1.Oracle系统应用数据泄露问题分析
- 1. Oracle 系统应用数据泄漏问题分析 摘要：本文章主要针对 Oracle 数据库环境应用数据安全的主要原因进行归 纳，目的是引起企业领导层和技术人员对自己应用数据安全的重视。下面是 本人个人观点的陈述，不全面的地方望读者见谅。 关键词：Oracle、数据库安全、数据安全、数据泄漏。 作者：赵元杰 日期：2012 年 2 月 近年来，本人在 Oracle 系统环境下给各类用户进行应用系统的健康检查、性 能调整、系统升级、应用数据迁移等发现，用户的 Oracle 系统应用系统数据安 全存在或多或少的问题， 这些问题有的已经导致应用数据的泄漏，有的出现数据 破坏后无法找到原因；甚至有的产生过数据丢失后长时间没有发现。 下面就问题的原因进行初步的分析与描述，希望能引起有关人员的注意。 数据安全认识与管理不够 目前国内从政府部门到中大型企业的分管信息中心的领导层基本都是懂技 术的中青年人员，特别是在数据中心工作的人员都是技术出身，他们信息化知识 不缺乏，但是在数据库安全问题上却常出现安全问题，主要原因是： 原因 1-安全就是防火墙与防病毒 许多领导一谈到安全，立即想到防病毒软件、防火墙等，持有这样的观点 主要原因是被病毒攻击时可见的；招到网络攻击是可见的；而企业数据被复制一 般不易被发现，也就是说企业的重要数据被复制多次，用户不会发现数据减少。 但是从损失的角度来看的话，显然网络被攻击损失要小于数据被偷，因为网络可 在安装和配置，数据丢失了，再也找不回来了。从这点来说，国内的用户在认识 上是很不够的，所以，在加强数据安全方面薄弱的原因。对企业数据安全的忽视 会导致许多工作难以开展，比如在项目的立项经费上往往只考虑 PC 机安全和网 络安全，而不考虑数据库系统的安全，当然也就不会购买相关的数据库审计与预 防软件了。 原因 2-数据是企业资产认识不够 国内一直以来在统计企业内部的固定资产时都将服务器、网络交换机、PC 机等计入企业的固定资产，而很少有人将数据库中的数据当成重要的企业资产。 出现这样的观点也不能责怪领导层或相关人员，主要是我们的财务制度并没有将
- 2. 企业的数据库中的生产数据归入 xx 科目、将销售数据归到 yy 科目。自然许多人 不把企业数据归到资产行列就不奇怪了。但是，话又要说回来，现在不是将企业 的信息化程度当成考核企业的一种标准吗？许多医院如果没有上信息化， 要被评 为 x 级医院就不行了。即使这样，我们将企业的各种重要数据当成资产也是不多。 从数据就是资产这个角度来讲， 许多盗窃企业数据的违法人员对数据是资产、数 据就是钱认识要比领导层要高， 不然，有那么多的个人数据泄露到市场上难道是 免费拷贝出去的吗。 只有认识到企业数据就是资产，数据就是价值，才能有意识地对数据进行 保护。领导层想保护好自己企业内部的数据，自然就舍得投资了，只有领导层舍 得投资，数据的保护在技术上根本不是问题。 原因 3-数据安全就是备份误解 我们多年来一谈到数据库安全，就会想到购买双机(服务器)和购买备份软 件等，这点从目前的国内培训公司的培训内容就不难看出。首先强调的是数据库 备份并不是不重要(很重要，而且是必须的工作)，但是只重视备份恢复而忽视数 据安全就片面了。我希望软件公司、培训公司不仅要介绍备份恢复、防网络攻击 产品，也要介绍数据库安全的防范软件产品。特别是让用户领导层也要重视数据 库中的数据安全。 原因 4-数据中心的重要性被忽视 我们给用户解决 Oracle 数据库故障和性能时，发现一些普遍的问题，比如 领导从来不认为数据中心很重要，只有数据中心出现一个事故导致业务不能进 行，影响许多方面后时，领导突然就会想到数据中心很重要，命令或要求在几个 小时内必须恢复或找到原因等。 从这些例子中可看出，数据中心人员的工作很辛 苦领导并不知道，数据中心的数据很重要也就不够重视了。不重视数据库中的数 据自然影响到数据安全的投资了。 原因 5-缺乏相应的安全管理制度 我们从这些年来数据库中的数据发生泄漏时，一般都不是技术上难以实现， 而是出现在相关的制度上，我们发现国内凡是出现安全事故的用户都与没有严谨 的安全制度有关，其次才是技术上没有购买相关产品有关。由此可见，要保证企 业的数据安全，首先要从重视和制度相关的安全制度入手，其次才是如何从技术 上保证。
- 3. 数据安全技术问题 有了相关的安全制度和对数据安全的认识，剩下的就是从技术上如何实现 和保障了，技术的实现可包括要购买相关安全产品、环境的安全设计与开发等。 那么，国内在保证数据库的数据安全方面存在哪些问题呢，下面是本人的一些经 历和见解。 问题 1. 数据库环境安全配置不合理 许多采用 Oracle 系统作为管理信息系统时，虽然也了解 Oracle 系统可提 供许多优于其他 RDBMS 的安全功能，但是在安装配置时并没有十分重视，在配置 工作中主要存在下面的问题： Oracle 各类文件没有设置合理的安全许可； 监听(Listener）没有设置口令； 默认用户与默认口令没有修改(旧版本)； DBA 口令有多人知道； 用户口令过于简单； 开放存在安全的端口(比如 iSQL*Plus)； 存在安全问题的内置包没有撤销相应的权限。 问题 2. 