# 1. 启用审计功能
SQL> ALTER SYSTEM SET audit_trail = ‘DB,EXTENDED’ SCOPE=spfile;
SQL> SHUTDOWN IMMEDIATE;
SQL> STARTUP;

# 2. 配置审计策略
SQL> CREATE AUDIT POLICY security_events
2 ACTIONS ALL;

# 3. 应用审计策略
SQL> AUDIT POLICY security_events;

# 4. 查看审计日志
SQL> SELECT * FROM dba_audit_trail;

# 5. 配置审计日志清理
SQL> BEGIN
2 DBMS_AUDIT_MGMT.CREATE_PURGE_JOB(
3 audit_trail_type => DBMS_AUDIT_MGMT.AUDIT_TRAIL_ALL,
4 audit_trail_purge_interval => 72,
5 audit_trail_purge_name => ‘Purge Audit Logs’,
6 use_last_arch_timestamp => TRUE
7 );
8 END;
9 /

# 1. 配置告警
SQL> EXEC DBMS_ALERT.REGISTER(‘SECURITY_EVENT’);

# 2. 创建安全事件监控触发器
SQL> CREATE OR REPLACE TRIGGER security_event_trigger
2 AFTER LOGON ON DATABASE
3 DECLARE
4 v_ip VARCHAR2(15);
5 BEGIN
6 SELECT SYS_CONTEXT(‘USERENV’, ‘IP_ADDRESS’) INTO v_ip FROM dual;
7 IF v_ip NOT IN (‘192.168.1.100’, ‘192.168.1.101’) THEN
8 DBMS_ALERT.SIGNAL(‘SECURITY_EVENT’, ‘Unauthorized login from ‘ || v_ip);
9 END IF;
10 END;
11 /

# 3. 配置数据库防火墙
# 安装和配置数据库防火墙，限制对数据库的访问

# 4. 配置入侵检测系统
# 部署入侵检测系统，监控数据库活动

# 1. 建立安全事件响应团队
# 确定安全事件响应团队的成员和职责

# 2. 制定安全事件响应计划
# 编写详细的安全事件响应计划，包括响应流程、责任分工、联系方式等

# 3. 配置安全事件通知
# 设置安全事件通知机制，确保安全事件能够及时通知相关人员

# 4. 准备安全事件处理工具
# 准备必要的安全事件处理工具，如数据恢复工具、日志分析工具等

# 5. 定期演练安全事件响应
# 定期进行安全事件响应演练，提高团队的应急处理能力

# 1. 查看审计日志
SQL> SELECT * FROM dba_audit_trail WHERE timestamp > SYSDATE – 1;

# 2. 查看登录失败记录
SQL> SELECT * FROM dba_audit_trail WHERE returncode != 0 AND action_name = ‘LOGON’;

# 3. 查看权限变更记录
SQL> SELECT * FROM dba_audit_trail WHERE action_name LIKE ‘%GRANT%’ OR action_name LIKE ‘%REVOKE%’;

# 4. 查看数据修改记录
SQL> SELECT * FROM dba_audit_trail WHERE action_name IN (‘INSERT’, ‘UPDATE’, ‘DELETE’);

# 5. 查看数据库启动和关闭记录
SQL> SELECT * FROM dba_audit_trail WHERE action_name IN (‘STARTUP’, ‘SHUTDOWN’);

# 6. 查看异常连接
SQL> SELECT * FROM v$session WHERE status = ‘ACTIVE’ AND machine NOT IN (‘fgedu.net.cn’);

# 安全事件监控脚本

# 输出文件
output_file=”/tmp/security_monitor_$(date +%Y%m%d_%H%M%S).log”

echo “开始监控YashanDB安全事件” > ${output_file}
echo “监控时间: $(date)” >> ${output_file}
echo “” >> ${output_file}

# 查看审计日志
echo “===== 审计日志 ====” >> ${output_file}
sqlplus -s / as sysdba << EOF >> ${output_file}
SELECT * FROM dba_audit_trail WHERE timestamp > SYSDATE – 1;
EXIT;
EOF
echo “” >> ${output_file}

# 查看登录失败记录
echo “===== 登录失败记录 ====” >> ${output_file}
sqlplus -s / as sysdba << EOF >> ${output_file}
SELECT * FROM dba_audit_trail WHERE returncode != 0 AND action_name = ‘LOGON’;
EXIT;
EOF
echo “” >> ${output_file}

# 查看权限变更记录
echo “===== 权限变更记录 ====” >> ${output_file}
sqlplus -s / as sysdba << EOF >> ${output_file}
SELECT * FROM dba_audit_trail WHERE action_name LIKE ‘%GRANT%’ OR action_name LIKE ‘%REVOKE%’;
EXIT;
EOF
echo “” >> ${output_file}

# 查看异常连接
echo “===== 异常连接 ====” >> ${output_file}
sqlplus -s / as sysdba << EOF >> ${output_file}
SELECT * FROM vsession WHERE status = ‘ACTIVE’ AND machine NOT IN (‘fgedu.net.cn’);
EXIT;
EOF
echo “” >> ${output_file}

echo “监控完成，结果保存至：${output_file}” >> ${output_file}
echo “监控完成，结果保存至：${output_file}”

# 检查是否有安全事件
login_failures=$(grep -c “LOGON” ${output_file} | grep -c “returncode != 0”)
if [ ${login_failures} -gt 0 ]; then
echo “发现登录失败记录，可能存在安全事件！”
# 发送告警
echo “安全事件：发现登录失败记录” | mail -s “YashanDB安全事件告警” admin@fgedu.net.cn
fi

# 1. 事件检测
– 通过监控系统检测安全事件
– 接收安全事件告警
– 确认安全事件的真实性

# 2. 事件分类
– 确定安全事件的类型
– 评估安全事件的严重程度
– 确定安全事件的影响范围

# 3. 事件响应
– 启动安全事件响应计划
– 隔离受影响的系统
– 收集安全事件相关信息
– 采取措施控制安全事件的影响

# 4. 事件处理
– 分析安全事件的原因
– 采取措施消除安全事件的影响
– 恢复系统正常运行
– 验证系统的安全性

# 5. 事件分析
– 详细分析安全事件的原因和影响
– 确定安全事件的责任方
– 评估安全事件的损失

# 6. 事件总结
– 总结安全事件处理经验
– 提出改进措施，防止类似事件的发生
– 向相关方报告安全事件的处理情况
– 更新安全事件响应计划

# 1. 日志分析工具
– ELK Stack：用于分析和可视化日志
– Splunk：用于日志管理和分析
– Graylog：用于日志收集和分析

# 2. 漏洞扫描工具
– Nessus：用于漏洞扫描
– OpenVAS：用于漏洞扫描
– Qualys：用于漏洞管理

# 3. 入侵检测工具
– Snort：开源入侵检测系统
– Suricata：开源入侵检测和防御系统
– OSSEC：开源主机入侵检测系统

# 4. 数据恢复工具
– RMAN：YashanDB备份和恢复工具
– Oracle Data Recovery Advisor：数据恢复顾问
-第三方数据恢复工具

# 5. 安全事件响应平台
– IBM QRadar：安全信息和事件管理平台
– Splunk Enterprise Security：安全信息和事件管理平台
– ArcSight：安全信息和事件管理平台