Oracle veritabanı kurulumu esnasında, kurulumu yapılan uygulama türüyle de ilişkili olarak farklı kullanıcılar ve bu kullanıcılara ait şemalar oluşturulur. Farklı yetkilere ve erişim haklarına sahip olan bu kullanıcılar ayrıca Oracle veritabanı güvenliğinde de önemli bir yere sahiptir.

11gR2 sürümü ile birlikte kurulum esnasında ekrana gelen birçok uyarı ve yönergeler ile SCOTT kullanıcısı gibi öntanımlı hesapların artık kapalı gelmesi, sistemlerde güvenlik zafiyeti oluşmasını engellemeye yardımcı olmaktadır.

Resim 1. Oracle kurulum esnasında öntanımlı hesaplara şifre tanımlama

Bununla birlikte uzun yıllardır Oracle ürünlerini kullanan işletmelerin envaterinde eski versiyonlara rastlamak ne yazık ki sıklıkla karşılaşılan bir durumdur. Bu nedenle öntanımlı kullanıcılar ve bu kullanıcıların değiştirilmemiş şifreleri Oracle’da güvenlik açıklığı oluşturabilecek en temel nedendir.

Veritabanlarının sistemsel bütünlüğünü ve güvenliğini tehdit eden bu durumun özünde;

• Uygulamaların üzerinde uzun yıllardır kullanılan ve ilgili versiyona özel yazılmış birçok betik bulunması,

• Yeni versiyon geçişinde rastlanılabilecek problemlerin giderilememesi durumunda kuruma verebileceği maddi/manevi zarardan duyulan endişe,

• Göç (migration) sürecinin yönetiminde karşılaşılan zorluklar,

• Geçiş maliyeti

gibi nedenler bulunmaktadır. İşletmelerin bu süreçte karşılaştığı zorluklar ve alınabilecek önlemleri başka bir yazıya havale ederek, öntanımlı kullanıcı hesaplarının detayına geçebiliriz.

Öntanımlı kullanıcılar

Kurulum esnasında yada hemen sonrasında bir takım kullanıcılar sisteme tanımlanır. Sistemsel yetkilerinde farklılıklar bulunan bu çok çeşitli kullanıcıları incelemek için 3 ana gruba ayırabiliriz.

1. Yönetsel hakları olan öntanımlı kullanıcılar

2. Yönetsel haklara sahip olmayan öntanımlı kullanıcılar

3. Örnek hesaplara ait öntanımlı kullanıcılar

Bu başlıkları ayrı ayrı değerlendirebiliriz.

Yönetsel hakları olan öntanımlı kullanıcılar

Her sistemde bulunan ve çok geniş haklara sahip olan kullanıcılar bu gruptadır. Birçoğu kurulum esnasında DBA’in belirlediği bir şifreyle tanımlanırken, sistemin iç işlemleri için kullanılan ve dışardan bağlanılmasına izin verilmeyen kullanıcılar da olabilir.

Bu kullanıcıları en geniş yetkilere sahip olan ve her sistemde açık olan hesaplardan başlayarak aşağıdaki gibi listeleyebiliriz.

Görüldüğü gibi liste oldukça uzun. Uygulamalar farklılaştıkça bu şekilde farklı kullanıcılara ihtiyaç duyulmuştur. Listede “Kilitlenmiş ve süresi geçmiş” hesaplar, öntanımlı olarak bu şekilde tanımlanan hesaplardır. Ancak önceki sürümlerde açık olarak tanıtılmış veya DBA tarafından açıldıktan sonra unutulmuş hesaplar ciddi bir risk oluşturabilir.

Bu kullanıcılara ait şifrelerin tahmin edilemez hale getirilmesi veya kullanılmıyorsa kapatılması olası tehditlere karşı alınabilecek önlemlerdendir.

Yönetsel haklara sahip olmayan öntanımlı kullanıcılar

Bazı uygulamalar tarafından sistemde oluşturulan, ancak hakları bir önceki grup kadar yüksek olmayan hesapları burada toplayabiliriz.

Her ne kadar geniş yetkilere sahip olmadıklarını belirtsek de, bilgi ifşası ve saldırı sonrası hak yükseltme gibi tehlikeli durumların oluşmaması için bu hesaplar da özenle korunmalıdır.

Örnek hesaplara ait öntanımlı kullanıcılar

Emp, dept gibi tabloları Oracle veritabanıyla ilgilenen veya bu konuda herhangi bir eğitim almış herkes bilecektir. Bu tablolar ve benzerleri, Oracle eğitimleri esnasında incelenmesi için kullanılırlar. Tabi bu örnek tablolara ve şemalara ait hesaplar da hiç şüphesiz oluşturulmaktadır.

Bu grupta işte bu tip örnek hesapları sıralayabiliriz.

Görüleceği üzere Oracle’da birçok öntanımlı kullanıcı bulunmaktadır. Bu hesapların yetkileri, hangi işlevler için kullanıldığı ve muhtemel şifreleri herkesçe bilindiğinden, birçok kurum/kuruluşta bu durumla ilgili güvenlik zafiyetiyle karşılaşma ihtimali her zaman vardır.

Bu riskleri minimuma çekmek için ilk yapılabilecek şey bu kullanıcılara ait yeni şifreler belirlemek veya mümkünse bu hesapları kilitlemek olacaktır.

alter user USER_NAME identified by MYNEWPASSWORD;

alter user USER_NAME account lock;

örnek betikleri, yeni bir şifre belirleme veya hesabı kilitlemek için kullanılabilir.

Özetlemek gerekirse Oracle veritabanı güvenliğinde, bu yazıda sıraladığımız öntanımlı veya örnek hesaplar önemli bir yere sahiptir. Oracle veritabanı güvenliği, uygulama mimarisinin hatalı dizaynından, erişim yetkilerinin yanlış konfigurasyonuna kadar uzunca bir listeyle incelenebilecek ve oldukça kapsamlı bir konudur. Bununla birlikte sistemlerde en sık karşılaşılan ve kapatılması en kolay olan güvenlik açıklığı öntanımlı hesaplar ve tahmin edilebilir kolay şifreleri olduğundan, bu yazıdaki listenin incelenmesi ve şifre değişikliği-hesap kilitleme gibi bahsi geçen aksiyonların alınması ilk adım olarak ön plana çıkmaktadır.

Referanslar:

[1] Securing Oracle Database User Accounts, http://download.oracle.com/docs/cd/B28359_01/server.111/b28337/tdpsg_user_accounts.htm

Sadece kayıtlı kullanıcılar yorum yazabilir.
Lütfen sisteme giriş yapın veya kayıt olun.