某Oracle数据库安全加固方案总结

1、范文范例 指导参考Q/ZD浙江省电力公司企业标准编号： Q/ Oracle 数据库安全加固方案2014年11月19日word 版 整理范文范例 指导参考2010-*-*发布2010-*-*实施浙江省电力公司发布word 版 整理范文范例 指导参考前言为规范 Oracle 数据库安全加固操作 ，全面系统地降低Oracle 数据库面临的风险 ，及时堵塞漏洞 ，提高安全防护能力 ，特制订XXX Oracle 数据库安全加固方案 。本方案适用于 Oracle 数据库安全加固工作要求。本方案由 XXX 负责起草设计 。本方案主要起草人 ：XXX。word 版 整理范文范例 指导参考目录1.适用范围.52

2、.方案实施准备 .52.1准备工作 .52.2危险点分析及预控措施 .63.方案实施流程 .74.方案实施程序及标准 .85.方案实施操作记录 .22word 版 整理范文范例 指导参考Oracle 数据库安全加固方案适用范围本方案适用于 XXX Oracle 8i 、 10g 数据库安全加固 。方案实施准备2.1准备工作序号内容标准1核实 Oracle 数据库安全加固操作申请熟悉本次方案实施的内容和操作2填写 、核实工作操作内容填写工作操作内容，并经相关责任人书面认可word 版 整理范文范例 指导参考1、 获知 Oracle 数据库主机的地址、用户名和密码获知本次操作所需的信息2、 获知

3、Oracle 数据库 sys 和 system 用户的密码2.2危险点分析及预控措施序号危险点防范措施以最小权限原则为每个帐号分配其必须的角色、系统权限 、对象权限修改帐号权限时 ，造成权限过大或过小和语句权限2删除或禁止有用的服务 、组件等对无用的服务 、组件进行排查 ，并和应用系统厂商进行确认3增加网络访问控制 ，对应用系统造成影响操作前和业务部门 、应用系统厂商进行确认并做好测试工作word 版 整理范文范例 指导参考方案实施流程word 版 整理范文范例 指导参考方案实施程序及标准序号工作内容操作方法及标准安全措施及注意事项登录系统通过管理主机登录Oracle注意用户名 、密码的1通过

4、 ssh 或 vnc 或 RDP 登录 Oracle 数据库主机 ，输入用户名密码数据库主机保密以 sys 用户的身份登录Oracle 数据库 ，默认：2登录 Oracle 数据库sqlplus / as sysdba（10g) 或 sqlplus username/password（ 8i）帐号权限加固限制应用用户在数据库中1.查看权限避免分配权限过大或3的 权 限 ， 尽 量 保 证 最 小SQLSELECT * FROM dba_sys_privs WHERE grantee=; -系统权限过小word 版 整理范文范例 指导参考化，避免授予了DBA 权限SQLSELECT * FROM

5、 dba_tab_privs WHERE grantee=; -对象权限SQLSELECT * FROM dba_role_privs WHERE grantee=; -赋予的角色2.收回相应权限 (例如收回select any table权限 )SQLREVOKE select any table FROM ;3.收回应用用户的DBA 角色SQLREVOKE dba FROM ;1.查看 public角色的程序包执行权限SQLSELECT table_name FROM dba_tab_privs WHERE grantee=PUBLIC andprivilege=EXECUTE;撤消 pu

6、blic角色的程序包42.撤销 public角色的程序包执行权限（例如撤销在utl_file 包上的执行权限）执行权限SQLREVOKE execute ON utl_file FROM public;Oracle 官方建议撤销public 角色对 utl_file 、 utl_http 、 utl_tcp 、utl_smtp 、 dbms_random程序包的执行权限。word 版 整理范文范例 指导参考修改系统帐户的默认口令（特别是管理员角色类帐5户）锁定所有不需要的用户删除系统中多余的自建帐6号为所有应用用户配置强口7令数据访问控制加固严格限制库文件的访问权1.修改 sys 和 syst

7、em 口令SQLALTER USER sys IDENTIFIED BY ;SQLALTER USER system IDENTIFIED BY ;2.锁定不需要的用户SQLALTER USER ACCOUNT LOCK;1.查看用户自建账号SQLSELECT username FROM all_users;2.删除或者禁用多余自建账号SQLDROP USER CASCADE;1.根据设置的口令策略修改弱口令SQLALTER USER IDENTIFIED BY ;1.用操作系统命令查看库文件访问权限（以 RedHat Linux为例 ）修改权限可能对部分word 版 整理范文范例 指导参考限

