等級保護(hù)測評指導(dǎo)書----主機(jī)數(shù)據(jù)庫

1、層面控制點測評項重要性級別系統(tǒng)主機(jī)身份鑒別（S1、S2、S3）a) 應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份標(biāo)識和鑒別；重要S1S2S3oracle9i forlinuxb) 操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標(biāo)識應(yīng)具有不易被冒用的特點，口令應(yīng)有復(fù)雜度要求并定期更換；重要S2S3oracle9i forlinuxc) 應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施；重要S2S3oracle9i forlinuxd) 當(dāng)對服務(wù)器進(jìn)行遠(yuǎn)程管理時，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；S2S3oracle9i forlinuxe) 應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不

2、同用戶分配不同的用戶名，確保用戶名具有唯一性。S2S3oracle9i forlinuxf) 應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對管理用戶進(jìn)行身份鑒別。S3oracle9i forlinuxoracle9i forlinuxb) 應(yīng)根據(jù)管理用戶的角色分配權(quán)限，實現(xiàn)管理用戶的權(quán)限分離，僅授予管理用戶所需的最小權(quán)限；S3oracle9i forlinuxc) 應(yīng)實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離；S2S3oracle9i forlinuxd) 應(yīng)嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶的默認(rèn)口令；重要S1S2S3oracle9i forlinuxe) 應(yīng)及時刪除多余的、

3、過期的帳戶，避免共享帳戶的存在。重要S2S3oracle9i forlinux主機(jī)oracle9i forlinuxg) 應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作；S3oracle9i forlinux安全審計（G2、G3）a) 審計范圍應(yīng)覆蓋到服務(wù)器和重重要要客客戶戶端端上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；重要G2G3（G2審計服務(wù)器，G3審計包括服務(wù)器和重要客戶端）oracle9i forlinuxb) 審計內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件；重要G2G3oracle9i forlinuxc) 審計記錄應(yīng)包括事件的日期、時

4、間、類型、主體標(biāo)識、客體標(biāo)識和結(jié)果等；重要G2G3oracle9i forlinuxd) 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計報表；G3oracle9i forlinux主機(jī)oracle9i forlinuxf) 應(yīng)保護(hù)審計記錄，避免受到未預(yù)期的刪除、修改或覆蓋等。重要G2G3oracle9i forlinux資源控制（A1、A2）a) 應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；重要A2A3oracle9i forlinuxb) 應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時鎖定；重要A2A3oracle9i forlinuxc) 應(yīng)對重要服務(wù)器進(jìn)行監(jiān)視，包括監(jiān)視服務(wù)器的CPU、硬盤、內(nèi)

5、存、網(wǎng)絡(luò)等資源的使用情況；A3oracle9i forlinuxd) 應(yīng)限制單個用戶對系統(tǒng)資源的最大或最小使用限度；A2A3oracle9i forlinux主機(jī)安全審計（G2、G3）實施過程預(yù)期結(jié)果1)應(yīng)檢查Oracle 數(shù)據(jù)庫系統(tǒng)，查看是否存在空口令或默認(rèn)口令的用戶；2)結(jié)合掃描結(jié)果進(jìn)行判斷；3)使用select username,password fromdba_users;獲取加密口令信息結(jié)合破解工具進(jìn)行破解；4）結(jié)合掃描結(jié)果進(jìn)行判斷?？诹畈粸榭栈蛉蹩诹睢?)執(zhí)行命令：select limit fromdba_profiles whereprofile=DEFAULT andresou

6、rce_name=PASSWORD_VERIFY_FUNCTION,查看是否啟用口令復(fù)雜度函數(shù)；2)檢查utlpwdmms.sql 中“-Check forthe minimum length of thepassword”部分中“l(fā)ength（password）”后的值；3)或者：查看口令管理制度以及執(zhí)行記錄，并選擇驗證；4）結(jié)合掃描結(jié)果進(jìn)行判斷。1)口令復(fù)雜度函數(shù)應(yīng)設(shè)置為VERIFY_FUNCTION；2)rdbmsadmin中l(wèi)ength（password）應(yīng)不小于8；3)被檢查部門應(yīng)存在相應(yīng)的口令管理制度，并有相應(yīng)的執(zhí)行記錄，可以指定賬戶要求管理員輸入口令，觀察口令復(fù)雜度。1)執(zhí)行命令

