Informix数据库参数设置说明资料.docx

Informix数据库参数设置说明资料.docx

《Informix数据库参数设置说明资料.docx》由会员分享，可在线阅读，更多相关《Informix数据库参数设置说明资料.docx（19页珍藏版）》请在冰豆网上搜索。

Informix数据库参数设置说明资料

Informix数据库参数设置说明

本说明从INFORMIX数据库的认证授权功能、安全日志功能，和其他自身安全配置功能提出安全要求。

1.账号

INFORMIX应提供账号管理及认证授权功能，并应满足以下各项要求。

编号：

安全要求-设备-INFORMIX-配置-1

表1-1

要求内容

应按照用户分配账号。

避免不同用户间共享账号。

避免用户账号和设备间通信使用的账号共享。

操作指南

1、参考配置操作

为用户创建账号：

#useraddusername#创建账号

#passwdusername#设置密码

修改权限：

#chmod750directory#其中755为设置的权限，可根据实际情况设置相应的权限，directory是要更改权限的目录）

使用该命令为不同的用户分配不同的账号，设置不同的口令及权限信息等。

2、补充操作说明

1、

检测方法

1、判定条件

通过root帐号登录系统后查看/etc/passwd文件并询问管理员，确认是否按照用户分配帐号；

验证分配的用户是否正常使用，使用分配帐号登录，验证是否能成功登录和正常操作。

2、检测操作

使用不同的账号进行登录并进行一些常用操作；

3、补充说明

编号：

安全要求-设备-INFORMIX-配置-2

表1-2

要求内容

应删除或锁定与数据库运行、维护等工作无关的账号。

操作指南

1、参考配置操作

Informix数据库用户为操作系统帐号，因此删除或锁定与数据库运行、维护工作无关帐号的过程也就是删除或锁定系统用户的过程，以下以AIX和SOLARIS为例子说明：

AIX：

查看/etc/passwd、/etc/group中informix组帐号和成员帐号

以root权限执行下面的命令;

删除用户：

#rmuserusername;

禁用帐号：

chuseraccount_locked=trueuser1锁定user1用户

SOLARIS:

删除用户：

#userdelusername;

锁定用户：

1）修改/etc/shadow文件，用户名后加*LK*

2）将/etc/passwd文件中的shell域设置成/bin/false

3）#passwd-lusername

只有具备超级用户权限的使用者方可使用，#passwd-lusername锁定用户,用#passwd–dusername解锁后原有密码失效，登录需输入新密码，修改/etc/shadow能保留原有密码。

2、补充操作说明

AIX需要锁定的用户：

deamon,bin,sys,adm,uucp,nuucp,printq,guest,nobody,lpd,sshd

SOLARIS需要锁定的用户：

listen、gdm、webservd、nobody、nobody4、noaccess

3、

检测方法

4、判定条件

首先锁定不需要的用户

在经过一段时间后，确认该用户对业务确无影响的情况下，可以删除

4、检测操作

5、补充说明

2.口令

编号：

安全要求-设备-INFORMIX-配置-4

表1-1

要求内容

对于采用静态口令进行认证的数据库，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。

操作指南

1、参考配置操作

Informix数据库用户为操作系统帐号，因此对于Informix数据库用户静态口令采用的强度要求也就是对操作系统帐号静态口令强度要求，以下以AIX和SOLARIS为例子说明：

AIX：

编辑/etc/security/user,设置如下：

minlen=8口令最短为8个字符

minalpha=3口令中最少包含3个字母字符

minother=1口令中最少包含一个非字母数字字符

SOLARIS:

vi/etc/default/passwd，修改设置如下

PASSLENGTH=6#设定最小用户密码长度为6位

MINALPHA=2；MINNONALPHA=1#表示至少包括两个字母和一个非字母；具体设置可以参看补充说明。

当用root帐户给用户设定口令的时候不受任何限制，只要不超长。

2、补充操作说明

Solaris10默认如下各行都被注释掉，并且数值设置和解释如下：

MINDIFF=3#Minimumdifferencesrequiredbetweenanoldandanewpassword.

MINALPHA=2#Minimumnumberofalphacharacterrequired.

MINNONALPHA=1#Minimumnumberofnon-alpha（includingnumericandspecial）required.

MINUPPER=0#Minimumnumberofuppercaselettersrequired.

MINLOWER=0#Minimumnumberoflowercaselettersrequired.

MAXREPEATS=0#Maximumnumberofallowableconsecutiverepeatingcharacters.

MINSPECIAL=0#Minimumnumberofspecial（non-alphaandnon-digit）charactersrequired.

MINDIGIT=0#Minimumnumberofdigitsrequired.

