(完整版)5-数据库安全测评(S3A3G3)-Oracle

1、数据库安全测评表（Oracle ）（数据库版本：ip :）被访谈人员确认签字： 访谈人员签字： 访谈时间： 序号层面控制点要求项权重测评实施测评结果符合程度1主机安 全身份鉴别（S）a）应对登录操作系统 和数据库系统的用户进 行身份标识和鉴别；0.51）访谈系统管理员和数据库管理员，询问操作系统和数据库管理系统的身份标识与鉴别机制采取何种措施实现；2） 检杳主要服务器操作系统和主要数据库管理系 统，查看是否提供了身份鉴别措施；3）渗透测试主要服务器操作系统，测试是否存在绕过认证方式进行系统登录的方法；1 ）数据库管理系统的身份标识与鉴别机制采取用户名+密码的验证措施实现；2）经检查，数据库管理

2、系统中不存在空口令或默认口令的用户。1）以默认口令和常见口令登录数据库，查看是否成功，查看Oracle数据库系统中是否存在空口令或默认口令的用户。默认口令： sys/cha nge_on_in stallsystem/ma nager；常用口令一般包括：oracle : oracle/admin/ora92sys: oracle/adminsystem: oracle/adm in2主机安 全身份鉴 别（S）b）操作系统和数据 库 系统管理用户身份鉴别 信息应具有不易被冒用 的特点，口令应有复杂 度要求并定期更换；1） 检查主要服务器操作系统和主要数据库管 理系 统，查看其身份鉴别信息是否具有

3、不易被 冒用的特 点，如对用户登录口令的最小长度、复杂度和更换 周期进行的要求和限制；2）渗透测试主要服务器操作系统，可通过使用口令破解工具等，对服务器操作系统进行用户口令强度检测，查看是否能够破解用户口令，1) 执行命令： select limit from dba_profiles where profile二DEFAULT and resource_type= PASSWORD 查看是否启用口令复杂度函数。2) 检杳utlpwdmg.sql (密码策略的sql执行文件，linux/unix默认路 径是 $ORACLE_HOME/rdbms/admin/utlpwdmg.sql)中“ -C

4、heck for the minimum length of the password” 咅E分中“ length (password )v ”后的值。3) 查看口令管理制度以及执行记录，并选择验证。序号层面控制点要求项权重测评实施测评结果符合程度3主 机 安 全身份鉴别（S）C）应启用登录失败 处理功能，可采取结束 会话、限制非法登录次 数和自动退出等措施；0.51 ）检杳主要服务器操作系统和主要数据库管理 系 统，查看是否已配置了鉴别失败处理功能， 并设置 了非法登录次数的限制值；查看是否设 置网络登录 连接超时，并自动退岀；1） 执行命令： select limit from dba_p

5、rofiles where profile二DEFAULT and resource_name= FAILED_LOGIN_ATTEMPTS 查看 其值是否为unlimited，如果其值不为unlimited则说明进行了登录失 败尝试次数的限制，如设置了登录失败尝试次数，则执行命令：select limit from dba_profiles where profile=DEFAULT and resource_name= PASSWORD_LOCK_TIME 查看 其值是否为unlimited，如果其值不为unlimited则说明设置了 口令锁 定时间。4主 机 安 全身份鉴别（S）d）当对

6、服务器进行 远 程管理时，应采取必要 措施，防止鉴别信息在 网络传输过程中被窃 听;:1）访谈系统管理员和数据库管理员，询问对操作系统和数据库管理系统是否采用了远程管理，如采用了远程管理，查看是否采用了防止鉴别信息在网络传输过程中被窃听的措施；1）查看 initSID.ora 中 REMOTE_OS_AUTHEN 赋值（TRUE 或FALSE，是否允许管理员对数据库进行远程管理。2） 查看 listener.ora文件中的“ LISTENER - “DESCRIPTION-“ADDRESS_LIS ”- “ ADDRESS- “ PROTOCOL 的 赋值，是否启 用了包括TCPS在内的加密协

