(完整版)5-数据库安全测评(S3A3G3)-Oracle

1、数据库安全测评表（Oracle ）（数据库版本：ip：）被访谈人员确认签字： 访谈人员签字： 访谈时间： 序号层面控制点要求项权重测评实施测评结果符合程度1主 机 安 全身份鉴别（S）a）应对登录操作系 统和数据库系统的 用户进行身份标识 和鉴别；0.51）访谈系统管理员和数据库管理员，询问操作系统和数据库管理系统的身份标识与鉴别机制 采取何种措施实现；2）检查主要服务器操作系统和主要数据库管 理系统，查看是否提供了身份鉴别措施；3）渗透测试主要服务器操作系统，测试是否存在绕过认证方式进行系统登录的方法；1 ）数据库管理系统的身份标识与鉴别机制采取用户名+密码的验证措施实现；2）经检查，数据库

2、管理系统中不存在空口令或默认口令的用户。1）以默认口令和常见口令登录数据库，查看是否成功，查看 Oracle数据库系统中是否存在空口令或默认口令的用户。默认口令：sys/change_on_installsystem/manager；常用口令一般包括： oracle : oracle/admin/ora92sys: oracle/adminsystem:oracle/admin访谈系统中用户是否存在默认口令的情况2主 机 安 全身份鉴别（S）b）操作系统和数据 库系统管理用户身 份鉴别信息应具有 不易被冒用的特点， 口令应有复杂度要 求并定期更换；11）检查主要服务器操作系统和主要数据库管 理

3、系统，查看其身份鉴别信息是否具有不易被 冒用的特点，如对用户登录口令的最小长度、 复杂度和更换周期进行的要求和限制；2）渗透测试主要服务器操作系统，可通过使用口令破解工具等，对服务器操作系统进行用户 口令强度检测，查看是否能够破解用户口令，破解口令后是否能够登录进入系统；1）执行命令：select limit from dba_profiles where profile= DEFAULT and resource_type= PASSWORD 查看是否启用口 令复杂度函数。2） 检查utlpwdmg.sql（密码策略的sql执行文件，linux/unix 默认路径是 $ORACLE_HOME

4、/rdbms/admin/utlpwdmg.sql）中“ -Check for the minimum length of the password” 部分中“ length（password） ”后的值。3）查看口令管理制度以及执行记录，并选择验证。序号层面控制点要求项权重测评实施测评结果符合程度3主 机 安 全身份鉴别（S）C）应启用登录失败 处理功能，可采取结 束会话、限制非法登 录次数和自动退出 等措施；0.51 ）检查主要服务器操作系统和主要数据库管理 系统，查看是否已配置了鉴别失败处理功能， 并设置了非法登录次数的限制值；查看是否设 置网络登录连接超时，并自动退岀；1）执行命令：s

5、elect limit from dba_profiles where profile= DEFAULT and resource_name= FAILED_LOGIN_ATTEMPTS 查看其值是否为unlimited ，如果其值不为unlimited 则说明进 行了登录失败尝试次数的限制，如设置了登录失败尝试次数，则执行命令： select limit from dba_profiles where profile=DEFAULT and resource_name= PASSWORD_LOCK_TIME查看 其值是否为unlimited ，如果其值不为unlimited 则说明设置了 口

6、令锁定时间。4主 机 安 全身份鉴别（S）d）当对服务器进行 远程管理时，应采取 必要措施，防止鉴别 信息在网络传输过 程中被窃听；11）访谈系统管理员和数据库管理员，询问对操作系统和数据库管理系统是否采用了远程管 理，如采用了远程管理，查看是否采用了防止 鉴别信息在网络传输过程中被窃听的措施；1）查看 initSID.ora 中 REMOTE_OS_AUTHEN赋值（TRUE或 FALSE，是否允许管理员对数据库进行远程管理。2）查看 listener.ora文件中的“ LISTENER - “DESCRIPTION-“ADDRESS_LIS” - “ ADDRESS- “PROTOCOL的

7、 赋值，是否启 用了包括TCPS在内的加密协议。5主 机 安 全身份鉴别（S）e）为操作系统和数 据库的不同用户分 配不同的用户名，确 保用户名具有唯一 性；0.51 ）检查主要服务器操作系统和主要数据库管理 系统帐户列表，查看管理员用户名分配是否唯6主 机 安 全身份鉴 别（S）f）应米用两种或两 种以上组合的鉴别 技术对管理用户进 行身份鉴别。11 ）检查主要服务器操作系统和主要数据库管理 系统，查看身份鉴别是否采用两个及两个以上 身份鉴别技术的组合来进行身份鉴别；1）查看配置文件 sqlnet.ora ，查看SQLNET.AUTHENTICATION_SERVIC的值，确认数据库管理系统

