Oracle数据库安全配置要求及操作指南

ORACLE IT敢客 11个月前 (09-16) 7264次浏览 已收录 0个评论 扫描二维码

Oracle 数据库安全配置要求及操作指南

  1. 范围

适用于使用 Oracle 数据库的设备。本规范明确了 Oracle 数据库安全配置的基本要求,适用于所有的安全等级,可作为编制设备入网测试、安全验收、安全检查规范等文档的参考。

由于版本不同,配置操作有所不同,本规范以 UNIX 平台上 Oracle 10g 为例,给出

参考配置操作。

  1. 缩略语

DBA

Database Administrator

数据库管理员


安全配置要求

  1. 账号

编号: 1

要求内容

应按照用户分配账号,避免不同用户间共享账号

操作指南

  1. 参考配置操作

    create user abc1 identified by password1; create user abc2 identified by password2;

    建立 role,并给 role 授权,把 role 赋给不同的用户

  2. 补充操作说明
    abc1
    abc2 是两个不同的账号名称,可根据不同用户,取不同的名称;

检测方法

  1. 判定条件

不同名称的用户可以连接数据库

  1. 检测操作

connect abc1/password1 连接数据库成功

编号: 2

要求内容

应删除或锁定与数据库运行、维护等工作无关的账号

操作指南

  1. 参考配置操作

alter user username  account lock; drop user username cascade;

  1. 补充操作说明

检测方法

  1. 判定条件

首先锁定不需要的用户

在经过一段时间后,确认该用户对业务确无影响的情况下,可以删除注:无关的账号主要指测试帐户、共享帐号、长期不用账号(半年以上不用)等

  1. 检测操作


编号:3

要求内容

禁止以管理员帐号权限运行 oracle

操作指南:

  1. 参考配置操作打开 spfile,修改设置来禁止 SYSDBA 用户从远程登陆:

    REMOTE_LOGIN_PASSWORDFILE=NONE

  2. 补充操作说明

检查方法:

1、判定条件

不能通过 Sql*Net 远程以数据库超级管理员权限用户连接到数据库。


编号:4

要求内容

启用数据字典保护,只有 SYSDBA 用户才能访问数据字典基础表

操作指南

  1. 参考配置操作通过设置下面初始化参数来限制只有 SYSDBA 权限的用户才能访问数据字典。

    O7_DICTIONARY_ACCESSIBILITY = FALSE

  2. 补充操作说明

检测方法

  1. 判定条件

以普通 dba 用户登陆到数据库,不能查看 X$开头的表,比如: select * from sys. x$ksppi;

  1. 检测操作

    1. Oracle 用户登陆到系统中。

    2. sqlplus '/as sysdba'登陆到 sqlplus 环境中。

    3. 使用 show parameter 命令来检查参数

      O7_DICTIONARY_ACCESSIBILITY 是否设置为 FALSE

      Show parameter O7_DICTIONARY_ACCESSIBILITY

3、补充说明


编号:5

要求内容

限制在 DBA 组中的操作系统用户数量,通常 DBA 组中只有 Oracle 安装用户。

操作指南

  1. 参考配置操作

通过/etc/passwd 文件来检查是否有其它用户在 DBA 组中。

  1. 补充操作说明

检测方法

  1. 判定条件无其它用户属于 DBA 组。

  2. 检测操作

 

通过/etc/passwd 文件来检查是否有其它用户在 DBA 组中。

5、补充说明

  1. 口令

编号: 1

要求内容

对于采用静态口令进行认证的数据库,口令长度至少 8 位,并包括数字、小写字母、大写字母和特殊符号 4 类中至少 3 类。

操作指南

  1. 参考配置操作为用户建 profile,调整 PASSWORD_VERIFY_FUNCTION,指定密码复杂度

    CREATE PROFILE "TEST_PROFILE"  

    LIMIT PASSWORD_VERIFY_FUNCTION VERIFY_FUNCTION;

