oracle数据库安全

㈠ 如何保证oracle数据库的安全性

数据库安全性问题一直是围绕着数据库管理员的恶梦，数据库数据的丢失
以及数据库被非法用户的侵入使得数据库管理员身心疲惫不堪。本文围绕数据
库的安全性问题提出了一些安全性策略，希望对数据库管理员有所帮助，不再
夜夜恶梦。数据库安全性问题应包括两个部分：

一、数据库数据的安全
它应能确保当数据库系统DownTime时，当数据库数据存储媒体被破
坏时以及当数据库用户误操作时，数据库数据信息不至于丢失。

二、数据库系统不被非法用户侵入
它应尽可能地堵住潜在的各种漏洞，防止非法用户利用它们侵入数据
库系统。

对于数据库数据的安全问题，数据库管理员可以参考有关系统双机
热备份功能以及数据库的备份和恢复的资料。

以下就数据库系统不被非法用户侵入这个问题作进一步的阐述。
组和安全性：
在操作系统下建立用户组也是保证数据库安全性的一种有效方法。
Oracle程序为了安全性目的一般分为两类：一类所有的用户都可执行，
另一类只DBA可执行。在Unix环境下组设置的配置文件是/etc/group，
关于这个文件如何配置，请参阅Unix的有关手册，以下是保证安全性的
几种方法：
(1) 在安装Oracle Server前，创建数据库管理员组(DBA)而且
分配root和Oracle软件拥有者的用户ID给这个组。DBA能执
行的程序只有710权限。在安装过程中sql*DBA系统权限命令
被自动分配给DBA组。
(2) 允许一部分Unix用户有限制地访问Oracle服务器系统，增加
一个由授权用户组的Oracle组，确保给Oracle服务器实用例
程Oracle组ID，公用的可执行程序，比如SQL*Plus，SQL*Fo
rms等，应该可被这组执行，然后该这个实用例程的权限为
710，它将允许同组的用户执行，而其他用户不能。
(3) 改那些不会影响数据库安全性的程序的权限为711。
注：在我们的系统中为了安装和调试的方便，Oracle数据库中
的两个具有DBA权限的用户Sys和System的缺省密码是manager。
为了您数据库系统的安全，我们强烈建议您该掉这两个用户的
密码，具体操作如下：
在SQL*DBA下键入：
alter user sys indentified by password;
alter user system indentified by password;
其中password为您为用户设置的密码。

Oracle服务器实用例程的安全性：
以下是保护Oracle服务器不被非法用户使用的几条建议：
(1) 确保$ORACLE_HOME/bin目录下的所有程序的拥有权归Oracle
软件拥有者所有；
(2) 给所有用户实用便程(sqiplus,sqiforms,exp,imp等)711权
限，使服务器上所有的用户都可访问Oracle服务器；
(3) 给所有的DBA实用例程(比如SQL*DBA)700权限。Oracle服务器
和Unix组当访问本地的服务器时，您可以通过在操作系统下把
Oracle服务器的角色映射到Unix的组的方式来使用Unix管理服
务器的安全性，这种方法适应于本地访问。
在Unix中指定Oracle服务器角色的格式如下：
ora_sid_role[_dla]
其中
sid 是您Oracle数据库的oracle_sid；
role 是Oracle服务器中角色的名字；
d (可选)表示这个角色是缺省值；
a (可选)表示这个角色带有WITH ADMIN选项，
您只可以把这个角色授予其他角色，不能是其他用户。
以下是在/etc/group文件中设置的例子：
ora_test_osoper_d:NONE:1:jim,narry,scott
ora_test_osdba_a:NONE:3:pat
ora_test_role1:NONE:4:bob,jane,tom,mary,jim
bin: NONE:5:root,oracle,dba
root:NONE:7:root
词组“ora_test_osoper_d”表示组的名字；词组“NONE”表示这
个组的密码；数字1表示这个组的ID；接下来的是这个组的成员。前两
行是Oracle服务器角色的例子，使用test作为sid，osoper和osdba作
为Oracle服务器角色的名字。osoper是分配给用户的缺省角色，osdba
带有WITH ADMIN选项。为了使这些数据库角色起作用，您必须shutdown
您的数据库系统，设置Oracle数据库参数文件initORACLE_SID.ora中
os_roles参数为True，然后重新启动您的数据库。如果您想让这些角色
有connect internal权限，运行orapwd为这些角色设置密码。当您尝
试connect internal时，您键入的密码表示了角色所对应的权限。

