《xxx oracle数据库安全加固方案》由会员分享，可在线阅读，更多相关《xxx oracle数据库安全加固方案（21页珍藏版）》请在金锄头文库上搜索。
1、Q/ZD浙 江 省 电 力 公 司 企 业 标 准 编号：Q/XXX Oracle数据库安全加固方案2014年11月19日2010-*-* 发布 2010-*-* 实施浙江省电力公司 发布前 言为规范Oracle数据库安全加固操作，全面系统地降低Oracle数据库面临的风险，及时堵塞漏洞，提高安全防护能力，特制订XXX Oracle数据库安全加固方案。本方案适用于Oracle数据库安全加固工作要求。本方案由XXX负责起草设计。本方案主要起草人：XXX。目 录1.适用范围52.方案实施准备52.1 准备工作52.2 危险点分析及预控措施63.方案实施流程74.方案实施程序及标准85.方案实施操作
2、记录15XXX Oracle数据库安全加固方案1. 适用范围本方案适用于XXX Oracle 8i、10g数据库安全加固。2. 方案实施准备2.1 准备工作序号内容标准1核实Oracle数据库安全加固操作申请熟悉本次方案实施的内容和操作2填写、核实工作操作内容填写工作操作内容，并经相关责任人书面认可3获知本次操作所需的信息1、 获知Oracle数据库主机的地址、用户名和密码2、 获知Oracle数据库sys和system用户的密码2.2 危险点分析及预控措施序号危险点防范措施1修改帐号权限时，造成权限过大或过小以最小权限原则为每个帐号分配其必须的角色、系统权限、对象权限和语句权限2删除或禁止有
3、用的服务、组件等对无用的服务、组件进行排查，并和应用系统厂商进行确认3增加网络访问控制，对应用系统造成影响操作前和业务部门、应用系统厂商进行确认并做好测试工作3. 方案实施流程4. 方案实施程序及标准序号工作内容操作方法及标准安全措施及注意事项登录系统1通过管理主机登录Oracle数据库主机通过ssh或vnc或RDP登录Oracle数据库主机，输入用户名密码注意用户名、密码的保密2登录Oracle数据库以sys用户的身份登录Oracle数据库，默认：sqlplus / as sysdba（10g)或sqlplus username/password（8i）帐号权限加固3限制应用用户在数据库中的
4、权限，尽量保证最小化，避免授予了DBA权限1.查看权限SQLSELECT * FROM dba_sys_privs WHERE grantee=; - 系统权限SQLSELECT * FROM dba_tab_privs WHERE grantee=; - 对象权限SQLSELECT * FROM dba_role_privs WHERE grantee=; -赋予的角色2.收回相应权限(例如收回select any table权限)SQLREVOKE select any table FROM ;3. 收回应用用户的DBA角色SQLREVOKE dba FROM ;避免分配权限过大或过小4撤
5、消public角色的程序包执行权限1.查看public角色的程序包执行权限SQLSELECT table_name FROM dba_tab_privs WHERE grantee=PUBLIC and privilege=EXECUTE; 2.撤销public角色的程序包执行权限（例如撤销在utl_file包上的执行权限）SQLREVOKE execute ON utl_file FROM public;Oracle官方建议撤销public角色对utl_file、utl_http、utl_tcp、utl_smtp、dbms_random程序包的执行权限。5修改系统帐户的默认口令（特别是管理员
6、角色类帐户）锁定所有不需要的用户1.修改sys和system口令SQLALTER USER sys IDENTIFIED BY ;SQLALTER USER system IDENTIFIED BY ;2.锁定不需要的用户SQLALTER USER ACCOUNT LOCK;6删除系统中多余的自建帐号1.查看用户自建账号SQLSELECT username FROM all_users;2.删除或者禁用多余自建账号SQLDROP USER CASCADE;7为所有应用用户配置强口令1.根据设置的口令策略修改弱口令SQLALTER USER IDENTIFIED BY ;数据访问控制加固8严格限
7、制库文件的访问权限，保证除属主和root外，其他用户对库文件没有写权限1. 用操作系统命令查看库文件访问权限（以RedHat Linux为例）ls -l $ORACLE_BASE/oradata2.用操作系统命令删除库文件组和其他用户的写权限chmod 640 $ORACLE_BASE/oradata/*3.Windows系统同理（方法不同）修改权限可能对部分应用系统造成影响，需要联系业务部门和应用系统厂商做好相关的测试工作9设置$ORACLE_HOME/bin其下所有程序的访问权限或其他安全控制机制1. 用操作系统命令查看bin目录下所有程序文件的访问权限（以RedHat Linux为例）l
