Oracle数据库安全配置基线

《Oracle数据库安全配置基线》由会员分享，可在线阅读，更多相关《Oracle数据库安全配置基线（10页珍藏版）》请在金锄头文库上搜索。

1、Oracle 数据库安全配置基线数据库安全配置基线 Oracle 数据库安全配置基线 ii 目目 录录 第第 1 章章概述概述.1 1.1目的.1 1.2适用范围.1 1.3适用版本.1 第第 2 章章账号账号.1 2.1账号安全.1 2.1.1删除不必要账号1 2.1.2限制超级管理员远程登录2 2.1.3用户属性控制2 2.1.4数据字典访问权限3 第第 3 章章口令口令.3 3.1口令安全.3 3.1.1账户口令的生存期3 3.1.2重复口令使用4 3.1.3认证控制4 3.1.4更改默认帐户密码5 3.1.5密码更改策略5 3.1.6密码复杂度策略6 第第 4 章章日志日志.7 4.1

2、日志审计.7 4.1.1数据库审计策略7 第第 5 章章其他其他.8 5.1其他配置.8 5.1.1设置监听器密码8 5.1.2加密数据8 第第 6 章章持续改进持续改进.9 Oracle 数据库安全配置基线 1 第第 1 章章概述概述 1.1 目的目的 本文规定了 Oracle 数据库应当遵循的安全性设置标准，本文档旨在指导系统管理人员或安全检 查人员进行 Oracle 数据库的安全合规性检查和配置。 1.2 适用范围适用范围 本配置标准的使用者包括：服务器系统管理员、安全管理员和相关使用人员。 本配置标准适用的范围包括： Oracle 数据库服务器。 1.3 适用版本适用版本 适用于 Or

3、acle 10g。 第第 2 章章账号账号 2.1 账号安全账号安全 2.1.1 删除不必要账号删除不必要账号 安全基线项安全基线项 目名称目名称 数据库管理系统 Oracle 删除不必要帐号安全基线要求项 安全基线项安全基线项 说明说明 应删除或锁定与数据库运行、维护等工作无关的账号。 检测操作步检测操作步 骤骤 首先锁定不需要的用户 在经过一段时间后，确认该用户对业务确无影响的情况下，可以删除。 基线符合性基线符合性 判定依据判定依据 结合要求和实际业务情况判断符合要求，删除或锁定与设备运行、维护等与 工作无关的账号。 Oracle 数据库安全配置基线 2 备注备注 2.1.2 限制超级管

4、理员远程登录限制超级管理员远程登录 安全基线项安全基线项 目名称目名称 数据库管理系统 Oracle 远程登录安全基线要求项 安全基线项安全基线项 说明说明 限制具备数据库超级管理员（SYSDBA）权限的用户远程登录。 检测操作步检测操作步 骤骤 1. 以 Oracle 用户登陆到系统中。 2. 以 sqlplus /as sysdba登陆到 sqlplus 环境中。 3. 使用 show parameter 命令来检查参数 REMOTE_LOGIN_PASSWORDFILE 设置。 Show parameter REMOTE_LOGIN_PASSWORDFILE 4. 检查在$ORACLE_

5、HOME/network/admin/sqlnet.ora 文件中参数 SQLNET.AUTHENTICATION_SERVICES 设置。 基线符合性基线符合性 判定依据判定依据 参数 REMOTE_LOGIN_PASSWORDFILE 设置为 NONE; sqlnet.ora 文件中参数 SQLNET.AUTHENTICATION_SERVICES 设置成 NONE。 备注备注 2.1.3 用户属性控制用户属性控制 安全基线项安全基线项 目名称目名称 数据库管理系统 Oracle 用户属性控制策略安全基线要求项 安全基线项安全基线项 说明说明 对用户的属性进行控制，包括密码策略、资源限制等

6、。 检测操作步检测操作步 骤骤 1. 以 DBA 用户登陆到 sqlplus 中； 2.查询视图 dba_profiles 和 dba_usres 来检查 profile 是否创建。 基线符合性基线符合性 判定依据判定依据 1.可通过设置 profile 来限制数据库账户口令的复杂程度，口令生存周期和账 户的锁定方式等； 2.可通过设置 profile 来限制数据库账户的 CPU 资源占用。 Oracle 数据库安全配置基线 3 备注备注 2.1.4 数据字典访问权限数据字典访问权限 安全基线项安全基线项 目名称目名称 数据库管理系统 Oracle 数据字典访问权限策略安全基线要求项 安全基线

7、项安全基线项 说明说明 启用数据字典保护，只有 SYSDBA 用户才能访问数据字典基础表。 检测操作步检测操作步 骤骤 1. 以 Oracle 用户登陆到系统中； 2. 以 sqlplus /as sysdba登陆到 sqlplus 环境中； 3. 使用 show parameter 命令检查参数 O7_DICTIONARY_ACCESSIBILITY。 基线符合性基线符合性 判定依据判定依据 select VALUE from v$parameter where NAME=O7_DICTIONARY_ACCESSIBILITY是否设置为 FALSE 备注备注 第第 3 章章口令口令 3.1

