等保测评oracle数据库加固
控
制
点
安全要求要求解读测评⽅法预期结果或主要证据
⾝份鉴别a)应对登
录的⽤户
进⾏⾝份
标识和鉴
别，⾝份
标识具有
唯⼀性，
⾝份鉴别
信息具有
复杂度要
求并定期
更换
应检查Oracle数据库的⼝令策略配
置，查看其⾝份鉴别信息是否具有不
易被冒⽤的特点，例如，⼝令⾜够
长，⼝今复杂(如规定字符应混有⼤,⼩
写字母数字和特殊字符)，⼝令定期更
新，新旧⼝令的替换要求
1)访谈数据库管理员系统⽤户是否已设置密
码，并查看登录过程中系统账户是否使⽤了密
码进⾏验证登录
2)查看是否启⽤⼝令复杂度函数: select limit
from dba_profiles where profile= ' DEFAULT'
and resource_name='
PASSWORD_VERIFY_FUNCTION'
3)检查utlpwdmg.sql 中“-- Check for the
minimum length of the password“部分
中“length(password)<"后的值
4) PASSWORD_LIFE_TIME(⼝令过期时限)
1)需要登录密码
2)dba_profiles 策略中
PASSWORD_VERIFY_FUNCTION'的
值不为UNLLIMITED
3)utlpwdmg.sql 中“-- Check for the
minimum length of the password“部分
中“length(password)<"后的值为8或以
上
4）dba_profiles策略中
PASSWORD_LIFE_TIME不为
UNLIMITED
b)应具有
登录失败
处理功
能，应配
置并启⽤
结束会
话、限制
⾮法登录
次数和当
登录连接
超时⾃动
退出等相
关措施
应检查数据库系统，查看是否已配置
了鉴别失败处理功能，并设置了⾮法
登录次数的限制值，对超过限制值的
登录终⽌其鉴别会话或临时封闭帐
号。查看是否设置⽹络登录连接超
时，并⾃动退出
1)查看是否启⽤登录失败限制策略，执⾏:
select limit from dba_profiles where profile= '
DEFAULT' and resource name='
FAILED_LOGIN_ATTEMPTS
2)查看是否启⽤登录失败锁定策略，执⾏:
select limit from dba_profiles where profile=
'DEFAULT' and resource_ name=
PASSWORD_ LOCK_TIME"
3)查看是否启⽤登录超时退出策略，执⾏：
select limit from dba_profiles= 'DEFAULT and
resource name= 'IDLE_ TIME'
1)dba_pofiles策略中
FAILED_LOGIN_ATTEMPTS不为
UNLIMITED
2)dba_pofiles策略中
PASSWORD_LOCK_TIME不为
UNLIMITED
3)dba_pofiles策略中IDLE_ TIME不为
UNLIMITED
c)当进⾏
远程管理
时，应采
取必要措
施、防⽌
鉴别信息
在⽹络传
输过程中
被窃听
为了防⽌包括鉴别信息在内的敏感信
息在⽹络传输过程中被窃听，应限制
从远程管理数据，如果业务模式需要
从远程进⾏管理，则应提供包括SSH
在内的⽅式对传输数据进⾏加密
1)查看a
(%ORAClE_HOME\db_1\NETWORK\ADMIN)
中REMOTE_0S _AUTHENT的赋值
2)查看a
(%ORAClE_HOME\db_1\NETWORK\ADMIN)
⽂件中的"LISTENER”-"DESCRIPTION "-
"ADDRESS_LIST"-"ADDRESS"-
"PROTOCOL"项⽬的
赋值
3)执⾏show parameter
remote_login_passwordfileoracle数据库自动备份方法
1)符合，且本项为false, 则符合(为true,
远程操作系统认证。
2)应存在以下项⽬:
PROTOCOL=TCPS (实际为TCP)
3)结果应为NONE，远程⽆法登
录，Exclusive (唯⼀的数据库密码⽂件
登录
d)应采⽤
⼝令、密
码技术、
⽣物技术
等两种或
两种以上
组合的鉴
别技术对
⽤户进⾏
⾝份鉴
别，且其
中⼀种鉴
别技术⾄
少应使⽤
密码技术
