Oracle安全配置基线.docx
- 文档编号:6810207
- 上传时间:2023-01-10
- 格式:DOCX
- 页数:13
- 大小:19.93KB
Oracle安全配置基线.docx
《Oracle安全配置基线.docx》由会员分享,可在线阅读,更多相关《Oracle安全配置基线.docx(13页珍藏版)》请在冰豆网上搜索。
Oracle安全配置基线
Oracle数据库系统安全配置基线
中国移动通信有限公司管理信息系统部
2012年4月
版本
版本控制信息
更新日期
更新人
审批人
V1.0
创建
2009年1月
V2.0
更新
2012年4月
备注:
1.若此文档需要日后更新,请创建人填写版本控制表格,否则删除版本控制表格。
2.
第1章概述
第2章
2.1目的
2.2
本文档规定了中国移动管理信息系统部所维护管理的ORACLE数据库系统应当遵循的数据库安全性设置标准,本文档旨在指导数据库管理人员进行ORACLE数据库系统的安全配置。
2.3适用范围
2.4
本配置标准的使用者包括:
数据库管理员、应用管理员、网络安全管理员。
本配置标准适用的范围包括:
中国移动总部和各省公司信息化部门维护管理的ORACLE数据库系统。
2.5适用版本
2.6
ORACLE数据库系统。
2.7实施
2.8
本标准的解释权和修改权属于中国移动集团管理信息系统部,在本标准的执行过程中若有任何疑问或建议,应及时反馈。
本标准发布之日起生效。
2.9例外条款
2.10
欲申请本标准的例外条款,申请人必须准备书面申请文件,说明业务需求和原因,送交中国移动通信有限公司管理信息系统部进行审批备案。
第3章帐号
第4章
4.1帐号安全
4.2
4.2.1删除不必要帐号*
安全基线项目名称
数据库管理系统Oracle删除不必要帐号安全基线要求项
安全基线编号
SBL-Oracle-02-01-01
安全基线项说明
应删除或锁定与数据库运行、维护等工作无关的帐号。
检测操作步骤
首先锁定不需要的用户
在经过一段时间后,确认该用户对业务确无影响的情况下,可以删除
基线符合性判定依据
结合要求和实际业务情况判断符合要求,删除或锁定与设备运行、维护等与工作无关的帐号。
备注
手工判断
4.2.2限制超级管理员远程登录*
安全基线项目名称
数据库管理系统Oracle远程登录安全基线要求项
安全基线编号
SBL-Oracle-02-01-02
安全基线项说明
限制具备数据库超级管理员(SYSDBA)权限的用户远程登录。
检测操作步骤
1.以Oracle用户登陆到系统中。
2.以sqlplus‘/assysdba’登陆到sqlplus环境中。
3.使用showparameter命令来检查参数REMOTE_LOGIN_PASSWORDFILE设置。
ShowparameterREMOTE_LOGIN_PASSWORDFILE
4.检查在$ORACLE_HOME/network/admin/sqlnet.ora文件中参数SQLNET.AUTHENTICATION_SERVICES设置。
基线符合性判定依据
1.参数REMOTE_LOGIN_PASSWORDFILE设置为NONE;(限制远程登录)
2.