SQL*DBA命令的安全性：
如果您没有SQL*PLUS应用程序，您也可以使用SQL*DBA作SQL查权
限相关的命令只能分配给Oracle软件拥有者和DBA组的用户，因为这些
命令被授予了特殊的系统权限。
(1) startup
(2) shutdown
(3) connect internal

数据库文件的安全性：
Oracle软件的拥有者应该这些数据库文件
($ORACLE_HOME/dbs/*.dbf)设置这些文件的使用权限为0600：文件的
拥有者可读可写，同组的和其他组的用户没有写的权限。
Oracle软件的拥有者应该拥有包含数据库文件的目录，为了增加
安全性，建议收回同组和其他组用户对这些文件的可读权限。

网络安全性：
当处理网络安全性时，以下是额外要考虑的几个问题。
(1) 在网络上使用密码
在网上的远端用户可以通过加密或不加密方式键入密码，
当您用不加密方式键入密码时，您的密码很有可能被非法用
户截获，导致破坏了系统的安全性。
(2) 网络上的DBA权限控制
您可以通过下列两种方式对网络上的DBA权限进行控制：
A 设置成拒绝远程DBA访问；
B 通过orapwd给DBA设置特殊的密码。

建立安全性策略：

系统安全性策略
(1) 管理数据库用户
数据库用户是访问Oracle数据库信息的途径，因此，
应该很好地维护管理数据库用户的安全性。按照数据库系统
的大小和管理数据库用户所需的工作量，数据库安全性管理
者可能只是拥有create，alter，或drop数据库用户的一个
特殊用户，或者是拥有这些权限的一组用户，应注意的是，只
有那些值得信任的个人才应该有管理数据库用户的权限。
(2) 用户身份确认
数据库用户可以通过操作系统，网络服务，或数据库进行
身份确认，通过主机操作系统进行用户身份认证的优点有：
A 用户能更快，更方便地联入数据库；
B 通过操作系统对用户身份确认进行集中控制：如果操作
系统与数据库用户信息一致，那么Oracle无须存储和管
理用户名以及密码；
C 用户进入数据库和操作系统审计信息一致。
(3) 操作系统安全性
A 数据库管理员必须有create和delete文件的操作系统权限；
B 一般数据库用户不应该有create或delete与数据库相关文
件的操作系统权限；
C 如果操作系统能为数据库用户分配角色，那么安全性管理者
必须有修改操作系统帐户安全性区域的操作系统权限。

数据的安全性策略：
数据的生考虑应基于数据的重要性。如果数据不是很重要，那么数
据的安全性策略可以稍稍放松一些。然而，如果数据很重要，那么应该
有一谨慎的安全性策略，用它来维护对数据对象访问的有效控制。

用户安全性策略：
(1) 一般用户的安全性
A 密码的安全性
如果用户是通过数据库进行用户身份的确认，那么建议
使用密码加密的方式与数据库进行连接。这种方式的设置方
法如下：
在客户端的oracle.ini文件中设置
ora_encrypt_login数为true；
在服务器端的initORACLE_SID.ora文件中设置
dbling_encypt_login参数为true。
B 权限管理
对于那些用户很多，应用程序和数据对象很丰富的数据
库，应充分利用“角色”这个机制所带的方便性对权限进行
有效管理。对于复杂的系统环境，“角色”能大大地简化权
限的管理。
(2) 终端用户的安全性
您必须针对终端用户制定安全性策略。例如，对于一个有
很多用户的大规模数据库，安全性管理者可以决定用户组分类，

