Oracle 資料庫安全策略深度分析（一）：作業系統層面與基礎防護

作業系統群組與權限架構

Unix/Linux 環境下，透過 /etc/group 規劃群組權限是資料庫安全第一道防線。Oracle 程式分兩類：全用戶可執行、僅 DBA 可執行。

三大基礎防護措施

1. 建立 DBA 群組：安裝前創建 dba 群組，納入 root 與 Oracle 軟體擁有者。DBA 專屬程式權限設 710（擁有者全權、群組執行、其他無權）。安裝過程自動授予 SQL*DBA 系統權限。
2. 建立 Oracle 使用者群組：授權業務用戶加入 oinstall 或自訂群組。公用程式（SQL*Plus、Forms 等）權限 710，確保僅群組成員可執行。
3. 非關鍵程式權限：不影響安全性的工具程式設 711，允許其他用戶執行但不可修改。

預設帳號密碼變更（關鍵）

新裝資料庫 SYS、SYSTEM 預設密碼均為 manager，上線前必須變更：

-- 在 SQL*Plus / SQLDBA 中執行
ALTER USER sys IDENTIFIED BY <強密碼>;
ALTER USER system IDENTIFIED BY <強密碼>;

注意：原文 indentified 為拼寫錯誤，正確為 IDENTIFIED。

檔案系統層面防護

• 資料檔、控制檔、日誌檔權限 600（僅擁有者讀寫）
• 資料檔目錄擁有者為 Oracle 軟體擁有者，回收群組/其他讀取權限
• 備份檔案同樣嚴格權限控制，異地備份加密傳輸

網路安全基礎

• 啟用網路加密：SQLNET.ENCRYPTION_SERVER=REQUIRED
• 遠端 DBA 管控：REMOTE_LOGIN_PASSWORDFILE=EXCLUSIVE + 專用密碼檔
• 監聽器安全：ADMIN_RESTRICTIONS_listener=ON、設定 PASSWORDS_listener