Oracle数据库在Debian上的安全性

Debian系统下Oracle数据库安全加固清单

一 系统与服务加固

• 保持系统与依赖更新：执行sudo apt update && sudo apt upgrade -y，及时修补Debian与依赖包的安全漏洞。
• 最小权限与专用账户：仅使用oracle操作系统账户运行数据库，禁止以root直接执行Oracle相关操作；按需创建oinstall、dba等组并严格授权。
• 资源与内核参数：为Oracle设置文件句柄、进程数、堆栈与内存锁定等资源限制；按实例规格调整sysctl内核参数（如fs.file-max、kernel.sem、kernel.shmmni、kernel.shmall、kernel.shmmax、fs.aio-max-nr、net.core.rmem_default/wmem_default、net.core.rmem_max/wmem_max、net.ipv4.ip_local_port_range），并使其生效。
• 关闭不必要服务与特性：禁用未使用的服务（如FTP、Telnet），关闭ZeroConf（A vahi）避免自动服务发布；按Oracle建议关闭透明大页（THP）与NUMA，在**/etc/default/grub添加transparent_hugepage=never numa=off后执行update-grub && reboot**。
• 审计与监控：启用系统日志与登录审计，部署Fail2ban对监听端口（默认1521）进行暴力破解防护，定期查看**/var/log/syslog与Oracle的alert_.log**、trace文件。

二 网络与访问控制

• 防火墙最小化放行：仅开放必要端口（如1521/TCP用于监听，及22/TCP用于SSH），其余默认拒绝；可按需细化来源网段。
• SSH安全：强制使用SSH密钥认证，禁用root远程登录，限制可登录用户与来源IP。
• 监听与本地访问：仅允许受控主机连接至监听；必要时限制本地IPC/ORACLE_SID访问，避免非授权本地提权。
• 传输加密：在客户端与服务器启用TLS/SSL对数据进行加密传输，防止明文嗅探与中间人攻击。

三、数据库账户与数据安全防护

• 强密码与PROFILE：通过Oracle PROFILE设置密码复杂度、有效期、重用限制等，例如创建strong_pwd并分配给用户；注意先创建或启用合适的verify_function（如verify_function_11G）。
• 权限最小化：遵循最小权限原则授予SYSDBA/SYSOPER等特权；按需创建应用专用账户与角色，分离运维与业务权限。
• 敏感数据加密：对敏感表或表空间启用TDE（Transparent Data Encryption），保护数据静态安全，配置密钥存储与轮换策略。
• 审计与告警：启用数据库审计（如登录/关键DDL/DML），集中采集与告警，定期审计DBA_USERS、DBA_SYS_PRIVS、DBA_ROLE_PRIVS等权限视图。

四 备份恢复与补丁管理

• 备份策略：使用RMAN制定定期全量/增量与归档日志备份策略，示例：
  • RMAN> BACKUP DATABASE TO DEVICE TYPE DISK FORMAT ‘/backup/orcl_%U.bak’;
  • RMAN> BACKUP ARCHIVELOG ALL DELETE INPUT;
    将备份存放于异地/受控介质，定期校验与演练恢复。
• 补丁管理：持续关注Oracle安全公告，及时安装PSU/CPU等补丁；使用OPatch进行补丁应用，先在测试环境验证再上线。
• 变更与回退：任何安全加固与补丁上线需有变更单、回退方案与窗口期，并在变更前后进行备份与验证。

五 快速检查清单

检查项期望状态/做法系统与安全更新已执行apt update && apt upgrade -y，并建立周期性更新机制账户与权限仅以oracle运行数据库；禁用root执行Oracle；按需配置oinstall/dba与sudo授权资源与内核limits配置生效（如nofile 65536、nproc 16384、stack 32768、memlock 134217728）；sysctl参数按实例规格设置并已加载监听与端口仅开放1521/TCP（及22/TCP），来源IP受控；必要时启用TLS/SSL加密与密钥敏感数据启用TDE；密钥安全存储与轮换策略就位审计与监控启用登录/关键操作审计；Fail2ban监控1521；定期巡检alert_.log与trace备份与恢复RMAN全量/增量与归档日志备份到位；异地存放；定期恢复演练与校验补丁与变更关注Oracle与安全公告；OPatch及时打补丁；变更有方案与回退、窗口期与验证记录