對象權(quán)限可以實施到數(shù)據(jù)庫對象的字段級別。第16頁共32頁2.5日志記錄Or

6、acle的警告日志alertsid.log里記錄有數(shù)據(jù)庫的關(guān)鍵活動，如刪除表空間等，出于安全的考慮，需有規(guī)律地檢查警告日志。2.6加密為了保證敏感數(shù)據(jù)從client到server在傳輸過程中不被竊聽，可以對數(shù)據(jù)進行加密，以密文進行傳輸。2.7管理員客戶端安全為了防止惡意用戶冒名頂替管理員從遠端客戶機連接數(shù)據(jù)庫進行破壞，可以對遠端數(shù)據(jù)庫的IP地址進行限定。當(dāng)然這種方法如果和網(wǎng)絡(luò)安全一起實施，會更加安全。2.8安全補丁Oracle雖然具有很高的安全性，但是不可避免還是有安全漏洞，一個比較安全的辦法是時刻關(guān)注Oracle的安全公告，并及時安裝安全

7、補丁。安全公告和補丁位置如下：http://otn.oracle.com/deploy/security/alerts.htm2.9審計第16頁共32頁出于數(shù)據(jù)庫的安全，需要實施審計以跟蹤重要的或可疑的數(shù)據(jù)庫活動。審計通常被認為是最有效的安全機制，它確保系統(tǒng)的合法用戶做他們應(yīng)該做的事情，并且能夠阻止用戶濫用或誤用訪問權(quán)限。通過審計，一個公司可以跟蹤其各個用戶的活動，從而發(fā)現(xiàn)安全上的缺陷。另外，如果用戶知道他們正在被跟蹤審計，那么就可能降低他們?yōu)E用職權(quán)的可能性。因為傳統(tǒng)型的審計產(chǎn)生數(shù)量極大的數(shù)據(jù)，所以這就很難從中發(fā)現(xiàn)有用的信息，因此，Orac

8、le9i引進了精確細化的審計。使用這種廣泛精確細化的審計，可以更容易地發(fā)現(xiàn)安全缺陷。例如，如果為重復(fù)選擇社會身份認證號碼制定了一條審計策略，則當(dāng)重復(fù)選擇該社會身份認證號碼時，就會