为这些用户组创建用户角色，把所需的权限和应用程序角色授
予每一个用户角色，以及为用户分配相应的用户角色。当处理
特殊的应用要求时，安全性管理者也必须明确地把一些特定的
权限要求授予给用户。您可以使用“角色”对终端用户进行权
限管理。

数据库管理者安全性策略：
(1) 保护作为sys和system用户的连接
当数据库创建好以后，立即更改有管理权限的sys和system用
户的密码，防止非法用户访问数据库。当作为sys和system用户
连入数据库后，用户有强大的权限用各种方式对数据库进行改动。
(2) 保护管理者与数据库的连接
应该只有数据库管理者能用管理权限连入数据库，当以sysdba
或startup，shutdown，和recover或数据库对象(例如create,
drop，和delete等)进行没有任何限制的操作。
(3) 使用角色对管理者权限进行管理

应用程序开发者的安全性策略：
(1) 应用程序开发者和他们的权限
数据库应用程序开发者是唯一一类需要特殊权限组完成自己
工作的数据库用户。开发者需要诸如create table,create
procere等系统权限，然而，为了限制开发者对数据库的操作，
只应该把一些特定的系统权限授予开发者。
(2) 应用程序开发者的环境
A 程序开发者不应与终端用户竞争数据库资源；
B 用程序开发者不能损害数据库其他应用产品。
(3) free和controlled应用程序开发
应用程序开发者有一下两种权限：
A free development
应用程序开发者允许创建新的模式对象，包括table,index,
procere,package等，它允许应用程序开发者开发独立于其
他对象的应用程序。
B controlled development
应用程序开发者不允许创建新的模式对象。所有需要table,
indes procere等都由数据库管理者创建，它保证了数据
库管理者能完全控制数据空间的使用以及访问数据库信息的
途径。但有时应用程序开发者也需这两种权限的混和。
(4) 应用程序开发者的角色和权限
数据库安全性管理者能创建角色来管理典型的应用程序开
发者的权限要求。
A create系统权限常常授予给应用程序开发者，以到于
他们能创建他的数据对象。
B 数据对象角色几乎不会授予给应用程序开发者使用的
角色。
(5) 加强应用程序开发者的空间限制
作为数据库安全性管理者，您应该特别地为每个应用程
序开发者设置以下的一些限制：
A 开发者可以创建table或index的表空间；
B 在每一个表空间中，开发者所拥有的空间份额。应用程
序管理者的安全在有许多数据库应用程序的数据库系统
中，您可能需要一应用程序管理者，应用程序管理者应
负责以下的任务：
C 为每一个应用程序创建角色以及管理每一个应用程序
的角色；
D 创建和管理数据库应用程序使用的数据对象；
E 需要的话，维护和更新应用程序代码和Oracle的存储
过程和程序包。

㈡ Oracle数据库提供的安全性措施有哪些

Oracle的安全措施主要有三个方面，一是用户标识和鉴定；二是授权和检查机制；三是审计技术（是否使用审计技术可由用户灵活选择）；除此之外，Oracle还允许用户通过触发器灵活定义自己的安全性措施。

一、用户标识和鉴定
在Oracle中，最外层的安全性措施是让用户标识自己的名字，然后由系统进行核实。Oracle允许用户重复标识三次，如果三次未通过，系统自动退出。

