企業級 Oracle 安全建設全景指南：物理、流程、通用加固與數據庫原生防護

安全建設四層模型

1. 物理層面控制（基石，70% 威脅來自內部）
2. 安全流程建設（權責分離、變更管理、應急響應）
3. 通用加固措施（最小安裝、默認賬號清理、補丁管理）
4. 數據庫原生防護（認證、授權、審計、加密、高可用）

第一層：物理安全（毀於蟻穴）

• 機房門禁：僅授權人員可進入，訪客全程陪同。
• 服務器鎖機柜，控制台啟用密碼鎖屏（Win+L / vlock）。
• 密碼不貼顯示器、不存筆記本、不傳郵件/微信。
• 介質銷毀：廢棄硬盤消磁/物理粉碎，磁帶燒毀。

第二層：流程建設（過猶不及）

• 變更管理：所有 Schema 變更、參數調整、腳本部署走工單審批，保留回滾方案。
• 權責分離：DBA 不知業務密碼，開發無生產權限，審計獨立匯報。
• 應急預案：季度演練「誤刪表空間恢復」、「勒索病毒隔離」、「主庫切換」。
• 離職交接：即時回收 VPN/堡壘機/數據庫賬號，變更共享密碼。

第三層：通用加固（少裝少錯）

1. 最小化安裝：Custom Install 僅選必要組件（如不選 Oracle Text、Spatial、APEX）。
2. 鎖定/過期默認賬號：

   ALTER USER OUTLN ACCOUNT LOCK PASSWORD EXPIRE;
   ALTER USER DIP ACCOUNT LOCK PASSWORD EXPIRE;
   -- 11g+ 默認已鎖定，升級後需複核

3. 修改默認密碼：SYS、SYSTEM、DBSNMP、SYSMAN 必須設置強密碼（≥12 位、含大小寫數字特殊字符、定期輪換）。
4. OS 層面加固：關閉非必要服務/端口，配置防火牆僅放行 1521/2484（監聽器/Enterprise Manager），啟用 auditd 審計關鍵命令。
5. 定期打補丁：訂閱 My Oracle Support Security Alert，關注 Critical Patch Update (CPU) 每季度發布，測試驗證後生產部署。

第四層：Oracle 原生安全能力矩陣

認證標準證明

Oracle 通過 NCSC C2 / B1 級**安全認證**，在商用 UNIX/VMS 上正式通過測試，是業界通過安全標準最全面的數據庫產品。