7、：select limit fromdba_profiles whereprofile=DEFAULT andresource_name=FAILED_LOGIN_ATTEMPTS登錄失敗嘗試次數(shù)；2)執(zhí)行命令：select limit fromdba_profiles whereprofile=DEFAULT andresource_name=PASSWORD_LOCK_TIME登錄超過有效次數(shù)鎖定時間。1)應(yīng)對登錄失敗嘗試次數(shù)進(jìn)行設(shè)置；2)應(yīng)對登錄超過有效次數(shù)進(jìn)行設(shè)置。1)show parameter REMOTE_OS_AUTHENT遠(yuǎn)程數(shù)據(jù)庫驗證；2)查看networkadminlis

8、tener.ora的“LISTENER”-“DESCRIPTION”-“ADDRESS_LIST”-“ADDRESS”-“PROTOCOL”值。1)遠(yuǎn)程數(shù)據(jù)庫驗證的值應(yīng)為FALSE。1)執(zhí)行命令：select username fromdba_users，查看是否存在相同用戶名的賬戶；2)詢問數(shù)據(jù)庫管理員，是否為不同的用戶分配不同的用戶名；1)應(yīng)制定相應(yīng)的管理制度，確保不同人員使用不同用戶名登錄數(shù)據(jù)庫系統(tǒng)；2)主要數(shù)據(jù)庫管理員用戶名應(yīng)唯一。1)數(shù)據(jù)庫的身份鑒別方式，是否使用其他鑒別技術(shù)；2)查看/network/admin/sqlnet.oraSQLNET.AUTHENTICATION_SER

9、VICES 的值，確認(rèn)數(shù)據(jù)庫管理系統(tǒng)指定的鑒別方式是否與管理員回答的一致；3)如果使用其他技術(shù)，則查看該技術(shù)的實現(xiàn)情況。1)SQLNET.AUTHENTICATION_SERVICES的值設(shè)置為ALL，或者不設(shè)置的情況下，OS驗證才能成功；設(shè)置為其他任何值都不能使用OS認(rèn)證。1)詢問數(shù)據(jù)庫管理員，數(shù)據(jù)庫系統(tǒng)的訪問控制策略是什么；2)查看ORACLE數(shù)據(jù)庫的訪問控制策略是否與管理員回答的一致；3)查看/network/admin/sqlnet.oratcp.validnode_checking與tcp.invited_nodes的值。1)tcp.validnode_checking=yes、tc

10、p.invited_nodes=IP。1)對應(yīng)select username fromdba_users;SELECT * FROMdba_role_privs; 與SELECT * FROMdba_sys_privs;執(zhí)行命令的結(jié)果進(jìn)行查看；2)查看每個登錄用戶的角色和權(quán)限，是否是該用戶所需的最小權(quán)限。無 1)詢問是否由不同員工分別擔(dān)任操作系統(tǒng)管理員與數(shù)據(jù)庫管理員；2)可查看相關(guān)的人員管理文檔。相關(guān)人員管理文檔應(yīng)能提供不同的操作系統(tǒng)管理員與數(shù)據(jù)庫管理員姓名。1)登錄驗證sys的口令是否為CHANGE_ON_INSTALL；2)登錄驗證system 的口令是否為manager；3)登錄驗證db

