DB2数据库安全配置基线.doc

DB2 数据库系统安全配置基线 中国移动通信有限公司 1 DB2DB2 数据库系统安全配置基线数据库系统安全配置基线 中国移动通信有限公司中国移动通信有限公司 管理信息系统部管理信息系统部 2009 年 03 月 DB2 数据库系统安全配置基线 中国移动通信有限公司 2 版本版本版本控制信息版本控制信息更新日期更新日期更新人更新人审批人审批人 V1 0创建2009 年 1 月 备注 备注 1 若此文档需要日后更新 请创建人填写版本控制表格 否则删除版本控制表格 DB2 数据库系统安全配置基线 中国移动通信有限公司 3 目目 录录 第第 1 章章概述概述 1 1 1适用范围 1 1 2适用版本 1 1 3实施 1 1 4例外条款 1 第第 2 章章数据库权限数据库权限 2 2 1从 PUBLIC 撤销隐式的权限和特权 2 2 1 1从PUBLIC撤销隐式的权限和特权 2 2 2跟踪隐式的特权 3 2 2 1跟踪隐式的特权 3 2 3检查用户许可和特权 4 2 3 1检查用户许可和特权 4 第第 3 章章DB2 认证认证 5 3 1为 SYSXXX GROUP 参数使用显式值 5 3 1 1为SYSxxx GROUP 参数使用显式值 5 3 2使用加密的 AUTHENTICATION 模式 5 3 2 1使用加密的AUTHENTICATION模式 5 第第 4 章章DB2 审计审计 7 4 1执行随机安全审计 7 4 1 1执行随机安全审计 7 第第 5 章章评审与修订评审与修订 8 DB2 数据库系统安全配置基线 中国移动通信有限公司第 1 页 共 11 页 第第 1 章章概述概述 本文档规定了中国移动管理信息系统部所维护管理的 DB2 数据库系统应当遵循的数据 库安全性设置标准 本文档旨在指导系统管理人员或安全检查人员进行 DB2 数据库系统的 安全合规性检查和配置 1 1 适用范围适用范围 本配置标准的使用者包括 数据库管理员 应用管理员 网络安全管理员 本配置标准适用的范围包括 中国移动总部和各省公司信息化部门维护管理的 DB2 数 据库系统 1 2 适用版本适用版本 DB2 数据库系统 1 3 实施实施 本标准的解释权和修改权属于中国移动集团管理信息系统部 在本标准的执行过程中 若有任何疑问或建议 应及时反馈 本标准发布之日起生效 1 4 例外条款例外条款 欲申请本标准的例外条款 申请人必须准备书面申请文件 说明业务需求和原因 送 交中国移动通信有限公司管理信息系统部进行审批备案 DB2 数据库系统安全配置基线 中国移动通信有限公司第 2 页 共 11 页 第第 2 章章数据库权限数据库权限 2 1 从从 PUBLIC 撤销隐式的权限和特权撤销隐式的权限和特权 2 1 1 从从 PUBLIC 撤销隐式的权限和特权撤销隐式的权限和特权 安全基线项安全基线项 目名称目名称 DB2 隐式权限安全基线要求项 安全基线编安全基线编 号号 SBL DB2 02 01 01 安全基线项安全基线项 说明说明 从 PUBLIC 撤销隐式的权限和特权 检测操作步检测操作步 骤骤 连接数据库这里以 testdb 为例 CONNECT TO testdb 执行下面命令取消 PUBLIC 的隐式的权限和特权 REVOKE BINDADD ON DATABASE FROM PUBLIC REVOKE CREATETAB ON DATABASE FROM PUBLIC REVOKE CONNECT ON DATABASE FROM PUBLIC REVOKE IMPLICIT SCHEMA ON DATABASE FROM PUBLIC REVOKE USE OF TABLESPACE USERSPACE1 FROM PUBLIC REVOKE SELECT ON TABLE SYSCAT COLAUTH FROM PUBLIC REVOKE SELECT ON TABLE SYSCAT DBAUTH FROM PUBLIC REVOKE SELECT ON TABLE SYSCAT INDEXAUTH FROM PUBLIC REVOKE SELECT ON TABLE SYSCAT PACKAGEAUTH FROM PUBLIC REVOKE SELECT ON TABLE SYSCAT PASSTHRUAUTH FROM PUBLIC REVOKE SELECT ON TABLE SYSCAT ROUTINEAUTH FROM PUBLIC REVOKE SELECT ON TABLE SYSCAT SCHEMAAUTH FROM PUBLIC REVOKE SELECT ON TABLE SYSCAT SECURITYLABELACCESS FROM PUBLIC REVOKE SELECT ON TABLE SYSCAT SECURITYPOLICYEXEMPTIONS FROM PUBLIC REVOKE SELECT ON TABLE SYSCAT SEQUENCEAUTH FROM PUBLIC DB2 数据库系统安全配置基线 中国移动通信有限公司第 3 页 共 11 页 REVOKE SELECT ON TABLE SYSCAT SURROGATEAUTHIDSFROM PUBLIC REVOKE SELECT ON TABLE SYSCAT TABAUTH FROM PUBLIC REVOKE SELECT ON TABLE SYSCAT TBSPACEAUTH FROM PUBLIC REVOKE SELECT ON TABLE SYSCAT XSROBJECTAUTHFROM PUBLIC REVOKE SELECT ON TABLE