WHITESPACE=YES

Solaris8默认没有这部分的数值设置需要手工添加

NIS系统无法生效，非NIS系统或NIS+系统能够生效。

检测方法

3、判定条件

AIX:

检查/etc/security/user是否设置如下参数

minlen=8口令最短为8个字符

minalpha=3口令中最少包含3个字母字符

minother=1口令中最少包含一个非字母数字字符

SOLARIS:

检查/etc/default/passwd是否设置如下参数:

PASSLENGTH=6#设定最小用户密码长度为6位

MINALPHA=2；MINNONALPHA=1#表示至少包括两个字母和一个非字母；具体设置可以参看补充说明。

4、检测操作

使用弱密码进行测试

5、补充说明

编号：

安全要求-设备-INFORMIX-配置-5

表1-2

要求内容

对于采用静态口令认证技术的数据库，账户口令的生存期不长于90天。

操作指南

1、参考配置操作

Informix数据库用户为操作系统帐号，因此对于Informix数据库用户口令生存期要求也就是对操作系统帐号口令生存期要求，以下以AIX和SOLARIS为例子说明：

AIX:

对于AIX系统,编辑/etc/security/user,设置如下：

maxage=12口令最长有效期为12周

SOLARIS:

vi/etc/default/passwd文件：

MAXWEEKS=13密码的最大生存周期为13周；（Solaris8&10）

PWMAX=90#密码的最大生存周期；（Solaris其它版本）

2、补充操作说明

对于Solaris8以前的版本，PWMIN对应MINWEEKS,PWMAX对应MAXWEEKS等，需根据/etc/default/passwd文件说明确定。

NIS系统无法生效，非NIS系统或NIS+系统能够生效。

检测方法

3、判定条件

到期不修改密码，密码将会失效。

连接数据库将不会成功

4、检测操作

使用超过90天的帐户口令登录；

5、补充说明

编号：

安全要求-设备-INFORMIX-配置-29-可选

表1-3

要求内容

对于采用静态口令认证技术的设备，设备间通信使用的账户口令的生存期不长于180天。

操作指南

1、参考配置操作

Informix数据库用户为操作系统帐号，因此对于Informix数据库用户口令生存期要求也就是对操作系统帐号口令生存期要求，以下以AIX和SOLARIS为例子说明：

AIX:

对于AIX系统,编辑/etc/security/user,设置如下：

maxage=25口令最长有效期为25周

SOLARIS:

vi/etc/default/passwd文件：

MAXWEEKS=25密码的最大生存周期为25周；（Solaris8&10）

PWMAX=180#密码的最大生存周期；（Solaris其它版本）

2、补充操作说明

对于Solaris8以前的版本，PWMIN对应MINWEEKS,PWMAX对应MAXWEEKS等，需根据/etc/default/passwd文件说明确定。

NIS系统无法生效，非NIS系统或NIS+系统能够生效。

检测方法

3、判定条件

到期不修改密码，密码将会失效。

连接数据库将不会成功

4、检测操作

使用超过180天的帐户口令登录；

5、补充说明

编号：

安全要求-设备-INFORMIX-配置-6-可选

表1-4

要求内容

对于采用静态口令认证技术的数据库，应配置数据库，使用户不能重复使用最近5次（含5次）内已使用的口令。

操作指南

1、参考配置操作

Informix数据库用户为操作系统帐号，因此对于Informix数据库用户口令设置要求也就是对操作系统帐号口令设置要求，以下以AIX和SOLARIS为例子说明：

AIX：

编辑/etc/security/user,设置如下：

histsize=5同一口令与前5个口令不能重复

SOLARIS:

vi/etc/default/passwd，修改设置如下

HISTORY＝5同一口令与前5个口令不能重复

2、补充操作说明

当前使用的密码，必需在密码修改５次后才能再次被使用

检测方法

3、判定条件

重用修改５次内的密码，将不能成功

4、检测操作

如果在５次修改密码能被使用，该操作将不能成功

5、补充说明

编号：

安全要求-设备-INFORMIX-配置-7-可选

表1-5

要求内容

对于采用静态口令认证技术的数据库，应配置当用户连续认证失败次数超过6次（不含6次），锁定该用户使用的账号。

操作指南

1、参考配置操作

Informix数据库用户为操作系统帐号，因此对于Informix数据库用户口令设置要求也就是对操作系统帐号口令设置要求，以下以AIX和SOLARIS为例子说明：

AIX:

编辑/etc/security/user,设置如下：

loginretries=6连续6次登录失败后锁定用户

SOLARIS:

vi/etc/user_attr

vi/etc/security/policy.conf

设置LOCK_AFTER_RETRIES=YES

设置重试的次数：

vi/etc/default/login

在文件中将RETRIES行前的#去掉，并将其值修改为RETRIES＝7。

保存文件退出。

2、补充操作说明

如果连续６次连接该用户不成功，用户将被锁定;

