Oracle 資料庫安全策略深度分析（一）

資料庫安全防護體系建構

資料庫安全性是 DBA 核心職責，資料遺失與非法入侵風險需建立多層次防護策略。

一、作業系統層面群組安全機制

Unix 環境下透過 /etc/group 設定群組權限，Oracle 程式分兩類：全用戶可執行、僅 DBA 可執行。

三層權限配置策略

1. DBA 群組： 安裝前建立，分配 root 與 Oracle 軟體擁有者，程式權限 710，SQL*DBA 權限自動授予
2. Oracle 群組： 授權部分 Unix 用戶受限存取，實用程式 (SQL*Plus、SQL*Forms 等) 權限 710，僅群組成員可執行
3. 公用程式： 不影響安全性的程式權限設為 711

預設帳號密碼修改強制要求

ALTER USER SYS IDENTIFIED BY new_password;
ALTER USER SYSTEM IDENTIFIED BY new_password;

二、Oracle 伺服器實用程式安全強化

• $ORACLE_HOME/bin 所有程式擁有者必須為 Oracle 軟體擁有者
• 用戶實用程式 (sqlplus, exp, imp 等) 權限 711，全用戶可存取
• DBA 實用程式 (SQL*DBA 等) 權限 700，僅擁有者可執行

三、Unix 群組映射 Oracle 角色機制

本地存取透過 OS 群組映射資料庫角色，格式：ora_sid_role[_d][_a]

• sid：資料庫 SID
• role：角色名稱 (OSOPER、OSDBA 等)
• d：預設角色
• a：WITH ADMIN OPTION，僅可授予角色不可授予用戶

/etc/group 設定範例

ora_test_osoper_d:NONE:1:jim,narry,scott
ora_test_osdba_a:NONE:3:pat
ora_test_role1:NONE:4:bob,jane,tom,mary,jim
bin:NONE:5:root,oracle,dba
root:NONE:7:root

啟用條件

1. 修改 init.ora 設定 OS_ROLES=TRUE
2. 關閉重啟資料庫
3. 需 CONNECT INTERNAL 權限時，執行 ORAPWD 設定角色密碼