    ALTER USER "USER_NAME"  PROFILE "TEST_PROFILE";

  2. 补充操作说明

检测方法

  1. 判定条件

修改密码为不符合要求的密码,将失败

  1. 检测操作

alter user abcd1 identified by abcd1;将失败

  1. 补充说明

编号: 2(可选)

要求内容

对于采用静态口令认证技术的数据库,账户口令的生存期不长于90天。

操作指南

  1. 参考配置操作为用户建相关 profile,指定 PASSWORD_GRACE_TIME 90

  2. 补充操作说明在 90 天内,需要修改密码

检测方法

  1. 判定条件

到期不修改密码,密码将会失效。连接数据库将不会成功

  1. 检测操作

 

connect username/password 报错

3、补充说明

  1. DBA 用户登陆到 sqlplus 中。

  2. 通过语句 select * from dba_profiles ;

查看 PASSWORD_GRACE_TIME 的设置。


编号: 3

要求内容

对于采用静态口令认证技术的数据库,应配置数据库,使用户不能重复使用最近 5 次(含 5 次)内已使用的口令。

操作指南

  1. 参考配置操作

为用户建 profile,指定 PASSWORD_REUSE_MAX 为5

  1. 补充操作说明

当前使用的密码,必需在密码修改5次后才能再次被使用

检测方法

  1. 判定条件

重用修改5次内的密码,将不能成功

  1. 检测操作

alter user username identified by password1;如果 password1 在5次修改

密码内被使用,该操作将不能成功

  1. 补充说明


编号: 4

要求内容

对于采用静态口令认证技术的数据库,应配置当用户连续认证失败次数超过 6 次(不含 6 次),锁定该用户使用的账号。

操作指南

  1. 参考配置操作

为用户建 profile,指定 FAILED_LOGIN_ATTEMPTS 为6

  1. 补充操作说明

如果连续6次连接该用户不成功,用户将被锁定

检测方法

1
判定条件

连续6次用错误的密码连接用户,第7次时用户将被锁定

 

2
检测操作
connect username/password
,连续6次失败,用户被锁定

超级用户除外
3
、补充说明


编号: 5

要求内容

修改默认帐户密码

操作指南

1、参考配置操作

  1. 可通过下面命令来更改默认用户的密码:

ALTER USER XXX IDENTIFIED BY XXX;

  1. 下面是默认用户列表:

ANONYMOUS

CTXSYS

DBSNMP

DIP

DMSYS

EXFSYS

HR

LBACSYS

MDDATA

MDSYS

MGMT_VIEW

ODM

ODM_MTR

OE

OLAPSYS

ORDPLUGINS

ORDSYS

OUTLN

 

PM

QS

QS_ADM

QS_CB

QS_CBADM

QS_CS

QS_ES

QS_OS

QS_WS

RMAN

SCOTT

SH

SI_INFORMTN_SCHEMA

SYS

SYSMAN

SYSTEM

TSMSYS

WK_TEST

WKPROXY

WKSYS

WMSYS

XDB

2、补充操作说明

检测方法

  1. 判定条件

不能以用户名作为密码或使用默认密码的账户登陆到数据库。

  1. 检测操作

  1. DBA 用户登陆到 sqlplus 中。

  2. 检查数据库默认账户是否使用了用户名作为密码或默认密码。

  1. 授权

编号:1

要求内容

在数据库权限配置能力内,根据用户的业务需要,配置其所需的最小权限。

操作指南

  1. 参考配置操作

grant 权限 to username;  

revoke 权限 from username;  授权原则:

