AIX数据库服务器主机安全方案

数据库服务器主机安全方案主机环境服务器类型：IBMP740(8205-E6B)，2台操作系统：AIX6.1本机磁盘：2路镜像磁盘组，每个磁盘容量300GB（实际可用280G）内存：32GB外接存储：IBM2076FCDisk，1TB数据库软件：Oracle11gR2RAC方案描述###安全性原则###用户被赋予唯一的用户名、用户ID（UID）和口令。用户登陆后，对文件访问的合法性取决于UID。文件创建时，UID自动成为文件属主。只有文件属主和root才能修改文件的访问许可权。需要共享一组文件的用户可以归入同一个组中。每个用户可属于多个组。每个组被赋予唯一的组名和组ID（GID），GID也被赋予新创建的文件。###root特权的控制###严格限制具有root特权的人数。如需获得root特权，需向主管方进行申请，说明缘由和要进行的操作以及使用时间。root口令应由系统管理员以不公开的周期进行更改。不同的机器采用不同的root口令。系统管理员应以未公开的用户登录，然后用su命令切换到root用户root的PATH环境变量不要随意更改。注意：为防止配置错误对系统造成影响，安全方案实施之前，请先对/etc目录的内容进行备份。数据库服务器主机安全方案包括身份鉴别、访问控制、安全审计、剩余信息保护、资源控制等5个方面的内容。1.1身份鉴别身份鉴别部分的内容涉及密码复杂度、密码有效期、身份验证失败处理、限制远程连接用户、鉴别信息加密等方面。1.1.1a)是否对登录操作系统和数据库系统的用户进行身份标识和鉴别登录操作系统和数据库系统，均需要通过用户名和密码进行验证检查/etc/passwd文件，第二列值为!的用户已经设置密码，为*的未设置密码.用passwd命令为所有未设置密码的用户设置密码#passwd[username]1.1.2b)操作系统和数据库系统管理用户身份标识是否具有不易被冒用的特点，口令是否有复杂度要求并定期更换以下以wsj用户为例，设置密码的复杂度和有效期。###创建账户###mkuserwsjpaswwdwsjwsj用户第一次登录时，要求修改密码###口令复杂度###口令必须具备采用3种以上字符、长度不少于8位并定期更换；记录帐户原来属性：lsuserwsj密码长度不小于8chuserminlen=8wsj至少包含1个字母chuserminalpha=1wsj至少包含1个非字母数字chuserminother=1wsj###口令有效期###口令最长有效期为12周chusermaxage=12wsj###设置口令与前面5个口令不能重复###chuserhistsize=5wsj1.1.3c)是否启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施以下以wsj用户为例，设置用户登录失败锁定。###登录失败处理###设置6次登陆失败后锁定帐户chuserloginretries=6wsj解除锁定的方法：将/etc/security/lastlog文件中wsj用户的unsuccessful_login_count值修改为01.1.4d)当对服务器进行远程管理时，是否采取必要措施，防止鉴别信息在网络传输过程中被窃听###远程管理时应启用SSH等管理方式，加密管理数据，防止被网络窃听。###查看sshd服务是否开启：1.1.5e)是否为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性操作系统的管理员用户为rootOracle数据库系统的用户为oracle，cluster用户为grid1.2访问控制1.2.1a)是否启用访问控制功能，依据安全策略控制用户对资源的访问制定严格的访问控制安全策略，根据策略控制用户对应用系统的访问，特别是文件操作、数据库访问等，控制粒度主体为用户级、客体为文件级。1.2.2b)是否根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限操作系统的管理员用户为root（组为root），Oracle数据库系统的用户为oracle（组为oinstall等），cluster用户为grid设置umask，系统缺省值为022。查看用户的umask：#umask如需修改，在/etc/profile或用户home目录下的.profile中加入如下一行内容（以027为例）：umask027检查和系统安全相关的几个配置文件的访问权限。1.2.3c)是否实现操作系统和数据库系统特权用户的权限分离区分root和oracle，grid用户权限。1.2.4d)是否限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令为每一个系统默认帐户重设口令。方法详见1.1.2节。