8、 指定的鉴别方式是否与管理员回答的一致。2）如果使用其他技术，则查看该技术的实现情况。7主机访问控制（S）a）应启用访问控制 功能，依据安全策略0.51）检查主要服务器操作系统的安全策略，查看是否对重要文件的访问权限进行了限制，对系1）询问数据库管理员，数据库系统的访问控制策略是什么。2）查看Oracle数据库的访问控制策略是否与管理员回答的一序号层面控制点要求项权重测评实施测评结果符合程度安全控制用户对资源的 访问；统不需要的服务、共享路径等进行了禁用或删除；致。Select * from v$pwfile_users;列出所有具有 SYSDB母口SYSOPEI权限的数据库用户8主 机 安

9、全访问控 制（S）b）应根据管理用户 的角色分配权限，实 现管理用户的权限 分离，仅授予管理用 户所需的最小权限；0.51）检查主要服务器操作系统和主要数据库管 理系统的权限设置情况，查看是否依据安全策 略对用户权限进行了限制；2）检查主要服务器操作系统和主要数据库管理 系统，查看特权用户的权限是否进行分离，如 可分为系统管理员、安全管理员、安全审计员 等；查看是否采用最小授权原则；1）查看每个登录用户的角色和权限，是否是该用户所需的最小 权限。查看所有权限：Select * from dba_users;Select * from all_users;Select * from user_u

10、sers;查看用户系统权限：Select * from dba_sys_privs;Select * from role_sys_privs;Select * from user_sys_privs;Select * from session_privs;查看用户对象权限：Select * from dba_tab_privs;Select * from all_tab_privs;Select * from user_tab_privs;Select * from dba_col_privs;Select * from role_tab_privs;查看所有角色：Select * from

11、dba_roles;查看用户所拥有的角色：Select * from dba_role_privs;序号层面控制点要求项权重测评实施测评结果符合程度Select * from user_role_privs;9主 机 安 全访问控制（S）c）应实现操作系统 和数据库系统特权 用户的权限分离；11 ）检查主要数据库服务器的数据库管理员与操 作系统管理员是否由不同管理员担任；1）登录操作系统，查看是否能对数据库系统进行操作。10主 机 安 全访问控制（S）d）应严格限制默认 账户的访问权限，重 命名系统默认账户， 并修改这些账户的 默认口令；0.51 ）检查主要服务器操作系统和主要数据库管理 系统

12、，查看匿名/默认用户的访问权限是否已被 禁用或者严格限制，是否删除了系统中多余的、 过期的以及共享的帐户；1）以默认账户/ 口令和常见账户/ 口令登录数据库，查看是否成 功，查看Oracle数据库系统中是否存在空口令或默认口令的用 户。默认账户 / 口令：sys/change_on_install system/manager；常用账户 / 口令一般包括：oracle : oracle/admin/ora92sys: oracle/adminsystem:oracle/admin11主 机 安 全访问控制（S）e）应及时删除多余 的、过期的账户，避 免共享账户的存在；0.51）检查主要服务器操

13、作系统和主要数据库管 理系统，是否删除了系统中多余的、过期的以 及共享的帐户；1） 在 sqlplus 中执行命令： select username,account_status from dba_users，查看返回结果中是否存在scott、outln、ordsys等范例数据库账号，针对上述命令获得的用户账号，查看是否存 在过期账户，询问数据库管理员是否每一个账户均为正式、有效的账户。12主 机 安 全访问控制（S）f）应对重要信息资 源设置敏感标记；11 ）检查主要服务器操作系统和主要数据库管理 系统，查看是否对重要信息资源设置敏感标记；1）检查是否安装 Oracle Label Secu

14、rity 模块:select username from dba_users，查看是否有包括所有 Oracle Label Security 对象的LBACSYS用户，其缺省口令是 LBACSYS2） 查看是否创建策略：select policy name,status from序号层面控制点要求项权重测评实施测评结果符合程度dba_sa_policies 。3） 查看是否创建级别：select * from dba_sa_levels order by level_num 。4） 查看标签创建情况：select * from dba_sa_labels。5）询问重要数据存储表格名称。6 ）查

15、看策略与模式、表的对应关系：select * fromdba_sa_tables_policies，判断是否针对重要信息资源设置敏感标签。13主 机 安 全访问控 制（S）g）应依据安全策略 严格控制用户对有 敏感标记重要信息 资源的操作。11 ）检查主要服务器操作系统和主要数据库管理 系统，查看是否依据安全策略严格控制用户对 有敏感标记重要信息资源的操作；1）查看用户的标签： select * from dba_sa_user_labels。2）选择特定的用户和表进行验证敏感标记功能是否正确。14主 机 安 全安全审计（G）a）安全审计应覆盖 到服务器和重要客 户端上的每个操作 系统用户和数