8、 ， 保 证 除 属 主 和root外，其他用户对库文件没有写权限设置 $ORACLE_HOME/bin其下所有程序的访问权限或其他安全控制机制ls -l $ORACLE_BASE/oradata应用系统造成影响，2.用操作系统命令删除库文件组和其他用户的写权限需要联系业务部门和chmod 640$ORACLE_BASE/oradata/*应用系统厂商做好相3.Windows系统同理 （方法不同 ）关的测试工作1.用操作系统命令查看 bin 目录下所有程序文件的访问权限（以 RedHat Linux为例）修改权限可能对部分ls -l $ORACLE_HOME/bin应用系统造成影响，2.用操作

9、系统命令删除组和其他用户的写权限需要联系业务部门和chmod 640$ORACLE_HOME/bin/*应用系统厂商做好相关的测试工作服务加固在不影响业务系统正常运1.用操作系统命令查看有无与业务无关的服务或组件10行情况下 ，停止或禁用与2.用操作系统命令停止或禁用与业务无关的服务或组件需要和业务部门确认承载业务无关的服务或组word 版 整理范文范例 指导参考件1.查看数据库中表或视图等对象SQLSELECT * FROM dba_tables;删除数据库中存在有无用SQLSELECT * FROM dba_views;11的、测试的 、废弃的表 ,视需要和业务部门确认2.删除数据库中存在

10、的无用的、测试的 、废弃的表或视图图SQLDROP TABLE ;SQLDROP VIEW ;网络访问控制加固1.在目录 $ORACLE_HOME/network/admin下修改 sqlnet.ora文件实现TNS 登录 IP 限制 ,设置可能对部分应用系统设置 TNS 登录的 IP 限制 ，下列配置信息 ：造成影响 ，需要联系12仅允许最少的必要的IP 地tcp.validnode_checking=yes业务部门和应用系统址可连接TNS 监听器# 允许访问的ip厂商做好相关的测试tcp.invited_nodes =(ip1,ip2, )工作word 版 整理范文范例 指导参考# 不允许

11、访问的iptcp.excluded_nodes=(ip1,ip2, )2.修改 sqlnet.ora后，重新启动listener服务1.在目录 $ORACLE_HOME/network/admin下修改 sqlnet.ora文件 ,设置下列配置信息:sqlnet.authentication_services=(NONE)2.修改参数Remote_login_passwordfile为 EXCLUSIVE 或 SHARED关闭远程操作系统认证SQLALTER SYSTEM SET REMOTE_LOGIN_PASSWORDFILE=EXCLUSIVE SCOPE=SPFILE; 3.修改参数

12、REMOTE_OS_AUTHENTSQLALTER SYSTEM SET REMOTE_OS_AUTHENT=FALSE SCOPE=SPFILE;4.重启数据库和监听使修改生效查看当前监听的状态在不影响应用的前提下，14lsnrctl status更改默认的 1521 端口停止监听需要重启服务，应提前通知业务部门对所有应用系统都有影响 ，需要跟业务部门配合做好评估和测word 版 整理范文范例 指导参考lsnrctl stop试工作3. 修改监听文件的端口号，在目录 $ORACLE_HOME/network/admin下修改 listener.ora文件（例如把端口号改为11251 ）LIS

13、TENER =(DESCRIPTION_LIST =(DESCRIPTION =(ADDRESS = (PROTOCOL = TCP)(HOST=LOCALHOST)(PORT=11251)4. 修改初始化参数local_listenerSQL ALTER SYSTEM SET local_listener=(address=(protocol=tcp)(host=localhost)(port=11251);SQLquit重启监听器word 版 整理范文范例 指导参考lsnrctl start6. 修改完毕 ，使用新端口登录测试netstat -tunap | grep 11251lsnrc

