對(duì)電信企業(yè)而言，數(shù)據(jù)庫(kù)安然相當(dāng)首要。試想充值系統(tǒng)出了標(biāo)題問(wèn)題會(huì)如何？手機(jī)用戶在月末查詢賬單的時(shí)辰系統(tǒng)呈現(xiàn)標(biāo)題問(wèn)題會(huì)如何？下面是某電信企業(yè)數(shù)據(jù)庫(kù)運(yùn)維人員在數(shù)據(jù)庫(kù)安然方面的一些心得，和啟明星斗數(shù)據(jù)庫(kù)安然專家給出的建議，?？茨軐?duì)大年夜家有所開(kāi)導(dǎo)和借鑒。
1、數(shù)據(jù)庫(kù)版本與組件選擇
1. 對(duì)數(shù)據(jù)庫(kù)利用較高、較不變的數(shù)據(jù)庫(kù)版本，避免一些BUG觸發(fā)激發(fā)的營(yíng)業(yè)影響，好比一個(gè)ORA-04031，激發(fā)告終算系統(tǒng)share_pool的錯(cuò)，導(dǎo)致利用法度鏈接掉敗。
2. 建庫(kù)的時(shí)辰，明白出產(chǎn)數(shù)據(jù)庫(kù)所需要利用的Oracle組件，只選擇知足利用環(huán)境的最小組件集。
2、表治理
1. 備份表、姑且表，規(guī)范化模式治理。
2. 利用自力的模式存儲(chǔ)自力的營(yíng)業(yè)對(duì)象。
3. DDL成立備份或姑且對(duì)象申明變動(dòng)治理存在風(fēng)險(xiǎn)，需要強(qiáng)化變動(dòng)治理。
4. 一個(gè)schema中，存儲(chǔ)的都是為完成某一個(gè)系統(tǒng)或模塊而設(shè)計(jì)的表，不克不及將其他用處的數(shù)據(jù)表同化存儲(chǔ)在該schema下。
5. 將姑且表、備份表進(jìn)行自力的schema存儲(chǔ)治理，分手備份表和姑且表，同時(shí)可以或許避免對(duì)營(yíng)業(yè)數(shù)據(jù)存儲(chǔ)造成空間碎片和機(jī)能影響，從而可以或許有效的降落數(shù)據(jù)備份和清理把持對(duì)營(yíng)業(yè)運(yùn)行的影響。
3、用戶權(quán)限安然
1. 對(duì)盡無(wú)需要的用戶，清理出數(shù)據(jù)庫(kù)。如用戶Scott為Oracle的測(cè)試用戶，在出產(chǎn)環(huán)境中，應(yīng)當(dāng)刪除該用戶及其相干對(duì)象，或?qū)⑵滢D(zhuǎn)移到測(cè)試環(huán)境中。
2. 對(duì)已被 LOCKED 的Oracle內(nèi)置用戶，我們需要評(píng)估是不是在出產(chǎn)環(huán)境中利用，假定不需要利用，則可刪除相干組件和用戶。
3. 嚴(yán)格用戶角色治理，避免權(quán)限授予太高，收回用戶所具有的 resource 角色，成立權(quán)限限制加倍嚴(yán)格的自定義角色。
4. 收回用戶中不需要的角色。
4、拜候安然
1. 規(guī)范數(shù)據(jù)庫(kù)治理軟件，實(shí)現(xiàn)治理軟件的尺度、統(tǒng)一化。
2. 為了不連進(jìn)數(shù)據(jù)庫(kù)的利用法度存在后門，造成數(shù)據(jù)庫(kù)安然隱患，查抄所有連接數(shù)據(jù)庫(kù)法度的安然性。經(jīng)由過(guò)程利用門戶監(jiān)控登錄數(shù)據(jù)庫(kù)，避免對(duì)數(shù)據(jù)庫(kù)的直接把持。
3. 對(duì)已連接的IP網(wǎng)段進(jìn)行規(guī)范化、統(tǒng)一化的治理，每季度進(jìn)行權(quán)限復(fù)核把持，對(duì)系統(tǒng)所屬IP、用戶進(jìn)行權(quán)限梳理工作。對(duì)員工進(jìn)行安然培訓(xùn)，加強(qiáng)員工的系統(tǒng)安然不雅念，做到細(xì)心把持。