16、据库 用户；11）检查主要服务器操作系统、重要终端操作系 统和主要数据库管理系统，查看安全审计配置 是否符合安全审计策略的要求；1）执行： select value from v$parameter wherename=audit_trail或 show parameter audit_trail，查看是否开启审计功能，审计结果默认存放在哪里。审计跟踪结果如存放到 OS文件，其默认位置为 $ORACLE_BASE/admin/$ORACLE_SID/adump/如存储在数据库中，其位置在system表空间中的SYS.AUD$a中，可通过视图 dba_audit_trail查看。2） 用不同的用

17、户登录数据库系统并进行不同的操作，在Oracle 数据库中查看日志记录是否满足要求。15主机安安全审计（G）b）审计内容应包括 重要用户行为、系统 资源的异常使用和0.51）访谈安全审计员，询问主机系统的安全审计 策略是否包括系统内重要用户行为、系统资源 的异常和重要系统命令的使用等重要的安全相1) show parameter audit_sys_operations。2) select sel,upd,del,ins,gra from dba_obj_audit_opts。(对象级别审计)序号层面控制点要求项权重测评实施测评结果符合程度全重要系统命令的使 用等系统内重要的 安全相关事件；关

18、事件；3）select sel,upd,del,ins,gra from dba_stmt_audit_opts。（语句级别审计）4）select sel,upd,del,ins,gra from dba_priv_audit_opts。（权限级别审计）16主 机 安 全安全审计（G）c） 审计记录应包括 事件的日期、时间、 类型、主体标识、客 体标识和结果等；0.51）检查主要服务器操作系统、重要终端操作系 统和主要数据库管理系统，查看审计记录信息 是否包括事件发生的日期与时间、触发事件的 主体与客体、事件的类型、事件成功或失败、 事件的结果等内容；1）记录一条日志内容。select * f

19、rom sys.aud$;select * from dba_audit_trail;SELECTsessiond,TIMESTAMP,db_user,os_user,userhost,sql_text FROM Dba_Fga_Audit_Trail;17主 机 安 全安全审计（G）d）应能够根据记录 数据进行分析，并生 成审计报表；11）检查主要服务器和重要终端操作系统，查看是否为授权用户提供浏览和分析审计记录的功 能,是否可以根据需要自动生成不同格式的审 计报表；1）询问管理员是否安装并使用Oracle Audit Vault等日志分析工具并查看相关报表。18主 机 安 全安全审计（G）

20、e）应保护审计进程，避免受到未预期的 中断；0.51）测试主要服务器操作系统、重要终端操作系 统和主要数据库管理系统，可通过非审计员的 其他帐户试图中断审计进程，验证审计进程是 否受到保护；1 ）询问是否严格限制数据库管理员权限，系统管理员能否进行 与审计相关的操作。2）用户可以通过 alter system set audit_trail=none并重启实例关闭审计功能，查看是否成功。19主 机 安 全安全审计（G）f）应保护审计记录， 避免受到未预期的 删除、修改或覆盖 等。0.51）检查主要服务器操作系统、重要终端操作系 统和主要数据库管理系统，查看是否对审计记 录实施了保护措施，使其避

21、免受到未预期的删 除、修改或覆盖等；1 ）询问系统管理员，是否严格限制用户访问审计记录的权限，如采用audit vault 等。2）或者：查看备份策略，是否定期备份审计数据。序号层面控制点要求项权重测评实施测评结果符合程度20主 机 安 全入侵防 范（G）a）应能够检测到对 重要服务器进行入 侵的行为，能够记录 入侵的源IP、攻击 的类型、攻击的目 的、攻击的时间，并 在发生严重入侵事 件时提供报警；0.51）访谈系统管理员，询问是否采取入侵防范措 施，入侵防范内容是否包括主机运行监视、特 定进程监控、入侵行为检测和完整性检测等方 面内容；2）检查入侵防范系统，查看是否能够记录攻击 者的源IP

22、、攻击类型、攻击目标、攻击时间等， 在发生严重入侵事件时是否提供报警（如声音、 短信和EMAIL等）；21主 机 安 全入侵防 范（G）b）应能够对重要程 序完整性进行检测， 并在检测到完整性 受到破坏后具有恢 复的措施；11 ）检查重要服务器是否提供对重要程序的完整 性进行检测，并在检测到完整性受到破坏后具 有恢复的措施的功能；22主 机 安 全入侵防 范（G）c）操作系统遵循最 小安装的原则，仅安 装需要的组件和应 用程序，并通过设置 升级服务器等方式 保持系统补丁及时 得到更新。0.51）检查主要服务器操作系统中所安装的系统 组件和应用程序是否都是必须的；2）检查是否设置了专门的升级服务

