Oracle 11g實現安全加固方法步驟

時間：2024-01-09 06:01:45 加城1195由分享

　　網絡安全是目前互聯網的熱門話題之一，作為個人用戶的我們同樣需要關注，做好防護。這篇文章主要給大家介紹了關于Oracle 11g實現安全加固的完整步驟，文中通過示例代碼將實現的步驟一步步介紹的非常詳細，對大家學習或者使用Oracle 11g具有一定的參考學習價值，需要的朋友們下面來一起學習學習吧

　　方法步驟

　　1.安全加固的檢查方向

　　1.1.sysdba用戶遠程登錄限制(查看Oracle登錄認證方式)

　　檢查：

　　show parameter remote_login_passwordfile

　　整改：

　　alter system set remote_login_passwordfile = NONE scope=spfile;

　　注：需要重啟庫生效。

　　1.2.是否開啟了資源限制

　　show parameter resource_limit

　　alter system set resource_limit = true;

　　1.3.登錄失敗的帳號鎖定策略

　　select * from dba_profiles order by 1;

　　關注FAILED_LOGIN_ATTEMPTS的設定值

　　1.4.數據庫用戶帳號檢查

　　檢查：

　　select username,profile from dba_users where account_status='OPEN';

　　整改：

　　鎖定用戶：alter user <用戶名> lock;

　　刪除用戶：drop user <用戶名> cascade;

　　1.5.范例數據庫帳號

　　是否存在默認的范例數據庫賬號scott等，可以考慮刪除scott賬號

　　1.6.dba權限賬戶檢查

　　select * from dba_role_privs where granted_role='DBA';

　　1.7.數據庫賬戶口令加密存儲

　　11g數據里面的賬戶口令本來就是加密存儲的。

　　1.8.數據庫密碼安全性校驗函數

　　select limit from dba_profiles where profile='DEFAULT' and resource_name='PASSWORD_VERIFY_FUNCTION';

　　1.9.設定信任IP集

　　只需在服務器上的文件$ORACLE_HOME/network/admin/sqlnet.ora中設置以下行：

　　tcp.validnode_checking = yes

　　tcp.invited_nodes = (ip1,ip2…)

　　1.10.超時的空閑遠程連接是否自動斷開

　　根據實際需要設置合適的數值。

　　在$ORACLE_HOME/network/admin/sqlnet.ora中設置下面參數：

　　SQLNET.EXPIRE_TIME=10

　　2.安全加固檢查safeCheck.sh

　　#!/bin/bash

　　#name：safeCheck.sh

　　#function：to create a safe check report.

　　#usage: oracle用戶登錄，執行 sh safeCheck.sh > /tmp/safeCheck.log

　　#logon database

　　sqlplus -S / as sysdba <

　　--format

　　prompt ============================

　　prompt == format

　　prompt ============================

　　prompt

　　set linesize 140 pagesize 50

　　col username for a30

　　col profile for a30

　　col resource_name for a30

　　col limit for a30

　　--check

　　prompt ============================

　　prompt == 1.sysdba用戶遠程登錄限制

　　prompt ============================

　　prompt

　　show parameter remote_login_passwordfile

　　prompt 結果應為none.

　　prompt ======================

　　prompt == 2.resource_limit

　　prompt ======================

　　prompt

　　show parameter resource_limit

　　prompt 結果應為true.

　　prompt ===========================

　　prompt == 3.登錄失敗的帳號鎖定策略

　　prompt ===========================

　　prompt

　　select * from dba_profiles order by 1;

　　prompt 關注FAILED_LOGIN_ATTEMPTS參數

　　prompt ===========================

　　prompt == 4.數據庫用戶帳號檢查

　　prompt ===========================

　　prompt

　　select username,profile from dba_users where account_status='OPEN';

　　prompt 正常使用的用戶列表

　　prompt ==========================

　　prompt == 5.范例數據庫帳號

　　prompt ==========================

　　prompt

　　select * from all_users order by created;

　　prompt 關注有無示例賬戶scott

　　prompt ===========================

　　prompt == 6.dba權限賬戶檢查

　　prompt ===========================

　　prompt

　　prompt ===========================

　　prompt == 7.數據庫賬戶口令加密存儲

　　prompt ===========================

　　prompt

　　prompt =============================

　　prompt == 8.數據庫密碼安全性校驗函數

　　prompt =============================

　　prompt

　　select limit from dba_profiles where profile='DEFAULT' and resource_name='PASSWORD_VERIFY_FUNCTION';

　　prompt 結果應該不為null

　　--logoff database

　　EOF

　　# check the files

　　echo ===================

　　echo == 9.設定信任IP集

　　echo ===================

　　echo

　　more $ORACLE_HOME/network/admin/sqlnet.ora

　　#添加如下

　　#tcp.validnode_checking = yes

　　#tcp.invited_nodes = (ip1,ip2…)

　　echo ===================================

　　echo == 10.超時的空閑遠程連接是否自動斷開

　　echo ===================================

　　echo

　　#根據實際需要設置合適的數值。

　　more $ORACLE_HOME/network/admin/sqlnet.ora

　　#添加如下一行

　　#SQLNET.EXPIRE_TIME=10

　　3.安全加固執行safeExec.sh

　　#!/bin/bash

　　#name：safeExec.sh

　　#function：to execute the script for safe.

