Oracle 數據庫安全策略深度解析（二）：從架構到實施的完整體系

SQL*DBA 特權命令管控

僅限 Oracle 軟件擁有者與 DBA 組用戶執行：

• STARTUP / SHUTDOWN
• CONNECT INTERNAL（8i 前）或 CONNECT / AS SYSDBA

OS 層面：確保僅授信用戶具備 dba 組成員資格。

數據庫文件系統權限

• 文件 $ORACLE_HOME/dbs/*.dbf 權限 0600（擁有者讀寫，組/其他無權限）。
• 目錄擁有者為 Oracle 軟件擁有者，回收組/他人讀權限（chmod 700）。
• 控制文件、聯機日志、參數文件同標準。

網絡安全三維防護

1. 傳輸加密：SQLNET.ENCRYPTION_CLIENT/SERVER=REQUIRED，算法 AES256/3DES168。
2. 遠程 DBA 管控：
   - REMOTE_LOGIN_PASSWORDFILE=EXCLUSIVE 強制密碼文件認證。
   - 或 REMOTE_OS_AUTHENT=FALSE 禁止 OS 遠程認證。
   - 極高安全環境設置 REMOTE_LOGIN_PASSWORDFILE=NONE 完全禁用遠程 SYSDBA。
3. 監聽器加固：
   - ADMIN_RESTRICTIONS_=ON 禁用遠程管理。
   - PASSWORDS_ 設置管理密碼。
   - VALID_NODE_CHECKING_REGISTRATION_=ON + REGISTRATION_INVITED_NODES 白名單註冊。

安全策略四大支柱

1. 系統安全性策略

• 用戶管理專責化：僅授信個人/團隊持有 CREATE/ALTER/DROP USER。
• 認證方式分級：
  - 內部應用：OS 認證（OPS$），單點登入、集中管控、審計一致。
  - 外部接入：數據庫密碼 + Profile 強策略 / Oracle Wallet / Kerberos / SSL 憑證。
  - 高危操作：MFA 多因子認證。
• OS 安全基線：
  - DBA：文件創建/刪除權限。
  - 普通用戶：無數據文件寫入權。
  - 角色映射：OS 組 → 數據庫角色，統一授權源。

2. 數據安全性策略

• 按**數據分級**（機密/內部/公開）制定差異化管控：
  - 機密：VPD/OLS 行級安全、透明加密（TDE）、數據遮罩（Data Redaction）、審計全記錄。
  - 內部：標準物件權限 + 角色。
  - 公開：僅選擇權限。

3. 用戶安全性策略

• 普通用戶：
  - 密碼：ORA_ENCRYPT_LOGIN=TRUE（客戶端）、DBLINK_ENCRYPT_LOGIN=TRUE（服務端）。
  - 權限：角色化管理（GRANT role TO user），避免直接授予系統/對象權限。
• 終端用戶：
  - 用戶組 → 角色映射表，批量授權。
  - 應用角色（SET ROLE）動態啟用業務權限。
  - 特殊需求臨時提權，事後自動回收。

4. DBA/開發/應用管理分層授權

落地執行清單

1. 建立《數據庫安全基線清單》（參考 CIS Oracle Benchmark / STIG）。
2. 自動化巡檢腳本：每日掃描參數、權限、審計、補丁狀態，差異報警。
3. 季度滲透測試 + 年度紅藍對抗，驗證防禦有效性。
4. 建立應急響應預案：密碼洩露、異常訪問、勒索軟件等場景演練。