Ubuntu 上 Oracle 数据库的安全设置清单
一 系统层加固
- 限制具备 DBA 组 权限的操作系统账户数量，仅保留必要的 oracle 安装用户，避免多人共享高权限 OS 账户。
- 保护安装目录权限：确保 $ORACLE_HOME/bin 仅由 oracle:dba 拥有，权限最小化，防止非授权执行。
- 仅开放必要端口（默认 1521/TCP），变更为非常用端口并同步更新应用与防火墙策略；必要时将监听绑定到内网地址。
- 通过 UFW/iptables 实施“最小可达”原则，仅允许应用服务器、管理网段访问数据库端口。
- 禁用不必要的系统服务与端口，及时打补丁，减少攻击面。
二 监听与网络传输安全
- 为 LISTENER 设置管理口令并保存配置，防止未授权本地/远程管理：
- 执行：
lsnrctl → set current_listener LISTENER → change_password → save_config。
- 启用主机访问控制：在 $ORACLE_HOME/network/admin/sqlnet.ora 中配置
tcp.validnode_checking = yestcp.invited_nodes = (127.0.0.1, 应用IP1, 管理IP…)
- 开启空闲连接检测，自动断开长时间空闲会话（如 15 分钟）：
- 在 sqlnet.ora 中设置
SQLNET.EXPIRE_TIME=15。
- 启用传输加密（Oracle Advanced Security）：在客户端/服务端配置
sqlnet.encryption，选择如 AES128/3DES168 等强加密套件，禁用 DES/RC4_40/DES40 等弱算法。
- 关闭远程操作系统认证，避免以 OS 账户直通数据库：设置初始化参数 REMOTE_OS_AUTHENT=FALSE。
三 数据库账户与权限管理
- 执行最小权限原则：仅授予完成工作所需的最小 系统权限/对象权限/角色；避免将 CREATE ANY TABLE、CREATE DATABASE LINK 等高危权限授予普通用户；优先使用自定义角色承载权限。
- 保护 SYS 等高权账户：限制可发起 SYS-privileged 连接的用户数量；必要时通过 Oracle Database Vault 进一步约束。
- 清理默认与样例账户：修改 SYS/SYSTEM 等默认账户口令，锁定或删除不再使用的样例/内置账户（如 SCOTT 等）。
- 使用 Secure Application Role 控制角色启用时机（例如仅允许来自特定 IP 的会话启用关键角色），将权限启用与应用上下文绑定。
四 口令策略与账户锁定
- 通过 Profile 管理口令策略：数据库默认策略为口令 180 天 后过期、7 天 宽限期、10 次 失败登录后锁定 1 天。可按需收紧，例如：
- 将有效期缩短至 70–90 天；
- 将失败锁定阈值降至 3–5 次；
- 启用口令复杂度校验函数（如
PASSWORD_VERIFY_FUNCTION），要求包含数字、大小写字母与特殊字符。
- 使密码策略生效需启用参数：
ALTER SYSTEM SET RESOURCE_LIMIT=TRUE;，再在目标 PROFILE 上设置各项限制。
- 查询与调整示例：
- 查看：
SELECT * FROM DBA_PROFILES WHERE PROFILE='DEFAULT' AND RESOURCE_TYPE='PASSWORD';
- 调整：
ALTER PROFILE DEFAULT LIMIT PASSWORD_LIFE_TIME 70 FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 1/144 PASSWORD_VERIFY_FUNCTION <your_function>;
- 解锁：
ALTER USER <username> ACCOUNT UNLOCK;
五 审计与监控
- 启用数据库审计，记录关键操作（登录/登出、权限变更、DDL 等）：
- 动态设置：
ALTER SYSTEM SET AUDIT_TRAIL='DB,EXTENDED' SCOPE=SPFILE;（或 'OS' 结合 OS 审计），重启实例生效。
- 配置异常网络包处置：在初始化参数中设置
SEC_PROTOCOL_ERROR_TRACE_ACTION=TRACE（记录详细信息）SEC_PROTOCOL_ERROR_FURTHER_ACTION=DROP,3（丢弃恶意包并延迟后续连接），降低协议攻击风险。
- 定期审阅审计日志与告警，结合应用与网络层日志进行关联分析。