Oracle ORA-01017 Failed Login Spike: Security and Configuration Triage
Groups invalid credentials by source and account to distinguish broken application secrets from malicious login attempts safely.
Operational Safety & Risk Notice
This runbook contains operational intervention steps; several are write-impacting (KILL, terminate, DROP, RESIZE). Verify in a staging environment first, and apply sequentially in production with verification.
1. Symptom & Signals
- `ORA-01017: invalid username/password; logon denied` artışı; M47 alarmı.
- `ORA-28000: the account is locked` beraber görülebilir; uygulama oturum açma hatası üretir.
2. Business & Technical Impact
Geçerli kullanıcılar kilitlenebilir; uygulama erişimi düşer. Kimlik doğrulama saldırısı veya hatalı dağıtım söz konusu olabilir.
3. Diagnosis & Root-Cause Analysis
SELECT dbusername, userhost, COUNT(*) AS failures,
MIN(event_timestamp) AS first_seen, MAX(event_timestamp) AS last_seen
FROM unified_audit_trail
WHERE return_code = 1017
AND event_timestamp >= SYSTIMESTAMP - INTERVAL '1' HOUR
GROUP BY dbusername, userhost
ORDER BY failures DESC;Audit policy giriş denemelerini kaydetmiyorsa boş sonuç **girişim olmadığı anlamına gelmez**.
SELECT username, userhost, COUNT(*) AS failures
FROM dba_audit_session
WHERE returncode = 1017 AND timestamp >= SYSDATE - 1/24
GROUP BY username, userhost
ORDER BY failures DESC;SELECT username, account_status, lock_date, profile
FROM dba_users
WHERE username = 'APP_USER';
SELECT profile, resource_name, limit
FROM dba_profiles
WHERE resource_name IN ('FAILED_LOGIN_ATTEMPTS','PASSWORD_LOCK_TIME');4. Remediation & Action Plan
5. Verification & Health Checks
- Hatalı giriş hızı düşüyor, M47 normale döndü; yetkili uygulama hesabı başarıyla bağlanıyor.
- Kilitlenme tekrarlamıyor; olayın kaynak host'u ve nedeni kayıt altına alındı.
6. Rollback & Contingency Plan
- Ağ erişim kısıtlaması yanlış pozitifse değişiklik kaydına göre geri alınır; önce saldırı durumu teyit edilir.
- Secret rotasyonu/hesap kilidi değişikliği kurumun güvenli kimlik yönetim prosedürüyle geri alınır. Başarısız denemeleri silmek veya denetimi kapatmak çözüm değildir.