分类：Oracle

Oracle账户密码HASH在不同机器中是一样的
Oracle安装单个补丁的命令是opatch

1.数据库主机管理员账号

控制默认主机管理员账号，禁止使用orale作为数据库主机管理员账号
查看启动进程用户是否为oracle:

$ps -ef |grep ora_

删除或多顶与数据库运行/维护等工作无关的账号

Sql>select username from dba_users where account)status='OPEN'

2.删除无用账号

加固方法：锁定无用账号

SQL>alter user 用户名 account lock;

解锁

SQL>alter user 用户名 account unlock;

备注：可通过查询密码串列出使用默认密码的账户

3.默认账号修改口令

修改默认账户和密码
Oracle 10g

SQL>select username,password,account_status,profile from dba_users;

Oracle 11g 以上检查默认密码：

SQL>SELECT * FROM DBA_USERS_WITH_DEFPWD;

加固方法
修改密码：SQL>alter user 用户名 idetify by ‘密码’

4.限制数据库SYSDBA账号

限制具备数据库超级管理员（SYSDBA）权限的用户远程登陆及自动登陆
检测方法
检查remote_login)passwordfile 的值是否为NONE

SQL>show parameter REMOTE_LOGIN_PASSWORDFILE

加固方法

SQL> Alter system set remote_login_passwordfile=NONE scope=spfile

5.口令策略

对于采用静态口令认证技术的数据库，需对口令策略进行安全设置。
检测方法：查看各项值是否符合：
密码复杂度校验：PASSWORD_VERIFY_FUNCTION function_namme
密码到期宽限天数：PASSWORD_GRACE_TIME 5
密码使用周期天数：PAASSWORD_LIFE_TIME 180
重用密码最大数量：PASSWORD_REUSE_MAX 5

SQL>select resource_name,limit from dba_profile where profile='DEFAULT' and resource_type ='PASSWORD';

加固方法：
需要执行$ORACLE_HOME/rdbms/admin/utlpwdmg.sql建立密码校验函数
$sqlplus “/ as sysdba” @$ORACLE_HOME/rdbms/admin/utlpwdmg.sql
然后修改缺省profile:

#SQL>alter profile DEFAULT limit PASSWORD_LIFE_TIME 180 PASSWORD

………………..

6.账号锁定策略

尝试次数5次
锁定账户天数：PASSWORD_LOCK_TIME .0069
连续失败次数：FAILED_LOGIN_ATTEMPTS 5

SQL>select resource_name,limit from dba_profiles where profile='DEFAULT' and resource_tpe='PASSWORD';

加固方法
修改缺省profile:

SQL>alter profile default limit FAILED_LOGIN_ATTEMPTS 5 PASSWORD_LOCK_TIME 10/1440;

锁定账户的时间单位为天，所以计算10分钟为0.00694

7.public权限

清理public各种默认权限，攻击者可能利用程序包的public 角色执行权限获得非法访问，威胁系统安全/
检测方法

UTL_FILE,UTL_TCP,UTL_HTTP,UTL_SMTP,DBMS_LOB,DBMS_SYS_SQL
SQL>select table_name from dba_tab_privs where grantee='PUBLIC' and privilege='EXECUTE' and table_name in ('
UTL_FILE','UTL_TCP,UTL_HTTP,UTL_SMTP,DBMS_LOB,DBMS_SYS_SQL',dbms_job','dbms_scheduler'

8.数据库角色管理

使用数据库角色来管理对象的权限
加固方法：
使用create role 命令创建角色并赋予系统/对象或Role的权限到此角色

SQL>create role Role_ZXQ;
Grant create table to Role_ZXQ;
Grant EXP_FULL_DATABASE table to Role_ZXQ;

再将此角色赋予对象“

grant Roles_ZXQ to app_user;

回退方法：
删除创建角色:

SQL>drop role …

9.启用日志审计

数据库应配置日志功能，记录对于数据库相关的安全事件
SQL>show parameter audit
检查AUDIT_TRAIL取值是否启用，是否设置蛇和级别，在syslog里是否记录对应的事件