SOLARIS:

默认值为：

LOCK_AFTER_RETRIES＝NO

lock_after-retries＝no

RETRIES=5，即等于或大于5次时被锁定。

root账号也在锁定的限制范围内，一旦root被锁定，就需要光盘引导，因此该配置要慎用。

NIS系统无法生效，非NIS系统或NIS+系统能够生效。

检测方法

3、判定条件

连续６次用错误的密码连接用户，第７次时用户将被锁定

4、检测操作

连续６次登录系统失败，用户被锁定

5、补充说明

3.授权

编号：

安全要求-设备-INFORMIX-配置-9

表1-1

要求内容

在数据库权限配置能力内，根据用户的业务需要，配置其所需的最小权限。

操作指南

1、参考配置操作

以DBA用户运行dbaccess命令，查询syscolauth、systabauth、sysusers表，检查用户是否只配置了业务所需的最小权限。

建议使用数据库角色进行数据库权限限制：

●创建角色

CreateRolerole_name1其中role_name1表示角色名。

●划分用户角色

将相关用户加入到角色中使之成为角色的成员。

Grantrole_name1to{User-List　Role_List}

其中Role_List表示角色列表，因为一个角色可以是另外一个或一组角色的成员。

●授权角色权限

同授权用户权限的方法相同，但只能对表级和字段级权限有效，不能授予数据库级权限给一个角色。

●激活角色

执行以下语句，使以上定义的角色成为可用状态：

SetRolerole_name1

2、补充操作说明

查看数据库特权命令：

Select*fromsysusers;

查看表级别特权命令：

select systables.tabname, systabauth.*from systables, systabauth 

where systables.tabid = systabauth.tabid and systables.tabid > 99 

order by tabname; ;

systabauth表包含四列：

●grantor-授予这个特权的用户

●grantee-获得这个特权的用户

●tabid-这个表在系统表中的编号

●tabauth-特权列

sysuser表内容说明：

●username，连接数据库的用户的登录名

●usertype，指用户的数据库权限类型

●priority，指定级别

syscolauth内容说明表：

●grantor-授予这个特权的用户

●grantee-获得这个特权的用户

●tabid-这个表在系统表中的编号

●colno-列编号

●column-列描述

●colauth-列授权

检测方法

3、判定条件

查看syscolauth、systabauth、sysusers表中权限设置是否仅授予用户必要的最小权限

4、检测操作

查看syscolauth、systabauth、sysusers表中权限设置

5、补充说明

授予和撤消表特权的语法如下：

grant[all|[select|insert|update|delete|index|alter|reference]

on[TABLE|VIEW|SYNONYM]to[USERS]

[withgrantoption][asGRANTOR];

revoke[all|[select|insert|update|delete|index|alter|reference]

on[TABLE|VIEW|SYNONYM]from[USERS];

