DBA日记之Oracle数据库运维安全规范
sinye56 2024-09-16 14:25 13 浏览 0 评论
1 概述
1.1 适用范围
本规范明确了Oracle数据库安全配置方面的基本要求。
1.2 符号和缩略语
缩写 | 英文描述 | 中文描述 |
DBA | Database Administrator | 数据库管理员 |
2 ORACLE安全配置要求
本规范所指的设备为ORACLE数据库。本规范提出的安全配置要求，在未特别说明的情况下，均适用于ORACLE数据库。
本规范从ORACLE数据库的认证授权功能、安全日志功能，和其他自身安全配置功能提出安全要求。
2.1 账号
ORACLE应提供账号管理及认证授权功能，并应满足以下各项要求。
2.1.1 按用户分配帐号
要求内容 | 应按照用户分配账号，避免不同用户间共享账号。 |
操作指南 | 1、 参考配置操作 create user abc1 identified by password1; create user abc2 identified by password2; 建立role，并给role授权，把role赋给不同的用户 2、 补充操作说明 1、abc1和abc2是两个不同的账号名称，可根据不同用户，取不同的名称； |
检测方法 | 3、 判定条件 不同名称的用户可以连接数据库 4、 检测操作 connect abc1/password1连接数据库成功 5、补充说明 |
2.1.2 删除或锁定无关帐号
要求内容 | 应删除或锁定与数据库运行、维护等工作无关的账号。 |
操作指南 | 1、 参考配置操作 alter user username lock; drop user username cascade; 2、 补充操作说明 |
检测方法 | 3、 判定条件 首先锁定不需要的用户 在经过一段时间后，确认该用户对业务确无影响的情况下，可以删除 4、检测操作 5、补充说明 |
2.1.3 限制SYSDBA用户的远程登录
要求内容 | 限制具备数据库超级管理员（SYSDBA）权限的用户远程登录。 |
操作指南 | 1、参考配置操作 1. 在spfile中设置REMOTE_LOGIN_PASSWORDFILE=NONE来禁止SYSDBA用户从远程登陆。 2. 在sqlnet.ora中设置SQLNET.AUTHENTICATION_SERVICES=NONE来禁用 SYSDBA 角色的自动登录。 2、补充操作说明 |
检测方法 | 3、判定条件 1. 不能通过Sql*Net远程以SYSDBA用户连接到数据库。 2. 在数据库主机上以sqlplus ‘/as sysdba’连接到数据库需要输入口令。 4、检测操作 1. 以Oracle用户登陆到系统中。 2. 以sqlplus ‘/as sysdba’登陆到sqlplus环境中。 3. 使用show parameter命令来检查参数REMOTE_LOGIN_PASSWORDFILE是否设置为NONE。 Show parameter REMOTE_LOGIN_PASSWORDFILE 4. 检查在$ORACLE_HOME/network/admin/sqlnet.ora文件中参数SQLNET.AUTHENTICATION_SERVICES是否被设置成NONE。 5、补充说明 |
2.1.4 用户权限最小化
要求内容 | 在数据库权限配置能力内，根据用户的业务需要，配置其所需的最小权限。 |
操作指南 | 1、 参考配置操作 grant 权限 to username; revoke 权限 from username; 2、 补充操作说明 用第一条命令给用户赋相应的最小权限 用第二条命令收回用户多余的权限 |
检测方法 | 3、 判定条件 业务测试正常 4、 检测操作 业务测试正常 5、补充说明 |
2.1.5 使用ROLE管理对象的权限
要求内容 | 使用数据库角色（ROLE）来管理对象的权限。 |
操作指南 | 1、参考配置操作 1. 使用Create Role命令创建角色。 2. 使用用Grant命令将相应的系统、对象或Role的权限赋予应用用户。 2、补充操作说明 |
检测方法 | 3、判定条件 对应用用户不要赋予DBA Role或不必要的权限。 4、检测操作 1. 以DBA用户登陆到sqlplus中。 2. 通过查询dba_role_privs、dba_sys_privs和dba_tab_privs等视图来检查是否使用ROLE来管理对象权限。 5、补充说明 |
2.1.6 控制用户属性
要求内容 | 对用户的属性进行控制，包括密码策略、资源限制等。 |