加固方法：设置AUDIT_TRAIL-OS ，记录到系统日志中/

SQL>alter system set audit_trail='OS' scope =spfile

回退方法：

SQL>alter system set audit_trail='NONE' scope =spfile

10.日志记录及保存

打开sys日志开关：

SQL>alter system set audit+sys_operations=true scope=spfile

设置审核级别：

SQL>alter system set audit_syslog_level='user.notice' scope=spfile

打开系统日志：

#echo user.notice /var/log/ora_dba.log>>/etc/syslog.conf

关闭系统日志

SQL>alter system set audit+sys_operations=false scope=spfile

取消审核级别

SQL>alter system set audit_syslog_level=''scope=spfile

关闭系统日志

#vi /etc/syslog.conf

11.日志文件保护

设置日志访问权限
加固方法

$chmod o-rw filename
$chmod u-s filename

12.开启监听器日志

开启监听器日志功能是为了捕获监听器命令和防止密码被暴力破解
检测方法
查看$ORACLE_HOME/network/admin/listener.ora中是否设置日志舰艇，
例如

LOGGING_LISTERNER=ON
LOG_FILE_LISTER=1.log
LOG_DIRECTORY_LISTER=/ora/prod/100.1.0/Db1/network/admin

也可执行下列命令差：

$lsnrctl show log_status
$lsnrctl show log_file

加固方法:
切换到管理员执行

$ORACLE_HOKE/bin/lsnrctl
LSNRCTL>set log_dirctory >oracle_home路径>network/admin
LSNRCTL>set log_file <sid名称>.log
LSNRCTL>set log_status on
LSNRCTL>save config

13.数据字典保护

启用数据字典保护，只有SYSDBA用户才能访问数据查字典基础表
检测方法：检查参数O7_DICTIONARY_ACCESSIBILITY是否设置为FALSE

SQL>show paramter O7_DICTIONARY_ACCESSIBILITY

14.监听器口令

为数据库监听器的关闭和启动设置密码
检测方法：
检查$ORACLE_HOME/network/admin/lister/ora文件中是否设置参数

PASSWORDS_LISTSENER
$cat $ORACLE HOME/network/admin/listener.ora

加固方法“
设置密码

$lsnrctl
LSNRCTL>change_password
Old password:
New password:密码
Reenter new password:密码
LSNRCTL>save_config

回退方法
设置为空的方法

$lsnrctl
LSNRCTL>change_passord
Old password:原密码
New password:空
Reenter new password:空
LSNRCTL>save_config

15.监听服务连接超时

设置监听器连接超时，连接后未进行请求则断开连接
检查方法：检查$ORACLE_HOME/network/admin/listener.ora文件中是否设置参数INBOUND_CONNECT_TIMEOUT_listener_name
加固方法：
编辑$ORACLE_HOME/network/adin/listenet/ora.在listener.ora文件中手动加入下面这样一行

INBOUND_CONNECT_TIMEOUT_listener_name=3

回退方法：删除这样一行INBOUND_CONNECT_TIMEOUT_listener_name=3

16.监听器管理限制

17.禁止远程操作系统认证

设置登录认证方式禁止远程操作系统认证。攻击者可能利用数据库对远程操作系统的信任关系威胁系统安全
检测方法：SQL?show parameter REMOTE_OS_AUTHENT
加固方法：设置禁止远程操作系统认证

SQL>alter system set REMOTE_OS_AUTHENT=FALSE scope=file

18.网络连接限制

设置网络连接限制，只允许安全的IP地址链接数据库进行操作。
检测方法：检查$ORACLE_HOME/network/admin/sqlnet/ora文件中是否设置参数tcp.validnode_checking和tcp.invited_nodes
加固方法：修改$ORACLE_HOME/network/admin/sqlnet/ora文件

tcp.validnode_checking=YES
tcp.invited_nodes=(192.168.0.1,10.180.*,10.111.0.0/16)

关闭方法

tcp.validnode_checking=YES