Oracle数据库内部安全威胁：审计特权用户

普通的安全性和审计是被动的作法，而一个全面的审计方法是要求实时报告试图绕过安全性检查的行为。记住，明智的公司会关闭所有后门数据访问(如，ODBC)，并在应用层强化数据访问。然而，我们仍然必须创建一个告警机制来监视所有层次的数据访问活动，不管是恶意的还是正常的。例如，一个Oracle DBA通常需要查看数据库信息，这是他们管理的职责部分，而Federal法案规定这种数据访问必须进行与应用层相同的跟踪。

　　“特权用户”访问问题表示的是一个严重的安全暴露。因为审计方案必须审计Systems Administrators和Oracle DBA的访问，这些员工必须不能有任何审计机制的控制或职责。

　　这种分离的职责是非常重要的，因为给予任何负责维护服务器和数据库的人员管辖权力都被认为是不正当行为。许多情况下，有不满情绪的员工可能会查看保密信息作为个人用途，并且有时会使用一些方法来在他们离职后暴露这些信息。

　　有一些专业的Oracle审计工具可以审计DBA和其它特权用户，但是它们可能很昂贵且很难管理。

　　Oracle安全和政府规定

　　Oracle部门属于一些Federal隐私法案规定范围，如HIPAA要求雇佣一个独立于SA和DBA员工之外的全职员工来控制Oracle安全分析师的审计。

　　Oracle安全分析师必须具有每个单位唯一的技术、应用和管理技能。例如，大型医疗公司通常会雇佣一名Medical Informatacist作为SPA，通常是一名经过高级培训的Medical Doctor (MD)，具有应用设计、系统架构、系统管理和数据管理的技能。财务机构会雇佣一名有丰富技术背景的Certified Public Accountant (CPA)。

　　总之，审计收集、加强和报告必须一个单独的IT实体负责，仅仅负责管理所有数据隐私审计。任何应用层的外部访问都必须向安全管理员发送警报，不管是恶意或是常规DBA职责部分。

　　这是一个糟糕的讨论，但是现在你不能信任任何人，并且Oracle管理员必须解决允许他们特权Oralce员工拥有完全访问关系他们业务生存的数据的权限所带来的问题。

　　在2009年IOUG安全性调查是显示，Oracle部门要么正在安装复杂的安全性工具来审计他们的特权员工，要么使用背景检查或信任的远程DBA支持提供商来进行适当的保护，以免受内部数据库安全威胁的攻击。