7、议。5主 机 安 全身份鉴别（S）e）为操作系统和数据 库的不同用户分配不同 的用户名，确保用户名 具有唯一性；0.51 ）检查主要服务器操作系统和主要数据库管理系统帐户列表，查看管理员用户名分配是否唯6主机安全身份鉴别（S）f）应米用两种或两 种 以上组合的鉴别技术对 管理用户进行身份鉴 别。1 ）检查主要服务器操作系统和主要数据库管理 系 统，查看身份鉴别是否采用两个及两个以上 身份鉴 别技术的组合来进行身份鉴别；1）查看配置文件 sqlnet.ora，查看SQLNET.AUTHENTICATION_SERVIC的值，确认数据库管理系统指定的鉴别方式是否与管理员回答的致。2）如果使用其他技

8、术，则查看该技术的实现情况。7主机访问控制（S）a）应启用访问控制功能，依据安全策略0.51）检查主要服务器操作系统的安全策略，查看是否对重要文件的访问权限进行了限制，对系1）询问数据库管理员，数据库系统的访问控制策略是什么。2）查看Oracle数据库的访问控制策略是否与管理员回答的一序号层面控制点要求项权重测评实施测评结果符合程度安全控制用户对资源的访问；统不需要的服务、共享路径等进行了禁用或删除；致。Select * from v$pwfile_users;列出所有具有 SYSDB 母口SYSOPEI权限的数据库用户8主机安 全访问控制(S)b)应根据管理用户的 角色分配权限，实现管 理用

9、户的权限分离，仅 授予管理用户所需的最 小权限；0.51) 检杳主要服务器操作系统和主要数据库管 理 系统的权限设置情况，查看是否依据安全策 略对用户 权限进行了限制；2) 检查主要服务器操作系统和主要数据库管理系统，查看特权用户的权限是否进行分离，如 可分为 系统管理员、安全管理员、安全审计员 等；查看是否 采用最小授权原则；1）查看每个登录用户的角色和权限，是否是该用户所需的最小权限。查看所有权限：Select * from dba_users;Select * from all_users;Select * from user_users;查看用户系统权限：Select * from d

10、ba_sys_privs;Select * from role_sys_privs;Select * from user_sys_privs;Select * from sessi on _privs;查看用户对象权限：Select * from dba_tab_privs;Select * from all_tab_privs;Select * from user_tab_privs;Select * from dba_col_privs;Select * from role_tab_privs;查看所有角色：Select * from dba_roles;查看用户所拥有的角色：Select

11、 * from dba role privs;序号层面控制点要求项权重测评实施测评结果符合程度Select * from user_role_privs;9主机 安 全访问控制（S）C）应实现操作系统和 数据库系统特权用户的 权限分离；11 ）检杳主要数据库服务器的数据库管理员与操作系统管理员是否由不同管理员担任；1）登录操作系统，查看是否能对数据库系统进行操作。10主机 安 全访问控制（S）d）应严格限制默认 账 户的访问权限，重命名 系统默认账户，并修改 这些账户的 默认口令；0.51 ）检杳主要服务器操作系统和主要数据库管理 系 统，查看匿名/默认用户的访问权限是否已被 禁用或 者严格限

12、制，是否删除了系统中多余的、 过期的以 及共享的帐户；1）以默认账户/ 口令和常见账户/ 口令登录数据库，查看是否成功，杳看Oracle数据库系统中是否存在空口令或默认口令的用户。默认账户 / 口令：sys/change_on_install system/manager；常用账户 / 口令一般包括：oracle : oracle/admin/ora92sys: oracle/adminsystem: oracle/adm in11主 机 安 全访问控制（S）e）应及时删除多余的、过期的账户，避免共享账户的存在；0.51）检杳主要服务器操作系统和主要数据库管 理系 统，是否删除了系统中多余的、

13、过期的以 及共享的 帐户；1） 在 sqlplus 中执行命令：select username,account_status fromdba_users，杳看返回结果中是否存在scott、outln、ordsys等范例数据库账号，针对上述命令获得的用户账号，查看是否存在过期账户，询问数据库管理员是否每一个账户均为正式、有效的账户。12主 机 安 全访问控 制（S）f）应对重要信息资 源设置敏感标记；1）检杳主要服务器操作系统和主要数据库管理系统，查看是否对重要信息资源设置敏感标记；1) 检杳是否安装 Oracle Label Security 模块:select user name fromd