操作指南 | 1、参考配置操作 可通过下面类似命令来创建profile，并把它赋予一个用户 CREATE PROFILE app_user2 LIMIT FAILED_LOGIN_ATTEMPTS 6 PASSWORD_LIFE_TIME 60 PASSWORD_REUSE_TIME 60 PASSWORD_REUSE_MAX 5 PASSWORD_VERIFY_FUNCTION verify_function PASSWORD_LOCK_TIME 1/24 PASSWORD_GRACE_TIME 90; ALTER USER jd PROFILE app_user2; 2、补充操作说明 |
检测方法 | 3、判定条件 1. 可通过设置profile来限制数据库账户口令的复杂程度，口令生存周期和账户的锁定方式等。 2. 可通过设置profile来限制数据库账户的CPU资源占用。 4、检测操作 1. 以DBA用户登陆到sqlplus中。 2. 查询视图dba_profiles和dba_usres来检查profile是否创建。 5、补充说明 |
2.1.7 启用数据库字典保护
要求内容 | 启用数据字典保护，只有SYSDBA用户才能访问数据字典基础表。 |
操作指南 | 1、参考配置操作 通过设置下面初始化参数来限制只有SYSDBA权限的用户才能访问数据字典。 O7_DICTIONARY_ACCESSIBILITY = FALSE 2、补充操作说明 |
检测方法 | 3、判定条件 以普通dba用户登陆到数据库，不能查看X$开头的表，比如： select * from sys. x$ksppi; 4、检测操作 1. 以Oracle用户登陆到系统中。 2. 以sqlplus ‘/as sysdba’登陆到sqlplus环境中。 3. 使用show parameter命令来检查参数O7_DICTIONARY_ACCESSIBILITY是否设置为FALSE。 Show parameter O7_DICTIONARY_ACCESSIBILITY 5、补充说明 |
2.2 口令
2.2.1 静态口令认证的密码复杂度控制
要求内容 | 对于采用静态口令进行认证的数据库，口令长度至少6位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。 |
操作指南 | 1、 参考配置操作 为用户建profile，调整PASSWORD_VERIFY_FUNCTION，指定密码复杂度 2、 补充操作说明 |
检测方法 | 3、 判定条件 修改密码为不符合要求的密码，将失败 4、 检测操作 alter user abcd1 identified by abcd1;将失败 5、补充说明 |
2.2.2 静态口令认证的密码生命周期
要求内容 | 对于采用静态口令认证技术的数据库，账户口令的生存期不长于90天。 |
操作指南 | 1、 参考配置操作 为用户建相关profile，指定PASSWORD_GRACE_TIME为90天 2、 补充操作说明 在90天内，需要修改密码 |
检测方法 | 3、 判定条件 到期不修改密码，密码将会失效。连接数据库将不会成功 4、 检测操作 connect username/password报错 5、补充说明 |
2.2.3 静态口令认证的密码重复使用限制
要求内容 | 对于采用静态口令认证技术的数据库，应配置数据库，使用户不能重复使用最近5次（含5次）内已使用的口令。 |
操作指南 | 1、 参考配置操作 为用户建profile,指定PASSWORD_REUSE_MAX为５ 2、 补充操作说明 当前使用的密码，必需在密码修改５次后才能再次被使用 |
检测方法 | 3、 判定条件 重用修改５次内的密码，将不能成功 4、 检测操作 alter user username identified by password1;如果password1在５次修改密码内被使用，该操作将不能成功 5、补充说明 |
2.2.4 景泰口令认证的连续登录失败的帐号锁定策略
要求内容 | 对于采用静态口令认证技术的数据库，应配置当用户连续认证失败次数超过6次（不含6次），锁定该用户使用的账号。 |
操作指南 | 1、 参考配置操作 为用户建profile，指定FAILED_LOGIN_ATTEMPTS为６ 2、 补充操作说明 如果连续６次连接该用户不成功，用户将被锁定 |
检测方法 | 3、 判定条件 连续６次用错误的密码连接用户，第７次时用户将被锁定 4、 检测操作 connect username/password，连续６次失败，用户被锁定 5、补充说明 |
2.2.5 更改数据库默认帐号的密码
要求内容 | 更改数据库默认帐号的密码。 |
