Limitando o uso de login como SYSDBA

Limitando o uso de login como SYSDBA

O Sr. Arup Nanda, considerado o DBA do ano de 2003 pela revista Oracle Magazine, disponibilizou em maio de 2006 um documento que trata de vários aspectos de segurança de ‘infra-estrutura’ em bancos de dados Oracle.

Eu tentarei abordar alguns temas levantados por ele nos nossos próximos artigos.

Este artigo primeiro artigo da série tem a intenção de abordar uma diretiva simples de segurança, para limitar o uso de logins como SYSDBA.

AS SYSDBA

Bem, sabemos que, dependendo do grupo ao qual estão inseridos, muitos usuários do sistema operacional podem efetuar 'logon' no banco de dados como SYSDBA, conforme abaixo:

PROMPT> sqlplus / as sysdba

Este procedimento é prático e elimina a preocupação do usuário em guardar e lembrar a senha do usuário SYS, ou ter que ficar digitando-a em todos os 'logins'.

Só que isso pode criar uma vulnerabilidade no sistema, pois qualquer usuário que puder 'logar' como um membro do grupo DBA, por exemplo, poderia 'logar' no banco como SYS.

Neste caso, de nada adiantaria ter uma senha considerada 'forte' ou de 'nível elevado' para o usuário SYS.

Os procedimentos a seguir não eliminam os riscos de invasão, mas os reduzem consideravelmente.

AÇÃO

O processo é controlado pelo parâmetro SQLNET.AUTHENTICATION_SERVICES, no arquivo SQLNET.ORA. Se este parâmetro é 'setado' para NONE, então o autologin como SYSDBA é desabilitado.

Esta é a chave da questão: configurar este parâmetro no arquivo SQLNET.ORA.

O arquivo SQLNET.ORA está localizado no ORACLE_HOME/network/admin (ou ORACLE_HOME\network\admin, dependendo do sistema operacional).

Após localizado e aberto o arquivo SQLNET.ORA, basta adicionar a este a linha abaixo:

SQLNET.AUTHENTICATION_SERVICES=(NONE)

Assim, se um usuário tentar efetuar o 'logon' conforme abaixo:

PROMPT> sqlplus / as sysdba

Receberá um erro do tipo:

ERROR:

ORA-01031: insufficient privileges

Para conseguir efetuar o 'logon', será necessário informar a senha do usuário SYS:

PROMPT> sqlplus /nolog

SQL> connect sys/oracle as sysdba

Este procedimento faz com que um usuário que não tenha a senha do usuário SYS não possa se conectar ao banco como SYSDBA, e tenha acesso às contas DBA.

CUIDADOS

Com esta alteração, o maior impacto será no uso das senhas do usuário SYS, onde será necessário alterar os os scripts que se conectem ao banco com o usuário SYS, de acordo com as novas necessidades, de informar explicitamente a senha.

Por exemplo:

De / as sysdba alterar para sys/<SysPassword> as sysdba

Outro cuidado é referente à perda da senha do usuário SYS, o que pode invalidar todos os acessos deste usuário ao banco. Mas, neste caso, bastaria comentar a linha referente ao parâmetro SQLNET.AUTHENTICATION_SERVICES no arquivo SQLNET.ORA, para que os 'logins' sejam feitos da forma anterior: / as SYSDBA

É isso. Não vou me atrever a falar o que pode ser feito em posse da conta do usuário SYS, com o acesso via AS SYSDBA.

Espero abordar no próximo artigo uma proteção simples para o LISTENER.

Anderson Rodrigo Farias

DBA Oracle

Betha Sistemas LTDA

http://www.betha.com.br