中国移动Oracle数据库安全配置规范V20.docx

1、中国移动Oracle数据库安全配置规范V20XXXX-XX-XX实施XXXX-XX-XX发布中国移动通信有限公司网络部中国移动公司-Oracle数据库安全配置规范Specification for Oracle Database Configuration Used in China Mobile版本号：2.0 目 录1 概述 41.1 适用范围 41.2 内部适用性说明 41.3 外部引用说明 51.4 术语和定义 51.5 符号和缩略语 52 ORACLE安全配置要求 52.1 账号 62.2 口令 102.3 日志 142.4 其他 17 前 言为了贯彻安全三同步的要求，在设备选型、入网

2、测试、工程验收以及运行维护等环节，明确并落实安全功能和配置要求。有限公司组织部分省公司编制了中国移动设备安全功能和配置系列规范。本系列规范可作为编制设备技术规范、设备入网测试规范，工程验收手册，局数据模板等文档的依据。本规范是该系列规范之一，明确了中国移动各类型设备所需满足的通用安全功能和配置要求，并作为本系列其他规范的编制基础。本标准起草单位：中国移动通信有限公司网络部、中国移动通信集团辽宁公司。本标准解释单位：同提出单位。本标准主要起草人：齐兵、房仲阳、陈敏时、周智、曹一生。概述适用范围本规范适用于中国移动通信网、业务系统和支撑系统的Oracle数据库。本规范明确了Oracle数据库安全配

3、置方面的基本要求。内部适用性说明本规范是在中国移动设备通用设备安全功能和配置规范（以下简称通用规范）各项设备配置要求的基础上，提出的Oracle数据库安全配置规范。以下分项列出本规范对通用规范设备配置要求的修订情况。编号采纳意见补充说明安全要求-设备-通用-配置-1-可选完全采纳安全要求-设备-ORACLE-配置-1-可选安全要求-设备-通用-配置-2-可选完全采纳安全要求-设备-ORACLE-配置-2-可选安全要求-设备-通用-配置-3-可选不采纳ORACLE不支持在远程登陆时通过切换用户提升权限安全要求-设备-通用-配置-4完全采纳安全要求-设备-ORACLE-配置-4安全要求-设备-通用

4、-配置-5完全采纳安全要求-设备-ORACLE-配置-5安全要求-设备-通用-配置-6-可选完全采纳安全要求-设备-ORACLE-配置-6-可选安全要求-设备-通用-配置-7-可选完全采纳安全要求-设备-ORACLE-配置-7-可选安全要求-设备-通用-配置-9完全采纳安全要求-设备-ORACLE-配置-8安全要求-设备-通用-配置-12完全采纳安全要求-设备-ORACLE-配置-16安全要求-设备-通用-配置-13-可选完全采纳安全要求-设备-ORACLE-配置-17-可选安全要求-设备-通用-配置-24-可选完全采纳安全要求-设备-ORACLE-配置-18-可选安全要求-设备-通用-配置-

5、14-可选不采纳系统不支持安全要求-设备-通用-配置-16-可选不采纳不适用安全要求-设备-通用-配置-17-可选不采纳不适用安全要求-设备-通用-配置-19-可选不采纳不适用安全要求-设备-通用-配置-20-可选不采纳不适用本规范新增的安全配置要求，如下：安全要求-设备-ORACLE-配置-3安全要求-设备-ORACLE-配置-9安全要求-设备-ORACLE-配置-10-可选安全要求-设备-ORACLE-配置-11安全要求-设备-ORACLE-配置-12安全要求-设备-ORACLE-配置-13安全要求-设备-ORACLE-配置-14-可选安全要求-设备-ORACLE-配置-15-可选安全要求