Oracle 数据库安全配置要求及操作指南
角色授予遵循最小化原则

Oracle 数据库安全配置要求及操作指南
对象权限授予遵循最小化原则
Oracle 数据库安全配置要求及操作指南

系统权限授予遵循最小化原则

Oracle 数据库安全配置要求及操作指南     public 用户组不存在不合理的执行权限
Oracle 数据库安全配置要求及操作指南

禁止对非 DBA 用户提供系统级权限

  1. 补充操作说明

用第一条命令给用户赋相应的最小权限
用第二条命令收回用户多余的权限

注:禁止对非 DBA 用户提供系统级权限

检测方法

select * from user_sys_privs;  select * from user_role_privs;  select * from user_tab_privs;  

检查用户拥有权限


编号: 2

要求内容

限制具备数据库超级管理员(SYSDBA)权限的用户远程登录。

操作指南

1、参考配置操作

spfile 中设置 REMOTE_LOGIN_PASSWORDFILE=NONE 来禁止

SYSDBA 用户从远程登陆。
2
、补充操作说明

REMOTE_LOGIN_PASSWORDFILE 参数在 init.ora 文件中设置。

1remote_login_passwordfilenone

不使用密码文件登录;

 

不允许远程用户用 sys 登录系统;

可以在线修改 sys 的密码;

  1. remote_login_passwordfileexclusive 只允许一个数据库使用该密码文件;允许远程登录;

    允许非 sys 用户以 sysdba 身份管理数据库;可以在线修改 sys 的密码;

  2. remote_login_passwordfileshared

    可以多个数据库使用密码文件。实际上是这样的: Oracle 数据库在启动时,首先查找的是 orapw<sid>的口令文件,如果该文件不存在,则开始查找,orapw 的口令文件;

    如果口令文件命名为 orapw,多个数据库就可以共享.;允许远程登录;

    只能用 sys 进行 sysdba 管理;可以在线修改 sys 的密码。

检测方法

  1. 判定条件

REMOTE_LOGIN_PASSWORDFILE 设置为 NONE

  1. 检测操作

    1. DBA 用户登陆到 sqlplus 中。

    2. 使用 show parameter 命令来检查参数

      REMOTE_LOGIN_PASSWORDFILE 是否设置为 NONE

      Show parameter REMOTE_LOGIN_PASSWORDFILE

3、补充说明此配置影响远程以 Sql*Net 方式对数据库的管理此配置也可能使某些第三方 ORACLE 管理工具不正常


编号:3

要求内容

使用数据库角色(ROLE)来管理对象的权限。

操作指南

1、参考配置操作

1. 使用 Create Role 命令创建角色。

 

2. 使用用 Grant 命令将相应的系统、对象或 Role 的权限赋予应用用户。

2、补充操作说明

检测方法

  1. 判定条件对应用用户不要赋予 DBA Role 或不必要的权限。

  2. 检测操作

    是否使用 ROLE 来管理对象权限。

    5、补充说明

    1. DBA 用户登陆到 sqlplus 中。

    2. 通过查询 dba_role_privsdba_sys_privs dba_tab_privs 等视图来检查

  1. 日志

编号:1

要求内容

数据库应配置日志功能,对用户登录信息进行记录,记录内容包括用户登录使用的账号、登录是否成功、登录时间以及远程登录时用户使用的 IP 地址。

操作指南

  1. 参考配置操作创建 ORACLE 登录触发器,记录相关信息,但对 IP

    困难

    1.建表 LOGON_TABLE

    2.建触发器

    CREATE TRIGGER TRI_LOGON

    AFTER LOGON ON DATABASE

    BEGIN

 INSERT     INTO     LOGON_TABLE

(SYS_CONTEXT('USERENV', 'SESSION_USER'),

SYSDATE);

END;

  1. 补充操作说明

地址的记录会有

VALUES

检测方法

1
判定条件

登录测试,检查相关信息是否被记录

 
 