操作指南 | 1、参考配置操作 1. 可通过下面命令来更改默认用户的密码： ALTER USER XXX IDENTIFIED BY XXX; 2. 下面是默认用户列表： ANONYMOUS CTXSYS DBSNMP DIP DMSYS EXFSYS HR LBACSYS MDDATA MDSYS MGMT_VIEW ODM ODM_MTR OE OLAPSYS ORDPLUGINS ORDSYS OUTLN PM QS QS_ADM QS_CB QS_CBADM QS_CS QS_ES QS_OS QS_WS RMAN SCOTT SH SI_INFORMTN_SCHEMA SYS SYSMAN SYSTEM TSMSYS WK_TEST WKPROXY WKSYS WMSYS XDB 2、补充操作说明 |
检测方法 | 3、判定条件 不能以用户名作为密码或使用默认密码的账户登陆到数据库。 4、检测操作 1. 以DBA用户登陆到sqlplus中。 2. 检查数据库默认账户是否使用了用户名作为密码或默认密码。 5、补充说明 |
2.2.6 操作系统级的帐户安全策略
要求内容 | Oracle软件账户的访问控制可遵循操作系统账户的安全策略，比如不要共享账户、强制定期修改密码、密码需要有一定的复杂度等。 |
操作指南 | 1、参考配置操作 使用操作系统一级的账户安全管理来保护Oracle软件账户。 2、补充操作说明 |
检测方法 | 3、判定条件 每3个月自动提示更改密码，过期后不能登陆。 4、检测操作 每3个月强制修改Oracle软件账户密码，并且密码需要满足一定的复杂程度，符合操作系统的密码要求。 5、补充说明 |
2.3 日志
2.3.1 登录日志功能
要求内容 | 数据库应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号、登录是否成功、登录时间以及远程登录时用户使用的IP地址。 |
操作指南 | 1、 参考配置操作 创建ORACLE登录触发器，记录相关信息，但对IP地址的记录会有困难 |
检测方法 | 2、 判定条件 登录测试，检查相关信息是否被记录 3、检测操作 4、 补充说明 触发器与AUDIT会有相应资源开消，请检查系统资源是否充足。特别是RAC环境，资源消耗较大。 |
2.3.2 DDL日志
要求内容 | 数据库应配置日志功能，记录用户对数据库的操作，包括但不限于以下内容：账号创建、删除和权限修改、口令修改、读取和修改数据库配置、读取和修改业务用户的话费数据、身份数据、涉及通信隐私数据。记录需要包含用户账号，操作时间，操作内容以及操作结果。 |
操作指南 | 1、 参考配置操作 创建ORACLE DDL触发器，记录相关信息，但对IP地址的记录会有困难 2、补充操作说明 |
检测方法 | 2、 判定条件 做相关操作，检查是否记录成功 4、检测操作 5、 补充说明 触发器与AUDIT会有相应资源开消，请检查系统资源是否充足。特别是RAC环境，资源消耗较大。 |
2.3.3 数据库审记
要求内容 | 根据业务要求制定数据库审计策略。 |
操作指南 | 1、参考配置操作 1. 通过设置参数audit_trail = db或os来打开数据库审计。 2. 然后可使用Audit命令对相应的对象进行审计设置。 2、补充操作说明 |
检测方法 | 3、判定条件 对审计的对象进行一次数据库操作，检查操作是否被记录。 4、检测操作 1. 检查初始化参数audit_trail是否设置。 2. 检查dba_audit_trail视图中或$ORACLE_BASE/admin/adump目录下是否有数据。 5、 补充说明 AUDIT会有相应资源开消，请检查系统资源是否充足。特别是RAC环境，资源消耗较大。 |
2.4 其他
2.4.1 Data Vault
要求内容 | 使用Oracle提供的Data Vault选件来限制有DBA权限的用户访问敏感数据。 |
操作指南 | 1、参考配置操作 Oracle Data Vault是作为数据库安全解决方案的一个单独选件，主要功能是将数据库管理账户的权限和应用数据访问的权限分开， Data Vault可限制有DBA权限的用户访问敏感数据。设置比较复杂，具体细节请参考Oracle文档。 2、补充操作说明 |
检测方法 | 3、判定条件 以DBA用户登陆，不能查询其它用户下面的数据。 4、检测操作 1. 在视图dba_users中查询是否存在dvsys用户。 2. 在视图dba_objects中检查是否存在dbms_macadm对象。 5、补充说明 |
2.4.2 Listener设定密码保护
要求内容 | 为数据库监听器（LISTENER）的关闭和启动设置密码。 |