Informix数据库级别权限：

DBA、Resource和Connect。

Connect特权允许用户访问数据库以及添加、修改和删除数据。

Resource特权授予用户所有Connect特权，还授予创建新的表、索引和过程的特权。

DBA特权包括Connect和Resource特权，还授予用户把Resource、Connect或DBA特权授予其他用户的权力。

具有DBA特权的用户还可以删除数据库中的所有对象或完全删除数据库。

普通用户授权Connect权限即可，对于要创建新对象的程序员或开发人员可能需要Resource特权。

例子：

Revokeallfromusername;收回用户的所有权限

grant　select　tousername;给用户赋查询的权限

revokeselect　fromusername;收回用户查询的权限

4.日志

编号：

安全要求-设备-INFORMIX-配置-12

表1-1

要求内容

设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址。

操作指南

1、参考配置操作

1.编辑$INFORMIXDIR/aaodir/adtcfg文件，设置审计参数ADTMODE启用审计，建议设为ADTMODE7

其中ADTMODE类型如下：

ADTMODE=1写到informix审计记录中。

不自动审计DBSSO和DBSA活动。

ADTMODE=2写到操作系统的审计记录中。

这个选项只在操作系统支持审计的时候才会生效。

不自动审计DBSSO和DBSA的活动。

ADTMODE=3写到INFORMIX审计记录中。

自动审计所有的DBSSO活动。

ADTMODE=4写到操作系统审计记录中。

自动审计所有的DBSSO活动。

ADTMODE=5写到INFORMIX审计记录中。

自动审计DBSA活动。

ADTMODE=6写到操作系统审计记录中。

自动审计DBSA活动。

ADTMODE=7写到INFORMIX审计记录中。

自动审计所有DBSSO和DBSA活动

1.配置审计策略

管理员首先创建auditmasks（审计掩码），检查用户的活动是否应该被审计。

审计掩码的种类如下：

单独的审计掩码（indiviualmasks）。

单独审计掩码是为每一个用户创建的掩码，其作用是对每一个用户的活动进行审计的。

默认的用户掩码（_defaultmasks）。

默认的用户掩码会被用在任何没有单独设置掩码的用户上。

必须的用户掩码（_requiremasks）。

必须的用户掩码会忽略单独用户掩码和默认用户掩码中的内容。

任何在_require用户掩码中设置的事件都会被审计，而不管用户的单独掩码中是否设置了这些事件。

排它用户掩码（_exclusivemasks）。

排它用户掩码同样会覆盖单独的用户掩码和默认用户掩码。

其中包含的事件不会被审计，即使这些事件存在于单独的用户掩码和默认用户掩码中。

这些事件不会覆盖_require掩码中的事件。

创建user掩码：

onaudit-a-uusername-e+CRDB,DRDB#审计特定用户创建和删除数据库事件

创建_require掩码：

onaudit-a-u_require–e+OPDB,GRDB…………………#强制审计打开数据库、授权数据库等操作

建议inofrmix配置必要的审计掩码支持记录用户对设备的操作，包括但不限于以下内容：

账号创建、删除和权限修改，口令修改，读取和修改设备配置，读取和修改业务用户的话费数据、身份数据、涉及通信隐私数据等。

2、补充操作说明

检测方法

3、判定条件

对审计的对象进行一次数据库操作，检查操作是否被记录。

4、检测操作

1.检查$INFORMIXDIR/aaodir/adtcfg文件中的参数设置。

2.检查日志文件内容

3.使用onaudit工具检查审计umask掩码设置

5、补充说明

AUDIT会有相应资源开消，请检查系统资源是否充足。

特别是RAC环境，资源消耗较大。

编号：

安全要求-设备-INFORMIX-配置-28

表1-2

要求内容

设备应配置权限，控制对日志文件读取、修改和删除等操作。

操作指南

1、参考配置操作

1.编辑$INFORMIXDIR/aaodir/adtcfg文件，检查审计参数ADTPATH设置，例如：

ADTPATH=/opt/informix/aaodir

2.检查日志文件权限是否为660（日志文件名的形式通常是主机名.数字）

ls–al/opt/informix/aaodir/*.*

2、补充操作说明

检测方法

3、判定条件

日志文件权限设置应为660。

4、检测操作

1.检查$INFORMIXDIR/aaodir/adtcfg文件中的日志参数设置。

2.检查日志文件权限

6、补充说明

5.其他

编号：

安全要求-设备-INFORMIX-配置-36-可选

表1-1

要求内容

限制拒绝服务攻击。

操作指南

1、参考配置操作

要降低受到恶意的DOS连续攻击的风险，可以定制以下配置参数：

LISTEN_TIMEOUT。

设置未完成连接的超时周期。

缺省的未完成连接超时周期为10秒。

注：

informix的9.x和7.x不支持LISTEN_TIMEOUT参数。

MAX_INCOMPLETE_CONNECTIONS。

限制未完成的连接请求的数目。

缺省的未完成连接的最大数目为1024，可根据机器运行线程的能力（按数目计算），将MAX_INCOMPLETE_CONNECTIONS适当调整。

可以编辑$INFORMIXDIR/etc/onconfig文件，根据系统和应用情况，调整LISTEN_TIMEOUT和连接数参数值

2、补充操作说明

检测方法

3、判定条件

检查$INFORMIXDIR/etc/onconfig文件中LISTEN_TIMEOUT和MAX_INCOMPLETE_CONNECTIONS参数值设置是否为默认值。

4、检测操作

检查$INFORMIXDIR/etc/onconfig文件中LISTEN_TIMEOUT和MAX_INCOMPLETE_CONNECTIONS参数值设置。

5、补充说明

编号：

安全要求-设备-INFORMIX-配置-37-可选

表1-2

要求内容

禁止共享内存转储

操作指南

1、参考配置操作

Informix服务器崩溃时将共享内存段转储到磁盘，因为转储文件中包含系统敏感信息，应禁止Informix转储共享内存

可以编辑$INFORMIXDIR/etc/onconfig文件，设置:

DUMPSHMEM0

2、补充操作说明

检测方法

3、判定条件

检查$INFORMIXDIR/etc/onconfig文件中DUMPSHMEM是否设为0。

4、检测操作

检查$INFORMIXDIR/etc/onconfig文件。

5、补充说明