Oracle 資料庫安全性管理策略：作業系統層、網路層與資料層纵深防禦

構建從 OS 到資料層的多層次安全防護矩陣

資料庫安全非單一工具可解，需結合作業系統權限、網路加密、資料庫內部權限、稽核與備份形成纵深防禦。本文系統闡述 Unix/Linux 群組權限模型、Oracle 實用程式檔案權限、資料檔保護、SQL*DBA 特權命令控制、網路加密與 DBA 遠程存取控制六大防線。

防線一：作業系統群組權限模型 (Unix/Linux)

標準群組規劃

/etc/group 配置範例

oinstall:x:501:oracle,root
dba:x:502:oracle
oper:x:503:oracle,backup_admin
asmadmin:x:504:grid

防線二：Oracle 實用程式檔案權限 ($ORACLE_HOME/bin)

防線三：資料庫關鍵檔案保護

• 資料檔/控制檔/重做日誌：chmod 660 (rw-rw----) oracle:dba，僅擁有者與 DBA 群組可讀寫
• 參數檔：chmod 640 (rw-r-----) oracle:dba
• 密碼檔：chmod 640 oracle:dba，嚴防非授權讀取
• 稽核目錄：chmod 750 oracle:dba，防止稽核日誌被竄改/刪除

防線四：SQL*DBA / SQL*Plus 特權命令控制

• 僅限 DBA 群組執行：STARTUP、SHUTDOWN、CONNECT INTERNAL / AS SYSDBA
• OS 權限映射：os_roles = TRUE (init.ora) + 建立 OS 群組對應資料庫角色
• 群組命名格式：ora__[_D][_A]
  • D = DEFAULT 角色
  • A = ADMIN OPTION (可授予他人)

OS 角色映射範例

-- /etc/group
ora_prod_osdba_d:x:502:oracle,john  -- PROD 實例 OSDBA 預設角色
ora_prod_osoper_a:x:503:mary        -- PROD 實例 OSOPER 帶 ADMIN OPTION
ora_prod_dba_role:x:504:dev1,dev2   -- 自訂 DBA_ROLE 映射

防線五：資料檔案與網路安全

網路加密配置 (sqlnet.ora)

# 客戶端/伺服端均需配置
SQLNET.ENCRYPTION_SERVER = REQUIRED
SQLNET.ENCRYPTION_TYPES_SERVER = (AES256, AES192, AES128)
SQLNET.CRYPTO_CHECKSUM_SERVER = REQUIRED
SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER = (SHA512, SHA256, SHA1)
SQLNET.ENCRYPTION_CLIENT = REQUIRED
SQLNET.ENCRYPTION_TYPES_CLIENT = (AES256, AES192, AES128)

遠程 DBA 存取控制

• 選項 A：REMOTE_LOGIN_PASSWORDFILE = NONE 完全禁止遠程 SYSDBA
• 選項 B：REMOTE_LOGIN_PASSWORDFILE = EXCLUSIVE + orapwd 設定強密碼 + SSL/TLS 加密傳輸
• 監聽器限制：listener.ora 配置 VALID_NODE_CHECKING_REGISTRATION = ON + REGISTRATION_INVITED_NODES 白名單

防線六：核心帳號密碼基線

-- 立即修改預設密碼
ALTER USER SYS IDENTIFIED BY "ComplexP@ssw0rd1!";
ALTER USER SYSTEM IDENTIFIED BY "ComplexP@ssw0rd2!";

-- 鎖定非必要預設帳號
ALTER USER OUTLN ACCOUNT LOCK;
ALTER USER DBSNMP ACCOUNT LOCK;
-- ... 其他預設帳號視需求解鎖

安全基線檢查清單 (月度執行)

將安全控制下沉到 OS 檔案權限、網路加密傳輸、資料庫內部最小權限三個層面，才能構建真正可信的資料庫安全基線。

1. 上一篇文章： Oracle 效能防護四大支柱：分區、索引重建、段碎片整理、自由區段合併
2. 下一篇文章： Oracle SQL 執行效率提升三大核心技術：ORDERED、ORDERED_PREDICATES、OPTIMIZER_SEARCH_LIMIT

Oracle 資料庫基礎

PL/SQL Developer 備份恢復全攻略：對象導出、數據導出、DMP/SQL 雙格式還原

利用 PL/SQL Developer 內置工具實現零代碼備

Oracle 11g 必啟動服務對照表：sqlplus、PL/SQL Developer、EM 各不同

為了節省資源關閉 Oracle 所有自啟動服務後，發現工具無

Oracle 背景進程全景圖：核心進程 (PMON/SMON/DBWn/LGWR...) 與工具進程 (Job Queue/AQ/ASMM/RAC) 完整分類詳解

背景進程兩大分類 分類特徵代表進程 核心進程資料庫運行不可

Oracle 10g SQL 追蹤新機制：DBMS_MONITOR 與 trcsess 完整實戰指南

背景痛點 傳統 10046 事件追蹤在連線池、多層架構、RA