Ubuntu Oracle安全性增强措施

Ubuntu环境下Oracle数据库安全性增强措施

一、操作系统级安全加固

1. 系统更新与补丁管理

定期更新Ubuntu系统和Oracle数据库软件包，修复已知安全漏洞。执行sudo apt update && sudo apt upgrade更新系统；安装unattended-upgrades包配置自动更新，确保及时获取安全补丁。

2. 用户与权限管理

• 禁用root账户远程登录，使用普通用户（如oracle）执行日常操作；
• 配置/etc/login.defs设置密码策略：限制密码最长使用天数（如90天）、设置密码失效前警告天数（如7天）；
• 创建专用Oracle用户组（如dba、oper），将oracle用户加入对应组，遵循最小权限原则。

3. 文件与目录权限控制

确保Oracle安装目录（如/u01/app/oracle/product/19.0.0/dbhome_1）和数据目录（如/u01/oradata）权限正确：

chown -R oracle:oinstall /u01/app/oracle
chmod -R 750 /u01/app/oracle/product/19.0.0/dbhome_1
chmod -R 750 /u01/oradata

限制对关键系统文件（如/etc/passwd、/etc/shadow）的访问权限。

4. 内核参数优化

修改/etc/sysctl.conf增强系统抗攻击能力，关键参数包括：

# 禁用TCP SACK（防范DoS攻击）
net.ipv4.tcp_sack = 0
# 限制本地端口范围
net.ipv4.ip_local_port_range = 1024 65000
# 控制进程最大打开文件数
fs.file-max = 65536

执行sysctl -p使配置生效。

二、Oracle数据库安全配置

1. 用户角色与口令管理

• 删除或禁用默认无效账户（如SCOTT）；
• 强制使用强密码：通过ALTER PROFILE设置密码复杂度（长度≥12位、包含大小写/数字/特殊字符）、有效期（90天）、锁定时间（1天）等：

ALTER PROFILE DEFAULT LIMIT 
PASSWORD_LENGTH 12 
PASSWORD_LIFE_TIME 90 
PASSWORD_LOCK_TIME 1 
PASSWORD_REUSE_MAX 5 
PASSWORD_STRENGTH MEDIUM;

• 限制SYS、SYSTEM等特权账户的使用，避免共享密码。

2. 网络访问控制

• 使用UFW限制对Oracle监听端口的访问（默认1521）：

sudo ufw allow from trusted_ip to any port 1521
sudo ufw enable

• 修改listener.ora，绑定特定IP地址（而非0.0.0.0），并设置TCP.VALIDNODE_CHECKING=YES，仅允许受信任主机连接。

3. 数据加密保护

• 传输加密：配置SSL/TLS加密客户端与服务器通信，修改sqlnet.ora启用SSL：

SQLNET.AUTHENTICATION_SERVICES = (TCPS)
SSL_CLIENT_AUTHENTICATION = TRUE
SSL_VERSION = 1.2

• 存储加密：使用Oracle透明数据加密（TDE）加密敏感表空间或列，防止数据泄露。

4. 审计与监控机制

• 启用Oracle审计功能，记录用户操作（如登录、DDL语句）：

ALTER SYSTEM SET audit_trail = DB, EXTENDED SCOPE = SPFILE;

• 定期检查DBA_AUDIT_TRAIL视图，分析异常行为；
• 使用监控工具（如Zabbix、Nagios）实时监控数据库性能指标（CPU、内存、连接数），及时预警异常。

三、附加安全措施

1. 关闭不必要服务

通过systemctl禁用不需要的Ubuntu服务（如cups打印服务、bluetooth蓝牙服务），减少攻击面：

sudo systemctl disable cups
sudo systemctl stop cups

2. 配置SELinux/AppArmor

启用Ubuntu的AppArmor限制Oracle进程权限，防止越权访问系统资源：

sudo aa-status  # 检查AppArmor状态

根据Oracle文档配置对应的profile。

3. 备份与恢复验证

定期执行逻辑备份（如expdp）和物理备份（如RMAN），测试备份数据的可恢复性，确保灾难发生时能快速恢复。

以上措施需根据Ubuntu和Oracle的具体版本调整，实施前建议参考官方文档并进行充分测试。安全性是持续过程，需定期审查和更新策略以应对新威胁。