操作指南 | 1、参考配置操作 通过下面命令设置密码： $ lsnrctl LSNRCTL> change_password Old password: <OldPassword> Not displayed New password: <NewPassword> Not displayed Reenter new password: <NewPassword> Not displayed Connecting to (DESCRIPTION=(ADDRESS=(PROTOCOL=TCP)(HOST=prolin1)(PORT=1521)(IP=FIRST))) Password changed for LISTENER The command completed successfully LSNRCTL> save_config 2、补充操作说明 |
检测方法 | 3、判定条件 使用lsnrctl start或lsnrctl stop命令起停listener需要密码 4、检测操作 检查$ORACLE_HOME/network/admin/listener.ora文件中是否设置参数PASSWORDS_LISTENER。 5、补充说明 |
2.4.3 设定信任IP集
要求内容 | 设置只有信任的IP地址才能通过监听器访问数据库。 |
操作指南 | 1、参考配置操作 只需在服务器上的文件$ORACLE_HOME/network/admin/sqlnet.ora中设置以下行： tcp.validnode_checking = yes tcp.invited_nodes = (ip1,ip2…) 2、补充操作说明 |
检测方法 | 3、判定条件 在非信任的客户端以数据库账户登陆被提示拒绝。 4、检测操作 检查$ORACLE_HOME/network/admin/sqlnet.ora文件中是否设置参数tcp.validnode_checking和tcp.invited_nodes。 5、补充说明 |
2.4.4 加密网络传输
要求内容 | 使用Oracle提供的高级安全选件来加密客户端与数据库之间或中间件与数据库之间的网络传输数据。 |
操作指南 | 1、参考配置操作 1. 在Oracle Net Manager中选择“Oracle Advanced Security”。 2. 然后选择Encryption。 3. 选择Client或Server选项。 4. 选择加密类型。 5. 输入加密种子（可选）。 6. 选择加密算法（可选）。 7. 保存网络配置，sqlnet.ora被更新。 2、补充操作说明 |
检测方法 | 3、判定条件 通过网络层捕获的数据库传输包为加密包。 4、检测操作 检查$ORACLE_HOME/network/admin/sqlnet.ora文件中是否设置sqlnet.encryption等参数。 5、补充说明 |
2.4.5 断开超时的空闲远程连接
要求内容 | 在某些应用环境下可设置数据库连接超时，比如数据库将自动断开超过10分钟的空闲远程连接。 |
操作指南 | 1、参考配置操作 在sqlnet.ora中设置下面参数： SQLNET.EXPIRE_TIME=10 2、补充操作说明 |
检测方法 | 3、判定条件 10分钟以上的无任何操作的空闲数据库连接被自动断开 4、检测操作 检查$ORACLE_HOME/network/admin/sqlnet.ora文件中是否设置参数SQLNET.EXPIRE_TIME。 5、补充说明 |
2.4.6 限制DBA组中的操作系统用户数量
要求内容 | 限制在DBA组中的操作系统用户数量，通常DBA组中只有Oracle安装用户。 |
操作指南 | 1、参考配置操作 通过/etc/passwd文件来检查是否有其它用户在DBA组中。 2、补充操作说明 |
检测方法 | 3、判定条件 无其它用户属于DBA组。 4、检测操作 通过/etc/passwd文件来检查是否有其它用户在DBA组中。 5、补充说明 |
相关推荐
- 程序员:JDK的安装与配置(完整版)_jdk的安装方法
-
对于Java程序员来说，jdk是必不陌生的一个词。但怎么安装配置jdk，对新手来说确实头疼的一件事情。我这里以jdk10为例，详细的说明讲解了jdk的安装和配置，如果有不明白的小伙伴可以评论区留言哦下...
- Linux中安装jdk并配置环境变量_linux jdk安装教程及环境变量配置
-
一、通过连接工具登录到Linux(我这里使用的Centos7.6版本)服务器连接工具有很多我就不一一介绍了今天使用比较常用的XShell工具登录成功如下：二、上传jdk安装包到Linux服务器jdk...
- 麒麟系统安装JAVA JDK教程_麒麟系统配置jdk
-
检查检查系统是否自带java在麒麟系统桌面空白处，右键“在终端打开”，打开shell对话框输入：java–version查看是否自带java及版本如图所示，系统自带OpenJDK，要先卸载自带JDK...