2、检测操作 3、补充说明

触发器对短连接业务的资源开销比较大,使用时要慎重考虑,但对长连接的业务资源开销基本没有影响。

触发器与 AUDIT 会有相应资源开消,请检查系统资源是否充足。特别是 RAC 环境,资源消耗较大。


编号:2

要求内容

数据库应配置日志功能,记录用户对数据库的操作,包括但不限于以下内容:账号创建、删除和权限修改、口令修改、读取和修改数据库配置、读取和修改业务用户的话费数据、身份数据、涉及通信隐私数据。记录需要包含用户账号,操作时间,操作内容以及操作结果。

操作指南

  1. 参考配置操作创建 ORACLE 登录触发器,记录相关信息,但对 IP

    困难

    1.建表 LOGON_TABLE

    2.建触发器

    CREATE TRIGGER TRI_LOGON

     AFTER LOGON ON DATABASE

    BEGIN

 INSERT     INTO     LOGON_TABLE

(SYS_CONTEXT('USERENV', 'SESSION_USER'),

SYSDATE);

END;

 

  1. 补充操作说明

地址的记录会有

VALUES

检测方法

2
判定条件

做相关操作,检查是否记录成功

4、检测操作

1
补充说明

 
 

触发器与 AUDIT 会有相应资源开消,请检查系统资源是否充足。特别是 RAC 环境,资源消耗较大。


编号:3  

要求内容

数据库应配置日志功能,记录对与数据库相关的安全事件。

操作指南

  1. 参考配置操作创建 ORACLE 登录触发器,记录相关信息,但对 IP

    困难

    1.建表 LOGON_TABLE

    2.建触发器

    CREATE TRIGGER TRI_LOGON

     AFTER LOGON ON DATABASE

    BEGIN

 INSERT     INTO     LOGON_TABLE

(SYS_CONTEXT('USERENV', 'SESSION_USER'),

SYSDATE);

END;

  1. 补充操作说明

地址的记录会有

VALUES

检测方法

  1. 判定条件

    做相关测试,检查是否记录成功

  2. 检测操作 3、补充说明触发器与 AUDIT 会有相应资源开消,请检查系统资源是否充足。特别是 RAC 环境,资源消耗较大。

 


编号:4  

要求内容

根据业务要求制定数据库审计策略。

操作指南

1、参考配置操作

  1. 通过设置参数 audit_trail = db os 来打开数据库审计。

  2. 然后可使用 Audit 命令对相应的对象进行审计设置。

 

2、补充操作说明

检测方法

  1. 判定条件

对审计的对象进行一次数据库操作,检查操作是否被记录。

  1. 检测操作

  1. 检查初始化参数 audit_trail 是否设置。

  2. 检查 dba_audit_trail 视图中或$ORACLE_BASE/admin/adump 目录下是否有数据。

    3、补充说明

    AUDIT 会有相应资源开消,请检查系统资源是否充足。特别是 RAC 环境,资源消耗较大。

  1. 补丁

编号: 1

安全要求:

安装了最新的安全补丁
(注:在保证业务及网络安全的前提下,经过兼容性测试后)

操作指南:

本地检查当前数据库补丁版本,以 oracle 身份执行如下命令:

$opatch lsinventory

SQL> select * from v$version;

检查方法:

  1. 判定条件

所有必要的漏洞补丁都已安装。

  1. 检测操作

ORACLE 查看安全警报,安装最新安全补丁确保数据库补丁是最新版本,无明显漏洞

  1. 补充说明

  1. Listener

编号: 1

要求内容

为数据库监听器(LISTENER)的关闭和启动设置密码。

操作指南

1、参考配置操作通过下面命令设置密码:

$ lsnrctl

LSNRCTL> change_password

 

Old password: <OldPassword> Not displayed

New password: <NewPassword> Not displayed

Reenter new password: <NewPassword> Not displayed

Connecting     to

(DESCRIPTION=(ADDRESS=(PROTOCOL=TCP)(HOST=prolin1)(PORT=

1521)(IP=FIRST)))