二、授权与检查机制
Oracle的权限包括系统权限和数据库对象的权限两类，采用非集中的授权机制，即DBA负责授予与回收系统权限，每个用户授予与回收自己创建的数据库对象的权限。
Oracle允许重复授权，即可将某一权限多次授予同一用户，系统不会出错。Oracle也允许无效回收，即用户没有某种权限，但回收此权限的操作仍算成功。
1. 系统权限
Oracle提供了80多种系统权限，如创建会话、创建表、创建视图、创建用户等。DBA在创建一个用户时需要将其中的一些权限授予该用户。
Oracle支持角色的概念。所谓角色就是一组系统权限的集合，目的在于简化权限管理。Oracle除允许DBA定义角色外，还提供了预定义的角色，如CONNECT，RESOURCE和DBA。
具有CONNECT角色的用户可以登录数据库，执行数据查询和操纵。即可以执行ALTER TABLE，CREATE VIEW，CREATE INDEX，DROP TABLE，DROP VIEW，DROP INDEX，GRANT，REVOKE，INSERT，SELECT，UPDATE，DELETE，AUDIT，NOAUDIT等操作。
RESOURCE角色可以创建表，即执行CREATE TABLE操作。创建表的用户将拥有对该表的所有权限。
DBA角色可以执行某些授权命令，创建表，对任何表的数据进行操纵。它涵盖了前两种角色，此外还可以执行一些管理操作，DBA角色拥有最高级别的权限。
例如DBA建立一用户U1后，欲将ALTER TABLE，CREATE VIEW，CREATE INDEX，DROP TABLE，DROP VIEW，DROP INDEX，GRANT，REVOKE，INSERT，SELECT，UPDATE，DELETE，AUDIT，NOAUDIT等系统权限授予U1，则可以只简单地将CONNECT角色授予U1即可：
GRANT CONNECT TO U1；
这样就可以省略十几条GRANT语句。
2. 数据库对象的权限
在Oracle中，可以授权的数据库对象包括基本表、视图、序列、同义词、存储过程、函数等，其中最重要的是基本表。
对于基本表Oracle支持三个级别的安全性：表级、行级和列级。

（1）表级安全性
表的创建者或者DBA可以把表级权限授予其他用户，表级权限包括：
ALTER：修改表定义
DELETE：删除表记录
INDEX：在表上建索引
INSERT：向表中插入数据记录
SELECT：查找表中记录
UPDATE：修改表中的数据
ALL：上述所有权限
表级授权使用GRANT和REVOKE语句。
(2）行级安全性
Oracle行级安全性由视图实现。用视图定义表的水平子集，限定用户在视图上的操作，就为表的行级提供了保护。视图上的授权与回收与表级完全相同。
例如，只允许用户U2查看Student表中信息系学生的数据，则首先创建信息系学生的视图S_IS，然后将该视图的SELECT权限授予U2用户。

㈢ 如何消除Oracle数据库的安全隐患

但由于计算机软、硬件故障、口令泄密、黑客攻击等等因素，都可导致数据库系统不能正常运转，造成大量数据信息丢失，数据被恶意篡改，甚至使数据库系统崩溃。忽视Oracle数据库的安全问题，必将给用户带来巨大的损失。如何保证数据库的安全运行是数据库管理员日常工作中的首要问题。下面提出几条防范措施供大家参考：一、用户角色的管理与口令保密 这是保护数据库系统安全的重要手段之一。它通过建立不同的用户组和用户口令验证，可以有效地防止非法的Oracle用户进入数据库系统，造成不必要的麻烦和损坏；另外在Oracle数据库中，可以通过授权来对Oracle用户的操作进行限制，即允许一些用户可以对Oracle服务器进行访问，也就是说对整个数据库具有读写的权利，而大多数用户只能在同组内进行读写或对整个数据库只具有读的权利。在此，特别强调对SYS和SYSTEM两个特殊账户的保密管理。Oracle的数据库管理员都知道，数据库系统典型安装后，一般sys和system以及internal这三个用户具有默认的口令，数据库安装成功后，系统管理员作的第一件工作就是修改这些用户的口令，保证数据库的安全性。 为了加强数据库在网络中的安全性，对于远程用户，应使用加密方式通过密码来访问数据库，加强网络上的DBA权限控制，如拒绝远程的DBA访问等。
二、数据保护 数据库的数据保护主要是数据库的备份，当计算机的软硬件发生故障时，利用备份进行数据库恢复，以恢复破坏的数据库文件或控制文件或其他文件。

㈣ 如何对Oracle数据库进行安全管理

对于Oracle数据库管理： Oracle自带的套件里有pl/sql plus，基于命令行的；企业管理器，基于GUI/WEB UI(在11g中)的。 第三方工具有pl/sql Developer，容易上手，但不能完成一些非常底层的管理功能；Toad for oracle，功能比前者强大些，使用起来...

