DB2数据库安全配置基线

1、DB2数据库系统安全配置基线中国移动通信有限公司 管理信息系统部2012年 04月版本版本控制信息更新日期更新人审批人V1.0创建2009年1月V2.0更新2012年4月备注：1. 若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。目 录第1章概述41.1适用范围41.2适用版本41.3实施41.4例外条款4第2章帐号与口令52.1帐号5删除不必要的帐号*5分配数据库用户所需的最小权限*52.2口令6DB2用户口令安全6第3章数据库权限73.1从PUBLIC撤销隐式的权限和特权7从PUBLIC撤销隐式的权限和特权73.2跟踪隐式的特权9跟踪隐式的特权93.3检查用户许可和特

2、权9检查用户许可和特权*9第4章DB2认证114.1为SYSxxx_GROUP 参数使用显式值11为SYSxxx_GROUP 参数使用显式值114.2使用加密的AUTHENTICATION模式11使用加密的AUTHENTICATION模式11第5章DB2审计135.1执行随机安全审计13执行随机安全审计*13第6章评审与修订14第1章 概述本文档规定了中国移动管理信息系统部所维护管理的DB2数据库系统应当遵循的数据库安全性设置标准，本文档旨在指导系统管理人员或安全检查人员进行DB2数据库系统的安全合规性检查和配置。1.1 适用范围本配置标准的使用者包括：数据库管理员、应用管理员、网络安全管理员

3、。本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的DB2数据库系统。1.2 适用版本DB2数据库系统。1.3 实施本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。本标准发布之日起生效。1.4 例外条款欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。第2章 帐号与口令2.1 帐号2.1.1 删除不必要的帐号*安全基线项目名称数据库管理系统DB2用户安全基线要求项安全基线SBL- DB2-02-01-01 安全基线项说明 应删除与数据库运行、维护

4、等工作无关的帐号。检测操作步骤1、 参考配置操作DB2企业管理器-安全性-登陆中删除无关帐号；DB2企业管理器-数据库-对应数据库-用户中删除无关帐号；基线符合性判定依据首先删除不需要的用户，已删除数据库不能登陆使用在DB2查询分析器的登陆界面中使用已删除帐号登陆备注手工检查2.1.2 分配数据库用户所需的最小权限*安全基线项目名称数据库管理系统DB2共享帐号安全基线要求项安全基线SBL- DB2-02-01-02安全基线项说明 在数据库权限配置能力内，根据用户的业务需要，配置其所需的最小权限。检测操作步骤1. 更改数据库属性，取消业务数据库帐号不需要的服务器角色；2. 更改数据库属性，取消业

5、务数据库帐号不需要的“数据库访问许可”和“数据库角色中允许”中不需要的角色。基线符合性判定依据1. 更改数据库属性，取消业务数据库帐号不需要的服务器角色；2. 更改数据库属性，取消业务数据库帐号不需要的“数据库访问许可”和“数据库角色中允许”中不需要的角色。备注建议手工检查2.2 口令2.2.1 DB2用户口令安全安全基线项目名称数据库管理系统DB2用户口令安全基线要求项安全基线SBL- DB2-02-02-01安全基线项说明 对用户的属性进行安全检查，包括空密码、密码更新时间等。修改目前所有帐号的口令，确认为强口令。口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且

6、5次以内不得设置相同的口令。密码应至少每90天进行更换。检测操作步骤1.检查password字段是否为null。2.参考配置操作查看用户状态运行查询分析器，查看口令为空的用户基线符合性判定依据password字段不为null。备注第3章 数据库权限3.1 从PUBLIC撤销隐式的权限和特权3.1.1 从PUBLIC撤销隐式的权限和特权安全基线项目名称DB2隐式权限安全基线要求项安全基线编号SBL-DB2-03-01-01 安全基线项说明 从PUBLIC撤销隐式的权限和特权检测操作步骤连接数据库这里以testdb为例，CONNECT TO testdb;执行下面命令取消PUBLIC的隐式的权限和

7、特权：REVOKE BINDADD ON DATABASE FROM PUBLIC;REVOKE CREATETAB ON DATABASE FROM PUBLIC;REVOKE CONNECT ON DATABASE FROM PUBLIC;REVOKE IMPLICIT_SCHEMA ON DATABASE FROM PUBLIC;REVOKE USE OF TABLESPACE USERSPACE1 FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.COLAUTH FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.DBA

8、UTH FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.INDEXAUTH FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.PACKAGEAUTH FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.PASSTHRUAUTH FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.ROUTINEAUTH FROM PUBLIC; REVOKE SELECT ON TABLE SYSCAT.SCHEMAAUTH FROM PUBLIC;REVOKE SELECT O

9、N TABLE SYSCAT.SECURITYLABELACCESS FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.SECURITYPOLICYEXEMPTIONS FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.SEQUENCEAUTH FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.SURROGATEAUTHIDSFROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.TABAUTH FROM PUBLIC;REVOKE SELECT ON TABLE