8、s -l $ORACLE_HOME/bin2.用操作系统命令删除组和其他用户的写权限chmod 640 $ORACLE_HOME/bin/*修改权限可能对部分应用系统造成影响，需要联系业务部门和应用系统厂商做好相关的测试工作服务加固10在不影响业务系统正常运行情况下，停止或禁用与承载业务无关的服务或组件1.用操作系统命令查看有无与业务无关的服务或组件2.用操作系统命令停止或禁用与业务无关的服务或组件需要和业务部门确认11删除数据库中存在有无用的、测试的、废弃的表,视图1. 查看数据库中表或视图等对象SQLSELECT * FROM dba_tables;SQLSELECT * FROM dba
9、_views;2.删除数据库中存在的无用的、测试的、废弃的表或视图SQLDROP TABLE ;SQLDROP VIEW ; 需要和业务部门确认网络访问控制加固12设置TNS登录的IP限制，仅允许最少的必要的IP地址可连接TNS监听器1.在目录$ORACLE_HOME/network/admin下修改sqlnet.ora文件实现TNS登录IP限制,设置下列配置信息：tcp.validnode_checking=yes#允许访问的iptcp.invited_nodes =(ip1,ip2,)#不允许访问的iptcp.excluded_nodes=(ip1,ip2,)2.修改sqlnet.ora后
10、，重新启动listener服务可能对部分应用系统造成影响，需要联系业务部门和应用系统厂商做好相关的测试工作13关闭远程操作系统认证1. 在目录$ORACLE_HOME/network/admin下修改sqlnet.ora文件,设置下列配置信息:sqlnet.authentication_services=(NONE)2. 修改参数Remote_login_passwordfile为EXCLUSIVE或SHAREDSQLALTER SYSTEM SET REMOTE_LOGIN_PASSWORDFILE=EXCLUSIVE SCOPE=SPFILE;3. 修改参数REMOTE_OS_AUTHEN
11、TSQLALTER SYSTEM SET REMOTE_OS_AUTHENT=FALSE SCOPE=SPFILE;4. 重启数据库和监听使修改生效需要重启服务，应提前通知业务部门14在不影响应用的前提下，更改默认的1521端口1. 查看当前监听的状态lsnrctl status2. 停止监听lsnrctl stop3. 修改监听文件的端口号，在目录$ORACLE_HOME/network/admin下修改listener.ora文件（例如把端口号改为11251）LISTENER =(DESCRIPTION_LIST = (DESCRIPTION = (ADDRESS = (PROTOCOL
12、= TCP)(HOST=LOCALHOST)(PORT=11251) )4. 修改初始化参数local_listenerSQLALTER SYSTEM SET local_listener=(address=(protocol=tcp)(host=localhost)(port=11251);SQLquit5. 重启监听器lsnrctl start6. 修改完毕，使用新端口登录测试netstat -tunap | grep 11251lsnrctl status客户端连接测试对所有应用系统都有影响，需要跟业务部门配合做好评估和测试工作15限制对监听器的远程管理，并设置监听器管理口令（8i）1.
13、进入监听设置状态lsnrctl2.设置当前监听器set current_listener 3.设置密码change_passwordset password4.保存设置save_config5.检查listener.ora文件，看是否有一条PASSWORDS_的记录可能对部分应用系统造成影响，需要联系业务部门和应用系统厂商做好相关的测试工作16外部程序调用监听配置的删除（8i）1.打开listener.ora文件，删除以下配置文件:(ADDRESS_LIST = (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC0) )(SID_DESC = (SID_NAME = PLSExtProc) (ORACLE_HOME = C:oracleora81) (PROGRAM = extproc)2. 重启监听3. 查看监听状态默认安装时，会安装一个PL/SQL外部程序（ExtProc）条目在listener.ora中，是oracle为调用外部程序默认配置的监听，它的名字通常是ExtProc或PLSExtProc，但一般不会使用它，可以直接从listener.ora中将这项移除，因为对ExtProc
