DB2数据库安全配置基线.

1、DB2数据库系统安全配置基线版本版本控制信息|更新日期更新人审批人V1.0创建2009年1月V2.0更新2012年4月备注：1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。第1章概述 41.1 适用范围41.2 适用版本41.3 实施41.4 例外条款4第2章帐号与口令42.1 帐号42.1.1 删除不必要的帐号* 42.1.2 分配数据库用户所需的最小权限* 52.2 口令52.2.1 DB2用户口令安全5第3章数据库权限73.1 从PUBLIC撤销隐式的权限和特权 73.1.1 从PUBLIC撤销隐式的权限和特权 73.2 跟踪隐式的特权 93.2.1 跟踪隐式的

2、特权93.3 检查用户许可和特权 93.3.1 检查用户许可和特权* 9第4章 DB2认证114.1 为SYSXXX_GROUP参数使用显式值 114.1.1 为SYSxxx_GROUP参数使用显式值 114.2 使用加密的 AUTHENTICATION 模式 114.2.1 使用加密的 AUTHENTICATION 模式11第5章 DB2审计135.1 执行随机安全审计 135.1.1 执行随机安全审计* 13第6章 评审与修订14第1章概述本文档旨在指导系统管理人员或安全检查人员进行DB2数据库系统的安全合规性检查和配置。1.1适用范围本配置标准的使用者包括：数据库管理员、应用管理员、网络

3、安全管理员。1.2适用版本DB2数据库系统。1.3实施1.4例外条款第2章帐号与口令2.1帐号 2.1.1删除不必要的帐号*安全基线项 目名称数据库管理系统DB2用户安全基线要求项安全基线SBL- DB2-02-01-01安全基线项 说明应删除与数据库运行、维护等工作无关的帐号。检测操作步 骤1、参考配置操作DB2企业管理器-安全性-登陆中删除无关帐号；DB2企业管理器-数据库-对应数据库-用户中删除无关帐号；基线符合性 判定依据首先删除不需要的用户，已删除数据库不能登陆使用 在DB2查询分析器的登陆界面中使用已删除帐号登陆备注手工检查2.1.2分配数据库用户所需的最小权限*安全基线项 目名称

4、数据库管理系统DB2共享帐号安全基线要求项安全基线SBL- DB2-02-01-02安全基线项 说明在数据库权限配置能力内，根据用户的业务需要，配置其所需的最小权限。检测操作步 骤1. 更改数据库属性，取消业务数据库帐号不需要的服务器角色；2. 更改数据库属性，取消业务数据库帐号不需要的“数据库访问许可”和“数据库角色中允许”中不需要的角色。基线符合性 判定依据1. 更改数据库属性，取消业务数据库帐号不需要的服务器角色；2. 更改数据库属性，取消业务数据库帐号不需要的“数据库访问许可”和“数据库角色中允许”中不需要的角色。备注建议手工检查2.2 口令2.2.1 DB2用户口令安全安全基线项 目

5、名称数据库管理系统DB2用户口令安全基线要求项安全基线SBL- DB2-02-02-01安全基线项 说明对用户的属性进行安全检查，包括空密码、密码更新时间等。修改目前所有 帐号的口令，确认为强口令。口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且5次以内不得设置相同的口令。密码应至少每90天进行更换。检测操作步 骤1.检查password子段是否为 null。2参考配置操作查看用户状态运行查询分析器，查看口令为空的用户基线符合性 判定依据password 字段不为 null。备注第3章数据库权限3.1从PUBLIC撤销隐式的权限和特权3.1.1从PUBLIC撤销隐式

6、的权限和特权安全基线项 目名称DB2隐式权限安全基线要求项安全基线编 号SBL-DB2-03-01-01安全基线项 说明从PUBLIC撤销隐式的权限和特权检测操作步 骤连接数据库这里以 testdb为例，CONNECT TO testdb;执行下面命令取消 PUBLIC的隐式的权限和特权：REVOKE BINDADD ON DATABASE FROM PUBLIC;REVOKE CREATETAB ON DA TABASE FROM PUBLIC;REVOKE CONNECT ON DATABASE FROM PUBLIC;REVOKE IMPLICIT_SCHEMA ON DATABASE

7、FROM PUBLIC;REVOKE USE OF TABLESPACE USERSPACE1 FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.COLAUTH FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.DBAUTH FROM PUBLIC;REVOKE SELECT ON TABLE SYSCATNDEXAUTH FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.PACKAGEAUTH FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.PASSTHR

8、UAUTH FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.ROUTINEAUTH FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.SCHEMAAUTH FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.SECURITYLABELACCESS FROMPUBLIC;REVOKE SELECT ON TABLE SYSCAT.SECURITYPOLICYEXEMPTIONSFROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.SEQUENCEAUTH FROM