Password changed for LISTENER

The command completed successfully

LSNRCTL> save_config

2、补充操作说明

检测方法

  1. 判定条件

使用 lsnrctl start 或 lsnrctl stop 命令起停 listener 需要密码

  1. 检测操作

检查$ORACLE_HOME/network/admin/listener.ora 文件中是否设置参数

PASSWORDS_LISTENER

  1. 补充说明


可信 IP 地址访问控制

编号: 1

要求内容

通过数据库所在操作系统或防火墙限制,只有信任的 IP 地址才能通过监听器访问数据库。

操作指南

  1. 参考配置操作

    只需在服务器上的文件$ORACLE_HOME/network/admin/sqlnet.ora 中设

    置以下行:

    tcp.validnode_checking = yes  tcp.invited_nodes = (ip1,ip2…)

  2. 补充操作说明如果网络层已经做过访问控制,该项为可选项,否则为必选项可信内网地址指:专用维护终端、访问数据库应用服务器、堡垒机

 

其他地址段禁止。

检测方法

  1. 判定条件在非信任的客户端以数据库账户登陆被提示拒绝。

  2. 检测操作

    检查$ORACLE_HOME/network/admin/sqlnet.ora 文件中是否设置参数

    tcp.validnode_checking tcp.invited_nodes

  3. 补充说明

  1. 连接超时设置

要求内容

在某些应用环境下可设置数据库连接超时,比如数据库将自动断开超过

15 分钟的空闲远程连接。

操作指南

  1. 参考配置操作

    sqlnet.ora 中设置下面参数:

    SQLNET.EXPIRE_TIME=15

  2. 补充操作说明如果数据库在维护时被访问,该项为必选;如果被业务系统所访问,该项为可选

检测方法

  1. 判定条件

15 分钟以上的无任何操作的空闲数据库连接被自动断开

  1. 检测操作

检查$ORACLE_HOME/network/admin/sqlnet.ora 文件中是否设置参数

SQLNET.EXPIRE_TIME

  1. 数据传输安全

要求内容

使用 Oracle 提供的高级安全选件来加密客户端与数据库之间或中间件与数据库之间的网络传输数据。

操作指南

1、参考配置操作

  1. Oracle Net Manager 中选择"Oracle Advanced Security"。

  2. 然后选择 Encryption

 
  1. 选择 Client Server 选项。

  2. 选择加密类型。

  3. 输入加密种子(可选)。

  4. 选择加密算法(可选)。

  5. 保存网络配置,sqlnet.ora 被更新。

2、补充操作说明

检测方法

  1. 判定条件通过网络层捕获的数据库传输包为加密包。

  2. 检测操作

    检 查 $ORACLE_HOME/network/admin/sqlnet.ora 文 件 中 是 否 设 置

    sqlnet.encryption 等参数。

  3. 补充说明

  1. 连接数设置

要求内容

根据机器性能和业务需求,设置最大最小连接数。

操作指南

1、参考配置操作以管理员登录数据库,执行下列命令修改进行成连接数,如修改到 200

alter system set processes=200 scope=spfile;

修改会话数

alter system set sessions=225 scope=spfile;

重启数据库,启用参数

shutdown immediate;

startup;

3
补充操作说明可能需要同时修改 unix 系统参数:/etc/proc/kernel semmns

检测方法

  1. 判定条件

执行 select count(*) from vsession;检查会话数能够接近 200

  1. 检测操作

执行 show parameter processes;可以看到 processes sessions 参数以按照

 

设定修改。

3、补充说明


IT 敢客 , 版权所有丨如未注明 , 均为原创丨本网站采用BY-NC-SA协议进行授权
转载请注明原文链接:Oracle 数据库安全配置要求及操作指南
喜欢 (155)
[313176056@qq.com]
分享 (0)
IT敢客
关于作者:
“我所做的一切都是为了方便我的生活~~~“
发表我的评论
取消评论
表情 贴图 加粗 删除线 居中 斜体 签到

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址