3.sqlnet.ora文件中参数SQLNET.AUTHENTICATION_SERVICES设置成NONE;(限制本地帐号权限登录)
备注
根据应用场景的不同,如部署场景需开启此功能,则强制要求此项。
例外情况:
若存在rman备份,有从远程发起的备份,比如:
connectsys/***@crmdb11assysdba需重点确认是否有影响。
4.2.3用户属性控制
安全基线项目名称
数据库管理系统Oracle用户属性控制策略安全基线要求项
安全基线编号
SBL-Oracle-02-01-03
安全基线项说明
对用户的属性进行控制,主要为密码策略。
检测操作步骤
1.以DBA用户登陆到sqlplus中。
2.查询视图dba_profiles和dba_usres来检查profile是否创建。
基线符合性判定依据
1.可通过设置profile来限制数据库帐号口令的复杂程度,口令生存周期和帐号的锁定方式等。
备注
4.2.4数据字典访问权限
安全基线项目名称
数据库管理系统Oracle数据字典访问权限策略安全基线要求项
安全基线编号
SBL-Oracle-02-01-04
安全基线项说明
启用数据字典保护,只有SYSDBA权限用户才能访问数据字典基础表。
检测操作步骤
1.以Oracle用户登陆到系统中。
2.以sqlplus‘/assysdba’登陆到sqlplus环境中。
3.使用showparameter命令来检查参数O7_DICTIONARY_ACCESSIBILITY
基线符合性判定依据
参数O7_DICTIONARY_ACCESSIBILITY是否设置为FALSE
备注
4.2.5TNS登录IP限制*
安全基线项目名称
数据库管理系统Oracle数据字典访问权限策略安全基线要求项
安全基线编号
SBL-Oracle-02-01-05
安全基线项说明
通过数据库所在操作系统或防火墙限制,只有信任的IP地址才能通过监听器访问数据库。
检测操作步骤
1.参考配置操作
只需在服务器上的文件$ORACLE_HOME/network/admin/sqlnet.ora中设
置以下行:
tcp.validnode_checking=yes
tcp.invited_nodes=(ip1,ip2…)
2、补充操作说明
如果网络层已经做过访问控制,该项为可选项,否则为必选项
可信内网地址指:
专用维护终端、访问数据库应用服务器、堡垒机,
其他地址段禁止。
基线符合性判定依据
1、判定条件
在非信任的客户端以数据库帐号登陆被提示拒绝。
2、检测操作
检查$ORACLE_HOME/network/admin/sqlnet.ora文件中是否设置参数
tcp.validnode_checking和tcp.invited_nodes。
备注
根据应用场景的不同,如部署场景需开启此功能,则强制要求此项。
第5章口令
第6章
6.1口令安全
6.2
6.2.1帐号口令的生存期
安全基线项目名称
数据库管理系统Oracle帐号口令生存期安全基线要求项
安全基线编号
SBL-Oracle-03-01-01
安全基线项说明
对于采用静态口令认证技术的数据库,帐号口令的生存期不长于90天。
检测操作步骤
1.以Oracle用户登陆到系统中。
2.以sqlplus‘/assysdba’登陆到sqlplus环境中。
3、执行selectlimitfromdba_profileswhere
resource_name='PASSWORD_LIFE_TIME'andprofilein(selectprofilefromdba_userswhereaccount_status='OPEN'
基线符合性判定依据
查询结果中PASSWORD_LIFE_TIME小于等于90。
备注
6.2.2重复口令使用
安全基线项目名称
数据库管理系统Oracle重复口令的使用策略安全基线要求项
安全基线编号
SBL-Oracle-03-01-02
安全基线项说明
对于采用静态口令认证技术的数据库,应配置数据库,使用户不能重复使用最近5次(含5次)内已使用的口令。
检测操作步骤
1.以Oracle用户登陆到系统中。
2.以sqlplus‘/assysdba’登陆到sqlplus环境中。
3.执行selectresource_name,limitfromdba_profiles,dba_userswheredba_profiles.profile=dba_users
.profileanddba_users.account_status='OPEN'andresource_name='PASSWORD_REUSE_MAX';
基线符合性判定依据
查询结果中PASSWORD_REUSE_MAX大于等于5。
备注
6.2.3认证控制*
安全基线项目名称
数据库管理系统Oracle认证控制策略安全基线要求项
安全基线编号
SBL-Oracle-03-01-03
安全基线项说明
对于采用静态口令认证技术的数据库,应配置当用户连续认证失败次数超过10次,锁定该用户使用的帐号。
检测操作步骤
1.以Oracle用户登陆到系统中。
2.以sqlplus‘/assysdba’登陆到sqlplus环境中。
3.执行selectresource_name,limitfromdba_profiles,dba_userswheredba_profiles.profile=dba_users
.profileanddba_users.account_status='OPEN'andresource_name='FAILED_LOGIN_ATTEMPTS';
基线符合性判定依据
查询结果中FAILED_LOGIN_ATTEMPTS等于10。
备注
根据应用场景的不同,如部署场景需开启此功能,则强制要求此项。
对核心库、生产用户不能设置此基线。
误操作或恶意超过10次,导致用户锁定,有一定风险,可能会导致应用异常
6.2.4更改默认帐号密码
安全基线项目名称
