作業系統與資料庫的使用者權限劃分清楚；
開啟資料庫內建的稽核（Audit）功能，若使用內建的Audit功能影響效能嚴重，可以考慮使用其他工具輔助（如：Guardium、Chalet ADS、iMPERVA等等）

好問題... 不過如果是我, 我會回答資料庫的安全取決於使用者對於安全的認知, 與公司對於安全規定的執型力. 對我來說資料庫是給人用的, 不能用的資料庫沒有存在價值.

預防行動

• 權限管理: 說的比做的容易, 當程式是買回來的, 那就上天保佑了. (不過還是可以事後補破網, 賭的是賣的人給不給支援)
• 使用者教育: 常見的是 Business Analyst 有著超過需要的權限, 或是有較高權限的使用者方便行事, 將帳號借給沒有相關權限的人員
• Patch: 有 guts 直接裝 path 上 production 的同學請舉手.. 至少我是沒膽的. 三年一小修, 五年一大修我倒是會盡力的四處推廣.

事後補救

• 可以使用 system/DB 層級的 trigger 來紀錄登入紀錄, 當然也有很多可以燒錢的產品
• Log 真的是 Admin 的好朋友, 請不要忘記它了存在

我認為半調子的處理方法

• DB encryption: 我看過在 SQL Server 裡使用 user key, 但 user key 明白的寫在 sp 裡面. 更強大的是有專用的 table 來 log 解碼過的 key.
• VPDB: Oracle 的加強板, 不僅可以藏 column, 還能拿來臧 rows. 如果不幸有管理員權限 (sysdba) 拿還是無用

簡潔來說, 如果出問題而我自己解不開, 那只能算半調子. (所以說了這麼多, 我才是最大漏洞嗎?)

--

經驗上... 請把密碼設為永不過期的同學舉手, 資料庫能有多安全大概看舉手的比例就知道了..

--

回到主題.. 稽核師要的應該不是資料庫管理員用了多高深技術, 而是有無一套機制來預防與檢測可能的漏洞. 更重要的是這一機制是否有被執行. ($->$$->$$$)

• 使用者教育
• 管理員有限度的便宜行事 (方便不是隨便)
• 簽收應用程式時將安全性列為簽收項目之一
• 能有資源測試與昇級 patch level

我知道有人想丟鴨蛋了, 我在這接著..

我以前的公司是投保 *員工誠實險*, 萬一出問題要賠, 有保險公司可以賠.
另外再導入: BS-7799/ISO-17799/ISO-27001 認證, 取得客戶信任.

1. 你們的稽核不專業,這樣的問法好像在問嫌疑犯:你要怎麼證明你沒犯罪?沒有證據證明我犯罪,那我就是無罪.
2. 架一台記錄資料庫存取行為的log server(可以外購資料庫稽核軟體或搜集資料庫本身的log),這台server由其他的資訊人員控管,DBA無權限接觸,如果稽核人員問那怎知你們兩個不會串通把log server的log刪改?那這個稽核人員就不用理他了,因為內稽內控並無法防止人為串通的舞弊
   3.具有DBA的管理權限的帳號與密碼,由兩人分持或各持一半,以達互相監督的效果