　　#usage: oracle用戶登錄，執行 sh safeExec.sh > /tmp/safeExec.log

　　#logon database

　　sqlplus -S / as sysdba <

　　--format

　　prompt ============================

　　prompt == format

　　prompt ============================

　　set linesize 140 pagesize 50

　　col username for a30

　　col profile for a30

　　col resource_name for a30

　　col limit for a30

　　--execute

　　prompt ============================

　　prompt == 1.sysdba用戶遠程登錄限制

　　prompt ============================

　　alter system set remote_login_passwordfile=none scope=spfile;

　　prompt ======================

　　prompt == 2.resource_limit

　　prompt ======================

　　alter system set resource_limit=true;

　　prompt ===========================

　　prompt == 3.登錄失敗的帳號鎖定策略

　　prompt ===========================

　　alter profile default limit FAILED_LOGIN_ATTEMPTS 10;

　　prompt ===========================

　　prompt == 4.數據庫用戶帳號檢查

　　prompt ===========================

　　--select username,profile from dba_users where account_status='OPEN';

　　prompt I think I have nothing to do in this step.

　　prompt ===========================

　　prompt == 5.范例數據庫帳號

　　prompt ===========================

　　prompt 是否刪除范例scott用戶?

　　--drop user scott cascade;

　　prompt ===========================

　　prompt == 6.dba權限賬戶檢查

　　prompt ===========================

　　prompt I think I have nothing to do in this step.

　　prompt ===========================

　　prompt == 7.數據庫賬戶口令加密存儲

　　prompt ===========================

　　prompt 11g版本，數據庫層面就是加密的嘛~

　　prompt =============================

　　prompt == 8.數據庫密碼安全性校驗函數

　　prompt =============================

　　prompt 執行創建安全性校驗函數的腳本

　　@?/rdbms/admin/utlpwdmg.sql

　　--logoff database

　　EOF

　　# check the files

　　echo ===================

　　echo == 9.設定信任IP集

　　echo ===================

　　more $ORACLE_HOME/network/admin/sqlnet.ora

　　#添加如下

　　#tcp.validnode_checking = yes

　　#tcp.invited_nodes = (ip1,ip2…)

　　echo ===================================

　　echo == 10.超時的空閑遠程連接是否自動斷開

　　echo ===================================

　　#根據實際需要設置合適的數值。

　　more $ORACLE_HOME/network/admin/sqlnet.ora

　　#添加如下一行

　　#SQLNET.EXPIRE_TIME=10

　　針對第9和第10步驟中的sqlnet.ora配置文件示例：

　　注意：如果是ASM實例，sqlnet.ora配置文件是grid用戶下$ORACLE_HOME/network/admin/sqlnet.ora的。

　　SQLNET.EXPIRE_TIME=10

　　tcp.validnode_checking = yes

　　tcp.invited_nodes = (192.168.99.*)

　　相關閱讀：2018網絡安全事件：

　　一、英特爾處理器曝“Meltdown”和“Spectre漏洞”

　　2018年1月，英特爾處理器中曝“Meltdown”(熔斷)和“Spectre” (幽靈)兩大新型漏洞，包括AMD、ARM、英特爾系統和處理器在內，幾乎近20年發售的所有設備都受到影響，受影響的設備包括手機、電腦、服務器以及云計算產品。這些漏洞允許惡意程序從其它程序的內存空間中竊取信息，這意味著包括密碼、帳戶信息、加密密鑰乃至其它一切在理論上可存儲于內存中的信息均可能因此外泄。

　　二、GitHub 遭遇大規模 Memcached DDoS 攻擊

　　2018年2月，知名代碼托管網站 GitHub 遭遇史上大規模 Memcached DDoS 攻擊，流量峰值高達1.35 Tbps。然而，事情才過去五天，DDoS攻擊再次刷新紀錄，美國一家服務提供商遭遇DDoS 攻擊的峰值創新高，達到1.7 Tbps!攻擊者利用暴露在網上的 Memcached 服務器進行攻擊。網絡安全公司 Cloudflare 的研究人員發現，截止2018年2月底，中國有2.5萬 Memcached 服務器暴露在網上。

　　三、蘋果 iOS iBoot源碼泄露

　　2018年2月，開源代碼分享網站 GitHub(軟件項目托管平臺)上有人共享了 iPhone 操作系統的核心組件源碼，泄露的代碼屬于 iOS 安全系統的重要組成部分——iBoot。iBoot 相當于是 Windows 電腦的 BIOS 系統。此次 iBoot 源碼泄露可能讓數以億計的 iOS 設備面臨安全威脅。iOS 與 MacOS 系統開發者 Jonathan Levin 表示，這是 iOS 歷史上最嚴重的一次泄漏事件。

　　四、韓國平昌冬季奧運會遭遇黑客攻擊

　　2018年2月，韓國平昌冬季奧運會開幕式當天遭遇黑客攻擊，此次攻擊造成網絡中斷，廣播系統(觀眾不能正常觀看直播)和奧運會官網均無法正常運作，許多觀眾無法打印開幕式門票，最終未能正常入場。

　　五、加密貨幣采礦軟件攻擊致歐洲廢水處理設施癱瘓

　　2018年2月中旬，工業網絡安全企業 Radiflow 公司表示，發現四臺接入歐洲廢水處理設施運營技術網絡的服務器遭遇加密貨幣采礦惡意軟件的入侵。該惡意軟件直接拖垮了廢水處理設備中的 HMI 服務器 CPU，致歐洲廢水處理服務器癱瘓。

　　Radiflow 公司稱，此次事故是加密貨幣惡意軟件首次對關鍵基礎設施運營商的運營技術網絡展開攻擊。由于受感染的服務器為人機交互(簡稱HMI)設備，之所以導致廢水處理系統癱瘓，是因為這種惡意軟件會嚴重降低 HMI 的運行速度。

網絡安全相關文章：