来实现
Oracle不能集成其他⾝份鉴别措施，
应通过对操作系统层⾯实现双因素，
强化数据库安全
查看和询问系统管理员在登录数据库的过程中
使⽤了哪些⾝份鉴别⽅法，是否采⽤了两种或
两种以上组合的鉴别技术，如⼝令、数字证书
Ukey. 令牌、指纹等，是否有⼀种鉴别⽅法使
⽤密码技术
除⼝令之外，采⽤了另外⼀种鉴别机
制，此机制采⽤了密码技术，如调⽤了
密码机或采取SM1-SM4等算法
访问控制a)应对登
录的⽤户
分配账户
和权限
应检查数据库系统的安全策略，查看
业务数据的管理员是否具有系统管理
功能，业务数据库的操作⼈员是否具
有删除数据库表或存储过程的权限
查看每个登录⽤户的⾓⾊和权限，是否是该⽤
户所需的最⼩权限
MGMT_UIEW, SYS, SYSTEM,
DBSNMP, SYSMAN是open的状态，其
他都是锁定
1)在oracle系统安装时存在部分默认⼝
b)应重命名或删除默认账户，修改默认账户的默认⼝令1)在oracle系统安装时存在部分默认⼝
今，如
SYS：CHANGE_ON_INSTALL
SYSTEM:MANAGER
2)常⽤⼝令:
oracle:oracle/admin/ora92(ora+版本)
sys: oracle/admin
system: oralce/admin
1)登录验证sys的⼝令是否为
CHANGE_ON_INSTALL
2)登录验证system的⼝令是否为manager
3)登录验证dbsnmp的⼝今是否为dbsnmp
1)2)3)使⽤默认⼝令⽆法登陆数据库账
户
c)应及时删除或停⽤多余
的、过期的账户，避免共享账户的存在应删除数据库中多余的过期的账户，
如测试帐号等
1)在sqIplus中执⾏命令: select username ,
account_ status_from dba users
2)查看返回结果中是否存在scott. out1n、
ordsys 等范例数据库帐号
3)针对上述命令获得的⽤户帐号，查看是否存
在过期账户，询问数据库管理员是否每⼀个账
户均为正式、有效的账户
4)针对上述命令获得的⽤户帐号，询问是否存
在多⼈共享账户的情况
1)不存在⽰例帐户
2)应不存在acount status 为“expired"的
帐户；所有帐户均为必要的管理帐户或
者数据库应⽤程序帐户(不存在测试帐
户/临时账户)
3)每⼀个数据库帐户与实际⽤户应为⼀
⼀对应关系
4)不存在多⼈共享帐户的情况
d)应授予管理⽤户
所需的最⼩权限，实现管理⽤户的权限分离在Oracle数据库中，尽量将数据库系
统特权⽤户的权限进⾏分离
询问是否由不同员⼯分别担任操作系统管理员
与数据库管理员
由不同员⼯分别担任操作系统管理员与
数据库管理员
d)应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则应检查数据库系统的安全策略，查看
是否明确主体(如⽤户)以⽤户和/或⽤
户组的⾝份规定对客体(如⽂件或系统
设备，⽬录表和存取控制表等)的访问
控制，覆盖范围是否包括与信息安全
直接相关的主体(如⽤户)和客体(如⽂
件，数据库表等)及它们之间的操作[如
读、写或执⾏)
询问数据库管理员，数据库系统是否由特定账
户进⾏配置访问控制策略，具体访问控制策略
是什么
由特定账户进⾏配置访问控制策略，并
根据⽤户⾓⾊限制账户权限
e)访问控制的粒度
应达到主体为⽤户级或进程级，客体为⽂件、数据库表级明确提出访问控制的粒度要求，重点
⽬录的访问控制的主体可能为某个⽤
户或某个进程，应能够控制⽤户或进
程对⽂件、数据库表等客体的访问
询问数据库管理员，访问控制的粒度主体是否
⽤户级或进程级，客体是否为⽂件、数据库表
级
由管理⽤户进⾏⽤户访问权限分配进⾏
设置，依据访问控制策略，对各类⽂件
和数据库表级进⾏访问
f)应对重要主体和客体设置
安全标记，并控制主体对有安全标记信息资源的访问应通过Oracle数据库或其它措施对重
要的信息资源设置敏感标记，从⽽实
现强制访问控制功能
1)检查是否安装Oracle Lable Security模块
2)查看是否创策略：SELECT
policy_name,status form DBA_SA_POLICIES
3)查看是否创建级别: SELECT * form
dba_sa_levels ORDER BY level_number
4)查看标签创建情况: select * from
dba_sa_labels.
