《硅谷》杂志：企业Oracle数据库保护的研究 |
| 2013-01-08 11:35 作者：李 超 来源：硅谷网-《硅谷》杂志 HV： 编辑： 【搜索试试】
|
|
据《硅谷》杂志2012年第21期刊文称，数据库技术是企业信息化建设的核心和基础，企业建设信息系统，最终是将企业中的信息已数据的形式存储在数据库中，这些数据是企业的高度机密和重要信息。如何确保企业核心数据库中数据的安全，是管理企业Oracle数据库管理员必须掌握的重要技术。从Oracle数据库运行的物理环境安全性、网络环境安全管理、操作系统级安全管理、Oracle的安全性管理、数据备份、审计等方面探讨数据库的保护。
0引言
计算机的主要应用之一就是数据处理，将大量的信息以数据的形式存放在磁盘上。数据处理是指对各种数据进行收集、存储、加工和传播的一系列活动。数据管理是数据处理的核心，是对数据进行分类、编码、存储、检索和维护。Oracle数据库是一个功能强大的数据库系统，它的特点是支持大数据量、多用户的高性能事务处理，且具有良好的硬件兼容性，支持各种类型的大型、中型、小型和PC操作系统，遵守通用数据存取语言、操作系统、用户接口和网络通信协议的工业标准，因此广泛被电力企业作为信息系统核心数据库使用。但是运行中的数据库系统很容易受到来自多方面的干扰和破坏，如软、硬件系统故障，合法用户的误操作、非法入侵等。数据库的保护就是要排除和防止各种对数据库的干扰破坏，确保数据安全可靠，以及在数据库遭到破坏后尽快地恢复正常。
1物理环境的安全性
物理环境是指运行Oracle数据库的服务器所处环境，温湿度、散热、供电、硬件、巡检、值班等。良好的机房环境、服务器的及时巡检是Oracle运行稳定的物理基础。
2网络级安全管理
网络级安全管理是指在Oracle数据库的前端要部署防火墙等网络设备，访问策略必须详尽，非C/S架构的数据库只能指定IP地址访问数据库的指定端口，防止非法用户远程登录和攻击数据库服务器。
3操作系统级安全管理
操作系统级安全管理是指部署Oracle数据库的服务器操作系统安全，包括：操作系统漏洞、操作系统补丁、操作系统用户和权限管理等。操作系统级安全管理是Oracle数据库正常运行的前提保障。服务器管理员应确保操作系统中的Oracle用户拥有$Oracle_HOME/bin目录的所有权，具有建立、更改、复制、删除文件的操作系统权限。
4Oracle数据库的安全性管理
4.1Orale用户管理
Oracle用户包括普通用户、信息系统程序开发员、数据库管理员（DBA）等用户，常用的用户验证是口令验证，数据库管理员可以为每个合法用户创建一个用户账号，同时指定初始化口令。通常数据库管理员在Oracle数据库中通过设置Oracle的环境文件（profile文件）来限制数据库中各用户对数据库系统和数据资源的访问，并管理每个用户的口令、权限、角色等。如果在数据库安装时没有建立环境文件，Oracle则会建立一个缺省环境文件，这是很危险的，因为缺省环境文件对所有用户是不限制资源使用的，数据库管理员在日常管理中应加强对profile文件的管理，通过合理设置profile文件，加强对Oracle数据库的安全性管理。
①锁定不用的账户：在Oracle安装时，会自动建立几个默认的数据库账户。当数据库安装完成时，系统会自动把某些账户锁定和设置为过期，但同时也会打开一些账户，如SYS、SYSTEM、SYSMAN等。为了Oracle数据库的安全性考虑，最好把一些不用的数据库账户锁定，一般只需要保留SYS、SYSTEM、SYSMAN这三个系统账户，其他系统自建账户可以锁定。
②限制口令历史：指在一定的时间间隔内用户不能使用相同的密码，在用户profile文件中利用REUSE_TIME和REUSE_MAX参数来设置，TIME参数用来指定多久后采用相同的密码，MAX参数用来指定在可以使用当前口令之前，用户必须改变该口令的次数。
③锁住一个过期的账号或者多次登录失败的账户：设置用户profile文件中的FAILED.LOGIN.ATTEMPTS的值来控制用户账号连续登录错误的次数。
④限制用户账号的最长使用期限，要求用户定期修改口令：设置用户profile文件中的PASSWORD.LOCK.TIME的值可以限制用户密码的使用期限，比如强制使用户35天修改口令，避免密码长时间使用而被泄露和破解。
⑤强制用户的口令复杂化，纯数字的密码比数字、字符混合的密码好破译，故为了加强用户密码的安全性，需设置一定的复杂性密码管理规则。
4.2Oracle权限管理
