数据库安全测评指导书

1、1数据库安全测评指导书MySQL安全测评序号测评指标测评项检查方法预期结果1身份鉴别a）检查服务 器的身份标 识与鉴别和 用户登录的 配置情况。访谈：1）访谈数据库 管理员，询问数据库系 统的身份标识和鉴别 机制采用何种措施实 现；2）登录数据库系 统，查看是否提示输入 用户口令，然后以正确 口令登录系统，再以错 误口令或空口令重新 登录，观察是否成功。1）数据库系统使用口 令鉴别机制对用户进 行身份标识和鉴别；2）登录时提示输入用 户名和口令；以错误口 令或空口令登录时提 示登录失败，验证了登 录控制功能的有效性；3）数据库系统不存在 密码为空的用户。b）检查服务 器的身份标 识与鉴别和 用

2、户登录的 配置情况。访谈：1）访谈数据库 管理员，询问数据库系 统米取何种措施防止 身份鉴别信息被冒用（如复杂性混有大小 写字母、数字和特殊字 符，口令周期等）；在 安装时是否已经修改 root高权限用户的默 认口令。并且在企业管 理器中查看是否存在 空口令用户；2 ）询问 数据库管理员，MySQL 数据库的口令管理要 求（口令的长度、口令 复杂性，口令更新周 期）。1）数据库的用户口令由大小与字母、数字和 特殊字符组成；2）以 不符合复杂度要求和 不符合长度要求的口 令创建用户时均提示 失败。C）检查服务 器的身份标 识与鉴别和 用户登录的 配置情况。访谈：访谈数据库管 理员，是否配置了鉴别

3、 失败处理功能，并设置 了非法登录次数的限 制值，对超过限制值的 登录终止其鉴别会话 或临时封闭帐号。手 工检杳：1 ）查看 /etc/my.c nf （Win dows1）数据库系统已启用 登陆失败处理、结束会 话、限制非法登录次数 等措施；2）当超过系 统规定的非法登陆次 数或时间时，系统锁定 或自动断开连接。下为my.ini ），在 mysqld后面是否已 设置 wait_timeout 配 置项；2 ）查看MySQL 数据库运行平台的用 户是否已设置登录失 败处理策略；3）查看 MySQ数据库内置的为 应用提供服务的用户 是否设置主机IP绑定。d）检查服务 器的身份标 识与鉴别和 用户

4、登录的 配置情况。访谈：1）访谈数据库 管理员，是否采用了技 术手段保证远程管理 数据进行加密传输，或 者米取第二方措施保 证远程管理数据加密 传输；2 ）访谈数据 库管理员，安装数据库 是否配置SSH远程加 密连接。手工检查： 1）采用抓包工具，判断 远程管理数据包是否 是明文；2 ）查询 f文件中是否配 置SSL证书加密传输； 3）查询user表中是否 有 ssl_type 字段。1）数据库系统配置SSL 证书进行远程连接；2）数据库系统没有采 用明文的传输协议进 行远程管理；3）采用 第三方管理工具保证 远程管理的信息保密。e）检查服务 器的身份标 识与鉴别和 用户登录的 配置情况。访谈

5、：1）访谈数据库 管理员，是否为数据库 各个实例分配不同用 户；2）访谈数据库管 理员，是否存在多个帐 户共用同一个实例情 况，是否存在多人共用 一个帐号。1）帐户与实例基于IP 绑定；2）数据库系统 不存在多人共用一个 实例的情况；3）数据 库确保用户名具有唯 一性。f）检查服务 器的身份标 识与鉴别和 用户登录的 配置情况。访谈：访谈数据库管 理员，数据库系统是否 采用了两个及两个以 上身份鉴别技术的组 合来进行身份鉴别（如 采用用户名/口令、挑用户的认证方式选择 两种或两种以上组合 的鉴别技术，只用一种 技术无法认证成功。战应答、动态口令、物 理设备、生物识别技术 中的任意两个组合）。

6、手工检查：通过注册 用户，并以一种身份鉴 别技术登录，验证是否 可以登录。2访问控制a）检查服务 器的访问控 制设置情 况，包括安 全策略覆 盖、控制粒 度以及权限 设置情况 等。访谈：访谈数据库管 理员，询问数据库系统 是否明确主体（如用 户）以用户和/或用户 组的身份规定对客体（如文件或系统设备， 目录表和存取控制表 访问控制等）的访问控 制，覆盖范围是否包括 与信息安全直接相关 的主体（如用户）和客 体（如文件，数据库表 等）及它们之间的操作（如读、写或执行）。 手工检查：查看数据 库是否为角色限定了 权限，权限的覆盖范围 是否包括与信息安全 直接相关的主体（如用 户）和客体（如文件，数

7、 据库表等）及它们之间 的操作（如读、写或执 行）。数据库系统的重要文 件及目录已根据用户 级设置访问控制策略。b）检查服务 器的访问控 制设置情 况，包括安 全策略覆 盖、控制粒 度以及权限 设置情况 等。访谈：询问并查看除 数据库管理员root 夕卜，是否还有其他的特 权用户，是否将系统管 理、安全管理和业务数 据管理分配给不同的 管理员。手工检杳： 查看user表中帐户信 息。数据库管理员、安全管 理员、安全审计员由不 同的人员和用户担当。 至少应该有数据库管 理员和安全管理员，安 全审计员在有第二方 审计工具时可以不要 求。C）检查服务 器的访问控 制设置情访谈：访谈数据库管 理员，数