㈤ oracle数据库的安全控制机制有哪些

Oracle数据库的安全机制有：用户管理、权限管理、角色管理、概要文件管理、审计、表空间设置和配额管理、用户资源限制等

㈥ Oracle数据库安全性中的问题有哪些

网站数据库的安全问题主要是由哪些因素引起的呢？这一个问题其实和数据库存的安全问题差不多， 据CVE的数据安全漏洞统计，Oracle、SQL Server、MySQL等主流数据库的漏洞逐年上升，以Oracle为例，当前漏洞总数已经超过了1200多个。

㈦ 如何搭建一个稳定可靠，安全的Oracle数据库体系

Oracle数据库的体系结构 Oracle数据库包括Oracle数据库服务器和客户端。 Oracle数据库服务器： Oracle Server是一个对象一关系数据库管理系统。它提供开放的、全面的、和集成的信息管理方法。每个Server由一个 Oracle DB和一个 Oracle Server实...

㈧ Oracle数据库安全性设计大家给点建议

Oracle数据库本身的安全性建设
从总体上而言，Oracle数据库是业界安全性方面最完备的数据库产品。在数据库安全性的国际标准中，Oracle通过了14项标准的测试，是所有数据库产品中通过安全性标准最多、最全面的产品。Oracle在C2级的操作系统上(如商用UNIX,VMS操作系统)，不仅满足NCSC C2级安全标准，而且已经正式通过了NCSC C2标准的测试。在B1级的操作系统上不仅满足NCSC B1级安全标准，而且已经通过了NCSC B1级标准的测试。

Oracle提供的主要安全性措施如下：
�8�9 身份认证功能（Authentication）：识别访问个体的身份
�8�9 数据访问的机密性（Confidentialty）：保证敏感数据访问的机密性。
�8�9 数据完整性（Integrity）：保证数据不被篡改。
�8�9 授权能力（Authorization）：保证被授权用户对数据的查询和修改能力。
�8�9 访问控制（Access Control）：确定对指定数据的访问能力。
�8�9 审计能力（Auditing）：提供监测用户行为的能力。
�8�9 私有性（Privacy）：提供对敏感数据访问的私密性。
�8�9 高可用性（Availability）：保证数据和系统提供不间断服务的能力。
�8�9 代理管理能力（Delegated Administration）：提供对用户帐号的集中管理功能。

下面将就应用系统本身对于Oracle提供的安全性措施作更深入的探讨。
$PageTitle= Oracle的安全性领域}
三、 Oracle的安全性领域
�8�5 Profile控制
Oracle利用profile机制来管理会话资源占用，同时也管理用户密码的安全策略。
通过profile我们可以实现：
某个特定用户最多只能占用系统百分之几的CPU时间？
某个特定用户连接到数据库之后能存活多长时间？
某个特定用户连接到数据库之后多长时间处于非活跃状态就将被系统中断连接？
用户登录密码输入错误多少次之后就将自动锁定用户？
用户密码的长度和包含的字符必须符合什么样的规则？
用户密码在多少天后将自动失效并要求设定新密码？

�8�5 用户权限控制 （Privilage）
Oracle通过角色（Role），权限（Privilage）等的一系列授予（Grant）和回收（Revoke）操作可以有效的进行用户的权限控制。

通过权限控制我们可以实现：
某个特定用户只能读取而不能修改另一个用户的表数据。
某个特定用户只能运行Oracle数据库系统的几个存储过程或者函数。
某个特定用户自己能够拥有修改某些数据的权力，但是却无法给其它不拥有这个权限的用户授予修改该数据的权力。
某个特定用户可以读取数据但是无法创建新的表空间。
�8�5 虚拟专用数据库（VPD）
虚拟专用数据库 (VPD) 也称为细粒度访问控制，它提供强大的行级安全功能。它是在 Oracle8i 中推出的，已经受到广泛的欢迎。
VPD 的工作方法是，通过透明地更改对数据的请求，基于一系列定义的标准向用户提供表的局部视图。在运行时，所有查询都附加了谓词，以便筛选出准许用户看到的行。
也就是通过VPD的设置，我们可以做到行级安全性控制，特定的用户即使对一张表有读取权限，那么也只能看到符合自身权限的记录。