10、SYSCAT.TBSPACEAUTH FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.XSROBJECTAUTHFROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.AUTHORIZATIONIDS FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.OBJECTOWNERS FROM PUBLIC;REVOKE SELECT ON TABLE SYSCAT.PRIVILEGES FROM PUBLIC;基线符合性判定依据建议在创建一个新的数据库之后，应立即撤销这些被授给 PUBLIC 的隐式特权

11、。从 DB2 V9.1 开始，CREATE DATABASE 命令语法增加了 RESTRICTIVE 选项。如果该命令中包括了 RESTRICTIVE 选项，那么会导致 RESTRICT_ACCESS 数据库配置参数被设置为 YES，同时不自动授予 PUBLIC 任何特权。如果忽略了 RESTRICTIVE 选项，那么 RESTRICT_ACCESS 数据库配置参数被设置为 NO，前述所有特权都将自动授予 PUBLIC。您可以执行上述清单中显示的语句来撤销系统编目视图上的特权和其他被授予 PUBLIC 的隐式特权。但这个清单还不是最全的。备注DB2在内部使用一个名为 PUBLIC 的伪组，对于

12、 PUBLIC，可以为之授予特权，也可以撤销它的特权。PUBLIC 实际上不是在外部安全设施中定义的一个组，但通过它可以为通过 DB2 认证的用户授予特权。3.2 跟踪隐式的特权3.2.1 跟踪隐式的特权安全基线项目名称DB2隐式特权管理安全基线要求项安全基线编号SBL-DB2-03-02-01 安全基线项说明 跟踪隐式的特权检测操作步骤运行 get dbm cfg 查看状态，并记录。例如，假设您一开始将 DBADM 权限授予用户 JEFF，而随后又您决定撤销此权限。为了撤销 JEFF 的 DBADM 权限，可以使用以下语句： REVOKE DBADM ON DATABASE FROM USE

13、R jeff基线符合性判定依据应该仔细检查和跟踪执行某动作时所授予的隐式特权。如果以后撤销这个动作，那么应撤销任何隐式的特权。备注3.3 检查用户许可和特权3.3.1 检查用户许可和特权*安全基线项目名称DB2用户许可和特权安全基线要求项安全基线编号SBL-DB2-03-03-01 安全基线项说明 检查用户许可和特权检测操作步骤打开 Control Center 查看授予许可；检查每个用户的许可，将超出的许可和特权取消。基线符合性判定依据确保所有被授出的许可和特权都是确实有必要的。对于不熟悉 DB2 安全模型的开发人员来说，他们往往因为贪图简单而通过 Control Center为自己授予所有

14、可用的特权，以避免安全错误消息。您应该确保所有被授出的许可和权限都是确实有必要的。备注手工检查第4章 DB2认证4.1 为SYSxxx_GROUP 参数使用显式值4.1.1 为SYSxxx_GROUP 参数使用显式值安全基线项目名称DB2SYSxxx_GROUP 参数安全基线要求项安全基线编号SBL-DB2-04-01-01 安全基线项说明 为SYSxxx_GROUP 参数使用显式值检测操作步骤连接数据库这里以testdb为例，CONNECT TO testdb;执行下面命令修改参数的缺省值：UPDATE DBM CFG USING SYSADM_GROUP dbagrp1db2stopdb2

15、start基线符合性判定依据在 Windows 上进行缺省的 DB2 安装时，这些参数的值被缺省地设置为 NULL。这意味着超级用户权限被授给属于本地 Administrators 组的所有有效用户帐户。在 Linux 和 UNIX 平台上，NULL 值被缺省地赋给实例所有者的主组，完成安装后，缺省情况下这个组只包含用户 ID 和实例所有者。备注4.2 使用加密的AUTHENTICATION模式4.2.1 使用加密的AUTHENTICATION模式安全基线项目名称DB2AUTHENTICATION模式安全基线要求项安全基线编号SBL-DB2-04-02-01 安全基线项说明 使用加密的AUTH

16、ENTICATION模式检测操作步骤连接数据库这里以testdb为例，CONNECT TO testdb;执行下面命令修改参数的缺省值（要更新 AUTHENTICATION 实例参数的值，在这个例子中就是 DATA_ENCRYPT 的值）：UPDATE DBM CFG USING AUTHENTICATION DATA_ENCRYPTdb2stopdb2start基线符合性判定依据AUTHENTICATION 参数是在实例级上设置的，这意味着在相同实例中创建的数据库将使用共同的身份验证模式。如果有两个数据库，每个数据库需要不同的身份验证模式，那么需要在不同的实例中创建这两个数据库。备注第5章 DB2审计5.1 执行随机安全审计5.1.1 执行随机安全审计*安全基线项目名称DB2随机安全审计安全基线要求项安全基线编号SBL-DB2-05-01-01 安全基线项说明 执行随机安全审计检测操作步骤db2audit describe可以使用 db2audit 命令来配置和操作审计功能。完成审计的配置并且生成了审计记录后，可以将审计记录提取到一个文本文件中，之后便可以对该文件进行分析。还可以将审计记录提取