Oracle数据库安全配置规范华为Word格式.docx

1、应按照用户分配账号，避免不同用户间共享账号。操作指南1、 参考配置操作create user abc1 identified by password1;create user abc2 identified by password2;建立role，并给role授权，把role赋给不同的用户2、 补充操作说明1、abc1和abc2是两个不同的账号名称，可根据不同用户，取不同的名称；检测方法3、 判定条件不同名称的用户可以连接数据库4、 检测操作connect abc1/password1连接数据库成功5、补充说明2.1.2 删除或锁定无关帐号应删除或锁定与数据库运行、维护等工作无关的账号。alt

2、er user username lock;drop user username cascade;首先锁定不需要的用户在经过一段时间后，确认该用户对业务确无影响的情况下，可以删除4、检测操作2.1.3 限制SYSDBA用户的远程登录限制具备数据库超级管理员（SYSDBA）权限的用户远程登录。1、参考配置操作1. 在spfile中设置REMOTE_LOGIN_PASSWORDFILE=NONE来禁止SYSDBA用户从远程登陆。2. 在sqlnet.ora中设置SQLNET.AUTHENTICATION_SERVICES=NONE来禁用 SYSDBA 角色的自动登录。2、补充操作说明3、判定条件1

3、. 不能通过Sql*Net远程以SYSDBA用户连接到数据库。2. 在数据库主机上以sqlplus /as sysdba连接到数据库需要输入口令。1. 以Oracle用户登陆到系统中。2. 以sqlplus /as sysdba登陆到sqlplus环境中。3. 使用show parameter命令来检查参数REMOTE_LOGIN_PASSWORDFILE是否设置为NONE。Show parameter REMOTE_LOGIN_PASSWORDFILE4. 检查在$ORACLE_HOME/network/admin/sqlnet.ora文件中参数SQLNET.AUTHENTICATION_S

4、ERVICES是否被设置成NONE。2.1.4 用户权限最小化在数据库权限配置能力内，根据用户的业务需要，配置其所需的最小权限。grant权限to username;revoke 权限from username;用第一条命令给用户赋相应的最小权限用第二条命令收回用户多余的权限业务测试正常2.1.5 使用ROLE管理对象的权限使用数据库角色（ROLE）来管理对象的权限。1. 使用Create Role命令创建角色。2. 使用用Grant命令将相应的系统、对象或Role的权限赋予应用用户。对应用用户不要赋予DBA Role或不必要的权限。1. 以DBA用户登陆到sqlplus中。2. 通过查询db

5、a_role_privs、dba_sys_privs和dba_tab_privs等视图来检查是否使用ROLE来管理对象权限。2.1.6 控制用户属性对用户的属性进行控制，包括密码策略、资源限制等。可通过下面类似命令来创建profile，并把它赋予一个用户CREATE PROFILE app_user2 LIMIT FAILED_LOGIN_ATTEMPTS 6 PASSWORD_LIFE_TIME 60 PASSWORD_REUSE_TIME 60 PASSWORD_REUSE_MAX 5 PASSWORD_VERIFY_FUNCTION verify_function PASSWORD_LO

6、CK_TIME 1/24 PASSWORD_GRACE_TIME 90;ALTER USER jd PROFILE app_user2;1. 可通过设置profile来限制数据库账户口令的复杂程度，口令生存周期和账户的锁定方式等。2. 可通过设置profile来限制数据库账户的CPU资源占用。2. 查询视图dba_profiles和dba_usres来检查profile是否创建。2.1.7 启用数据库字典保护启用数据字典保护，只有SYSDBA用户才能访问数据字典基础表。通过设置下面初始化参数来限制只有SYSDBA权限的用户才能访问数据字典。O7_DICTIONARY_ACCESSIBILITY

7、 = FALSE以普通dba用户登陆到数据库，不能查看X$开头的表，比如：select * from sys. x$ksppi;3. 使用show parameter命令来检查参数O7_DICTIONARY_ACCESSIBILITY是否设置为FALSE。Show parameter O7_DICTIONARY_ACCESSIBILITY2.2 口令2.2.1 静态口令认证的密码复杂度控制对于采用静态口令进行认证的数据库，口令长度至少6位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。为用户建profile，调整PASSWORD_VERIFY_FUNCTION，指定密码复杂度修改密码