1.2.5e)是否及时删除多余的、过期的帐户，避免共享帐户的存在检查系统账户之外多余和过期的帐户并删除。以test用户为例：#rmusertest1.3安全审计1.3.1a)审计范围是否覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户操作系统用户的审计由主机的审计服务进行管理，数据库用户的审计由Oracle数据库系统来管理。1.3.2b)审计内容是否包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件用#auditquery命令查看系统的audit服务是否开启，以及审计哪些事件和对象(如果audit服务未开启，用#auditstart命令开启。)查看/etc/security/audit/conf文件是否包含子系统审计处理的事件用#auditpr–v/audit/trail和#auditpr–v/audit/bin1(或bin2)命令查看近期和历史的审计情况/var/adm/sulog记录su日志/etc/utmp在线用户记录，可用who-a命令查看#who-a/etc/utmp/etc/security/failedlogin非法和失败登录的记录，查看（未知的登录名标记为UNKNOWN）#who-a/etc/security/failedlogin/var/adm/wtmp用户登录、退出的历史记录，可用last命令查看#last1.3.3c)审计记录是否包括事件的日期、时间、类型、主体标识、客体标识和结果等1.3.4d)是否能够根据记录数据进行分析，并生成审计报表需安装snare等第三方日志分析软件1.3.5e)是否保护审计进程，避免受到未预期的中断确保audit进程以root身份运行，非特权用户无权停止该进程。将audit设置为开机自动启动：#mkitab-ircnfsrc.local:2:once:/etc/rc.local/dev/console2&1#touch/etc/rc.local#chmod700/etc/rc.local在rc.local文件中加入auditstart1.3.6f)是否保护审计记录，避免受到未预期的删除、修改或覆盖等严格控制审计记录文件的读写权限1.4剩余信息保护1.4.1a)是否保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中检查/etc/passwd，/etc/group等系统配置文件，保证没有已删用户的数据残留，在删除用户后确认home目录同时被删除1.4.2b)是否确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除清理回收站，/tmp、/var/tmp等临时目录下的相关目录和文件，删除数据库用户的同时删除其拥有的数据库对象和表空间1.5资源控制1.5.1a)是否通过设定终端接入方式、网络地址范围等条件限制终端登录限制终端接入方式为经过数据加密的ssh方式。关闭telnet，xdmcp，XVnc等连接方式。关闭telnet服务：stopsrc–ttelnetlssrc-ttelnet清空/etc/hosts.equiv禁止root远程登录#vi/etc/ssh/sshd_config:（修改下面两条，需重启sshd：servicesshdrestart）PermitRootLoginnoMaxAuthTries6屏蔽banner信息#vi/etc/ssh/sshd_config:注释掉banner的相关条目#Banner/some/path1.5.2b)是否根据安全策略设置登录终端的操作超时锁定开启屏幕保护，长时间无操作后锁定屏幕。Ssh连接长时间无请求自动断开连接：1.5.3c)是否对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况可使用*stat命令查看服务器资源使用情况。或安装nmon工具，对系统资源使用情况进行监控和统计。nmon监控命令：#/nmon/nmon12f_aix612将数据捕获到文件，便于以后分析和绘制图形：#/nmon/nmon12f_aix612-fT-s10–m/nmon（使用#/nmon/nmon12f_aix612-h查看nmon命令的用法）可将生成的.mon文件ftp到windows主机，用nmonanalyzer工具（基于excel宏）对数据进行分析和绘制图形：1.5.4d)是否限制单个用户对系统资源的最大或最小使用限度可编辑vi/etc/security/limits文件对各用户可使用的系统资源数量进行限制。1.5.5e)是否能够对系统的服务水平降低到预先规定的最小值进行检测和报警可编写shell脚本对cpu，内存，磁盘使用情况进行检测，超过阈值后生成日志。