Debian Oracle安全防护策略有哪些

Debian 上 Oracle 数据库的安全防护策略

一 系统与账户安全基线

• 保持系统与软件包为最新：定期执行 apt update && apt upgrade，及时修补漏洞。
• 强化口令策略：安装 libpam-pwquality，在 /etc/security/pwquality.conf 设置如 minlen=12、minclass=3，并在 PAM 中应用，强制复杂度与长度。
• 最小权限与专用账户：仅创建必要的 oracle 用户与组（如 oinstall、dba），禁止共享账号与 root 直连数据库。
• 关闭不必要服务与端口：减少攻击面，仅保留数据库、SSH 等必需服务。

二 资源限制与内核参数

• 资源限制（/etc/security/limits.d/30-oracle.conf）：为 oracle 设置文件描述符、进程数、栈与锁定内存等上限，示例：
  • soft/hard nofile 1024/65536
  • soft/hard nproc 16384/16384
  • soft/hard stack 10240/32768
  • soft/hard memlock 134217728/134217728
• 内核参数（/etc/sysctl.d/98-oracle.conf）：优化网络、文件与共享内存，示例：
  • fs.file-max 6815744
  • kernel.sem 250 32000 100 128
  • kernel.shmmni 4096
  • kernel.shmall 1073741824
  • kernel.shmmax 4398046511104
  • net.core.rmem_default 262144；net.core.rmem_max 4194304
  • net.core.wmem_default 262144；net.core.wmem_max 1048576
  • fs.aio-max-nr 1048576
  • net.ipv4.ip_local_port_range 9000 65500
  • net.ipv4.conf.all.rp_filter 2；net.ipv4.conf.default.rp_filter 2
• 使配置生效：执行 sysctl --system。

三 网络与监听安全

• 防火墙最小化放行：仅开放 SSH(22/TCP) 与 Oracle Listener(1521/TCP)，优先使用 ufw 或 iptables 的白名单策略；示例：ufw 仅允许可信网段访问 1521/TCP。
• 监听器加固（lsnrctl）：
  • 在 listener.ora 中仅监听必要接口与端口，避免暴露在不可信网络。
  • 设置监听器密码：lsnrctl setpassword，并限制可启停监听器的账户（仅 oracle 或 sudo 授权用户）。
  • 启用并定期检查监听器日志，监控异常连接与停止/启动行为。

四 数据库与补丁管理

• 账户与权限治理：
  • 禁用或限制 SYS/SYSTEM 远程登录，采用最小权限与角色分离；按需创建应用账户并回收 DBA 等高危角色。
  • 启用标准审计（如 AUDIT SESSION），对关键对象与敏感操作建立细粒度审计策略。
• 补丁与更新：
  • 操作系统侧持续 apt 更新；数据库侧按 Oracle 安全公告 及时应用补丁，保持 19c 等版本的最新 RU/PSU 或安全补丁级别。

五 监控审计与备份恢复

• 日志与入侵检测：集中收集与轮转系统日志（如 /var/log/），使用 Logwatch、Fail2ban 识别暴力登录与异常行为。
• 性能与可用性监控：部署 sysstat 等工具，监控 CPU、内存、I/O 与会话数，结合告警阈值进行容量与异常预警。
• 备份与恢复：制定包含全量/增量备份、归档日志与异地/离线副本的 3-2-1 策略，定期演练恢复流程并验证可用性。