安全事件 / 可疑访问

针对可疑访问、意外的权限变更或可能的数据泄露的决策树：根据症状引导到正确的响应步骤（锁定账户、撤销多余权限、切断连接、确定范围），以及事后的永久加固。

你注意到了什么？

选择事件类型。症状是可疑登录或大量失败登录、意外的权限（GRANT/角色）变更、可能的数据泄露 / 异常导出，还是事件已结束、你正在进行永久加固？根据你的第一观察选择最合适的分支。首先记下事件发生的时间以及受影响的账户/资源。

大量失败登录表明存在暴力破解 / 撞库（credential stuffing）攻击。相反，成功但意外的登录（来自异常 IP/在异常时间）表明账户可能已被入侵。两种情况下都应先收集证据，再进行响应。

SELECT username, os_username, userhost, timestamp, returncode FROM dba_audit_session WHERE returncode <> 0 ORDER BY timestamp DESC;

出现大量失败登录时，攻击者可能尚未获得访问权限；目标是封锁来源，通过锁定/延迟保护账户，并排除任何成功入侵。

意外的成功登录表明账户已被入侵。先停用该账户及其会话，调查其所作所为，然后重置密码并收窄访问来源。

意外的 GRANT、角色分配或新的高权限账户，可能是入侵的第二阶段（持久化/权限提升）。审计近期的权限变更，撤销不合法的权限，回归最小权限原则。

异常大的查询/导出或意外的外部连接表明存在数据泄露。先切断当前危险的连接，然后通过审计记录/日志确定范围：哪些数据被访问、由谁访问、何时访问。

应急响应之后，实施永久控制以防止再次发生：启用审计、执行最小权限、限制网络访问，并完整记录事件。