注意，在Oracle10g版本中，VPD得到增强，已经可以实现字段级的安全性控制了。
实例及搭建步骤参看：利用VPD细粒度访问策略实现行级安全性 Step By Step

�8�5 Orace Label Security
基于对由客户提交的行级安全性的严格要求，Oracle Label Security（Oracle 数据库企业版的选件之一）利用多级安全性概念解决了世界上政府和商业用户在实际中遇到的数据安全和隐私问题。
OLS 通过利用数据敏感度标签（例如“敏感”和“公司机密”）与用户标签授权，提供了完善的行级安全性控制。
OLS 使用政策概念来存储标签定义和授权。该政策可直接在数据库中进行管理，或在 Oracle 身份管理中进行集中管理。

�8�5 Oracle Database Valut
通常数据库管理员如果具有了DBA权限，那么就很难防止这样的管理员查看应用程序数据。而Oracle Database Valut则解决了必须保护涉及合作伙伴、员工和顾客的敏感业务信息或隐私数据的客户最为担心的问题。
Oracle Database Vault 可防止高权限的应用程序 DBA 访问其他的应用程序、执行其权限之外的任务。Oracle Database Vault 可在不影响应用程序功能的前提下快速而高效地保护现有程序。
Oracle Database Vault 可通过下列方法解决一些最为常见的安全问题和内部威胁：
1. 限制 DBA 和其他授权用户访问应用程序数据。
2. 防止DBA 操纵数据库和访问其他应用程序。Oracle Database Vault 提供了强大的职责划分控制功能，可防止擅自更改数据库。比如说如果一个用户具有 CREATE USER 权限，但不具备正确的用户管理权限，则 Oracle Database Vault 将阻止该 DBA 创建新用户。
3. 更好的控制何人、何时、何地可以访问应用程序。如日期时间、数据库客户端在网络上的位置之类的因素。
Oracle Database Valut是新的Oracle Database 10g企业版的选件。目前已经有Linux X86以及Solaris SPARC 64bit的版本可以下载使用了。

�8�5 用户访问审计
审计是Oracle安全性的另一个重要领域，我们还必须小心地计划审计方案。有几种方式可在Oracle中进行审计：
1． SQL审计命令（标准审计）
通过AUDIT语句我们可以对成功或者不成功的特定对象的读取，更新操作进行审计。
标准审计只会记录较少的跟踪信息，比如发出该语句的用户、时间、终端标识号等等。
该审计对于系统性能的影响更多地取决于对象的繁忙程度。
2． 用对象触发器进行审计（也就是DML审计）
此类审计通常由客户自行开发放置于特定数据库对象上的触发器，由于是自行开发，所以相对于标准审计则能够更自由地记录更多感兴趣的跟踪信息。比如更新操作将某个字段从什么原始值更新到了什么新值。
该审计对于系统性能的影响更多地取决于对象的繁忙程度和触发器的编写水平。
3． 用系统级触发器进行审计（记录用户登录和退出）
当用户登录数据库或者离开数据库时，都可以通过自定义的触发器来记录用户名称，操作时间，终端标识号等信息。
由于触发器触发几率小，所以该审计对于系统性能影响并不大。
4． 用LogMiner进行审计（也就是DML和DDL）
Oracle数据库将所有的更新操作都记录在重作日志中，而Oracle提供了LogMiner工具用于挖掘重作日志中的所有操作，相比起上述的各种审计方法来说，该种审计可能是信息最为完善，对于应用系统性能影响最小的方法。
此处稍微延展开来说一下，LogMiner是双刃剑，既然可以用来审计，也就能够被恶意使用作为数据窃取的工具。所以在数据本身的加密方面，Oracle同样提供了多种解决方案，比如DBMS_OBFUSCATION_TOOLKIT，DBMS_CRYPTO和最新的透明数据加密，甚至在数据备份方面 Oracle也推出了Secure Backup来应对磁带数据的加密，但是要注意到数据加密不应用作访问控制的替代项，存储加密的数据并不会在存储介质本身提供额外的保护层，只是有助于在发生介质遭窃时保护诸如信用卡号之类的敏感数据。本文不再作更多的介绍。
5． 细精度审计（FGA）
细粒度审计 (FGA)，是在 Oracle 9i 中引入的，能够记录 SCN 号和行级的更改以重建旧的数据，但是它们只能用于 select 语句，而不能用于 DML，如 update、insert 和 delete 语句。因此，对于 Oracle 数据库 10g 之前的版本，使用触发器虽然对于以行级跟踪用户初始的更改是没有吸引力的选择,但它也是唯一可靠的方法。
而Oracle10g种FGA功能的增强使其不但能够支持select操作，同时也支持DML操作。在 Oracle 10g 中，审计已经从一个单纯的“操作记录者”成长为一个“事实记录机制”，它能以一个非常详细的级别来捕获用户的行为，这可以消除您对手动的、基于触发器的审计的需要。它还结合了标准审计和 FGA 的跟踪，这使其更易于跟踪数据库访问，而不用考虑它是如何生成的。
通过细粒度审计我们可以记录：
在早上九点到下午六点之间或在星期六和星期日对某个表进行了访问。
使用了公司网络外部的某个 IP 地址。
选定或更新了特定列。
使用了该列的特定值。