6、-设备-ORACLE-配置-19-可选安全要求-设备-ORACLE-配置-20安全要求-设备-ORACLE-配置-21安全要求-设备-ORACLE-配置-22-可选安全要求-设备-ORACLE-配置-23-可选安全要求-设备-ORACLE-配置-24外部引用说明中国移动通用安全功能和配置规范术语和定义符号和缩略语缩写英文描述中文描述DBADatabase Administrator数据库管理员VPDVirtual Private Database虚拟专用数据库OLSOracle Label SecurityOracle标签安全ORACLE安全配置要求本规范所指的设备为ORACLE数据库。本规范

7、提出的安全配置要求，在未特别说明的情况下，均适用于ORACLE数据库。本规范从ORACLE数据库的认证授权功能、安全日志功能，和其他自身安全配置功能提出安全要求。账号ORACLE应提供账号管理及认证授权功能，并应满足以下各项要求。编号：安全要求-设备-ORACLE-配置-1-可选要求内容应按照用户分配账号，避免不同用户间共享账号。操作指南1、 参考配置操作create user abc1 identified by password1;create user abc2 identified by password2;建立role，并给role授权，把role赋给不同的用户2、 补充操作说明1、

8、abc1和abc2是两个不同的账号名称，可根据不同用户，取不同的名称；检测方法3、 判定条件不同名称的用户可以连接数据库4、 检测操作connect abc1/password1连接数据库成功5、补充说明编号：安全要求-设备-ORACLE-配置-2-可选要求内容应删除或锁定与数据库运行、维护等工作无关的账号。操作指南1、 参考配置操作alter user username lock;drop user username cascade;2、 补充操作说明检测方法3、 判定条件首先锁定不需要的用户在经过一段时间后，确认该用户对业务确无影响的情况下，可以删除4、检测操作5、补充说明编号：安全要求-

9、设备-ORACLE-配置-3要求内容限制具备数据库超级管理员（SYSDBA）权限的用户远程登录。操作指南1、参考配置操作1. 在spfile中设置REMOTE_LOGIN_PASSWORDFILE=NONE来禁止SYSDBA用户从远程登陆。2. 在sqlnet.ora中设置SQLNET.AUTHENTICATION_SERVICES=NONE来禁用 SYSDBA 角色的自动登录。（删除）2、补充操作说明检测方法3、判定条件1. 不能通过Sql*Net远程以SYSDBA用户连接到数据库。2. 在数据库主机上以sqlplus /as sysdba连接到数据库需要输入口令（删除）。4、检测操作1.

10、以Oracle用户登陆到系统中。2. 以sqlplus /as sysdba登陆到sqlplus环境中。3. 使用show parameter命令来检查参数REMOTE_LOGIN_PASSWORDFILE是否设置为NONE。Show parameter REMOTE_LOGIN_PASSWORDFILE4. 检查在$ORACLE_HOME/network/admin/sqlnet.ora文件中参数SQLNET.AUTHENTICATION_SERVICES是否被设置成NONE（删除）。5、补充说明此配置影响远程以Sql*Net方式对数据库的管理此配置也可能使某些第三方ORACLE管理工具不正

11、常编号：安全要求-设备-ORACLE-配置-8要求内容在数据库权限配置能力内，根据用户的业务需要，配置其所需的最小权限。操作指南1、 参考配置操作grant权限to username;revoke 权限from username;2、 补充操作说明用第一条命令给用户赋相应的最小权限用第二条命令收回用户多余的权限检测方法3、 判定条件业务测试正常4、 检测操作业务测试正常5、补充说明编号：安全要求-设备-ORACLE-配置-9要求内容使用数据库角色（ROLE）来管理对象的权限。操作指南1、参考配置操作1. 使用Create Role命令创建角色。2. 使用用Grant命令将相应的系统、对象或Ro