11、snmp 的口令是否為dbsnmp；4)其它默認(rèn)的用戶名與密碼SCOTT/TIGERMDSYS/MDSYS OUTLN/OUTLN ADAMS/WOODJONES/STEEL CLARK/CLOTH BLAKE/PAPERCTXSYS/CTXSYS ORDSYS/ORDSYSORDPLUGINS/ORDPLUGINS。5)可使用掃描工具的掃描結(jié)果進(jìn)行判斷；6)使用select username,password fromdba_users;獲取加密口令信息結(jié)合破解工具進(jìn)行破解。數(shù)據(jù)庫不應(yīng)使用默認(rèn)的密碼。1)在sqlplus 中執(zhí)行命令：selectusername，account_status

12、 fromdba_users;，查看返回結(jié)果中是否存在scott、outln、ordsys 等范例數(shù)據(jù)庫賬號；2)針對上述命令獲得的用戶賬號，查看是否存在過期賬戶，詢問數(shù)據(jù)庫管理員是否每一個賬戶均為正式、有效的賬戶；3)針對上述命令獲得的用戶賬號，詢問是否有存在多人共享賬戶的情況。1)不存在范例數(shù)據(jù)庫賬號，或這些賬號鎖定；2)用戶賬號應(yīng)都為正式的、有效的賬號；3)不應(yīng)存在多人共享賬戶。1)檢查是否安裝Oracle Label Security模塊：select username fromdba_users；2)查看是否創(chuàng)建策略：selectpolicy_name,status fromDBA_

13、SA_POLICIES；3)查看是否創(chuàng)建級別：select * fromdba_sa_levels order by level_num；4)查看標(biāo)簽創(chuàng)建情況：select * fromdba_sa_labels；5)詢問重要數(shù)據(jù)存儲表格名稱；6)查看策略與模式、表的對應(yīng)關(guān)系：select * fromdba_sa_tabels_policies；判斷是否針對重要信息資源設(shè)置敏感標(biāo)簽；1)安裝Oracle LabelSecurity 模塊；2)應(yīng)創(chuàng)建策略；3)應(yīng)創(chuàng)建級別；1)如果安裝了Oracle Label Security模塊，并創(chuàng)建策略與級別，那么查看用戶的標(biāo)簽：select * fro

14、mdba_sa_user_label;；2)選擇特定的用戶和表進(jìn)行驗證策略。無1)執(zhí)行：select value fromv$parameter wherename=audit_trail，查看是否開啟審計功能；2)詢問數(shù)據(jù)庫管理員是否使用了第三方工具進(jìn)行審計；3)用不同的用戶登錄數(shù)據(jù)庫系統(tǒng)并進(jìn)行不同的操作，在oracle 數(shù)據(jù)庫中查看日志記錄是否滿足要求；或開啟數(shù)據(jù)庫審計功能，或使用第三方工具進(jìn)行審計。1)執(zhí)行：show parameter audit_trail；2)執(zhí)行：show parameteraudit_sys_operations；3)執(zhí)行：select sel,upd,del,

15、ins,grafrom dba_obj_audit_opts；4)執(zhí)行：select sel,upd,del,ins,grafrom dba_stmt_audit_opts；5)執(zhí)行：select sel,upd,del,ins,grafrom dba_priv_audit_opts；6)查看第三方審計工具的記錄。1)非NONE；2)TRUE；3)審計記錄應(yīng)包括如用戶登錄系統(tǒng)、增加用戶、刪除用戶等行為。1)記錄一條日志內(nèi)容，確認(rèn)其包括事件發(fā)生的日期與時間，觸發(fā)事件的主體與客體、事件的類型、事件成功或失敗、身份鑒別事件中請求的來源、事件的結(jié)果等內(nèi)容；ORACLE日志與第三方日志都應(yīng)存在日期和時間

16、、類型、主體標(biāo)識（如用戶名等）、客體標(biāo)識（如數(shù)據(jù) 庫、字段或記錄）、事件的結(jié)果等。1)詢問數(shù)據(jù)庫管理員是否安裝并使用oracle audit vault 等日志分析工具并查看相關(guān)報表。應(yīng)安裝相關(guān)工具，并可行成報表。1)詢問是否嚴(yán)格限制管理員權(quán)限；2)用戶可以通過修改alter system setaudit_trail=none ，并重啟實例關(guān)閉審計功能，查看是否成功。應(yīng)嚴(yán)格限制管理員權(quán)限；1)檢查是否嚴(yán)格限制用戶訪問審計記錄的權(quán)限，如采用audit vault 等；2)檢查是否有效防止審計日志空間不夠而導(dǎo)致無法記錄日志的情況；無查看服務(wù)器端/network/admin/sqlnet.ora

