Oracle数据库安全配置规范华为

1、1概述 21.1适用范围 21.2内部适用性说明错误！未定义书签。1.3外部引用说明错误！未定义书签。1.4术语和定义错误！未定义书签。1.5符号和缩略语 22ORACLE 安全配置要求 22.1账号 22.2口令 72.3日志 112.4其他 131概述1.1 适用范围本规范明确了 OracleOracle 数据库安全配置方面的基本要求。1.2 符号和缩略语缩写英文描述中文描述DBADatabaseAdministrator数据库管理员VPDVirtualPrivateDatabase虚拟专用数据库OLSOracleLabelSecurityOracle 标签女全2ORACLE安全配置要求本

2、规范所指的设备为 ORACLEORACLE 数据库。本规范提出的安全配置要求，在未特别说明的情况下，均适用于 ORACLEORACLE 数据库。本规范从 ORACLEORACLE 数据库的认证授权功能、安全日志功能，和其他自身安全配置功能提出安全要求。2.1 账号ORACLEORACLE 应提供账号管理及认证授权功能，并应满足以下各项要求。2.1.12.1.1 按用户分配帐号要求内容应按照用户分配账号，避免不同用户间共享账号。操作指南1、参考配置操作createuserabclidentifiedbypasswordl;createuserabc2identifiedbypassword2;建

3、立 role,并给 role 授权，把 role 赋给/、同的用户2、补充操作说明1、abc1 和 abc2 是两个不同的账号名称，可根据不同用尸，取不同的名称；检测方法3、判定条件不同名称的用户可以连接数据库4、检测操作connectabc1/password1 连接数据库成功5、补充说明2.1.22.1.2 删除或锁定无关帐号要求内容应删除或锁定与数据库运行、维护等工作无关的账号。操作指南1、参考配置操作alteruserusernamelock;dropuserusernamecascade;2、补充操作说明检测方法3、判定条件首先锁定不需要的用户在经过一段时间后，确认该用户对业务确无影

4、响的情况下，可以删除4、检测操作5、补充说明1限制 SYSDBA1SYSDBA1 户的远程登录要求内容限制具备数据库超级管理员（SYSDBA）权限的用户远程登录。操作指南1、参考配置操作.在 spfile 中设置 REMOTE_LOGIN_PASSWORDFILE=NONE 来禁止SYSDBA 用户从远程登陆。.在 sqlnet.ora 中设置 SQLNET.AUTHENTICATION_SERVICES=NONE来禁用 SYSDBA 角色的自动登录。2、补充操作说明检测方法3、判定条件.不能通过 Sql*Net 远程以 SYSDB 用户连接到数据库。.在数据库主机上以 sqlplus/ass

5、ysdba 连接到数据库需要输入口令。4、检测操作.以 Oracle 用户登陆到系统中。.以 sqlplus/assysdba登陆到 sqlplus 环境中。.使用 showparameter 命令来检查参数 REMOTE_LOGIN_PASSWORDFILE 是否设NONE。ShowparameterREMOTE_LOGIN_PASSWORDFILE.检查在$ORACLE_HOME/network/admin/sqlnet.ora 文件中参数SQLNET.AUTHENTICATION_SERVICES 是否被设置成 NONE。5、补充说明1用户权限最小化要求内容在数据库权限配置能力内，根据用

6、户的业务需要，配置其所需的最小权限。操作指南1、参考配置操作grant 权限 tousername;revoke 权限 fromusername;2、补充操作说明用第一条命令给用户赋相应的最小权限用第二条命令收回用户多余的权限检测方法3、判定条件业务测试正常4、检测操作业务测试正常5、补充说明1使用 ROLEROLE 管理对象的权限要求内容使用数据库角色（ROLE）来管理对象的权限。操作指南1、参考配置操作1.使用 CreateRole 命令创建角色。2,使用用 Grant 命令将相应的系统、对象或 Role 的权限赋予应用用户。2、补充操作说明检测方法3、判定条件对应用用户不要赋予 DBAR

7、ole 或不必要的权限。4、检测操作.以 DBA 用户登陆到 sqlplus 中。.通过查询 dba_role_privs、dba_sys_privs 和 dba_tab_privs 等视图来检查是否使用 ROLE 来管理对象权限。5、补充说明1控制用户属性要求内容对用户的属性进行控制，包括密码策略、资源限制等。操作指南1、参考配置操作可通过下面类似命令来创建 profile,并把它赋予一个用户CREATEPROFILEapp_user2LIMITFAILED_LOGIN_AIIEMPTS6PASSWORD_LIFE_TIME60PASSWORD_REUSE_TIME60PASSWORD_RE

8、USE_MAX5PASSWORD_VERIFY_FUNCTIONverify_functionPASSWORD_LOCK_TIME1/24PASSWORD_GRACE_TIME90;ALTERUSERjdPROFILEapp_use2、补充操作说明检测方法3、判定条件.可通过设置profile 来限制数据库账户口令的复杂程度，口令生存周期和账户的锁定方式等。.可通过设置 profile 来限制数据库账户的 CPU 资源占用。4、检测操作.以 DBA 用户登陆到 sqlplus 中。.查询视图 dba_profiles 和 dba_usres 来检查 profile 是否创建。1启用数据库字典保