12、le的权限赋予应用用户。2、补充操作说明检测方法3、判定条件对应用用户不要赋予DBA Role或不必要的权限。4、检测操作1. 以DBA用户登陆到sqlplus中。2. 通过查询dba_role_privs、dba_sys_privs和dba_tab_privs等视图来检查是否使用ROLE来管理对象权限。5、补充说明编号：安全要求-设备-ORACLE-配置-10-可选要求内容对用户的属性进行控制，包括密码策略、资源限制等。操作指南1、参考配置操作可通过下面类似命令来创建profile，并把它赋予一个用户CREATE PROFILE app_user2 LIMIT FAILED_LOGIN_AT

13、TEMPTS 6 PASSWORD_LIFE_TIME 60 PASSWORD_REUSE_TIME 60 PASSWORD_REUSE_MAX 5 PASSWORD_VERIFY_FUNCTION verify_function PASSWORD_LOCK_TIME 1/24 PASSWORD_GRACE_TIME 90;ALTER USER jd PROFILE app_user2;2、补充操作说明检测方法3、判定条件1. 可通过设置profile来限制数据库账户口令的复杂程度，口令生存周期和账户的锁定方式等。2. 可通过设置profile来限制数据库账户的CPU资源占用。4、检测操作1.

14、 以DBA用户登陆到sqlplus中。2. 查询视图dba_profiles和dba_usres来检查profile是否创建。5、补充说明编号：安全要求-设备-ORACLE-配置-13要求内容启用数据字典保护，只有SYSDBA用户才能访问数据字典基础表。操作指南1、参考配置操作通过设置下面初始化参数来限制只有SYSDBA权限的用户才能访问数据字典。O7_DICTIONARY_ACCESSIBILITY = FALSE2、补充操作说明检测方法3、判定条件以普通dba用户登陆到数据库，不能查看X$开头的表，比如：select * from sys. x$ksppi;4、检测操作1. 以Oracle

15、用户登陆到系统中。2. 以sqlplus /as sysdba登陆到sqlplus环境中。3. 使用show parameter命令来检查参数O7_DICTIONARY_ACCESSIBILITY是否设置为FALSE。Show parameter O7_DICTIONARY_ACCESSIBILITY5、补充说明口令编号：安全要求-设备-ORACLE-配置-4要求内容对于采用静态口令进行认证的数据库，口令长度至少6位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。操作指南1、 参考配置操作为用户建profile，调整PASSWORD_VERIFY_FUNCTION，指定密码复杂度CR

16、EATE PROFILE TEST_PROFILE LIMIT PASSWORD_VERIFY_FUNCTION VERIFY_FUNCTION;ALTER USER USER_NAME PROFILE TEST_PROFILE;2、 补充操作说明检测方法3、 判定条件修改密码为不符合要求的密码，将失败4、 检测操作alter user abcd1 identified by abcd1;将失败5、补充说明编号：安全要求-设备-ORACLE-配置-5要求内容对于采用静态口令认证技术的数据库，账户口令的生存期不长于90天。操作指南1、 参考配置操作为用户建相关profile，指定PASSWORD

17、_GRACE_TIME为90天2、 补充操作说明在90天内，需要修改密码检测方法3、 判定条件到期不修改密码，密码将会失效。连接数据库将不会成功4、 检测操作connect username/password报错5、补充说明编号：安全要求-设备-ORACLE-配置-6-可选要求内容对于采用静态口令认证技术的数据库，应配置数据库，使用户不能重复使用最近5次（含5次）内已使用的口令。操作指南1、 参考配置操作为用户建profile,指定PASSWORD_REUSE_MAX为2、 补充操作说明当前使用的密码，必需在密码修改次后才能再次被使用检测方法3、 判定条件重用修改次内的密码，将不能成功4、 检

18、测操作alter user username identified by password1;如果password1在次修改密码内被使用，该操作将不能成功5、补充说明编号：安全要求-设备-ORACLE-配置-7-可选要求内容对于采用静态口令认证技术的数据库，应配置当用户连续认证失败次数超过6次（不含6次），锁定该用户使用的账号。操作指南1、 参考配置操作为用户建profile，指定FAILED_LOGIN_ATTEMPTS为2、 补充操作说明如果连续次连接该用户不成功，用户将被锁定检测方法3、 判定条件连续次用错误的密码连接用户，第次时用户将被锁定4、 检测操作connect username