不重视数据库安全规划与设计 由于 Oracle 系统基本安全功能使用简单，导致许多培训公司的课程都没有 介绍较为复杂 Oracle 系统安全使用内容， 许多应用开发公司在使用 Oracle 系统 为用户开发应用系统时都是采取“你要求什么权限、DBA 给你授予什么权限”的 累加方法，很少注意这样的授权可能带来某些账户权限过高问题，导致许多 Oracle 系统在安全问题上存在潜在的漏洞，归纳大约存在下面安全问题： 没有根据用户的组织与用户情况进行严密的规划与设计； 创建用户与对用户授权由 DBA 随意操作； 对当前 Oracle 系统内各用户及其权限没有办法全面审核； 为了开发方便，授予过高的 Oracle 系统权限； 角色的创建时，过多的角色嵌套导致权限混乱； 将执行应用的权限嵌入在程序中。 问题 3. 数据库审计的忌讳 审计是数据库提供的一种用于记录数据库活动的操作记录，它可以对出现 问题后进行追踪和分析。数据库审计在国外企业已经是一个必做的工作，但是在 国内，一谈到数据库审计，外行不是很了解，而内行则是认为审计会带来性能问
- 4. 题而不想启用审计功能。甚至有点 Oracle 系统应用已经运行多年了也没有设置 审计是常见的事。归纳大约存在下面问题： Oracle 数据库已经很安全，不需要设置审计吧； 听说审计会降低 Oracle 系统的性能，就不要启用审计了； 即使启用了审计，也没有配备相关的审计人员； 设置了审计，维护数据基本上被忽略； 审计一般只对普通用户进行，没有针对特权用户； 审计产生的数据没有存储在安全的地方； FGA 审计基本不使用。 问题 4. 关键数据的认识问题 我们的软件承接商多年来在进行需求分析时，都是对用户的业务需求进行 记录和整理，从而形成供详细设计参考的资料，但很少有软件商对数据安全的需 求进行分析和整理，从而给出数据安全的设计依据。因此，即使用户领导层很重 视数据的安全，也希望保护好企业内部的数据，但还是无法对关键的数据进行保 护。归纳为下面问题： 没有对关键(重要)的数据进行分类； 重要数据与其他普通数据存放在相同的表空间； 哪些表有重要数据不清楚； 没有标识出重要表或表中哪些是重要数据，没有限制访问； 重要数据丢失无法追踪。 问题 5. 关键数据访问控制问题 针对企业中重要数据，要进行保护，就要从数据的访问控制入手，对于不 同的 RDBMS，访问控制的方法也不同。目前国内在访问控制上存在哪些呢? DBA 可看任何用户的数据； 重要数据对应的表直接授权给用户，没有采用视图； 对象的权限授予混乱； 对应集中存储的数据库，没有人使用 Oracle VPD 功能； 问题 6. 关键数据不加密问题 虽然 Oracle 系统许多版本都提供数据加密功能，但是软件开发方能为用户 的重要数据进行加密还不多， 许多软件开发商从来没有向用户解释过数据加密的 重要性和必要性，往往是多一事不如少一事。所以，许多重要数据都暴露在 DBA 眼下，当然， 也可能暴露居心不良的人员眼下。 目前国内在数据加密上存在问题：
- 5. Oracle 不同版本提供的数据加密方法不关心； 数据加密会影响性能，所以我们不采用； 数据加密在访问时有点麻烦，所以我们采用； 加密处理要慢些，所以我们备份结果不采用加密。 问题 7. 特权用户权限不受制止 虽然 Oracle 系统提供相互制约的安全管理功能，但是软件开发方和用户并 不关心，往往采用默认的权限方式来管理自己的数据库， 导致特权用户权限过高。 目前国内在 Oracle 系统权限存在下面问题： Oracle 系统 DBA 权限的用户不少； 没有对特权用户的权限进行限制； 有的用户绕过应用程序获取对重要数据的直接访问； 高权限的用户甚至可修改审计数据； 应用提供使用后，开发方的维护人员还有 DBA 权限； 离职后员工的权限没有及时收回。 问题 8. 职权分离不够 从安全管理角度来讲，职权分离是一个好的方法，Oracle 系统提供相互制 约的安全管理功能，但是软件开发方和用户并不关心，往往采用默认的权限方式 来管理自己的数据库，导致特职权不分。目前国内在 Oracle 系统权限存在下面 问题： Oracle 系统 DBA 可看到审计数据； OS 管理员也是数据库管理员； 网络管理员也是数据库管理员； DBA 可做各种操作； 问题 9. 防内不够 虽然许多安全专家都知道，数据安全问题的 70%出在内部，最危险的人员就 数据库管理人员，但是，许多企业领导并不知道如何防范内部人员对访问重要数 据的访问，导致许多重要数据从内部泄漏出去。目前国内企业在防范内部数据泄 漏存在下面问题： 备份数据随便存放在磁带上，不够再多领几盘，调离时也不检查磁带数量； 备份数据结果可带出机房或拷贝到自己的存储上； 备份数据结果就存放机房的柜子内；
- 6. 数据可以文本方式导出或平面文件(明文)存在； 问题 10.Oracle 安全漏洞与补丁修复 现在的软件市场竞争过于激烈，许多软件提供商急于占领市场而忽视了产 品的稳定性测试与安全测试方面工作， 导致产品销售给用户后才给出该版本存在 的安全漏洞，这样的安全漏洞只能通过下载补丁的方法来修复。那么，目前国内 对 Oracle 系统相关版本存在的安全漏洞有哪些问题呢？ 用户很少注意到他们使用的版本存在哪些安全漏洞； 即使听说存在安全漏洞，也不急于修补； 用户希望下载和安全补丁，但没有购买服务所以不能下载； 许多 DBA 从来不学习下载补丁和安装方法。