Debian 上 Oracle 安全设置清单
以下清单覆盖操作系统层、监听层、传输层、数据库层与运维审计，兼顾可直接落地的配置与关键注意点，适用于在 Debian 上部署的 Oracle Database（以常见监听端口 1521 为例）。
一 系统与账户安全
- 创建专用账户与组，避免使用 root 运行 Oracle：例如创建 oinstall、dba 等组与 oracle 用户，软件与数据目录归属清晰，权限最小化。示例：groupadd oinstall、groupadd dba、useradd -g oinstall -G dba oracle；目录如 /u01/app/oracle 归属 oracle:oinstall 并设置合理权限。
- 强化系统登录安全：仅允许 SSH 密钥登录，禁用 root 远程登录；为运维账户配置最小 sudo 权限。
- 配置资源与内核参数：通过 /etc/security/limits.d/30-oracle.conf 设置 nofile/nproc/stack/memlock；通过 /etc/sysctl.d/98-oracle.conf 设置 shmmax/shmall/sem/aio 等内核参数并 sysctl --system 生效。
- 系统级密码策略：安装并配置 libpam-cracklib 或 libpam-pwquality，设置长度与复杂度；在 /etc/login.defs 中配置如 PASS_MAX_DAYS 90、PASS_WARN_AGE 7。
- 保持系统与安全补丁更新：定期执行 apt update/upgrade，及时修复漏洞。
二 监听器与网络访问控制
- 仅放通必要来源 IP 与端口：使用 UFW 或 iptables 限制对 1521/TCP 的访问，例如仅允许管理网段或应用服务器网段。示例：ufw allow from 192.168.1.0/24 to any port 1521；或按需使用 iptables 精确放行与默认丢弃策略。
- 监听器最小权限运行：确保 lsnrctl 与监听进程以 oracle 用户运行，禁止以 root 直接启动。
- 启用监听日志与跟踪：在 listener.ora 中提升日志级别与跟踪文件输出，便于审计与问题排查（如 LOG_LEVEL_LISTENER、TRACE_FILE_LISTENER）。
- 保护监听管理接口：设置强密码并定期更换；限制本地/受控主机对监听器的管理访问，避免未授权变更。
三 传输加密与 SQL*Plus 安全
- 启用传输层加密（SQL*Net）：在 sqlnet.ora 中配置服务器端加密与完整性校验为 REQUIRED，并指定强加密算法（如 AES256），确保客户端与服务器之间的网络数据保密性与完整性。示例参数：SQLNET.ENCRYPTION_SERVER=REQUIRED、SQLNET.ENCRYPTION_TYPES_SERVER=(AES256)、SQLNET.DATA_INTEGRITY_SERVER=REQUIRED。
- 客户端一致性：在客户端 sqlnet.ora 同步启用相应加密与完整性策略，避免降级协商。
- 证书与密钥管理：如启用 TLS/SSL，使用有效证书与密钥文件，配置相应协议与套件，确保证书链与权限安全。
四 数据库账户与权限治理
- 最小权限原则：按业务最小集授予 CREATE SESSION、SELECT/INSERT/UPDATE/DELETE 等权限，避免滥用 DBA 角色；通过角色与权限分离实现职责分离。
- 口令策略与轮换：在数据库侧启用密码复杂度与有效期策略（如通过 PROFILE 限制 REUSE、复杂度与过期），并与操作系统 PAM 策略保持一致，降低弱口令风险。
- 审计关键操作：启用数据库审计，覆盖登录与会话、敏感数据访问与结构变更等，例如：AUDIT SESSION BY ACCESS；AUDIT SELECT/INSERT/UPDATE/DELETE TABLE BY your_db_user; 定期检查 $ORACLE_HOME/rdbms/audit 与告警日志。
- 网络访问控制：结合 sqlnet.ora 的 TCP.VALIDNODE_CHECKING、TCP.EXCLUDED_NODES、TCP.INVITED_NODES 等参数，仅允许受信主机连接数据库（注意与防火墙策略的一致性）。
五 审计监控与备份恢复
- 集中监控与告警：对 listener.log、数据库 alert.log 与 trace 文件进行集中采集与告警；结合 sysstat 等工具监控系统资源与异常行为。
- 定期备份与验证：制定 RMAN 备份策略（全备/增量、归档保留、异地/离线副本），定期做恢复演练与校验，确保可用性与完整性。
- 持续更新与漏洞管理：跟踪 Debian 与 Oracle 的安全公告与补丁，建立变更评审与回退预案，降低暴露窗口。