CentOS 下 Oracle 数据库安全设置清单
一 系统加固与网络边界
- 保持 SELinux 为 enforcing，仅对 Oracle 相关进程做细化策略；如必须放宽，也应使用 targeted 策略而非全局关闭。
- 使用 firewalld 仅放行必要端口（如 1521/TCP），并关闭不必要的服务与端口，减少攻击面。
- 操作系统与依赖保持更新：执行 yum update 及时修补漏洞；安装必要依赖（如 libaio、libaio-devel、sysstat、unixODBC 等）以确保组件稳定与安全。
- 仅使用专用系统账户运行 Oracle，禁止以 root 直接启动监听或实例。
二 内核与资源限制
- 调整内核参数（/etc/sysctl.conf），示例值可按环境微调：
- fs.aio-max-nr = 1048576
- fs.file-max = 6815744
- kernel.shmall = 2097152
- kernel.shmmax = 物理内存的约一半（如 8GB 内存可设 4294967296）
- kernel.shmmni = 4096
- kernel.sem = 250 32000 100 128
- net.ipv4.ip_local_port_range = 9000 65500
- net.core.rmem_default = 262144；net.core.rmem_max = 4194304
- net.core.wmem_default = 262144；net.core.wmem_max = 1048576
执行 sysctl -p 使配置生效。
- 配置资源限制（/etc/security/limits.conf）：
- oracle soft nproc 2047；oracle hard nproc 16384
- oracle soft nofile 1024；oracle hard nofile 65536
- oracle soft stack 10240
在 /etc/pam.d/login 加入 session required pam_limits.so 以加载限制。
- 目录与权限：将 $ORACLE_BASE、$ORACLE_HOME、数据目录（如 /data/oracle）属主设为 oracle:oinstall，权限最小化（如 0750/0640）。
三 数据库账户与权限最小化
- 遵循 最小权限原则：仅授予完成工作所需权限；谨慎授予 SYS 级别连接与高权操作；优先通过自定义角色聚合权限，避免直接授予强大系统权限给普通用户。
- 清理 PUBLIC 的默认权限：撤销不必要的 EXECUTE 等公共授权，降低“低权用户借 PUBLIC 提升权限”的风险。
- 启用 数据字典保护：设置 O7_DICTIONARY_ACCESSIBILITY = FALSE，防止非授权用户通过数据字典基表直接访问敏感元数据。
- 密码策略与复杂度：运行 @?/rdbms/admin/utlpwdmg.sql 创建校验函数，并在 PROFILE 中设置 FAILED_LOGIN_ATTEMPTS、PASSWORD_LIFE_TIME、PASSWORD_LOCK_TIME、PASSWORD_REUSE_MAX、PASSWORD_VERIFY_FUNCTION 等，强制复杂度与定期更换。
- 连接安全：如业务允许，将 REMOTE_LOGIN_PASSWORDFILE 设为 NONE 以禁止远程使用口令文件登录（需重启实例）；确需口令文件时，妥善保管并限制可写权限。
四 网络与传输安全
- 监听与访问白名单：在 $ORACLE_HOME/network/admin/sqlnet.ora 启用
- tcp.validnode_checking = yes
- tcp.invited_nodes = (192.168.1.0/24, 10.0.0.10)
执行 lsnrctl reload 使配置生效，仅允许受信网段/主机连接。
- 空闲连接探测：在 sqlnet.ora 设置 SQLNET.EXPIRE_TIME = 15（单位：分钟），定期检测并清理半开/僵死连接。
- 传输加密：在 sqlnet.ora 启用 SQLNET.ENCRYPTION = required（必要时配合 SQLNET.CRYPTO_CHECKSUM），对客户端与数据库之间的通信进行加密，防止窃听与篡改。
五 审计监控与备份恢复
- 启用审计：
- 标准审计：ALTER SYSTEM SET audit_trail = DB, EXTENDED；
- 关键系统操作：ALTER SYSTEM SET audit_sys_operations = TRUE；
定期导出与分析审计记录，关注异常登录、权限变更与敏感数据访问。
- 登录审计与基线：可创建 AFTER LOGON 触发器记录登录时间、用户等，用于安全审计与合规检查（注意高并发场景的性能影响）。
- 备份与应急：建立覆盖全库与归档的 RMAN 备份策略，定期演练恢复流程；变更前后进行备份，保留应急回滚方案。
