保护ORACLE数据库的安全

保护ORACLE数据库的安全

SQL> desc dba_users
Name Type Nullable Default Comments
--------------------------- -------------- -------- ------- ---------------------------------------
USERNAME VARCHAR2(30) Name of the user
USER_ID NUMBER ID number of the user
PASSWORD VARCHAR2(30) Y Encrypted password
ACCOUNT_STATUS VARCHAR2(32)
LOCK_DATE DATE Y
EXPIRY_DATE DATE Y
DEFAULT_TABLESPACE VARCHAR2(30) Default tablespace for data
TEMPORARY_TABLESPACE VARCHAR2(30) Default tablespace for temporary tables
CREATED DATE User creation date
PROFILE VARCHAR2(30) User resource profile name
INITIAL_RSRC_CONSUMER_GROUP VARCHAR2(30) Y User's initial consumer group
EXTERNAL_NAME VARCHAR2(4000) Y User external name

SQL> select username ,account_status,from dba_users;

select username ,account_status,from dba_users

ORA-00936: 缺失表达式

SQL> select username ,account_status from dba_users;

USERNAME ACCOUNT_STATUS
------------------------------ --------------------------------
MGMT_VIEW OPEN
SYS OPEN
SYSTEM OPEN
DBSNMP OPEN
SYSMAN OPEN
PENG OPEN
OUTLN EXPIRED & LOCKED
MDSYS EXPIRED & LOCKED
ORDSYS EXPIRED & LOCKED
CTXSYS EXPIRED & LOCKED
ANONYMOUS EXPIRED & LOCKED
EXFSYS EXPIRED & LOCKED
DMSYS EXPIRED & LOCKED
WMSYS EXPIRED & LOCKED
XDB EXPIRED & LOCKED
ORDPLUGINS EXPIRED & LOCKED
SI_INFORMTN_SCHEMA EXPIRED & LOCKED
OLAPSYS EXPIRED & LOCKED
MDDATA EXPIRED & LOCKED
DIP EXPIRED & LOCKED

USERNAME ACCOUNT_STATUS
------------------------------ --------------------------------
SCOTT EXPIRED & LOCKED
TSMSYS EXPIRED & LOCKED

22 rows selected

SQL>conn xdb/peng@peng;
ERROR:
ORA-28000: the account is locked

警告: 您不再连接到 ORACLE。
SQL>alter user xdb account unlock;

dbsnmp,sysman账户提供给Enterprise manager的GRID CONTROL或DATABASE control使用，

revoke execute on utl_file from public;

UTL_FILE 这个程序包允许用户读写操作系统用户可访问的、运行ORACLE进程的任何文件和目录，这些文件与目录包括所有的数据库文件以及ORACLCE_home目录。
UTL_TCP
UTL_SMTP
UTl_HTTP

utl_file_dir实例参数
utl_file_dir实例参数默认为NULL。

实例参数:
remote_os_authent
os_authen_prefix

SQL> show parameter remo%

NAME TYPE VALUE
------------------------------------ ----------- -------------------
remote_archive_enable string true
remote_dependencies_mode string TIMESTAMP
remote_listener string
remote_login_passwordfile string EXCLUSIVE
remote_os_authent boolean FALSE
remote_os_roles boolean FALSE
SQL> show parameter os%

NAME TYPE VALUE
------------------------------------ ----------- -------------------
optimizer_index_cost_adj integer 100
os_authent_prefix string OPS$
os_roles boolean FALSE
remote_os_authent boolean FALSE
remote_os_roles boolean FALSE
timed_os_statistics integer 0
SQL> show paramter pass%
SP2-0158: 未知的 SHOW 选项 "paramter"
SP2-0158: 未知的 SHOW 选项 "pass%"
SQL> show parameter pass%

NAME TYPE VALUE
------------------------------------ ----------- -------------------
remote_login_passwordfile string EXCLUSIVE
SQL> show parameter pass

remote_os_authent 默认情况下为FALSE。这个参数控制麽个用户是否能够在不需要给出口令的情况下从远程计算机上连接数据库。

SQL> show parameter o7%

NAME TYPE VALUE
------------------------------------ ----------- ------------------
O7_DICTIONARY_ACCESSIBILITY boolean FALSE
O7_DICTIONARY_ACCESSIBILITY 控制使用ANY关键字段授予对象权限的效果。这个参数默认为FALSE，意味着ANY权限不被授权给与SYS拥有的对象，即用户PENG能够查看所有的用户数据，但是无法查看SYS拥有的对象。
使用如下所示的语法能够为用户授予查看数据库中所有表的权限;
sql>grant select any table to peng;

remote_login_passwordfile实例参数控制具有SYSDBA权限的用户是否能够通过网络连接实例。将remote_login_passwordfile实例参数设置为EXCLUSIVE或 或者SHARED；exclusive是需要口令，SHARED是共享一个口令的。
作为SYSDBA连接实例时候，最终仍然是作为用户SYS进行连接；作为SYSOPER连接实例时候，实际上是作为PUBLIC用户进行连接。

failed_login_attempts;
password_lock_time;
password_life_tiem;
password_grace_time;
password_reuse_tiem;
password_reuse_max;
password_verify_function;

审计：
1、数据库审计
2、基于值的审计
3、细粒度审计

1：数据库审计：能够跟踪特定权限的使用，特定命令的执行、对特定变表的访问以及登陆尝试；数据库审计可以跟踪对对象的访问、权限的使用以及登录，但是不能捕获实际执行的语句。
2：基于值的审计：使用了数据库触发器。再插入、更新或删除记录时，就会运行一个包括记录事件全部细节的PL/SQL代码块。某个表上执行一个DML操作，就会执行捕获这个DML操作完整细节的书库触发器。不过，数据触发器无法跟踪SELECT语句。
3：细粒度审计：允许根据所访问的记录（或刻记录的列）来跟踪对表的访问。与数据库审计或基于值的审计相比，细粒度审计更为精确，并且可以将生成的审计记录的范围限制到感兴趣的审计记录。细粒度审计同时具有使用使用触发器审计与数据库审计的功能，也就是说能够捕获实际执行的语句，并且适用于select语句和DML操作。

所有的计算机系统都应该通过”最小功能”原则进行管理。

[@more@]

来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/22934571/viewspace-1032556/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/22934571/viewspace-1032556/