23、器实现对 主要服务器操作系统补丁的升级；3 ）检查主要服务器操作系统和主要数据库管理 系统的补丁是否得到了及时安装；23主 机 安 全恶意代码防范（G）a）应安装防恶意代 码软件，并及时更新 防恶意代码软件版 本和恶意代码库；11 ）访谈系统安全管理员，询问主机系统是否采 取恶意代码实时检测与查杀措施，恶意代码实 时检测与查杀措施的部署覆盖范围如何；2）检查主要服务器，查看是否安装了实时检测序号层面控制点要求项权重测评实施测评结果符合程度与查杀恶意代码的软件产品并进行及时更新；24主 机 安 全恶意代码防范（G）b）主机防恶意代码 产品应具有与网络 防恶意代码产品不 同的恶意代码库；0.51）

24、检查网络防恶意代码产品， 查看其厂家名称、 产品版本号和恶意代码库名称等，查看其是否 与主机防恶意代码产品有不同的恶意代码库；25主 机 安 全恶意代码防范（G）c）应支持恶意代码 防范的统一管理。0.51 ）检查防恶意代码产品是否实现了统一管理；26主 机 安 全剩余信息保护（S）a）应保证操作系统 和数据库管理系统 用户的鉴别信息所 在的存储空间，被释 放或再分配给其他 用户前得到完全清 除，无论这些信息是 存放在硬盘上还是 在内存中；0.51 ）检查主要操作系统和主要数据库管理系统维 护操作手册，查看是否明确用户的鉴别信息存 储空间被释放或再分配给其他用户前的处理方 法和过程；27主 机

25、 安 全剩余信息保护（S）b）应确保系统内的 文件、目录和数据库 记录等资源所在的 存储空间，被释放或 重新分配给其他用0.21 ）检查主要操作系统和主要数据库管理系统维 护操作手册，查看是否明确文件、目录和数据 库记录等资源所在的存储空间被释放或重新分 配给其他用户前的处理方法和过程；序号层面控制点要求项权重测评实施测评结果符合程度户前得到完全清除。28主 机 安 全资源控制（A）a）应通过设定终端 接入方式、网络地址 范围等条件限制终 端登录；0.51）检查主要服务器操作系统，查看是否设定了 终端接入方式、网络地址范围等条件限制终端 登录；1） 查看服务器端sqlnet.ora中是否配置了

26、以下参数：tcp.validnode_checking（使用这个参数来启用下边的两个参数）、tcp.invited_nodes（指定允许访问db的客户端，他的优先级比 TCP.EXCLUDED_NOD高S 和 TCP.EXCLUDED_NODE指定 不允许访问oracle的节点，可以使用主机名或者IP地址）。2）如果没有在数据库系统上进行相关配置，则询问是否在防火 墙或其他网络设备/安全设备上进行了相关的配置。29主 机 安 全资源控 制（A）b）应根据安全策略 设置登录终端的操 作超时锁定；0.51 ）应检查访问主要服务器的终端是否都设置了 操作超时锁定的配置；1）查看空闲超时设置：sele

27、ct limit from dba_profiles whereprofile= DEFAULT and resource_name= IDLE_TIME。30主 机 安 全资源控制（A）c）应对重要服务器 进行监视，包括监视 服务器的CPU硬盘、 内存、网络等资源的 使用情况；0.51）检查主要服务器操作系统， 查看是否对CPU 硬盘、内存和网络等资源的使用情况进行监控；31主 机 安 全资源控制（A）d）应限制单个用户 对系统资源的最大 或最小使用限度；0.21）检查主要服务器操作系统，查看是否设置了 单个用户对系统资源的最大或最小使用限度；1）执行命令： select username,

28、profile from dba_users，确定用户使用的profile ，针对指定用户的profile ，查看其限制（以 default 为例）。2）select limit from dba_profiles where profile= DEFAULT and resource name= SESSIONS PER USR序号层面控制点要求项权重测评实施测评结果符合程度select limit from dba_profiles where profile= DEFAULTand resource_name= IDLE_TIME。32主 机 安 全资源控制（A）e）应能够对系统的 服务水平降低到预 先规定的最小值进 行检测和报警。0.21）检查主要服务器操作系统，查看是否在服务 水平降低到预先规定的最小值时，能检测和报 警.口 select *fromsys.dba_usersselect *fromdba_profilesselect * from dba_ts_quotasSelect * from user_