Oracle数据库中，任何非授权用户都不能在Oracle数据库中执行任何操作。权限是用来定义执行某些特定SQL语句的权力。分为系统权限和对象权限，系统权限即访问或使用数据库资源的权力，使用户在数据库中能够执行一些特定的操作。对象权限即维护数据库中对象的权力，使用户能够访问和维护某一特定的对象。数据库管理员是Oracle数据库中的最高级别用户，具有数据库系统中的一切系统权限并拥有所有的系统资源，可以把这些权限部分或全部授予其他用户，也可把这些资源的使用权授予其他用户。在日常数据库管理中要遵循最小权限原则，即用户应当只拥有执行其任务所需的最小权限，并且禁止所有未被特别允许的权限。以下实例参数对于数据库安全来说至关重要，需格外注意。UTL_FILE_DIR（允许PL/SQL通过UTL_FILE包访问服务器文件系统），REMOTE_OS_AUTHENT（是否不需要口令从远程计算机连接数据库），OS_AUTHENT_FREFIX（身份验证），REMOTE_LOGIN_PASSWORDFILE（具有SYSDBA或SYSOPER权限的用户能否通过网络连接实例）。
4.3Oracle角色管理
在Oracle数据库中通过建立不同的组实现角色管理，是保护Oracle数据库系统安全的重要手段之一，能有效地防止非授权的Oracle用户在数据库中进行操作，也减轻了数据库管理员对Oracle用户授权的工作量。Oracle数据库中的角色是一组权限的集合，将角色赋予用户，这个用户就拥有了这个角色中的所有权限。
5Oralce数据库的数据备份
Oracle数据库日常的数据备份保护数据库里数据的重要手段，一旦服务器发生故障，可以利用备份对Oracle数据库的系统文件、控制文件、数据等进行恢复，及时修复数据库系统，确保信息系统正常运行。在日常工作中要做好Oracle数据库的备份工作，包括物理备份和逻辑备份，当发生数据库故障时可根据不同情况，进行不同程度的恢复。
①物理备份：就是将数据库中的各种文件，包括系统文件、数据文件、控制文件等通过物理方法拷贝出来进行备份。Oracle支持脱机备份和联机备份两种类型。
②逻辑备份：Oracle数据库集成提供了一种简单实用的备份工具，即IMPORT/EXPORT。在数据库执行Export（导出）/Import（导入）时，可以使用4种方式进行：按表导出导入、按用户导出导入、全表导出导入和全库导出导入。
③建立存储备份系统：在信息机房中建立存储备份系统，利用服务器连接磁盘阵列，将Oracle数据库的数据文件存储在阵列中，数据库通过HBA卡连接磁盘阵列进行读写操作，既提高了数据库的读写速度，也降低了服务器硬件故障给数据库带来的风险。Oracle数据库安装成熟的备份客户端，将数据按需备份到备份系统中。
6Oracle数据库的审计策略
Oracle数据库的审计工具用于记录关于数据库的操作信息，通过设置适当的审计策略，对数据库中的操作信息进行审计，需要时可以定位发生问题的用户，查看发生问题时的操作。审计包括数据库登陆企图、数据库对象越权访问、数据库数据操作等，审计结果存储在Oracle数据库提供的审计表中。但是作为数据库管理员应该有选择地开启审计功能，设置审计策略，降低审计功能对服务器资源的消耗，尽可能限制审计事件的数量，从而使审计语句执行资源消耗最小，审计文件大小最小。
7结束语
以上安全策略已成功运用在我单位信息系统中，为保证企业Oracle数据库的安全，数据库库管理员可以使用多种安全性措施，避免由于非法操作而造成的数据库破坏。
作者简介：
李超（1982-），男，陕西咸阳人，助理工程师，从事计算机软件工程及数据库技术研究。 |
|
|
|
【对“《硅谷》杂志：企业Oracle数据库保护的研究”发布评论】 |
版权及免责声明：
① 本网站部分投稿来源于“网友”，涉及投资、理财、消费等内容，请亲们反复甄别，切勿轻信。本网站部分由赞助商提供的内容属于【广告】性质，仅供阅读，不构成具体实施建议，请谨慎对待。据此操作，风险自担。
② 内容来源注明“硅谷网”及其相关称谓的文字、图片和音视频，版权均属本网站所有，任何媒体、网站或个人需经本网站许可方可复制或转载，并在使用时必须注明来源【硅谷网】或对应来源，违者本网站将依法追究责任。
③ 注明来源为各大报纸、杂志、网站及其他媒体的文章，文章原作者享有著作权，本网站转载其他媒体稿件是为传播更多的信息，并不代表赞同其观点和对其真实性负责，本网站不承担此类稿件侵权行为的连带责任。
④ 本网站不对非自身发布内容的真实性、合法性、准确性作担保。若硅谷网因为自身和转载内容，涉及到侵权、违法等问题，请有关单位或个人速与本网站取得联系（联系电话：01057255600），我们将第一时间核实处理。
|
|
|
|