9、护要求内容启用数据字典保护，只有 SYSDBA 用户才能访问数据字典基础表。操作指南1、参考配置操作通过设置卜面初始化参数来限制只有 SYSDBA 权限的用户才能访问数据字典。O7_DICTIONARY_ACCESSIBILITY=FALSE2、补充操作说明检测方法3、判定条件以普通 dba 用户登陆到数据库，不能查看*$开头的表，比如：select*fromsys.x$ksppi;4、检测操作.以 Oracle 用户登陆到系统中。.以 sqlplus/assysdba登陆到 sqlplus 环境中。3.使用 showparameter 命令来检查参数O7_DICTIONARY_ACCESS

10、旧 ILITY 是否设FALSE。ShowparameterO7_DICTIONARY_ACCESSIBILITY5、补充说明2.2 口令静态口令认证的密码复杂度控制要求内容对于采用静态口令进行认证的数据库，口令长度至少6 位,并包括数字、小写字母、大写字母和特殊符号 4 类中至少2 类。操作指南1、参考配置操作为用户建 profile,调整 PASSWORD_VERIFY_杂度2、补充操作说明.FUNCTION,指定密码复检测方法3、判定条件修改密码为不符合要求的密码，将失败4、检测操作alteruserabcd1identifiedbyabcd1;将失败5、补充说明静态口令认证的密码生命周

11、期要求内容对于米用静态口令认证技术的数据库，账户口令的生存期不长于90 天。操作指南1、参考配置操作为用户建相关 profile,指定 PASSWORD_GRACE_TIME2、补充操作说明在 90 天内，需要修改管码为 90 天检测方法3、判定条件到期不修改密码，密码将会失效。连接数据库将不会成功4、检测操作connectusername/password 报错5、补充说明静态口令认证的密码重复使用限制要求内容对于米用静态口令认证技术的数据库，应配置数据库，使用户不能重复使用最近 5次（含 5 次）内已使用的口令。操作指南1、参考配置操作为用户建 pro 巾 le,指定 PASSWORD_R

12、EUSE_MAX 为52、补充操作说明当前使用的密码，必需在密码修改5次后才能再次被使用检测方法3、判定条件重用修改5次内的密码，将不能成功4、检测操作alteruserusernameidentifiedbypassword1;如果 password1 在5次修改密码内被使用，该操作将不能成功5、补充说明2.2.42.2.4 景泰口令认证的连续登录失败的帐号锁定策略要求内容对于米用静态口令认证技术的数据库，应配置当用户连续认证失败次数超过 6 次（不含 6 次），锁定该用户使用的账号。操作指南1、参考配置操作为用户建 profile,指定 FAILED_LOGIN_AIIEMPTS 为 62

13、、补充操作说明如果连续 6 次连接该用户不成功，用户将被锁定检测方法3、判定条件连续 6 次用错误的密码连接用户，第 7 次时用户将被锁定4、检测操作connectusername/password,连续 6 次失败，用户被锁定5、补充说明2.2.52.2.5 更改数据库默认帐号的密码要求内容更改数据库默认帐号的密码。操作指南1、参考配置操作.可通过卜面命令来更改默认用户的密码：ALTERUSERXXXIDENTIFIEDBYXXX;.卜面是默认用户列表：ANONYMOUSCTXSYSDBSNMPDIPDMSYSEXFSYSHRLBACSYSMDDATAMDSYSMGMT_VIEWODMODM

14、_MTROEOLAPSYSORDPLUGINSORDSYSOUTLNPMQSQS_ADMQS_CBQS_CBADMQS_CSQS_ESQS_OSQS_WSRMANSCOTTSHSI_INFORMTN_SCHEMASYSSYSMANSYSTEMTSMSYSWK_TESTWKPROXYWKSYSWMSYSXDB2、补充操作说明检测方法3、判定条件不能以用户名作为密码或使用默认密码的账户登陆到数据库。4、检测操作.以 DBA 用户登陆到 sqlplus 中。.检查数据库默认账户是否使用了用户名作为密码或默认密码。5、补充说明2.2.62.2.6 操作系统级的帐户安全策略要求内容Oracle 软件账户

15、的访问控制可遵循操作系统账户的安全策略，比如不要共享账户、强制定期修改密码、密码需要有一定的复杂度等。操作指南1、参考配置操作使用操作系统一级的账户安全管理来保护 Oracle 软件账户。2、补充操作说明检测方法3、判定条件每 3 个月自动提示更改密码，过期后不能登陆。4、检测操作每 3 个月强制修改 Oracle 软件账户密码，并且密码需要满足一定的复杂程度，符合操作系统的密码要求。5、补充说明2.3 日志2.3.12.3.1 登录日志功能要求内容数据库应配置日志功能， 对用户登录进行记录， 记录内容包括用户登录使用的账号、登录是否成功、登录时间以及远程登录时用户使用的 IPIP 地址。操作指南1、参考配置操作创建 ORACLE 登录触发器，记录相关信息，但对 IP 地址的记录会后困难检测方法2、判定条件登录测试，检查相关信息是否被记录3、检测操作4、补充说明触发器与 AUDIT 会有相应资源开消，请检查系统资源是否充足。特别是RAC 环境，资源消耗较大。2.3.2DDL2.3.2DDL 日志要求内容数据库应配置日志功能，记录用户对数据库的操作，包括但不限于以下内容