8、为不符合要求的密码，将失败alter user abcd1 identified by abcd1;将失败2.2.2 静态口令认证的密码生命周期对于采用静态口令认证技术的数据库，账户口令的生存期不长于90天。为用户建相关profile，指定PASSWORD_GRACE_TIME为90天在90天内，需要修改密码到期不修改密码，密码将会失效。连接数据库将不会成功connect username/password报错2.2.3 静态口令认证的密码重复使用限制对于采用静态口令认证技术的数据库，应配置数据库，使用户不能重复使用最近5次（含5次）内已使用的口令。为用户建profile,指定PASSWORD

9、_REUSE_MAX为当前使用的密码，必需在密码修改次后才能再次被使用重用修改次内的密码，将不能成功alter user username identified by password1;如果password1在次修改密码内被使用，该操作将不能成功2.2.4 景泰口令认证的连续登录失败的帐号锁定策略对于采用静态口令认证技术的数据库，应配置当用户连续认证失败次数超过6次（不含6次），锁定该用户使用的账号。为用户建profile，指定FAILED_LOGIN_ATTEMPTS为如果连续次连接该用户不成功，用户将被锁定连续次用错误的密码连接用户，第次时用户将被锁定connect username/p

10、assword，连续次失败，用户被锁定2.2.5 更改数据库默认帐号的密码更改数据库默认帐号的密码。1. 可通过下面命令来更改默认用户的密码：ALTER USER XXX IDENTIFIED BY XXX;2. 下面是默认用户列表：ANONYMOUSCTXSYSDBSNMPDIPDMSYSEXFSYSHRLBACSYSMDDATAMDSYSMGMT_VIEWODMODM_MTROEOLAPSYSORDPLUGINSORDSYSOUTLNPMQSQS_ADMQS_CBQS_CBADMQS_CSQS_ESQS_OSQS_WSRMANSCOTTSHSI_INFORMTN_SCHEMASYSSYSM

11、ANSYSTEMTSMSYSWK_TESTWKPROXYWKSYSWMSYSXDB不能以用户名作为密码或使用默认密码的账户登陆到数据库。2. 检查数据库默认账户是否使用了用户名作为密码或默认密码。2.2.6 操作系统级的帐户安全策略Oracle软件账户的访问控制可遵循操作系统账户的安全策略，比如不要共享账户、强制定期修改密码、密码需要有一定的复杂度等。使用操作系统一级的账户安全管理来保护Oracle软件账户。每3个月自动提示更改密码，过期后不能登陆。每3个月强制修改Oracle软件账户密码，并且密码需要满足一定的复杂程度，符合操作系统的密码要求。2.3 日志2.3.1 登录日志功能数据库应配置

12、日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号、登录是否成功、登录时间以及远程登录时用户使用的IP地址。创建ORACLE登录触发器，记录相关信息，但对IP地址的记录会有困难2、 判定条件登录测试，检查相关信息是否被记录3、检测操作4、 补充说明触发器与AUDIT会有相应资源开消，请检查系统资源是否充足。特别是RAC环境，资源消耗较大。2.3.2 DDL日志数据库应配置日志功能，记录用户对数据库的操作，包括但不限于以下内容：账号创建、删除和权限修改、口令修改、读取和修改数据库配置、读取和修改业务用户的话费数据、身份数据、涉及通信隐私数据。记录需要包含用户账号，操作时间，操作内容以及

13、操作结果。创建ORACLE DDL触发器，记录相关信息，但对IP地址的记录会有困难做相关操作，检查是否记录成功5、 补充说明2.3.3 数据库审记根据业务要求制定数据库审计策略。1. 通过设置参数audit_trail = db或os来打开数据库审计。2. 然后可使用Audit命令对相应的对象进行审计设置。对审计的对象进行一次数据库操作，检查操作是否被记录。1. 检查初始化参数audit_trail是否设置。2. 检查dba_audit_trail视图中或$ORACLE_BASE/admin/adump目录下是否有数据。AUDIT会有相应资源开消，请检查系统资源是否充足。2.4 其他2.4.1