㈨ 简述oracle安全加固从哪几个方面入手加固

1.安全加固的检查方向
2.安全加固检查safeCheck.sh
3.安全加固执行safeExec.sh

1.安全加固的检查方向

1.1.sysdba用户远程登录限制（查看Oracle登录认证方式）

检查：
show parameter remote_login_passwordfile

整改：
alter system set remote_login_passwordfile = NONE scope=spfile;
注：需要重启库生效。

1.2.是否开启了资源限制

show parameter resource_limit

alter system set resource_limit = true;

1.3.登录失败的帐号锁定策略

select * from dba_profiles order by 1;
关注FAILED_LOGIN_ATTEMPTS的设定值

1.4.数据库用户帐号检查

检查：
select username,profile from dba_users where account_status='OPEN';

整改：
锁定用户：alter user <用户名> lock;
删除用户：drop user <用户名> cascade;

1.5.范例数据库帐号

是否存在默认的范例数据库账号scott等，可以考虑删除scott账号

1.6.dba权限账户检查

select username,profile from dba_users where account_status='OPEN';

1.7.数据库账户口令加密存储

11g数据里面的账户口令本来就是加密存储的。

1.8.数据库密码安全性校验函数

select limit from dba_profiles where profile='DEFAULT' and resource_name='PASSWORD_VERIFY_FUNCTION';

1.9.设定信任IP集

只需在服务器上的文件$ORACLE_HOME/network/admin/sqlnet.ora中设置以下行：

tcp.validnode_checking = yes
tcp.invited_nodes = (ip1,ip2…)
1.10.超时的空闲远程连接是否自动断开

根据实际需要设置合适的数值。
在$ORACLE_HOME/network/admin/sqlnet.ora中设置下面参数：
SQLNET.EXPIRE_TIME=10

2.安全加固检查safeCheck.sh

#!/bin/bash
#name：safeCheck.sh
#function：to create a safe check report.
#usage: oracle用户登录，执行 sh safeCheck.sh > /tmp/safeCheck.log

#logon database
sqlplus -S / as sysdba <<EOF

--format
prompt ============================
prompt == format
prompt ============================
prompt
set linesize 140 pagesize 50
col username for a30
col profile for a30
col resource_name for a30
col limit for a30

--check
prompt ============================
prompt == 1.sysdba用户远程登录限制
prompt ============================
prompt
show parameter remote_login_passwordfile
prompt 结果应为none.

prompt ======================
prompt == 2.resource_limit
prompt ======================
prompt
show parameter resource_limit
prompt 结果应为true.