19、/password，连续次失败，用户被锁定5、补充说明编号：安全要求-设备-ORACLE-配置-11要求内容更改数据库默认帐号的密码。操作指南1、参考配置操作1. 可通过下面命令来更改默认用户的密码：ALTER USER XXX IDENTIFIED BY XXX;2. 下面是默认用户列表：ANONYMOUSCTXSYSDBSNMPDIPDMSYSEXFSYSHRLBACSYSMDDATAMDSYSMGMT_VIEWODMODM_MTROEOLAPSYSORDPLUGINSORDSYSOUTLNPMQSQS_ADMQS_CBQS_CBADMQS_CSQS_ESQS_OSQS_WSRMANSCO

20、TTSHSI_INFORMTN_SCHEMASYSSYSMANSYSTEMTSMSYSWK_TESTWKPROXYWKSYSWMSYSXDB2、补充操作说明检测方法3、判定条件不能以用户名作为密码或使用默认密码的账户登陆到数据库。4、检测操作1. 以DBA用户登陆到sqlplus中。2. 检查数据库默认账户是否使用了用户名作为密码或默认密码。5、补充说明编号：安全要求-设备-ORACLE-配置-12要求内容Oracle软件账户的访问控制可遵循操作系统账户的安全策略，比如不要共享账户、强制定期修改密码、密码需要有一定的复杂度等。操作指南1、参考配置操作使用操作系统一级的账户安全管理来保护Orac

21、le软件账户。2、补充操作说明检测方法3、判定条件每3个月自动提示更改密码，过期后不能登陆。4、检测操作每3个月强制修改Oracle软件账户密码，并且密码需要满足一定的复杂程度，符合操作系统的密码要求。5、补充说明日志编号：安全要求-设备-ORACLE-配置-16可选要求内容数据库应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号、登录是否成功、登录时间以及远程登录时用户使用的IP地址。操作指南1、 参考配置操作创建ORACLE登录触发器，记录相关信息，但对IP地址的记录会有困难1.建表LOGON_TABLE2.建触发器CREATE TRIGGER TRI_LOGON AFTE

22、R LOGON ON DATABASEBEGIN INSERT INTO LOGON_TABLE VALUES (SYS_CONTEXT(USERENV, SESSION_USER),SYSDATE);END;2、补充操作说明检测方法2、 判定条件登录测试，检查相关信息是否被记录4、检测操作4、 补充说明触发器与AUDIT会有相应资源开消，请检查系统资源是否充足。特别是RAC环境，资源消耗较大。（删除）触发器对短连接业务的资源开销比较大，使用时要慎重考虑，但对长连接的业务资源开销基本没有影响。ORACLE自带审计功能会对系统，AUDIT会有相应资源开消，请检查系统资源是否充足。特别是RAC环境

23、，资源消耗较大。编号：安全要求-设备-ORACLE-配置-17-可选要求内容数据库应配置日志功能，记录用户对数据库的操作，包括但不限于以下内容：账号创建、删除和权限修改、口令修改、读取和修改数据库配置、读取和修改业务用户的话费数据、身份数据、涉及通信隐私数据。记录需要包含用户账号，操作时间，操作内容以及操作结果。操作指南1、 参考配置操作创建ORACLE登录触发器，记录相关信息，但对IP地址的记录会有困难1.建表LOGON_TABLE2.建触发器CREATE TRIGGER TRI_LOGON AFTER LOGON ON DATABASEBEGIN INSERT INTO LOGON_TAB