数据库管理系统Oracle默认帐号口令策略安全基线要求项
安全基线编号
SBL-Oracle-03-01-04
安全基线项说明
更改数据库默认帐号的密码。
检测操作步骤
1.以Oracle用户登陆到系统中。
2.以system/system、system/manager、sys/sys、sys/cHAnge_on_install、scott/scott、scott/tiger、dbsnmp/dbsnmp、rman/rman、xdb/xdb登陆sqlplus环境。
基线符合性判定依据
上述帐号口令均不能成功登录。
备注
6.2.5密码更改策略
安全基线项目名称
数据库管理系统Oracle密码更改策略安全基线要求项
安全基线编号
SBL-Oracle-03-01-05
安全基线项说明
设置帐号宽限期
检测操作步骤
1.以Oracle用户登陆到系统中。
2.以sqlplus‘/assysdba’登陆到sqlplus环境中。
3.执行selectresource_name,limitfromdba_profiles,dba_userswheredba_profiles.profile=dba_users
.profileanddba_users.account_status='OPEN'andresource_name='PASSWORD_GRACE_TIME'
基线符合性判定依据
查询结果中PASSWORD_GRACE_TIME小于等于7。
备注
密码过期后7天内不修改密码,密码将失效
6.2.6密码复杂度策略
安全基线项目名称
数据库管理系统Oracle密码复杂度策略安全基线要求项
安全基线编号
SBL-Oracle-03-01-06
安全基线项说明
对于采用静态口令进行认证的数据库,口令长度至少8位,并包括数字、小写字母、大写字母和特殊符号四类中至少两类。
且5次以内不得设置相同的口令。
密码应至少每90天进行更换。
检测操作步骤
1.以Oracle用户登陆到系统中。
2.以sqlplus‘/assysdba’登陆到sqlplus环境中。
3、执行selectlimitfromdba_profileswhere
resource_name='PASSWORD_VERIFY_FUNCTION'andprofilein(selectprofilefromdba_userswhereaccount_status='OPEN'
基线符合性判定依据
为用户建profile,调整PASSWORD_VERIFY_FUNCTION,指定密码复杂度
备注
第7章日志
第8章
8.1日志审计
8.2
8.2.1数据库审计策略*
安全基线项目名称
数据库管理系统Oracle数据审计策略安全基线要求项
安全基线编号
SBL-Oracle-04-01-01
安全基线项说明
根据业务要求制定数据库审计策略。
对用户登录进行记录,记录内容包括用户登录使用的帐号、登录是否成功、登录时间以及远程登录时用户使用的IP地址;
用户对数据库的操作,包括但不限于以下内容:
帐号创建、删除和权限修改、口令修改、读取和修改数据库配置、读取和修改业务用户的话费数据、身份数据、涉及通信隐私数据。
记录需要包含用户帐号,操作时间,操作内容以及操作结果;
记录对与数据库相关的安全事件。
检测操作步骤
1.以Oracle用户登陆到系统中。
2.以sqlplus‘/assysdba’登陆到sqlplus环境中。
3.使用showparameter命令来检查参数audit_trail是否设置。
4.检查dba_audit_trail视图中或$ORACLE_BASE/admin/adump目录下是否有数据。
基线符合性判定依据
参数audit_trail不能设置为NONE。
需设置具体的审计内容。
可以设置数据库参数audit_sys_operations=true来审计所有SYS用户的操作。
备注
根据应用场景的不同,如部署场景需开启此功能,则强制要求此项。
通过外围审计实现.数据库开启该项参数后,对数据库性能影响较大。
在以往的基线推广中,因数据库审计基线对业务系统影响较大,很难落地实施。
第9章其他
第10章
10.1其他配置
10.2
10.2.1设置监听器密码
安全基线项目名称
数据库管理系统Oracle监听器安全基线要求项
安全基线编号
SBL-Oracle-05-01-01
安全基线项说明
为数据库监听器(LISTENER)的关闭和启动设置密码。
检测操作步骤
检查$ORACLE_HOME/network/admin/listener.ora文件中是否设置参数PASSWORDS_LISTENER。
基线符合性判定依据
要求正确设置参数PASSWORDS_LISTENER;
使用lsnrctlstart或lsnrctlstop命令起停listener需要密码。
备注
10.2.2加密数据*
安全基线项目名称
数据库管理系统Oracle加密数据安全基线要求项
安全基线编号
SBL-Oracle-05-01-02
安全基线项说明
使用Oracle提供的高级安全选件来加密客户端与数据库之间或中间件与数据库之间的网络传输数据。
检测操作步骤
检查$ORACLE_HOME/network/admin/sqlnet.ora文件中是否设置sqlnet.encryption等参数
基线符合性判定依据
要求正确设置参数sqlnet.encryption;
通过网络层捕获的数据库传输包为加密包。
备注
根据应用场景的不同,如部署场景需开启此功能,则强制要求此项。
第11章评审与修订
第12章
本标准由中国移动通信有限公司管理信息系统部定期进行审查,根据审视结果修订标准,并颁发执行。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- Oracle 安全 配置 基线
![提示](https://static.bdocx.com/images/bang_tan.gif)