Oracle數(shù)據(jù)庫安全及安全策略研究

何子龍

（深圳供電局有限公司，深圳 518000）

Oracle數(shù)據(jù)庫安全及安全策略研究

何子龍

（深圳供電局有限公司，深圳 518000）

Oracle數(shù)據(jù)庫是市場(chǎng)占有率第一的數(shù)據(jù)庫，其安全問題關(guān)系到大部分公司業(yè)務(wù)數(shù)據(jù)的安全性、私密性、完整性。從權(quán)限管理、用戶管理、審計(jì)控制、密碼安全四方面研究Oracle數(shù)據(jù)庫的安全問題，并針對(duì)安全問題進(jìn)行安全策略優(yōu)化。經(jīng)過該安全策略加固方法的實(shí)施，可以解決大部分Oracle數(shù)據(jù)庫安全問題，達(dá)到保障數(shù)據(jù)安全的目的。

Oracle；安全策略；數(shù)據(jù)庫安全

0 引言

在大數(shù)據(jù)爆發(fā)式發(fā)展的安全事件愈發(fā)頻繁發(fā)生的背景下，數(shù)據(jù)安全問題愈發(fā)重要。數(shù)據(jù)安全涉及到企業(yè)的重要經(jīng)濟(jì)應(yīng)用，本文提出的方法能夠抵抗大量數(shù)據(jù)庫攻擊，如SQL注入攻擊等，有效保障Oracle數(shù)據(jù)庫數(shù)據(jù)安全。

1 權(quán)限安全控制

在權(quán)限管理上，使用最小權(quán)限原則，需要回收所有應(yīng)用賬戶的DBA權(quán)限，除了系統(tǒng)管理用戶sys和system有DBA權(quán)限，其他用戶都不會(huì)有DBA權(quán)限。

使用如圖1的語句可以查找出當(dāng)前系統(tǒng)里除了sys/system用戶外，還有哪些用戶擁有DBA權(quán)限。如果發(fā)現(xiàn)有DBA權(quán)限的應(yīng)用賬戶，需要回收，只授權(quán)滿足應(yīng)用需要的權(quán)限。

2 用戶安全管理

DBSNMP用戶是用于EM管理的用戶，數(shù)據(jù)庫大部分都沒有安裝EM，所以需要我們把DBSNMP用戶手工鎖住。

scott用戶是數(shù)據(jù)庫演示用戶，對(duì)于Oracle數(shù)據(jù)庫，如果有scott用戶存在，我們也需要把它鎖住。

鎖用戶的語法：

alter user dbsnmp account lock;

alter user scott account lock;

3 行為審計(jì)控制

審計(jì)可以分為3類。或者說，可以從3種角度去啟用審計(jì)。

3.1 語句審計(jì)(Statement Auditing)

對(duì)預(yù)先指定的某些SQL語句進(jìn)行審計(jì)。這里從SQL語句的角度出發(fā)，進(jìn)行指定。審計(jì)只關(guān)心執(zhí)行的語句。

例如，audit CREATE TABLE;命令，就表明對(duì)"create table"語句的執(zhí)行進(jìn)行記錄，不管這語句是否是針對(duì)某個(gè)對(duì)象的操作。

3.2 權(quán)限審計(jì)(Privilege Auditing)

對(duì)涉及某些權(quán)限的操作進(jìn)行審計(jì)。這里強(qiáng)調(diào)“涉及權(quán)限”

圖1

例如，audit CREATE TABLE;命令，又可以表明對(duì)涉及“CREATE TABLE”權(quán)限的操作進(jìn)行審計(jì)。所以說，在這種命令的情況下，既產(chǎn)生一個(gè)語句審計(jì)，又產(chǎn)生了一個(gè)權(quán)限審計(jì)。這時(shí)“語句審計(jì)”和“權(quán)限審計(jì)”相互重復(fù)的。

3.3 對(duì)象審計(jì)(Object Auditing)

記錄作用在指定對(duì)象上的操作。

3.4 如何啟用審計(jì)

通過數(shù)據(jù)庫初始化參數(shù)文件中的AUDIT_TRAIL初始化參數(shù)啟用和禁用數(shù)據(jù)庫審計(jì)。

DB：?jiǎn)⒂脭?shù)據(jù)庫審計(jì)并引導(dǎo)所有審計(jì)記錄到數(shù)據(jù)庫的審計(jì)跟蹤

OS：?jiǎn)⒂脭?shù)據(jù)庫審計(jì)并引導(dǎo)所有審計(jì)記錄到操作系統(tǒng)的審計(jì)跟蹤。可以用AUDIT_FILE_DEST初始化參數(shù)來指定審計(jì)文件存儲(chǔ)的目錄。

NONE：禁用審計(jì)，為默認(rèn)值。

目前Oracle數(shù)據(jù)庫使用的啟用方式是OS，將審計(jì)記錄到操作系統(tǒng)的目錄下，以減少對(duì)數(shù)據(jù)庫資源占用。