prompt ===========================
prompt == 3.登录失败的帐号锁定策略
prompt ===========================
prompt
select * from dba_profiles order by 1;
prompt 关注FAILED_LOGIN_ATTEMPTS参数

prompt ===========================
prompt == 4.数据库用户帐号检查
prompt ===========================
prompt
select username,profile from dba_users where account_status='OPEN';
prompt 正常使用的用户列表

prompt ==========================
prompt == 5.范例数据库帐号
prompt ==========================
prompt
select * from all_users order by created;
prompt 关注有无示例账户scott

prompt ===========================
prompt == 6.dba权限账户检查
prompt ===========================
prompt

prompt ===========================
prompt == 7.数据库账户口令加密存储
prompt ===========================
prompt

prompt =============================
prompt == 8.数据库密码安全性校验函数
prompt =============================
prompt
select limit from dba_profiles where profile='DEFAULT' and resource_name='PASSWORD_VERIFY_FUNCTION';
prompt 结果应该不为null

--logoff database
EOF

# check the files
echo ===================
echo == 9.设定信任IP集
echo ===================
echo
more $ORACLE_HOME/network/admin/sqlnet.ora
#添加如下
#tcp.validnode_checking = yes
#tcp.invited_nodes = (ip1,ip2…)

echo ===================================
echo == 10.超时的空闲远程连接是否自动断开
echo ===================================
echo
#根据实际需要设置合适的数值。
more $ORACLE_HOME/network/admin/sqlnet.ora
#添加如下一行
#SQLNET.EXPIRE_TIME=10
3.安全加固执行safeExec.sh

#!/bin/bash
#name：safeExec.sh
#function：to execute the script for safe.
#usage: oracle用户登录，执行 sh safeExec.sh > /tmp/safeExec.log

#logon database
sqlplus -S / as sysdba <<EOF

--format
prompt ============================
prompt == format
prompt ============================
set linesize 140 pagesize 50
col username for a30
col profile for a30
col resource_name for a30
col limit for a30

--execute
prompt ============================
prompt == 1.sysdba用户远程登录限制
prompt ============================
alter system set remote_login_passwordfile=none scope=spfile;

prompt ======================
prompt == 2.resource_limit
prompt ======================
alter system set resource_limit=true;

prompt ===========================
prompt == 3.登录失败的帐号锁定策略
prompt ===========================
alter profile default limit FAILED_LOGIN_ATTEMPTS 10;

prompt ===========================
prompt == 4.数据库用户帐号检查
prompt ===========================
--select username,profile from dba_users where account_status='OPEN';
prompt I think I have nothing to do in this step.

prompt ===========================
prompt == 5.范例数据库帐号
prompt ===========================
prompt 是否删除范例scott用户?
--drop user scott cascade;

prompt ===========================
prompt == 6.dba权限账户检查
prompt ===========================
prompt I think I have nothing to do in this step.

prompt ===========================
prompt == 7.数据库账户口令加密存储
prompt ===========================
prompt 11g版本，数据库层面就是加密的嘛~

prompt =============================
prompt == 8.数据库密码安全性校验函数
prompt =============================
prompt 执行创建安全性校验函数的脚本
@?/rdbms/admin/utlpwdmg.sql

--logoff database
EOF

# check the files
echo ===================
echo == 9.设定信任IP集
echo ===================
more $ORACLE_HOME/network/admin/sqlnet.ora
#添加如下
#tcp.validnode_checking = yes
#tcp.invited_nodes = (ip1,ip2…)

echo ===================================
echo == 10.超时的空闲远程连接是否自动断开
echo ===================================
#根据实际需要设置合适的数值。
more $ORACLE_HOME/network/admin/sqlnet.ora
#添加如下一行
#SQLNET.EXPIRE_TIME=10
针对第9和第10步骤中的sqlnet.ora配置文件示例：

注意如果是ASM实例，sqlnet.ora配置文件是grid用户下$ORACLE_HOME/network/admin/sqlnet.ora的。

SQLNET.EXPIRE_TIME=10
tcp.validnode_checking = yes
tcp.invited_nodes = (192.168.99.*)