5)询问重要数据存储表格名称
6)查看策略与模式|表的对应关系: select * from
dba_sa_tables policles, 判断是否针对重要信
息资源设置敏感标签
1)返回的⽤户⽤户中应存在'LBACSYS'
2)存在状态为"enable' 的标签策略
3) -4)返回结果不为空
5)重要资源所在的表格名称
6)返回结果应不为空，且项⽬包含5)的
结果
a)应启⽤安全审计
功能，审计覆盖到1)执⾏: selecet value form v$parameter where
1) audit_trail 结果应不为pone
安全审计计覆盖到
每个⽤
户，对重
要的⽤户
⾏为和重
要安全事
件进⾏审
计
应检查数据库系统是否开启安全审计
功能，查着当前审计范围是否覆盖到
每个⽤户
1)执⾏: selecet value form v$parameter where
name='audit_trail', 查看是否开启审计功能
2)⽤不同的⽤户登录数据库系统并进⾏不同的
操作，在Oracle数据库中查看⽇志记录是否满
⾜要求。
1) audit_trail 结果应不为pone
2)可在Oracle数据库中查看不同的⽤户
登录数据库系统并进⾏不同的操作⽇志
记录。
b)审计记
录应包括
事件的⽇
期和时
间，⽤
户、事件
类型，事
件是否成
功及其他
与审计相
关的信息
应检查数据库系统，查看审计策略是
否覆盖系统内重要的安全相关事件，
例如，⽤户登录系统、⾃主访问控制
的所有操作记录、重要⽤户⾏为(如增
加/删除⽤户，删除库表)等
1)show parameter audit_trail
>show parameter audit_sys_operations
3)select sel,upd,del,ins,gra from
dba_obj_audit _opts
4)select sel,upd,del,ins,gra from
dba_stmt_audit _opts
5)select sel,upd,del,ins,gra from
dba_priv_audit _opts
6)记录⼀条⽇志内容，确认其包括事件发⽣的⽇
期与时间、触发事件的主体与客体、事件的类
型、事件成功或失败、⾝份鉴别事件中请求的
来源(如末端标识符)、事件的结果等内容
1)应不为none
2)应为true
3)返回对象审计选项，应不全部为“-/-”
4)返回语句审计选项，应不全部为“-/-”
5)返回特权审计选项，应不全那为“-/-”
6)默认满⾜
c)应对审
计记录进
⾏保护，
定期备
份，避免
受到未预
期的删
除、修改
或覆盖等
应检查Oracle数据库系统，查看是否
对⽇志进⾏了权限设置，⾮授权⼈员
不能对⽇志进⾏操作，另外，应防⽌审
计⽇志空间不够⽽导致⽆法记录⽇志
的情况发⽣
是否严格限制⽤户访问审计记录的权限，如采
⽤audit vault 等
安全审计管理员定期对审计记录进⾏备
份，对审计记录的维护和导出由专⼈负
责
d)应对审
计进程进
⾏保护，
防⽌未经
授权的中
断
对于Oracle数据库系统默认符合，但
是如果采取了第三⽅⼯具，则应检查
数据库系统，查看未授权⽤户是否能
中断审计进程
1)询问是否严格限制管理员权限
2)⽤户可以通过alter system set
audit_trail=none并重启实例关闭审计功能，查
看是否成功
1)已限制管理员审计功能权限
2)测试其他⼈员⽆法对审计进程开启、
关闭操作，并记录
⼊侵防范a)应通过
设定终端
接⼊⽅式
或⽹络地
址范围对
通过⽹络
进⾏管理
的管理终
端进⾏限
制
Oracle数据库限制远程连接IP地址
查看在sqlnet. ora⽂件中是否配置参数:
tcp.validnode_checking ，tcp,invited_nodes
tcp.validnode_checking=yes
tcp.invited_nodes=() #运维访问的IP列表，各
IP之间⽤逗号分隔
在sqlnet. ora⽂件中
tcp.validnode_checking=yes
tcp.invited_nodes已配置参数ip列表
b) 应能发
现可能存
在的已知
漏洞，并
在经过充
分测试评
估后，及
时修补漏
洞
攻击者可能利⽤操作系统存在的安全
漏洞对系统进⾏攻击，应对系统进⾏
漏洞扫描，及时发现系统中存在的已
知漏洞，并在经过充分测试评估后更
新系统补丁，.避免遭受由系统漏洞带
的风险
访谈Oracle补丁升级机制，查看补丁安装情
况：
#cd $ORACLE HOME/0patch
opatch lsinventory
返回OPatch version信息和OUI version
信息
数据备份恢复a)应提供
重要数据
处理系统
的热冗
余，保证
系统的⾼
可⽤性
数据库系统⾄少达到以下的备份要求:
提供本地实时备份的功能，当数发⽣
错误时，能及时恢复数据
1)询间系统管理员数据库的备份和恢复策略是
什么，查看是否达到上述要求
2)检查相关⽂档和配置，查看是否与系统管理
员回答的⼀致
)核查备份结果与备份策略⼀致
2)核查近期恢复测试记录能够进⾏正常
的数据恢复
b)应提供
b)应提供异地实时
备份功能，利⽤通信⽹络将重要数据实时备份⾄备份场地应提供灾备中⼼，对重要的数据提供
异地数据级备份，保证当本地系统发
⽣灾难性后果不可恢复的，利⽤异地
保存的数据对系统数据能进⾏恢复
1）询问系统管理员是否提供异地数据备份功
能，是否定时批量传送⾄备⽤场地
2)如果条件允许，则查看其实现技术措施的配
置情况
1)已部署异地备份机房，并符合备份策
略通过⽹络定期进⾏异地备份
2)查看实现的配置结果与备份策略⼀致

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。