Oracle E-Business Suite泄漏信息的风险-诊断

很少找到不使用诊断程序来支持其Oracle E-Business Suite的客户。但是,诊断程序通常被视为信息泄漏的来源。通过设计,不应在生产中启用诊断,或者如果启用了诊断,则应仅在用户级别且有限的时间内启用诊断。如果您的非生产实例具有DMZ节点,则适用相同的建议。

将配置文件选项“ FND:诊断”从默认值“否”设置为“是”会导致在每个页面上呈现“诊断”全局按钮。同样,启用此配置文件选项会在每个OA Framework页面的底部呈现“关于此页面”链接。启用诊断并访问“关于此页”后,单击该按钮或链接的任何人都会看到配置数据,诊断和其他日志消息。此信息仅应显示给具有适当特权和信任的人员。将诊断程序全局提供给所有用户(包括外部DMZ用户,例如iStore和iRecruitment)都不是最佳实践。

通常不了解的是,“诊断”概要文件选项设置会更改E-Business Suite随附的几个专用诊断和监视页面的行为。这些页面提供了有关关键配置和系统性能的大量信息,仅供系统和数据库管理员使用。尽管可以说这些监视和诊断页应该受到Oracle EBS URL防火墙的保护(如果已启用并正确配置),并且可能晦涩难懂,但有人企图从外部或内部人员以恶意的方式攻击您可能会发现它们。这些页面不应由一般用户访问,当然也不能由匿名Internet用户访问。如果不完全禁用诊断,则将其关闭会极大地减少对这些诊断页面的访问。这也是最佳做法是关闭诊断程序并仅在需要时在用户级别启用诊断程序的另一个原因。

您如何知道是否启用了诊断?

  • 检查系统配置文件选项“ FND:诊断”。在网站级别,应将其设置为“否”。

如果您有问题,请与我们联系。

参考文献

 Share this post

订阅RSS

将我们添加到您最喜欢的新闻阅读器中。

在Twitter上关注

获取最新更新。