9、PUBLIC;REVOKE SELECT ON TABLESYSCAT.SURROGATEAUTHIDSFROMPUBLIC;REVOKE SELECT ON TABLE SYSCAT.TABAUTH FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.TBSPACEAUTH FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.XSROBJECTAUTHFROM PUBLIC;REVOKE SELECT ON TABLESYSCAT.AUTHORIZATIONIDSFROMPUBLIC;REVOKE SELECT ON TABLE

10、 SYSCAT.OBJECTOWNERS FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.PRIVILEGES FROM PUBLIC;基线符合性建议在创建一个新的数据库之后，应立即撤销这些被授给PUBLIC的隐式判定依据特权。从 DB2 V9.1 开始，CREATE DATABASE 命令语法增加了 RESTRICTIVE选项。如果该命令中包括了RESTRICTIVE 选项，那么会导致RESTRICT_ACCESS 数据库配置参数被设置为YES，同时不自动授予PUBLIC 任何特权。如果忽略 了 RESTRICTIVE 选项， 那么RESTRICT_ACC

11、ESS 数据库配置参数被设置为NO ,前述所有特权都将自动授予 PUBLIC。您可以执行上述清单中显示的语句来撤销系统编目视图上的特权和其他被授予 PUBLIC 的隐式特权。但这丨清单还不是最全的。备注DB2在内部使用一个名为PUBLIC的伪组，对于 PUBLIC，可以为之授予特权，也可以撤销它的特权。PUBLIC实际上不是在外部安全设施中定义的一个组，但通过它可以为通过DB2认证的用户授予特权。3.2跟踪隐式的特权 3.2.1跟踪隐式的特权安全基线项 目名称DB2隐式特权管理安全基线要求项安全基线编 号SBL-DB2-03-02-01安全基线项 说明跟踪隐式的特权检测操作步 骤运行get d

12、bm cfg 查看状态，并记录。例如，假设您一开始将 DBADM权限授予用户JEFF，而随后又您决定撤销此权限。为了撤销JEFF的DBADM权限，可以使用以下语句： REVOKEDBADMDNDATABASE FROM USER jeff基线符合性 判定依据应该仔细检查和跟踪执行某动作时所授予的隐式特权。如果以后撤销这个动 作，那么应撤销任何隐式的特权。备注3.3检查用户许可和特权 3.3.1检查用户许可和特权*安全基线项 目名称DB2用户许可和特权安全基线要求项安全基线编 号SBL-DB2-03-03-01安全基线项 说明检查用户许可和特权检测操作步 骤打开Control Center查看授

13、予许可；检查每个用户的许可，将超出的许可和特权取消。基线符合性 判定依据确保所有被授出的许可和特权都是确实有必要的。对于不熟悉DB2安全模型的开发人员来说，他们往往因为贪图简单而通过Control Center为自己授予所有可用的特权，以避免安全错误消息。您应该确保所有被授出的许可和权限都是确实有必要的。备注手工检查第4章DB2认证4.1为SYSxxx_GROUP参数使用显式值4.1.1为SYSxxx_GROUP 参数使用显式值安全基线项 目名称DB2SYSxxx GROUP 参数安全基线要求项安全基线编 号SBL-DB2-04-01-01安全基线项 说明为SYSxxx_GROUP 参数使用显

14、式值检测操作步 骤连接数据库这里以 testdb为例，CONNECT TO testdb;执行下面命令修改参数的缺省值：UPDATE DBM CFG USING SYSADM_GROUP dbagrp1 db2stopdb2start基线符合性 判定依据在Windows上进行缺省的 DB2安装时，这些参数的值被缺省地设置为NULL。这意味着超级用户权限被授给属于本地Administrators组的所有有效用户帐户。在Linux和UNIX平台上，NULL值被缺省地赋给实例所有者的主组，完 成安装后，缺省情况下这个组只包含用户ID和实例所有者。备注4.2使用加密的AUTHENTICATION 模式

15、4.2.1使用加密的AUTHENTICATION 模式安全基线项 目名称DB2AUTHENTICATION 模式安全基线要求项安全基线编 号SBL-DB2-04-02-01安全基线项 说明使用加密的AUTHENTICATION 模式检测操作步 骤连接数据库这里以 testdb为例，CONNECT TO testdb;执行下面命令修改参数的缺省值（要更新AUTHENTICATION实例参数的值，在这个例子中就是DATA_ENCRYPT 的值）：UPDATE DBM CFG USING AUTHENTICATION DA TA_ENCRYPTdb2stopdb2start基线符合性 判定依据AUTHENTICATION 参数是在实例级上设置的，这意味着在相冋实例中创建 的数据库将使用共同的身份验证模式。如果有两个数据库，每个数据库需要不同的身份验证模式，那么需要在不同 的实例中创建这两个数据库。备注第5章DB2审计5.1执行随机安全审计 5.1.1执行随机安全审计*安全基线项 目名称DB2随机安全审计安全基线要求项安全基线编 号SBL-DB2-05-01-01安全基线项 说明执行随机安全审计检测操作步 骤db2audit describe可以使用db2audit命令来配置和操作审计功能。完成审计的配置并且生成了 审计记录后，可以将审计记录提