8、据库的特权用 户分配情况，查看在系数据库系统除具有管 理员账户外，至少还有 专门的审计管理员账况，包括安 全策略覆 盖、控制粒 度以及权限 设置情况 等。统管理员、安全管理 员、安全审计员之间是 否设置了相互制约关 系（如系统管理员、安 全管理员等不能对审 计日志，安全审计员管 理不了审计数据的开 启、关闭、删除等重要 事件的审计日志等）。户，且他们的权限互 斥。d）检查服务 器的访问控 制设置情 况，包括安 全策略覆 盖、控制粒 度以及权限 设置情况 等。访谈：1）询问数据库 系统管理员，是否加强 了默认帐户root 口令 强度，并让管理员登陆 数据库系统进行口令 验证；2 ）查看默认帐 户

9、root的权限，是否 严格限制高权限的分 配；3 ）查看是否有临 时账户，是否严格限制 临时账户的权限。已严格限制默认帐户 访问权限，临时账户已 禁用。e）检查服务 器的访问控 制设置情 况，包括安 全策略覆 盖、控制粒 度以及权限 设置情况 等。访谈：询问user表中 是否存在多余，过期账 户。手工检杳：应检 查主要数据库系统，查 看是否有多余的、过期 的账户，避免共享账 户，并且进行记录没有 被禁用的系统默认用 户名。不存在多余、过期和共 享账户。f）检查服务 器的访问控 制设置情 况，包括安 全策略覆 盖、控制粒 度以及权限 设置情况 等。手工检杳：1）查看数 据库系统功能手册或 相关文

10、档，确认数据库 系统疋否具备能对信 息资源设置敏感标记 功能；2）询问数据库 管理员是否对重要信 息资源设置敏感标记。对重要信息资源已设 置敏感标记。g）检查服务 器的访问控 制设置情 况，包括安访谈：访谈数据库管 理员，目前数据库系统 敏感标记策略的相关 设置，女口：如何划分敏通过敏感标记设定用 户对重要信息资源的 访问。全策略覆 盖、控制粒 度以及权限 设置情况 等。感标记分类，如何设定 访冋权限等。3安全审计a）检查服务 器的安全审 计的配置情 况，如覆盖 范围、记录 的项目和内 容等；检杳 安全审计进 程和记录的 保护情况。访谈：1 ）访谈数据库 管理员，询问数据库系 统是否具备安全审

11、计 功能，是否部署了第三 方数据库审计设备；2） Mysql自身没有提供审计功能，访谈数据 库管理员是否设置in it-co nn ect+bin log的方法进行 mysql的操作审计，是 否设置慢log功能。数据库系统配置安全 审计功能或部署了第 三方数据库安全审计 设备。b）检查服务 器的安全审 计的配置情 况，如覆盖 范围、记录 的项目和内 容等；检杳 安全审计进 程和记录的 保护情况。访谈：访谈安全审计 员，审计策略是否覆盖 系统内重要的安全相 关事件，例如，用户标 识与鉴别、自主访问控 制的所有操作记录、重 要用户行为（如用超级 用户命令改变用户身 份，删除库表）、系统 资源的异常

12、使用、重要 系统命令的使用（如删 除客体）等。手工检 查：在MySQ!数据库 中的日志记录，是否包 括重要用户行为（如登 录系统、增加/删除用 户等）、系统资源异常 和重要系统命令的使 用的日志记录。例如： log、log-error 、 log-update、log-bin、 -log-slow-queries 。审计内容开启包括用 户的添加和删除、审计 功能的启动和关闭、审 计策略的调整、权限变 更、系统资源的异常使 用、重要的系统操作（如用户登录、退出） 等设置。C）检查服务 器的安全审 计的配置情访谈：访谈安全审计 员，是否米取第三方工 具或其他方式增强审计记录包括事件的 日期、时间、

13、类型、主 体标识、客体标识和结况，如覆盖 范围、记录 的项目和内 容等；检杳 安全审计进 程和记录的 保护情况。MySQL勺日志功能。在 数据库MySQ旧志中， 查看日志记录，是否包 括日期和时间、类型、 主体标识（如用户名 等）、客体标识（如数据 库表、子段或记录等）、 事件的结果等。果等内容。d）检查服务 器的安全审 计的配置情 况，如覆盖 范围、记录 的项目和内 容等；检杳 安全审计进 程和记录的 保护情况。丰工检杳：1）检杳 MySQ旧志文件，确认 是否记录了必要的审 计要素；2）若有第二 方审计工具或系统，则 查看其审计日志是否 包括必要的审计要素； 3）检杳审计日志记录、 分析、生成报表情况。能定期生成审计报表 并包含必要审计要素。e）检查服务 器的安全审 计的配置情 况，如覆盖 范围、记录 的项目和内 容等；检杳 安全审计进 程和记录的 保护情况。访谈：访谈安全审计 员，审计进程监控和保 护米取的措施。对审计进程已采取相 关保护措施。f）检查服务 器的安全审 计的配置情 况，如覆盖 范围、记录 的项目和内 容等；检杳 安全审计进 程和记录的 保护情况。访谈：访谈安全审计 员，是否