24、LE VALUES (SYS_CONTEXT(USERENV, SESSION_USER),SYSDATE);END;2、补充操作说明检测方法2、 判定条件做相关操作，检查是否记录成功4、检测操作5、 补充说明触发器与AUDIT会有相应资源开消，请检查系统资源是否充足。特别是RAC环境，资源消耗较大。编号：安全要求-设备-ORACLE-配置-18-可选要求内容数据库应配置日志功能，记录对与数据库相关的安全事件。操作指南1、 参考配置操作创建ORACLE登录触发器，记录相关信息，但对IP地址的记录会有困难1.建表LOGON_TABLE2.建触发器CREATE TRIGGER TRI_LOGON

25、AFTER LOGON ON DATABASEBEGIN INSERT INTO LOGON_TABLE VALUES (SYS_CONTEXT(USERENV, SESSION_USER),SYSDATE);END;2、补充操作说明检测方法2、 判定条件做相关测试，检查是否记录成功4、检测操作6、 补充说明触发器与AUDIT会有相应资源开消，请检查系统资源是否充足。特别是RAC环境，资源消耗较大。编号：安全要求-设备-ORACLE-配置-19-可选要求内容根据业务要求制定数据库审计策略。操作指南1、参考配置操作1. 通过设置参数audit_trail = db或os来打开数据库审计。2. 然

26、后可使用Audit命令对相应的对象进行审计设置。2、补充操作说明检测方法3、判定条件对审计的对象进行一次数据库操作，检查操作是否被记录。4、检测操作1. 检查初始化参数audit_trail是否设置。2. 检查dba_audit_trail视图中或$ORACLE_BASE/admin/adump目录下是否有数据。5、 补充说明AUDIT会有相应资源开消，请检查系统资源是否充足。特别是RAC环境，资源消耗较大。其他编号：安全要求-设备-ORACLE-配置-14-可选要求内容使用Oracle提供的虚拟私有数据库（VPD）和标签安全（OLS）来保护不同用户之间的数据交叉访问。操作指南1、参考配置操作

27、1. 在表上构建 VPD可以使用Oracle所提供的 PL/SQL 包 DBMS_RLS 控制整个 VPD 基础架构，具体设置方法较复杂，建议参考Oracle文档进行配置。2. Oracle标签安全(OLS)是在相关表上通过添加一个标签列来实现复杂的数据安全控制，具体细节请参考Oracle文档。2、补充操作说明检测方法3、判定条件通过视图来检查是否在数据库对象上设置了VPD和OLS。4、检测操作查询视图v$vpd_policy 和dba_policies。5、补充说明编号：安全要求-设备-ORACLE-配置-15-可选要求内容使用Oracle提供的Data Vault选件来限制有DBA权限的用

28、户访问敏感数据。操作指南1、参考配置操作Oracle Data Vault是作为数据库安全解决方案的一个单独选件，主要功能是将数据库管理账户的权限和应用数据访问的权限分开， Data Vault可限制有DBA权限的用户访问敏感数据。设置比较复杂，具体细节请参考Oracle文档。2、补充操作说明检测方法3、判定条件以DBA用户登陆，不能查询其它用户下面的数据。4、检测操作1. 在视图dba_users中查询是否存在dvsys用户。2. 在视图dba_objects中检查是否存在dbms_macadm对象。5、补充说明编号：安全要求-设备-ORACLE-配置-20要求内容为数据库监听器（LISTE

29、NER）的关闭和启动设置密码。操作指南1、参考配置操作通过下面命令设置密码：$ lsnrctlLSNRCTL change_passwordOld password: Not displayedNew password: Not displayedReenter new password: Not displayedConnecting to (DESCRIPTION=(ADDRESS=(PROTOCOL=TCP)(HOST=prolin1)(PORT=1521)(IP=FIRST)Password changed for LISTENERThe command completed successfullyLSNRCTL save_config2、补充操作说明检测方法3、判定条件使用lsnrctl start或lsnrctl stop命令起停listener需要密码4、检测操作