Início / dba / Perguntas / 117036
Accepted
andba77
Asked: 2015-10-06 07:24:57 +0800 CST

Bloqueando contas SYS e SYSTEM

  • 772

No interesse de manter o banco de dados o mais seguro possível, gostaria de bloquear as contas SYS e SYSTEM para que ninguém possa fazer login com elas.

Assumindo que:

  1. Não há scripts/cron jobs do sistema operacional fazendo login como SYS ou SYSTEM
  2. Não há aplicativos ou utilitários externos usando nenhuma dessas contas
  3. Sempre posso fazer login "/ como sysdba" com a conta do sistema operacional adequada

O bloqueio dessas duas contas terá algum efeito adverso? Alguém já fez isso antes que possa comentar se é uma boa ideia ou não?

oracle security

2 respostas

  1. Bloqueie ambos ( SYSe SYSTEM). Você não precisa usá-los no dia-a-dia, nada vai quebrar.

    No dia a dia, você deve usar contas de usuário nomeadas que tenham SYSDBAou SYSOPER.

    Tom Kyte recomenda fazê-lo , então você sempre pode culpá-lo se algo der errado :-)

    • 4
  2. Best Answer

    SYSTEMpode ser bloqueado sem quaisquer dificuldades.

    SYSé diferente embora. Você não pode bloqueá-lo, mesmo que possa, não pode.

    SQL> show user
USER is "SYS"
SQL> alter user sys account lock;

User altered.

SQL> select account_status from dba_users where username = 'SYS';

ACCOUNT_STATUS
--------------------------------
LOCKED

SQL> conn / as sysdba
Connected.
SQL> show user
USER is "SYS"

SQL> connect sys@ORCL as sysdba
Enter password:
Connected.

SQL> show user
USER is "SYS"
SQL> select account_status from dba_users where username = 'SYS';

ACCOUNT_STATUS
--------------------------------
LOCKED

    Você pode desabilitar logins remotos SYSdefinindo remote_login_passwordfilecomo none, então apenas logins locais são permitidos. Isso impedirá o uso do Data Guard, por exemplo.

    Você também pode prevenir '/ as sysdba'definindo SQLNET.AUTHENTICATION_SERVICES=(none)em sqlnet.ora.

    Por fim, você pode se bloquear completamente combinando o acima com a exclusão do arquivo de senha de $ORACLE_HOME/dbs. Dessa forma, você não poderá fazer login como SYSDBAou SYSOPERde forma alguma. Mas, mesmo assim, SYSo usuário não será realmente bloqueado, é apenas que você não pode ser autenticado. Se você recriar o arquivo de senha, poderá entrar novamente.

    • 4

relate perguntas