14、ba_users，杳看是否有包括所有Oracle Label Security 对象的LBACSYS用户，其缺省口令是LBACSYS2) 杳看是否创建策略：select policy n ame,status from序号层L 面控制点要求项权重测评实施测评结果符合程度dba_sa_policies 。3） 查看是否创建级别：select * from dba_sa_levels order by level_num 。4） 查看标签创建情况：select * from dba_sa_labels。5）询问重要数据存储表格名称。6 ）查看策略与模式、表的对应关系：select * fromdb

15、a sa tables policies，判断是否针对重要信息资源设置敏感13主机安全访问控制（S）g）应依据安全策略严 格控制用户对有 敏感标 记重要信息资源的操 作。11 ）检杳主要服务器操作系统和主要数据库管理 系 统，查看是否依据安全策略严格控制用户对 有敏感 标记重要信息资源的操作；1）查看用户的标签：select * from dba_sa_user_labels。2）选择特定的用户和表进行验证敏感标记功能是否正确。14主机安 全安全审 计（G）a）安全审计应覆盖到 服务器和重要客户端上 的每个操作系统用户和 数据库用户；1）检查主要服务器操作系统、重要终端操作系 统 和主要数据库

16、管理系统，查看安全审计配置 是否符 求；1）执行： select value from v$parameter wherename=audit_trail或 show parameter audit_trail，查看是否幵启审计功能，审计结果默认存放在哪里。审计跟踪结果如存放到OS文件，其默认位置为$ORACLE_BASE/admi n/$ORACLE_SID/adump/如存储在数据库中，其位置在system表空间中的SYS.AUD$ a中，可通过视图 dba_audit_trail查看。2） 用不冋的用户登录数据库系统并进行不冋的操作，在Oracle 数据库中查看日士记录是否满足要求15主

17、机L 安安全审 计（G）b）审计内容应包括重 要用户行为、系统资源 的异常使用和0.51 ）访谈安全审计员，询问主机系统的安全审计 策 略是否包括系统内重要用户行为、系统资源 的异常 和重要系统命令的使用等重要的安全相据丿牛中杳看日 志、记录是否彳满足要刁。1) show parameter audit_sys_operations。2) select sel,upd,del,i ns,gra from dba_obj_audit_opts。(对象级别审计)序号层面控制点要求项权重测评实施测评结果符合程度全重要系统命令的使用 等系统内重要的安全相 关事件；关事件；3）select sel,up

18、d,del,ins,gra from dba_stmt_audit_optso（语句级别审计）4）select sel,upd,del,ins,gra from dba_priv_audit_optso16主机安 全安全审 计（G）c） 审计记录应包括 事 件的日期、时间、类 型、主体标识、客体标 识和结果等；0.51）检杳主要服务器操作系统、重要终端操作系统和主要数据库管理系统，查看审计记录信息是否包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件成功或失败、事件的结果等内容；1）记录条日志内容。select * from sys.aud$;select * from dba_

19、audit_trail;SELECTsessiond,TIMESTAMP,db_user,os_user,userhost,sql_text FROMDba Fga Audit Trail；17主机安全安全审 计（G）d）应能够根据记录数 据进行分析，并生成审 计报表；11）检查主要服务器和重要终端操作系统， 查看 是否为授权用户提供浏览和分析审计记录的功 能， 是否可以根据需要自动生成不同格式的审 计报表；1）询问管理员是否安装并使用Oracle Audit Vault等日志分析工具并查看相关报表。18主机安全安全审 计（G）e）应保护审计进程， 避免受到未预期的中 断;0.51）测试主要服

20、务器操作系统、重要终端操作系统和主要数据库管理系统，可通过非审计员的其他帐户试图中断审计进程，验证审计进程是否受到保护；1 ）询问是否严格限制数据库管理员权限，系统管理员能否进行与审计相关的操作。2）用户可以通过 alter system set audit_trail 二none并重启实例关闭审计功能，查看是否成功。19主机安全安全审 计（G）f）应保护审计记录， 避免受到未预期的删 除、修改或覆盖等。0.51）检查主要服务器操作系统、重要终端操作系 统 和主要数据库管理系统，查看是否对审计记 录实施 了保护措施，使其避免受到未预期的删 除、修改或 覆盖等；1 ）询问系统管理员，是否严格限制

