Oracle 第15章：安全性管理

在Oracle数据库中，安全性管理是一个至关重要的方面，它确保了数据的完整性和机密性。第15章通常会涵盖用户权限、角色分配、数据库审计和安全策略等内容。下面我会概述这些主题，并提供一些示例来帮助理解。

用户权限与角色

用户权限

在Oracle数据库中，权限可以分为系统权限（如 CREATE TABLE）和对象权限（如 SELECT 表）。管理员可以根据需要授予或撤销用户的权限。

示例代码：

-- 授予用户创建表的权限
GRANT CREATE TABLE TO john;-- 授予用户访问特定表的权限
GRANT SELECT, INSERT ON sales.orders TO jane;

角色

角色是一组权限的集合，可以简化权限管理。例如，可以为开发人员创建一个角色，然后将多个权限分配给这个角色。

示例代码：

-- 创建一个角色
CREATE ROLE dev_role;-- 将权限赋予角色
GRANT CREATE TABLE, CREATE SESSION TO dev_role;-- 将角色赋予用户
GRANT dev_role TO john;

数据库审计与安全策略

数据库审计

审计是记录谁做了什么以及何时做的过程。Oracle提供了多种审计选项，包括语句审计、对象审计、特权审计等。

示例代码：

-- 对特定用户的特定操作进行审计
AUDIT SELECT ON hr.employees BY jane;-- 对所有用户的特定操作进行审计
AUDIT DELETE ON hr.departments;

安全策略

安全策略是指一组规则和实践，用于保护数据库免受未经授权的访问。这包括使用强密码策略、加密敏感数据、限制网络访问等。

示例：

密码策略：设置复杂的密码规则，如最小长度、强制包含特殊字符等。
加密：使用透明数据加密 (TDE) 或者其他方法对敏感数据进行加密存储。
网络访问控制：使用防火墙或者Oracle提供的网络服务控制远程访问数据库。

案例分析

假设我们有一个名为“财务”的部门，其中包含敏感的财务数据。为了保护这些数据，我们可以采取以下措施：

创建一个名为 finance_role 的角色，其中包括 SELECT, INSERT, UPDATE, DELETE 等权限。
只有经过培训并签署了保密协议的员工才能被赋予 finance_role。
对 finance_role 进行审计，记录所有对该角色拥有的表的操作。
实施密码策略，要求财务部门的所有用户每三个月更改一次密码，并且新密码不能与前五个密码相同。
使用 TDE 加密财务表中的敏感字段。

通过这种方式，我们可以确保只有授权用户才能访问敏感信息，并且所有访问都会被记录下来，以备后续审核。

细粒度访问控制 (FGAC)

细粒度访问控制允许根据行级条件来决定是否允许访问数据。这通常通过定义一个函数来实现，该函数返回一个谓词，该谓词在查询时用于过滤结果集。

示例代码：

-- 创建一个包来定义细粒度访问逻辑
CREATE OR REPLACE PACKAGE fga_demo ISFUNCTION get_security_condition RETURN VARCHAR2;
END fga_demo;
/CREATE OR REPLACE PACKAGE BODY fga_demo ISFUNCTION get_security_condition RETURN VARCHAR2 ISl_condition VARCHAR2(200);BEGIN-- 假设只有特定的用户才能看到所有的记录IF USER = 'ADMIN' THENl_condition := '1=1';ELSEl_condition := 'employee_id = USER_ID';END IF;RETURN l_condition;END;
END;
/-- 应用细粒度访问控制
CREATE TRIGGER emp_security
BEFORE SELECT ON hr.employees
FOR EACH ROW
BEGINIF NOT EXISTS(SELECT 1 FROM DUAL WHERE :NEW.ROWID = :OLD.ROWID AND :NEW.employee_id = fga_demo.get_security_condition()) THENRAISE NO_DATA_FOUND;END IF;
END;
/

在这个例子中，fga_demo 包定义了一个函数 get_security_condition，该函数返回一个条件，用于确定哪些行应该显示给用户。如果用户不是 ADMIN，那么他们只能看到自己的记录。

动态数据遮盖 (DDM)

动态数据遮盖是一种功能，允许你在查询时不暴露敏感数据的完整值，而是返回修改后的值。这对于防止非授权用户看到敏感信息非常有用。

示例配置：

-- 开启动态数据遮盖
ALTER SESSION SET "_ORACLE_SCRIPT"=TRUE;-- 启用列上的数据遮盖
ALTER TABLE hr.employees MODIFY COLUMN salary ENABLE ROW MOVEMENT;
ALTER TABLE hr.employees ADD CONSTRAINT CHK_SALARY CHECK (salary > 0);-- 添加遮盖功能
ALTER TABLE hr.employees MODIFY COLUMN salary ADD MASKING FUNCTION SCRAMBLE();-- 查询效果
SELECT employee_id, first_name, salary FROM hr.employees;

在这个例子中，salary 列被配置为使用 SCRAMBLE() 函数进行遮盖，这意味着当非特权用户查询该列时，他们将看到乱码或部分数据，而不是实际的工资数额。

安全应用角色 (SAR)

安全应用角色允许你为应用程序创建角色，并将它们与安全策略相关联。当用户连接到数据库时，可以自动激活这些角色，从而简化了权限管理和应用安全性的维护。

示例代码：

-- 创建安全应用角色
CREATE ROLE finance_app_role AUTHID CURRENT_USER;-- 将角色与安全策略关联
ALTER ROLE finance_app_role APPLICATION "FINANCE_APP";-- 当用户连接时自动激活角色
ALTER USER finance_user DEFAULT ROLE finance_app_role;

在这个例子中，finance_app_role 是一个与财务应用程序相关联的角色。当 finance_user 登录时，此角色将自动激活，确保用户具有正确级别的访问权限。

通过上述技术的应用，可以有效地增强Oracle数据库的安全性，确保数据的机密性和完整性。这些技术和策略可以单独使用，也可以组合起来使用，以满足不同的安全需求。

安全性增强技术

身份验证机制

除了标准的身份验证之外，还可以使用更高级的身份验证机制来增强安全性。例如，可以使用Oracle提供的外部身份验证机制（如Kerberos或LDAP），或者使用双因素认证（2FA）来确保用户的身份。

示例代码：

-- 配置LDAP身份验证
ALTER SYSTEM SET REMOTE_OS_AUTHENT='FALSE' SCOPE=BOTH;
ALTER SYSTEM SET OS_ROLES='FALSE' SCOPE=BOTH;
ALTER SYSTEM SET REMOTE_OS_ROLES='FALSE' SCOPE=BOTH;
ALTER SYSTEM SET LDAP_AUTH='TRUE' SCOPE=BOTH;-- 创建LDAP用户
CREATE USER ldapuser IDENTIFIED EXTERNALLY;

数据库入侵检测与防御 (HIDS)

Oracle提供了数据库入侵检测与防御的功能，可以监控异常活动，并在检测到潜在的安全威胁时发出警告或采取行动。

示例配置：

-- 启用Oracle数据库审计功能
AUDIT ALL BY SYS BY DEFAULT;-- 设置安全策略
ALTER DATABASE SET DB_AUDIT_TRAIL=DB,EXTENDED;

强化密码策略

除了基本的密码复杂性要求外，还可以实施更严格的密码策略，例如定期更改密码、禁止重复使用旧密码等。

示例命令：

-- 设置密码复杂性要求
ALTER PROFILE default LIMIT PASSWORD_REUSE_MAX 5;
ALTER PROFILE default LIMIT PASSWORD_LIFE_TIME 90;
ALTER PROFILE default LIMIT PASSWORD_REUSE_TIME 1;