應(yīng)用于Oracle數(shù)據(jù)庫的審計(jì)策略代碼如下：

解讀：

audit_sys_operations=true sys 用戶在數(shù)據(jù)庫的所有記錄將會(huì)記錄下來。

audit_trail=os 審計(jì)記錄的結(jié)果存放到操作系統(tǒng)的目錄下。

resource_limit=true 控制用戶對(duì)于數(shù)據(jù)庫資源的使用。

remote_login_passwordfile=none 禁止sys用戶使用網(wǎng)絡(luò)方式登錄，只能在服務(wù)器本地驗(yàn)證登錄。

圖2為sys用戶登錄系統(tǒng)后，查詢當(dāng)前數(shù)據(jù)庫的所有用戶的結(jié)果。

在存放審計(jì)記錄的目錄中找到審計(jì)文件，可以看到這條記錄被記錄下來了（如圖3）。

圖4演示了sys用戶和其他用戶使用網(wǎng)絡(luò)方式登錄數(shù)據(jù)庫服務(wù)器。

結(jié)果顯示sys用戶不能使用網(wǎng)絡(luò)遠(yuǎn)程登錄服務(wù)器，其他用戶可以。sys用戶只能通過本地驗(yàn)證的方式登錄到數(shù)據(jù)庫服務(wù)器。

4 密碼安全控制

目前Oracle數(shù)據(jù)庫實(shí)施密碼安全加固的策略，策略的參數(shù)包括有：密碼長(zhǎng)度、復(fù)雜度檢測(cè)、最大最小使用時(shí)間、過期警報(bào)時(shí)間、最大登錄失敗次數(shù)以及鎖定時(shí)間的設(shè)置[1]。

圖2

圖3

圖4

Oracle數(shù)據(jù)庫的密碼安全策略代碼如下：

執(zhí)行密碼安全策略的代碼后，查詢結(jié)果如圖5。

圖5

Oracle默認(rèn)提供了一個(gè)密碼策略的SQL執(zhí)行文件utlpwdmg.sql。Linux/UNIX默認(rèn)路徑是$Oracle_HOME/ rdbms/admin/utlpwdmg.sql[2]。Windows路徑位置可以通過搜索來獲得。

（1）文件utlpwdmg.sql的密碼策略設(shè)置了密碼長(zhǎng)度的檢查，如果密碼長(zhǎng)度小于8，密碼設(shè)置將會(huì)不成功（如圖6）。

圖6

測(cè)試：新密碼設(shè)置為321*dba失敗，要求必須是8位以上（如圖7）。

圖7

提示密碼的長(zhǎng)度小于8位數(shù)，用戶pos的密碼修改不成功。

（2）文件utlpwdmg.sql的密碼策略設(shè)置了密碼和用戶名是否同名的檢查。如果密碼和用戶一樣，密碼設(shè)置將會(huì)不成功（如圖8）。

圖8

測(cè)試：用戶名和密碼相同，密碼不論是小寫還是大寫，修改都不會(huì)成功。顯示密碼復(fù)雜度檢測(cè)功能開啟（如圖9）。

圖9

（3）文件utlpwdmg.sql的密碼策略設(shè)置了密碼是否太簡(jiǎn)單。如果是用('welcome1'、'database1'、'account1'、'user1234、'password1'、'Oracle123'、'computer1'、'abcdefg1',、'change_on_install'、'Oracle')這些簡(jiǎn)單字符做為用戶的密碼，密碼設(shè)置將會(huì)不成功（如圖10）。

圖10

測(cè)試如圖11。

圖11

（4）文件utlpwdmg.sql的密碼策略設(shè)置了密碼必須包含字母和數(shù)字。如果密碼沒有密碼和數(shù)字，密碼設(shè)置將會(huì)不成功（如圖12）。

測(cè)試：新密碼設(shè)置為posofOracle失敗，要求必須至少一個(gè)數(shù)字、一個(gè)字母，說明密碼復(fù)雜度檢測(cè)已經(jīng)開啟（如圖13）。

（5）通過配置文件還可以發(fā)現(xiàn)目前密碼策略中密碼存活時(shí)間為60天，密碼警告時(shí)間為3天，登錄失敗次數(shù)為3次，鎖定時(shí)間為1天，密碼重用需要修改了5次或使用了365天。

圖12

圖13

測(cè)試：當(dāng)密碼登錄失敗3次后，如果密碼再次輸入錯(cuò)誤，賬號(hào)將會(huì)被鎖。

圖14

綜上所知：utlpwdmg.sql腳本文件生效，其它的密碼策略也已經(jīng)生效。

5 結(jié)語

由上所述，本文從權(quán)限安全、用戶安全、審計(jì)、密碼安全四方面著手闡述數(shù)據(jù)庫安全問題及其安全策略解決方法。經(jīng)過本文安全策略加固方法的實(shí)施，可以解決大部分Oracle數(shù)據(jù)庫安全問題，達(dá)到保障數(shù)據(jù)安全的目的。

[1] 劉志敏.Oracle數(shù)據(jù)庫應(yīng)用管理解決方案[M].北京：電子工業(yè)出版社,2002

[2] 滕永昌.Oracle 10g數(shù)據(jù)庫系統(tǒng)原理[M].北京：機(jī)械工業(yè)出版社,2006

Research on the Oracle Database Security and Security Strategy

HE Zi-long
（Shenzhen Power Supply Bureau Limited Company，Shenzhen 518000）

Oracle database has the largest market share of the database market.Its security issues related to the security of the majority of the company's business data,privacy,integrity.Researches on the security problem of Oracle database from four areas：security issue rights management,user management,audit controls and password security.Also researches on security issues for security policy optimization.After implementation of this security policy reinforcement method can solve most of the Oracle database security issues to ensure data security.

Oracle;Security Policy;Database Security

1007-1423（2015）01-0022-05

10.3969/j.issn.1007-1423.2015.01.006

何子龍（1984-），男，廣東深圳人，碩士，中級(jí)工程師，從事領(lǐng)域?yàn)榫W(wǎng)絡(luò)技術(shù)、信息安全技術(shù)和管理工作

2014-08-28

2014-12-15