SYSCAT AUTHORIZATIONIDS FROM PUBLIC REVOKE SELECT ON TABLE SYSCAT OBJECTOWNERS FROM PUBLIC REVOKE SELECT ON TABLE SYSCAT PRIVILEGES FROM PUBLIC 基线符合性基线符合性 判定依据判定依据 建议在创建一个新的数据库之后 应立即撤销这些被授给 PUBLIC 的隐式 特权 从 DB2 V9 1 开始 CREATE DATABASE 命令语法增加了 RESTRICTIVE 选项 如果该命令中包括了 RESTRICTIVE 选项 那么会导致 RESTRICT ACCESS 数据库配置参数被设置为 YES 同时不自动授予 PUBLIC 任何特权 如果忽略了 RESTRICTIVE 选项 那么 RESTRICT ACCESS 数据库配置参数被设置为 NO 前述所有特权都将自 动授予 PUBLIC 您可以执行上述清单中显示的语句来撤销系统编目视图上的特权和其他被授 予 PUBLIC 的隐式特权 但这个清单还不是最全的 备注备注 DB2 在内部使用一个名为 PUBLIC 的伪组 对于 PUBLIC 可以为之授予 特权 也可以撤销它的特权 PUBLIC 实际上不是在外部安全设施中定义 的一个组 但通过它可以为通过 DB2 认证的用户授予特权 2 2 跟踪隐式的特权跟踪隐式的特权 2 2 1 跟踪隐式的特权跟踪隐式的特权 安全基线项安全基线项 目名称目名称 DB2 隐式特权管理安全基线要求项 安全基线编安全基线编 号号 SBL DB2 02 02 01 DB2 数据库系统安全配置基线 中国移动通信有限公司第 4 页 共 11 页 安全基线项安全基线项 说明说明 跟踪隐式的特权 检测操作步检测操作步 骤骤 运行 get dbm cfg 查看状态 并记录 基线符合性基线符合性 判定依据判定依据 应该仔细检查和跟踪执行某动作时所授予的隐式特权 如果以后撤销这个动 作 那么应撤销任何隐式的特权 备注备注 2 3 检查用户许可和特权检查用户许可和特权 2 3 1 检查用户许可和特权检查用户许可和特权 安全基线项安全基线项 目名称目名称 DB2 用户许可和特权安全基线要求项 安全基线编安全基线编 号号 SBL DB2 02 03 01 安全基线项安全基线项 说明说明 检查用户许可和特权 检测操作步检测操作步 骤骤 打开 Control Center 查看授予许可 检查每个用户的许可 将超出的许可和特权取消 基线符合性基线符合性 判定依据判定依据 确保所有被授出的许可和特权都是确实有必要的 1 对于不熟悉 DB2 安全模型的开发人员来说 他们往往因为贪图简单而 通过 Control Center 为自己授予所有可用的特权 以避免安全错误消息 您 应该确保所有被授出的许可和权限都是确实有必要的 备注备注 DB2 数据库系统安全配置基线 中国移动通信有限公司第 5 页 共 11 页 第第 3 章章DB2 认证认证 3 1 为为 SYSxxx GROUP 参数使用显式值参数使用显式值 3 1 1 为为 SYSxxx GROUP 参数使用显式值参数使用显式值 安全基线项安全基线项 目名称目名称 DB2SYSxxx GROUP 参数安全基线要求项 安全基线编安全基线编 号号 SBL DB2 03 01 01 安全基线项安全基线项 说明说明 为 SYSxxx GROUP 参数使用显式值 检测操作步检测操作步 骤骤 连接数据库这里以 testdb 为例 CONNECT TO testdb 执行下面命令修改参数的缺省值 UPDATE DBM CFG USING SYSADM GROUP dbagrp1 db2stop db2start 基线符合性基线符合性 判定依据判定依据 在 Windows 上进行缺省的 DB2 安装时 这些参数的值被缺省地设置为 NULL 这意味着超级用户权限被授给属于本地 Administrators 组的所有有 效用户账户 在 Linux 和 UNIX 平台上 NULL 值被缺省地赋给实例所有者的主组 完成安装后 缺省情况下这个组只包含用户 ID 和实例所有者 备注备注 3 2 使用加密的使用加密的 AUTHENTICATION 模式模式 3 2 1 使用加密的使用加密的 AUTHENTICATION 模式模式 安全基线项安全基线项 目名称目名称 DB2AUTHENTICATION 模式安全基线要求项 安全基线编安全基线编 号号 SBL DB2 03 02 01 DB2 数据库系统安全配置基线 中国移动通信有限公司第 6 页 共 11 页 安全基线项安全基线项 说明说明 使用加密的 AUTHENTICATION 模式 检测操作步检测操作步 骤骤 连接数据库这里以 testdb 为例 CONNECT TO testdb 执行下面命令修改参数的缺省值 要更新 AUTHENTICATION 实例参数的 值 在这个例子中就是 DATA ENCRYPT 的值 UPDATE DBM CFG USING AUTHENTICATION DATA ENCRYPT db2stop db2start 基线符合性基线符合性 判定依据判定依据 AUTHENTICATION 参数是在实例级上设置的 这意味着在相同实例中创 建的数据库将使用共同的身份验证模式 如果有两个数据库 每个数据库需要不同的身份验证模式 那么需要在不同 的实例中创建这两个数据库 备注备注 DB2 数据库系统安全配置基线 中国移动通信有限公司第 7 页 共 11 页 第第 4 章章DB2 审计审计 4 1 执行随机安全审计执行随机安全审计 4 1 1 执行随机安全审计执行随机安全审计 安全基线项安全基线项 目