/Oracle安全改善方案主機(jī)安全：賬號(hào)安全管理網(wǎng)絡(luò)的訪問(wèn)控制管理OS的備份和恢復(fù)數(shù)據(jù)庫(kù)安全：用戶管理用戶是通過(guò)賬號(hào)連接到數(shù)據(jù)庫(kù)中的，關(guān)于賬號(hào)的管理是數(shù)據(jù)庫(kù)安全的最重要的一部分。其主要包括密碼安全設(shè)置，以及權(quán)限設(shè)置。鎖定非使用賬號(hào)對(duì)于非使用的賬號(hào)，要及時(shí)鎖定，禁止任何人使用其來(lái)登錄到系統(tǒng)中。更改系統(tǒng)賬號(hào)默認(rèn)密碼系統(tǒng)賬號(hào)的默認(rèn)密碼要及時(shí)更改掉。像SYS賬號(hào)最好改掉并把它遺忘掉。禁止給非系統(tǒng)用戶授予SYSDBA權(quán)限SYSDBA權(quán)限是Oracle數(shù)據(jù)庫(kù)的最高權(quán)限，可以對(duì)數(shù)據(jù)庫(kù)做任何的操作。包括建庫(kù)，刪除數(shù)據(jù)庫(kù)，以及備份恢復(fù)數(shù)據(jù)庫(kù)。系統(tǒng)中應(yīng)該只用SYS擁有這個(gè)權(quán)限。禁止SYSDBA非本機(jī)連入對(duì)于擁有SYSDBA的權(quán)限的賬號(hào)，禁止通過(guò)非數(shù)據(jù)庫(kù)主機(jī)登錄。最小權(quán)限在新建賬號(hào)時(shí)，要滿足最小權(quán)限規(guī)則，用戶要求什么權(quán)限給什么權(quán)限，不該擁有的權(quán)限一定要控制好。系統(tǒng)權(quán)限盡量不使用角色授權(quán)。對(duì)象權(quán)限可以使用角色授權(quán)。表空間使用及quota設(shè)置為有存儲(chǔ)對(duì)象的賬號(hào)指定默認(rèn)的表空間，和臨時(shí)表空間，同時(shí)給表空間指定quota設(shè)置。但是禁止指定賬號(hào)的默認(rèn)表空間為系統(tǒng)表空間。概要文件管理概要文件控制著密碼策略和對(duì)系統(tǒng)資源的使用，根據(jù)不同賬號(hào)的使用和訪問(wèn)數(shù)據(jù)庫(kù)重要性來(lái)管理不同的概要文件。概要文件不易過(guò)多。對(duì)系統(tǒng)資源的設(shè)置要大于最大使用值。失敗登陸鎖定通過(guò)概要文件設(shè)置登錄失敗次數(shù)，例如用戶連續(xù)嘗試登陸3次失敗，則該賬戶被鎖定。密碼復(fù)雜度設(shè)置密碼必須符合一定的復(fù)雜度，如長(zhǎng)度必須超過(guò)6個(gè)字符，且要包括數(shù)字、小寫字母、大寫字母和特殊符號(hào)4類中至少2類。具體設(shè)置可參看數(shù)據(jù)庫(kù)自帶的verify_function函數(shù)。密碼的生命周期控制對(duì)于采用靜態(tài)口令認(rèn)證技術(shù)的數(shù)據(jù)庫(kù)，賬戶口令的生存期不長(zhǎng)于30天。30天不改，下次登錄提示更改，如果還不更改，5天后鎖定賬號(hào)。密碼的重復(fù)設(shè)置用戶不能重復(fù)使用最近10次內(nèi)已使用的口令XX權(quán)限和角色管理權(quán)限是賬號(hào)擁有的可執(zhí)行操作的授權(quán)。只有有了相應(yīng)的權(quán)限授權(quán)才能執(zhí)行相應(yīng)的操作。權(quán)限分為系統(tǒng)權(quán)限和對(duì)象權(quán)限。系統(tǒng)權(quán)限是對(duì)數(shù)據(jù)庫(kù)對(duì)象的操作。對(duì)象權(quán)限是對(duì)數(shù)據(jù)庫(kù)中對(duì)象的數(shù)據(jù)訪問(wèn)和操作的權(quán)限。高權(quán)限賬號(hào)管理高權(quán)即是能對(duì)數(shù)據(jù)庫(kù)系統(tǒng)級(jí)做變更的權(quán)限。高權(quán)只能分配給DBA，其他人員一般來(lái)說(shuō)不該擁有這些權(quán)限。防止其他人員的誤操作導(dǎo)致系統(tǒng)故障。系統(tǒng)權(quán)限對(duì)于開發(fā)運(yùn)維人員，有時(shí)候要使用某些系統(tǒng)權(quán)限，比如創(chuàng)建對(duì)象，更改對(duì)象等?？梢愿鶕?jù)不同的工作崗位和職責(zé)來(lái)分配系統(tǒng)權(quán)限。對(duì)象權(quán)限對(duì)象權(quán)限管理著數(shù)據(jù)的安全，通過(guò)對(duì)象權(quán)限可以訪問(wèn)非本賬號(hào)擁有的對(duì)象。角色管理可以將一組權(quán)限定義為一個(gè)角色，這樣就方便管理不同賬號(hào)的相同權(quán)限組。系統(tǒng)權(quán)限不建議通過(guò)角色管理，對(duì)象權(quán)限可以使用角色管理審計(jì)數(shù)據(jù)安全數(shù)據(jù)訪問(wèn)控制網(wǎng)絡(luò)訪問(wèn)控制更改默認(rèn)端口監(jiān)聽口令設(shè)置數(shù)據(jù)庫(kù)的備份還原規(guī)章制度禁止公用賬號(hào)應(yīng)用