4. 確認(rèn)拜候數(shù)據(jù)庫(kù)的主機(jī)是不是為已知用戶，利用專門進(jìn)行保護(hù)用的主機(jī)與數(shù)據(jù)庫(kù)進(jìn)行連接，避免利用公用dblink對(duì)數(shù)據(jù)庫(kù)直接把持。系統(tǒng)保護(hù)人員在某一天接到投訴，發(fā)現(xiàn)一個(gè)表下面的列少了，還好是一個(gè)狀況列，先手動(dòng)insert進(jìn)往，隨后找啟事，發(fā)現(xiàn)是因?yàn)槔萌藛T用dblink鏈接測(cè)試庫(kù)時(shí)辰，鏈接到了出產(chǎn)庫(kù)中。因而可知數(shù)據(jù)庫(kù)安然是多么首要。
5.審計(jì) SYSDBA 的把持行動(dòng)。
6.對(duì)首要營(yíng)業(yè)表的查詢等行動(dòng)，全數(shù)進(jìn)行審計(jì)。
5、備份安然
1.成立備份機(jī)制，對(duì)關(guān)頭營(yíng)業(yè)的系統(tǒng)搭建NBU、DP、DSG等備份治理軟件，針對(duì)營(yíng)業(yè)環(huán)境、系統(tǒng)壓力、帶庫(kù)資本等成立合適的備份策略，本單位都是在閑時(shí)每周做一次全備，一天一個(gè)增備，且把持系統(tǒng)有crontab或是自帶磁帶備份首要目次。
2.對(duì)關(guān)頭營(yíng)業(yè)系統(tǒng)可利用當(dāng)前主流容災(zāi)軟件手藝Oracle Goldengate、DG、Quest Shareplex等，在營(yíng)業(yè)岑嶺期，好比我們系統(tǒng)賬期營(yíng)業(yè)較忙，CPU idle每天1%或0%。那么這個(gè)時(shí)辰就有需要考慮利用同步復(fù)制成立備機(jī)，將賬期營(yíng)業(yè)遷徙至備庫(kù)，不影響主庫(kù)的營(yíng)業(yè)。
安然專家點(diǎn)評(píng)
啟明星斗數(shù)據(jù)庫(kù)安然專家覺(jué)得：作者對(duì)數(shù)據(jù)庫(kù)安然的思慮很周全，不但有版本治理、庫(kù)表治理、權(quán)限限制等數(shù)據(jù)庫(kù)本身治理，還有對(duì)外部拜候的安然考慮，包含客戶端法度治理、利用系統(tǒng)安然查抄、客戶端IP節(jié)制，乃至有DBA及首要把持的審計(jì)和數(shù)據(jù)備份。當(dāng)然，數(shù)據(jù)庫(kù)安然涵蓋的范圍很廣，進(jìn)侵防御、拜候身份認(rèn)證、數(shù)據(jù)加密等其他安然辦法也應(yīng)考慮，假定一個(gè)安然治理人員從數(shù)據(jù)庫(kù)扶植伊始就考慮到這些身分，數(shù)據(jù)泄漏或竄改的風(fēng)險(xiǎn)就會(huì)大年夜大年夜降落。
數(shù)據(jù)庫(kù)的風(fēng)險(xiǎn)首要來(lái)歷于兩個(gè)方面，一個(gè)是外部報(bào)復(fù)打擊，另外一個(gè)是內(nèi)部人員(有權(quán)限人員)的背規(guī)把持(用心或無(wú)意)，本文中的案例，就是有權(quán)限人員的誤把持。要消弭此類把持帶來(lái)的風(fēng)險(xiǎn)，除要進(jìn)行嚴(yán)格的權(quán)限節(jié)制外，對(duì)高權(quán)限用戶的把持審計(jì)也很是首要，同時(shí)要做好數(shù)據(jù)備份，一旦產(chǎn)生標(biāo)題問(wèn)題可以有解救辦法。
值得寄望的是，數(shù)據(jù)庫(kù)安然辦法要兼顧機(jī)能影響和安然結(jié)果兩個(gè)方面。例如，良多單位采購(gòu)自力數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品而非簡(jiǎn)單開(kāi)啟數(shù)據(jù)庫(kù)本身審計(jì)功能，除合適第三方審計(jì)要求外，也是為了呵護(hù)數(shù)據(jù)庫(kù)機(jī)能不受本身審計(jì)模塊開(kāi)啟的影響。