Oracle数据库安全测评指导书

序号评测指标评测项检测方法预期结果身份标识唯一手工检查Oracle数据库本身不允许存在相同名字的用户或角色。访谈询问数据库管理员，是否为不同的用户分配不同的用户名。应不存在相同的用户名。身份标识和鉴别手工检查1)应检查oracle系统，查看是否存在空口令或默认口令的用户；2)默认口令，如：SYS/CHANGE_ON_INSTALL；SYSTEM/MANAGER。常用口令：oracle:oracle/admin/ora92（ora+版本）;sys:oracle/admin;system:oralce/admin。应不再使用保留默认口令的用户。身份鉴别信息不易被冒用手工检查1)执行命令：selectlimitfromdba_profileswhereprofile='DEFAULT'andresource_name='PASSWORD_VERITY_FUNCTION'查看是否启用口令复杂度函数；2)检查utlpwdmms.sql中--Checkfortheminimumlengthofthepassword部分中length(password)后的值；3)或者：查看口令管理制度以及执行记录，并选择验证。应启用复杂度函数，对口令的复杂度有一定要求。组合身份鉴别技术访谈1)询问数据库的身份鉴别方式，是否使用其他鉴别技术；手工检查：1)oracle数据库通过sqlnet.ora文件中的参数SQLNET.AUTHENTICATION_SERVICES【NONE|NTS】、PFILE（或SPFILE）文件中的参数REMOTE_LOGIN_PASSWORDFILE【NONE|EXCLUSIVE|SHARED】和口令文件PWDsid.ora三者协同作用实现身份认证。2)如果使用其他技术，则查看该技术的实现情况。还可以借助应用程序服务器提供网络验证，可以引入Kerberos、RADIUS、PKI，如【clt-oraclesvr/radiusclt-radiussvr-authentsvr】。应通过sqlnet.ora、SPFILE、PWDsid.ora文件中的一些配置，对用户进行鉴别；可引入第三方验证机制。登录失败处理手工检查1)执行命令：selectlimitfromdba_profileswhereprofile='DEFAULT'andresource_name='FAILED_LOGIN_ATTEMPTS'输出为失败登陆尝试次数；2)执行命令selectlimitfromdba_profileswhereprofile='DEFAULT'andresource_name='PASSWORD_LOCK_TIME'输出为密码锁定时间。应对失败登陆尝试次数和密码锁定时间进行配置。Oracle数据库安全测评1身份鉴别第1页，共4页序号评测指标评测项检测方法预期结果远程管理加密手工检查1)查看initSID.ora中REMOTE_OS_AUTHENT的赋值；2)或者：查看listenr.ora文件中的LISTENER-DESCRIPTION-ADDRESS_LIST-ADDRESS-PROTOCOL项目的赋值。应尽量杜绝REMOTE_OS_AUTHENT，并启用协议加密。依据安全策略访谈1)询问数据库管理员，数据库系统的访问控制策略是什么；2)查看Oracle数据库的访问控制策略是否与管理员回答的一致。应对数据库、表的访问，配置一定的访问控制策略。特权用户权限分离访谈询问是否由不同员工分别担任操作系统管理员与数据库管理员。应符合测评要求。最小授权原则，且相互制约手工检查1)查看每个登录用户的角色和权限，是否是该用户所需的最小权限。应符合测评要求。限制默认用户访问权限手工检查检查是否存在默认口令。1)登录验证sys的口令是否为CHANGE_ON_INSTALL；2)登录验证system的口令是否为manager；3)验证登陆dbsnmp的口令是否为dbsnmp。未禁用的用户，应不再使用默认口令。账户整理手工检查1)在sqlplus中执行命令:selectusername,account_statusfromdba_users；2)查看返回结果中是否存在scott、outln、ordsys等范例数据库账号；3)针对上述命令获得的用户账号，查看是否存在过期账户，询问数据库管理员是否每一个账户均为正式、有效的账户；应不存在过期、共享账户，关闭不适用的默认账号。