14、 VPD与OLS使用Oracle提供的虚拟私有数据库（VPD）和标签安全（OLS）来保护不同用户之间的数据交叉访问。1. 在表上构建 VPD可以使用Oracle所提供的 PL/SQL 包 DBMS_RLS 控制整个 VPD 基础架构，具体设置方法较复杂，建议参考Oracle文档进行配置。2. Oracle标签安全（OLS）是在相关表上通过添加一个标签列来实现复杂的数据安全控制，具体细节请参考Oracle文档。通过视图来检查是否在数据库对象上设置了VPD和OLS。查询视图v$vpd_policy 和dba_policies。2.4.2 Data Vault使用Oracle提供的Data Vaul

15、t选件来限制有DBA权限的用户访问敏感数据。Oracle Data Vault是作为数据库安全解决方案的一个单独选件，主要功能是将数据库管理账户的权限和应用数据访问的权限分开， Data Vault可限制有DBA权限的用户访问敏感数据。设置比较复杂，具体细节请参考Oracle文档。以DBA用户登陆，不能查询其它用户下面的数据。1. 在视图dba_users中查询是否存在dvsys用户。2. 在视图dba_objects中检查是否存在dbms_macadm对象。2.4.3 Listener设定密码保护为数据库监听器（LISTENER）的关闭和启动设置密码。通过下面命令设置密码：$ lsnrctl

16、LSNRCTL change_passwordOld password: Not displayedNew password:NewPasswordReenter new password:Connecting to （DESCRIPTION=（ADDRESS=（PROTOCOL=TCP）（HOST=prolin1）（PORT=1521）（IP=FIRST）Password changed for LISTENERThe command completed successfully save_config使用lsnrctl start或lsnrctl stop命令起停listener需要密码检

17、查$ORACLE_HOME/network/admin/listener.ora文件中是否设置参数PASSWORDS_LISTENER。2.4.4 设定信任IP集设置只有信任的IP地址才能通过监听器访问数据库。只需在服务器上的文件$ORACLE_HOME/network/admin/sqlnet.ora中设置以下行：tcp.validnode_checking = yes tcp.invited_nodes = （ip1,ip2）在非信任的客户端以数据库账户登陆被提示拒绝。检查$ORACLE_HOME/network/admin/sqlnet.ora文件中是否设置参数tcp.validnode

18、_checking和tcp.invited_nodes。2.4.5 加密网络传输使用Oracle提供的高级安全选件来加密客户端与数据库之间或中间件与数据库之间的网络传输数据。1. 在Oracle Net Manager中选择“Oracle Advanced Security”。2. 然后选择Encryption。3. 选择Client或Server选项。4. 选择加密类型。5. 输入加密种子（可选）。6. 选择加密算法（可选）。7. 保存网络配置，sqlnet.ora被更新。通过网络层捕获的数据库传输包为加密包。检查$ORACLE_HOME/network/admin/sqlnet.ora文件

19、中是否设置sqlnet.encryption等参数。2.4.6 断开超时的空闲远程连接在某些应用环境下可设置数据库连接超时，比如数据库将自动断开超过10分钟的空闲远程连接。在sqlnet.ora中设置下面参数：SQLNET.EXPIRE_TIME=1010分钟以上的无任何操作的空闲数据库连接被自动断开检查$ORACLE_HOME/network/admin/sqlnet.ora文件中是否设置参数SQLNET.EXPIRE_TIME。2.4.7 限制DBA组中的操作系统用户数量限制在DBA组中的操作系统用户数量，通常DBA组中只有Oracle安装用户。通过/etc/passwd文件来检查是否有其它用户在DBA组中。无其它用户属于DBA组。Welcome ToDownload !欢迎您的下载，资料仅供参考！