- 学习笔记-Linux JDK - 安装&配置
-
前提条件#检查是否存在JDKrpm-qa|grepjava#删除现存JDKyum-yremovejava*安装OracleJDK不分系统#进入安装文件目...
- Linux新手入门系列:Linux下jdk安装配置
-
本系列文章是把作者刚接触和学习Linux时候的实操记录分享出来，内容主要包括Linux入门的一些理论概念知识、Web程序、mysql数据库的简单安装部署，希望能够帮到一些初学者，少走一些弯路。注意：L...
- 测试员必备:Linux下安装JDK 1.8你必须知道的那些事
-
1.简介在Oracle收购Sun后，Java的一系列产品就被整合到Oracle官网中，打开官网乍眼一看也不知道去哪里下载，还得一个一个的摸索尝试，而且网上大多数都是一些Oracle收购Sun前，或者就...
- Linux 下安装JDK17_linux 安装jdk1.8 yum
-
一、安装环境操作系统：JDK版本：17二、安装步骤第一步：下载安装包下载Linux环境下的jdk1.8，请去官网（https://www.oracle.com/java/technologies/do...
- 在Ubuntu系统中安装JDK 17并配置环境变量教程
-
在Ubuntu系统上安装JDK17并配置环境变量是Java开发环境搭建的重要步骤。JDK17是Oracle提供的长期支持版本，广泛用于开发Java应用程序。以下是详细的步骤，帮助你在Ubuntu系...
- 如何在 Linux 上安装 Java_linux安装java的步骤
-
在桌面上拥抱Java应用程序，然后在所有桌面上运行它们。--SethKenlon（作者）无论你运行的是哪种操作系统，通常都有几种安装应用程序的方法。有时你可能会在应用程序商店中找到一个应用程序...
- Windows和Linux环境下的JDK安装教程
-
JavaDevelopmentKit（简称JDK），是Java开发的核心工具包，提供了Java应用程序的编译、运行和开发所需的各类工具和类库。它包括了JRE（JavaRuntimeEnviro...
- linux安装jdk_linux安装jdk软连接
-
JDK是啥就不用多介绍了哈，外行的人也不会进来看我的博文。依然记得读大学那会，第一次实验课就是在机房安装jdk，编写HelloWorld程序。时光飞逝啊，一下过了十多年了，挣了不少钱，买了跑车，娶了富...
- linux安装jdk,全局配置，不同用户不同jdk
-
jdk1.8安装包链接：https://pan.baidu.com/s/14qBrh6ZpLK04QS8ogCepwg提取码：09zs上传文件解压tar-zxvfjdk-8u152-linux-...
- 运维大神教你在linux下安装jdk8_linux安装jdk1.7
-
1.到官网下载适合自己机器的版本。楼主下载的是jdk-8u66-linux-i586.tar.gzhttp://www.oracle.com/technetwork/java/javase/downl...
- window和linux安装JDK1.8_linux 安装jdk1.8.tar
-
Windows安装JDK1.8的步骤：步骤1：下载JDK打开浏览器，找到JDK下载页面https://d.injdk.cn/download/oraclejdk/8在页面中找到并点击“下载...
- 最全的linux下安装JavaJDK的教程(图文详解)不会安装你来打我?
-
默认已经有了linux服务器，且有root账号首先检查一下是否已经安装过java的jdk任意位置输入命令：whichjava像我这个已经安装过了，就会提示在哪个位置，你的肯定是找不到。一般我们在...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- oracle忘记用户名密码 (59)
- oracle11gr2安装教程 (55)
- mybatis调用oracle存储过程 (67)
- oracle spool的用法 (57)
- oracle asm 磁盘管理 (67)
- 前端 设计模式 (64)
- 前端面试vue (56)
- linux格式化 (55)
- linux图形界面 (62)
- linux文件压缩 (75)
- Linux设置权限 (53)
- linux服务器配置 (62)
- mysql安装linux (71)
- linux启动命令 (59)
- 查看linux磁盘 (72)
- linux用户组 (74)
- linux多线程 (70)
- linux设备驱动 (53)
- linux自启动 (59)
- linux网络命令 (55)
- linux传文件 (60)
- linux打包文件 (58)
- linux查看数据库 (61)
- linux获取ip (64)
- linux进程通信 (63)