14、tl status客户端连接测试1.进入监听设置状态lsnrctl可能对部分应用系统2.设置当前监听器限制对监听器的远程管造成影响，需要联系set current_listener 15理，并设置监听器管理口业务部门和应用系统3.设置密码令（ 8i ）厂商做好相关的测试change_password工作set password4.保存设置word 版 整理范文范例 指导参考save_config5.检查 listener.ora文件 ，看是否有一条PASSWORDS_的记录1.打开 listener.ora文件 ，删除以下配置文件:(ADDRESS_LIST =(ADDRESS = (PROT

15、OCOL = IPC)(KEY = EXTPROC0)外部程序调用监听配置的16(SID_DESC =删除（ 8i ）(SID_NAME = PLSExtProc)(ORACLE_HOME = C:oracleora81)(PROGRAM = extproc)默认安装时 ，会安装一个 PL/SQL 外部程序ExtProc ）条目在listener.ora中，是oracle 为调用外部程序默认配置的监听，它的名字通常是ExtProc 或PLSExtProc ，但一般不会使用它 ，可以直2. 重启监听接从 listener.ora中将word 版 整理范文范例 指导参考3. 查看监听状态这项移除

16、，因为对ExtProc 已经有多种攻击手段了 ，在不使用外部程序时 ， oracle也是建议删除的。口令策略加固1.检查 profile文件设置SQLSELECT * FROM dba_profiles;但是 Oracle 口令复杂2.创建口令复杂度函数度包含的特殊字符不16设置口令复杂度要求SQL$ORACLE_HOME/rdbms/admin/utlpwdmg.sql是任意特殊字符都可3.设置口令复杂度，要求长度不小于4 位字符串 ，而且是字母和数字或特殊字符的混合，用户以，一般以下划线 、名和口令禁止相同$、*等符号为主 。SQLALTER PROFILE DEFAULT LIMIT p

17、assword_verify_function verify_function;word 版 整理范文范例 指导参考1.检查 profile文件设置设置口令使用期限， 要求SQLSELECT * FROM dba_profiles;17到期后自动更改2.设置 profile密码策略 ，建议使用控制台设置SQLALTER PROFILE DEFAULT LIMIT password_life_time 30;1.检查 profile文件设置SQLSELECT * FROM dba_profiles;2.设置 profile密码策略设置策略对口令尝试次数18SQLALTER PROFILE DEF

18、AULT LIMIT failed_login_attempts 5 password_lock_time 1;进行限制审计策略加固19启用相应的审计功能，配1.启用审计功能设置口令尝试次数为次，登录超过有效次数锁定时间为 1天。 缺陷是万一有恶意访问 ，在输入多次错误密码后此用户就被锁定导致不可用。若是 windows平word 版 整理范文范例 指导参考置审核策略使系统能够审核数据库管理和安全相关操作的信息，建议对SYSDBA 审计操作配置日志策略，确保数据20库的归档日志文件、 在线SQLALTER SYSTEM SETaudit_trail=os scope=spfile;2.启用对

19、sysdba 的活动审计SQLALTER SYSTEM SET audit_sys_operations=true;2.重启数据库 ，使设置生效配置归档模式将数据库正常关闭台 ,audit trail 会记录在 windows 的事件管理器中 ,若是linux/unix平台则会记录在audit_file_dest参数指定文件中 ；审计功能对数据库的性能和磁盘空间要求较高；需要重启数据库，应提前通知业务部门对磁盘空间要求非常高；需要重启数据word 版 整理范文范例 指导参考日志文件 、网络日志 、跟踪文件 、 警告日志记录功能是否启用并且有效实施SQLSHUTDOWN IMMEDIATE启动到

20、 MOUNT模式SQLSTARTUP MOUNTSQLALTER DATABASE ARCHIVELOGSQLALTER DATABASE OPEN2.配置归档日志的名称格式ALTER SYSTEM SET log_archvie_format=%S_%T_%R.log scope=spfile3.配置归档位置ALTER SYSTEM SET log_archive_dest_1=location=oracleoradataarchive1scope=spfile库，应提前通知业务部门配置日志管理策略、 保证1. 配置多个归档位置，包括本地归档位置和远程归档位置21日志存放的地点的安全可ALTER SYSTEM SET log_archive_dest_2=location=oracleoradataarchive2靠scope=spfile对磁盘空间要求非常高；需要重启数据库，应提前通知业务word 版 整理范文范例 指导参考ALTER SYSTEM SET log_archive_dest_3=service=standby scope=spfile部门配置远程归档位置时，S