8、口令安全口令安全 3.1.1 账户口令的生存期账户口令的生存期 安全基线项安全基线项 目名称目名称 数据库管理系统 Oracle 账户口令生存期安全基线要求项 安全基线项安全基线项 说明说明 在相应应用程序条件允许的情况下，对于采用静态口令认证技术的数据库， 账户口令的生存期不长于 90 天。 检测操作步检测操作步 骤骤 1. 以 Oracle 用户登陆到系统中； 2. 以 sqlplus /as sysdba登陆到 sqlplus 环境中； 3. 执行 select resource_name, limit from dba_profiles, dba_users where Oracle

9、数据库安全配置基线 4 dba_profiles.profile = dba_users .profile and dba_users.account_status=OPEN and resource_name=PASSWORD_GRACE_TIME 基线符合性基线符合性 判定依据判定依据 查询结果中 PASSWORD_GRACE_TIME 小于等于 90。 备注备注 3.1.2 重复口令使用重复口令使用 安全基线项安全基线项 目名称目名称 数据库管理系统 Oracle 重复口令的使用策略安全基线要求项 安全基线项安全基线项 说明说明 对于采用静态口令认证技术的数据库，应配置数据库，使用户不能

10、重复使用 最近 5 次（含 5 次）内已使用的口令。 检测操作步检测操作步 骤骤 1. 以 Oracle 用户登陆到系统中； 2. 以 sqlplus /as sysdba登陆到 sqlplus 环境中； 3. 执行 select resource_name, limit from dba_profiles, dba_users where dba_profiles.profile = dba_users .profile and dba_users.account_status=OPEN and resource_name=PASSWORD_REUSE_MAX。 基线符合性基线符合性 判定依

11、据判定依据 查询结果中 PASSWORD_REUSE_MAX 大于等于 5。 备注备注 3.1.3 认证控制认证控制 安全基线项安全基线项 目名称目名称 数据库管理系统 Oracle 认证控制策略安全基线要求项 安全基线项安全基线项 说明说明 对于采用静态口令认证技术的数据库，应配置当用户连续认证失败次数超过 6 次（不含 6 次） ，锁定该用户使用的账号。 检测操作步检测操作步 骤骤 1. 以 Oracle 用户登陆到系统中； 2. 以 sqlplus /as sysdba登陆到 sqlplus 环境中； Oracle 数据库安全配置基线 5 3. 执行 select resource_na

12、me, limit from dba_profiles, dba_users where dba_profiles.profile = dba_users .profile and dba_users.account_status=OPEN and resource_name=FAILED_LOGIN_ATTEMPTS。 基线符合性基线符合性 判定依据判定依据 查询结果中 FAILED_LOGIN_ATTEMPTS 等于 6。 备注备注 3.1.4 更改默认帐户密码更改默认帐户密码 安全基线项安全基线项 目名称目名称 数据库管理系统 Oracle 默认账户口令策略安全基线要求项 安全基线项安全

13、基线项 说明说明 更改数据库默认帐号的密码。 检测操作步检测操作步 骤骤 1. 以 Oracle 用户登陆到系统中； 2. 以 system/system、system/manager 、sys/sys、sys/cHAnge_on_install 、scott/scott、scott/tiger、dbsnmp/dbsnmp 、rman/rman、xdb/xdb 登陆 sqlplus 环境。 基线符合性基线符合性 判定依据判定依据 上述账户口令均不能成功登录。 备注备注 3.1.5 密码更改策略密码更改策略 安全基线项安全基线项 目名称目名称 数据库管理系统 Oracle 密码更改策略安全基线要

14、求项 安全基线项安全基线项 说明说明 Oracle 软件账户的访问控制可遵循操作系统账户的安全策略，比如不要共享 账户、强制定期修改密码、密码需要有一定的复杂度等。 检测操作步检测操作步 骤骤 1. 以 Oracle 用户登陆到系统中； 2. 以 sqlplus /as sysdba登陆到 sqlplus 环境中； 3、执行 select limit from dba_profiles where Oracle 数据库安全配置基线 6 resource_name=PASSWORD_LIFE_TIME and profile in (select profile from dba_users w

15、here account_status=OPEN)。 基线符合性基线符合性 判定依据判定依据 查询结果中 PASSWORD_LIFE_TIME 小于等于 90。 备注备注 3.1.6 密码复杂度策略密码复杂度策略 安全基线项安全基线项 目名称目名称 数据库管理系统 Oracle 密码复杂度策略安全基线要求项 安全基线项安全基线项 说明说明 对于采用静态口令进行认证的数据库，口令长度至少 6 位，并包括数字、小 写字母、大写字母和特殊符号 4 类中至少 2 类。 检测操作步检测操作步 骤骤 1. 以 Oracle 用户登陆到系统中； 2. 以 sqlplus /as sysdba登陆到 sqlp

16、lus 环境中； 3、执行 select limit from dba_profiles where resource_name=PASSWORD_VERIFY_FUNCTION and profile in (select profile from dba_users where account_status=OPEN)。 基线符合性基线符合性 判定依据判定依据 为用户建 profile，调整 PASSWORD_VERIFY_FUNCTION，指定密码复杂 度 备注备注 第第 4 章章日志日志 4.1 日志审计日志审计 4.1.1 数据库审计策略数据库审计策略 安全基线项安全基线项 目名称目名称 数据库管理系统 Oracle 数据审计策略安全基线要求项 Oracle 数据库安全配置基线 7 安全基线项安全基线项 说明说明 根据业务要求制定数据库审计策略。 对用户登录进行记录，记录内容包括用户登录使用的账号、登录是否成功、 登录时间以及远程登录时用户使用的 IP 地址； 用户对数据库的操作，