17、中是否配置了以下參數(shù)：Tcp.validnode_checkingTcp.invited_nodes1)tcp.validnode_checking=yes、tcp.invited_nodes=IP。查看空閑超時設(shè)置：select limit fromdba_profiles whereprofile=DEFAULT andresource_name=IDLE_TIME；連接超時自動斷開建議值為10分鐘可以對操作系統(tǒng)進(jìn)行查看，有無第三方工具對操作系統(tǒng)使用情況進(jìn)行監(jiān)控。應(yīng)有監(jiān)控人員對操作系統(tǒng)使用情況進(jìn)行監(jiān)控。1)確定用戶使用的profile：selectusername,profile from

18、 dba_users，針對指定用戶的profile，查看其限制（以default 為例）；2)查看空閑超時設(shè)置：select limitfrom dba_profiles whereprofile=DEFAULT andresource_name=IDLE_TIME；3)select limit from dba_profileswhere profile=DEFAULT andresource_name=SESSIONS_PER_USER；建議idle_time設(shè)置為20，sessions_per_user=1。說明1)掃描工具為Nessus、xsan、紅探硬件掃描工具等；2)破解工具為jo

19、hn the ripper。1)口令設(shè)置的復(fù)雜度要求，至少包括：大小字母、數(shù)字、特殊字符四類中的2類、其長度不低于8位；并存在的執(zhí)行記錄應(yīng)表明定期更換密碼。2)掃描工具為Nessus、xsan、紅探硬件掃描工具等。1)應(yīng)檢查數(shù)據(jù)庫系統(tǒng)，查看是否已配置了鑒別失敗處理功能，并設(shè)置了非法登錄次數(shù)的限制值，對超過限制值的登錄終止其鑒別會話或臨時封閉賬號。查看是否設(shè)置網(wǎng)絡(luò)登錄連接超時，并自動退出。查看是否設(shè)置鑒別警示信息；2)登錄失敗嘗試次數(shù)建議設(shè)置為6；3)登錄超過有效次數(shù)鎖定時間建議設(shè)置為1/24；4）若條件允許，請進(jìn)行驗證。 1)將遠(yuǎn)程數(shù)據(jù)庫驗證的值設(shè)置為FALSE，代表遠(yuǎn)程數(shù)據(jù)庫只有通過密碼驗證

20、才能登錄到此計算機(jī)；2)可使用數(shù)據(jù)包嗅探工具，對數(shù)據(jù)包進(jìn)行分析，確定其是否對數(shù)據(jù)進(jìn)行加密傳輸，如Wireshark、Iris等。在默認(rèn)情況下，Oracle數(shù)據(jù)庫系統(tǒng)中不能創(chuàng)建相同用戶名的用戶，但是，在實際應(yīng)用中，為防止不同用戶使用相同的用戶名登錄數(shù)據(jù)庫系統(tǒng)，應(yīng)制定相應(yīng)的管理制度，確保不同人員使用不同用戶名登錄數(shù)據(jù)庫系統(tǒng)。身份鑒別技術(shù)，如用戶名/口令、挑戰(zhàn)應(yīng)答、動態(tài)口令、物理設(shè)備、生物識別技術(shù)、數(shù)字證書方式等。無查看業(yè)務(wù)數(shù)據(jù)庫的管理員是否具有系統(tǒng)管理功能，業(yè)務(wù)數(shù)據(jù)庫的操作人員是否具有刪除數(shù)據(jù)庫表或存儲過程的權(quán)限，通過比對select username from dba_users;、SELECT * FROM dba_role_privs; 與SELECT *FR