重要信息资源设置敏感标记手工检查1)检查是否安装OracleLabelSecurity模块：SELECTobject_type,COUNT(*)FROMdba_objectsWHEREowner='LBACSYS'GROUPBYobject_type;2)查看是否创建策略：SELECTpolicy_name,statusfromDBA_SA_POLICIES；3)查看是否创建级别：SELECT*FROMdba_sa_levelsORDERBYlevel_num；4)查看标签创建情况：select*fromdba_sa_lables；5)询问重要数据存储表格名称；6)查看策略与模式、表的对应关系：select*from应安装OracleLabelSecurity模块，并进行了配置。控制对有敏感标记的资源操作手工检查1)查看用户标签：select*fromdba_sa_user_labels；2)选择特定的用户和表进行验证策略。应安装OracleLabelSecurity模块，并进行了配置。1身份鉴别2访问控制第2页，共4页序号评测指标评测项检测方法预期结果覆盖每个用户手工检查1)执行selectvaluefromv$parameterwherename='audit_trail'，查看是否开启审计功能；2)用不同的用户登录数据库系统并进行不同的操作，在Oracle数据库中查看日志记录是否满足要求。应开启审计功能，并对每个用户的操作都有记录。审计记录：重要用户行为、系统资源的异常使用和重要系统命令的使用手工检查执行如下命令，并记录输出结果。showparameteraudit_trail;showparameteraudit_sys_operations;selectsel,upd,del,ins,grafromdba_obj_audit_opts;selectsel,upd,del,ins,grafromdba_stmt_audit_opts;selectsel,upd,del,ins,grafromdba_priv_audit_opts审计记录应包含要求的要素。安全事件记录：日期和时间、类型、主体标识、客体标识、事件的结果等手工检查记录一条日志内容，确认其包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件成功或失败、身份鉴别事件中请求的来源(如末端标识符)、事件的结果等内容。安全事件记录应包含要求的要素。审计报表访谈询问管理员是否安装并使用OracleAuditVault等日志分析工具并查看相关报表。安装OracleAuditVault工具，或定期查看数据库日志，并进行文档记录。审计进程保护访谈1)以非授权用户（没有审计权限）登录数据库系统，试图改变审计配置选项；2)对于ORACLE数据库，用户可以通过altersystemsetaudit_trail=none，并重启实例关闭审计功能，查看是否成功。未授权的用户，应无法关闭审计进程。审计记录保护访谈1)询问数据库系统管理员是否严格限制用户访问审计记录的权限，如采用auditvault等；如果采用，手工进行确认；2)应防止审计日志空间不够而导致无法记录日志的情况发生。应严格限定数据库管理员对审计记录的访问权限；并对审计日志进行及时记录。操作超时锁定和鉴别失败锁定，解锁或终止方式；手工检查查看空闲超时设置：selectlimitfromdba_profileswhereprofile='DEFAULT'andresource_name='IDLE_TIME';应配置空闲超时设置。资源限额；手工检查1)确定用户使用的profile：selectusername,profilefromdba_users，针对指定用户的profile，查看其限制(以default为例)；2)使用命令selectlimitfromdba_profileswhereprofile='DEFAULT'andresource_name='SESSION_PER_USER'；3)使用命令selectlimitfromdba_profileswhereprofile='DEFAULT'andresource_name='IDLE_TIME'。应限制每个用户的登陆会话时间、空闲时间等资源。3安全审计4资源控制第3页，共4页序号评测指标评测项检测方法预期结果多种方式控制用户建立会话连接；手工检查1)查看服务器端sqlnet.ora中是否配置了以下参数：tcp.validonde_checking和tcp.invited_nodes；2)如果不能则应在防火墙等设备上进行相应的配置。应在服务器端对用户进行一定的登陆限制。5备份和恢复本地数据备份、恢复访谈1)询问系统管理员数据库的备份和恢复策略是什么，查看是否达到上述要求；2)检查相关文档和配置，查看是否与系统管理员回答的一致。3)备份周期要求：1)提供本地实时备份的功能，当数据发生错误时，能及时恢复数据；2)每天至少进行一次全备份，并将备份介质存放在场外。应提供符合业务系统要求的备份策略，并符合测评要求。4资源控制第4页，共4页