Oracle ORA-01017 Başarısız Login Artışı: Güvenlik ve Konfigürasyon Triyajı
Geçersiz kullanıcı/şifre denemelerini kaynak ve hesap bazında ayırır; uygulama sırrı hatası ile kötü niyetli girişimleri güvenli biçimde teşhis eder.
Operasyonel Güvenlik ve Risk Uyarısı
Bu runbook müdahale adımları içerir; birçok adım yazma etkilidir (KILL, terminate, DROP, RESIZE). Önce test ortamında deneyin, üretimde adımları sırayla ve doğrulayarak uygulayın.
1. Belirti / Symptom
- `ORA-01017: invalid username/password; logon denied` artışı; M47 alarmı.
- `ORA-28000: the account is locked` beraber görülebilir; uygulama oturum açma hatası üretir.
2. Etki / Impact
Geçerli kullanıcılar kilitlenebilir; uygulama erişimi düşer. Kimlik doğrulama saldırısı veya hatalı dağıtım söz konusu olabilir.
3. Teşhis / Diagnosis
SELECT dbusername, userhost, COUNT(*) AS failures,
MIN(event_timestamp) AS first_seen, MAX(event_timestamp) AS last_seen
FROM unified_audit_trail
WHERE return_code = 1017
AND event_timestamp >= SYSTIMESTAMP - INTERVAL '1' HOUR
GROUP BY dbusername, userhost
ORDER BY failures DESC;Audit policy giriş denemelerini kaydetmiyorsa boş sonuç **girişim olmadığı anlamına gelmez**.
SELECT username, userhost, COUNT(*) AS failures
FROM dba_audit_session
WHERE returncode = 1017 AND timestamp >= SYSDATE - 1/24
GROUP BY username, userhost
ORDER BY failures DESC;SELECT username, account_status, lock_date, profile
FROM dba_users
WHERE username = 'APP_USER';
SELECT profile, resource_name, limit
FROM dba_profiles
WHERE resource_name IN ('FAILED_LOGIN_ATTEMPTS','PASSWORD_LOCK_TIME');4. Müdahale / Response
5. Doğrulama / Verification
- Hatalı giriş hızı düşüyor, M47 normale döndü; yetkili uygulama hesabı başarıyla bağlanıyor.
- Kilitlenme tekrarlamıyor; olayın kaynak host'u ve nedeni kayıt altına alındı.
6. Geri Alma / Rollback
- Ağ erişim kısıtlaması yanlış pozitifse değişiklik kaydına göre geri alınır; önce saldırı durumu teyit edilir.
- Secret rotasyonu/hesap kilidi değişikliği kurumun güvenli kimlik yönetim prosedürüyle geri alınır. Başarısız denemeleri silmek veya denetimi kapatmak çözüm değildir.