21、用户访问审计记录的权限，如采用audit vault等。2）或者：查看备份策略，是否定期备份审计数据。序号层面控制点要求项20主 机 安 全入侵防范（G）a）应能够检测到对重 要服务器进行入侵的行 为，能够记录入侵的源 P、攻击的类型、攻击 的目的、攻击的时间， 并在发生严重入侵事 件时提供报警；21主 机 安 全入侵防范（G）b）应能够对重要程序 完整性进行检测，并在 检测到完整性受到破坏 后具有恢复的措施；22主 机 安 全入侵防范（G）C）操作系统遵循最小 安装的原则，仅安装需 要的组件和应用程序， 并通过设置升级服务器 等方式保持系统补丁及 时得到更新。23主 机 安 全恶意代码防范（

22、G）a）应安装防恶意代码 软件，并及时更新防恶 意代码软件版本和恶意 代码库；0.5组件和应用程序是否都是必须的;主要服务器操作系统补丁的升级;系统的补丁是否得到了及时安装;1）检查主要服务器操作系统中所安装的系统2）检查是否设置了专门的升级服务器实现对3 ）检查主要服务器操作系统和主要数据库管理程度序号符合程度242526恶意代码防范(G)恶意代码防范(G)剩余信息保护(S)剩余信息保护(S)b）主机防恶意代码产品应具有与网络 防恶意代码产品不同的恶意代码库;c）应支持恶意代码防范的统一管理。a）应保证操作系统和数据库管理系统用户的鉴别信息所在的存储空间，被释放或再分配给1 ）检查主要操作系

23、统和主要数据库管理系统维护其他 用户前得到完全清除，无论这些信息是存放在硬盘上还是 在内存中;b）应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用0.50.2操作手册，查看是否明确用户的鉴别信息存储空间被释放或再分配给其他用户前的处理方法和过程;1 ）检查主要操作系统和主要数据库管理系统维护操作手册，查看是否明确文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前的处理方法和过程;序号程度户前得到完全清除。28资源控a）应通过设定终端接0.51）查看服务器端sqlnet.oratcp.valid no de_check ing 数)、tcp.

24、i nvited_ no des2930中是否配置了以下参数:（使用这个参数来启用下边的两个参（指定允许访问db的客户端，他的优制（A）资源控制资源控制（A）资源控制（A）入方式、网络地址范围等条件限制终端登录;b）应根据安全策略设置登录终端的操 作超时锁定;c）应对重要服务器进行监视，包括监视器的CPU硬盘、存、网络等资源的情况;0.5d）应限制单个用户对系统资源的最大或最小使用限度;1）检查主要服务器操作系统，查看是否设定了终端接入方式、网络地址范围等条件限制终端登录;1 ）应检查访问主要服务器的终端是否都设置了操作超时锁定的配置;先级比 TCP.EXCLUDED NOD 高 S 和 TC

25、P.EXCLUDED NODE 指定 不允许访问oracle的节点，可以使用主机名或者IP地址）。2）如果没有在数据库系统上进行相关配置，则询问是否在防火墙或其他网络设备/安全设备上进行了相关的配置。1) 查看空闲超时设置：select limit from dba_profiles whereprofile= DEFAULT and resource, name二IDLE TIME。服务使用执行0.21）检查主要服务器操作系统，查看是否设置了个用户对系统资源的最大或最小使用限度;1）命令： select user name,profile from dba_users定用户使用的profil

26、e，针对指定用户的profile，查看其限制（以 default 为例）。2) select limit from dba_profiles where profile=，确DEFAULT and序号层面控制点要求项32主机 安 全资源控 制( A)e)应能够对系统的服 务水平降低到预先规定 的最小值进行检测和报 警。select limit from dba_profiles where profile二DEFAULTand resource name=IDLE TIME。程度select *fromsys.dba_usersselect *fromdba_profilesselect *from dba_ts_quotasSelect *fromhistory$user_ Select *fromall_usersS