数据库安全规范
1概述
1.1适用范围
本规范明确了Oracle数据库安全配置方面的基本要求。
1.2符号和缩略语
2 ORACLE安全配置要求
本规范所指的设备为ORACLE数据库。
本规范提出的安全配置要求，在未特别说明的情况下，均适用于ORACLE数据库。
本规范从ORACLE数据库的认证授权功能和其它自身安全配置功能提出安全要求。
2.1账号
ORACLE应提供账号管理及认证授权功能，并应满足以下各项要求。
2.1.1按用户分配帐号
2.1.2删除或锁定无关帐号
2.1.3用户权限最小化
要求内容
在数据库权限配置能力内，根据用户的业务需要，配置其所需的最小权
限。
grant 权限
to user name; revoke 权限 from user name;
2、补充操作说明
用第一条命令给用户赋相应的最小权限
用第二条命令收回用户多余的权限
业务测试正常
4、检测操作
业务测试正常
5、补充说明
2.1.4使用ROLE 管理对象的权限
1. 使用Create Role 命令创建角色。
2.使用用Grant 命令将相应的系统、对象或 Role 的权限赋予应用用户。
2、补充操作说明
对应用用户不要赋予 DBA Role 或不必要的权限。
4、检测操作 1.以DBA 用户登陆到 sqlplus 中。
2.通过查询 dba_role_privs 、dba_sys_privs 和 dba_tab_privs 等视图来检查 是否使用ROLE 来管理对象权限。
5、补充说明
操作指南
1、参考配置操作
检测方法
3、判定条件
要求内容
使用数据库角色（ROLE ）来管理对象的权限。
操作指南
1、参考配置操作
检测方法 3、判定条件
2.1.5控制用户属性
可通过下面类似命令来创建 Profile ，并把它赋予一个用户
CREATE P ROFILE <p rofile_name>
LIMIT FAILED_LOGIN_ATTE MPTS 6
PASSWORD REUSE TIME 60
P ASSWORD_REUSE_MAX 5
P ASSWORD_VERIFY_FUNCTIONvenfy_fu nction
P ASSWORD_LOCK_TIME 1/24;
ALTER USER
<user_name> P ROFILE <p rofile_ name 〉; 2、补充操作说明
4、检测操作
2.查询视图dba_profiles 和dba_usres 来检查profile 是否创建。
5、补充说明
2.2 口令
2.2.1静态口令认证的密码复杂度控制
要求内容
对用户的属性进行控制，包括密码策略、资源限制等。
操作指南
1、参考配置操作
检测方法 3、判定条件
1.可通过设置Profile 期和账户的锁定方式
来限制数据库账户口令的复杂程度， 口令生存周 2.可通过设置Profile
来限制数据库账户的 CPU 资源占用。
1.以DBA 用户登陆到
sqlplus 中。
2.2.2静态口令认证的密码重复使用限制
2.2.3更改数据库默认帐号的密码
ALTER USER XXX IDENTIFIED BY XXX;
2.下面是默认用户列表: ANONYMOUS
CTXSYS
DBSNMP
DIP
DMSYS
EXFSYS
HR
LBACSYS
MDDA TA
MDSYS
MGMT_VIEW
ODM
ODM MTR
OE
OLAPSYS
ORD PLUGINS
ORDSYS
OUTLN
PM
QS
QS ADM
QS CB
QS CBADM
QS CS
QS ES
QS OS
QS WS
RMAN
SCOTT
SH
SI_INFORMTN_SCHEMA
SYS
SYSMAN
SYSTEM
TSMSYS
WK_TEST
WKPROXY
WKSYS
WMSYS
XDB
2、补充操作说明
、判定条件
检测方法3
不能以用户名作为密码或使用默认密码的账户登陆到数据库。
4、检测操作
1.以DBA用户登陆到sqlplus中。
2.检查数据库默认账户是否使用了用户名作为密码或默认密码。
5、补充说明
2.2.4操作系统级的帐户安全策略
要求内容
Oracle软件账户的访冋控制可遵循操作系统账户的安全策略，比如不要共享账
户、密码需要有一定的复杂度、禁止teInet登录、禁止使用口令登录方式等。
操作指南1参考配置操作
使用操作系统一级的账户安全管理来保护Oracle软件账户。
2、补充操作说明
检测方法3、判定条件
禁止teInet登录、禁止使用口令登录方式。
4、检测操作tel net <IP> 失败;
以oracle用户ssh系统，不能采用口令方式登录。
5、补充说明
2.3数据库版本与补丁 2.
3.1数据库版本升级与打补丁
2.4其他 2.4.1 Listener设定密码保护
使用IsnrctI start 或IsnrctI stop
命令起停listener 需要密码
4、检测操作 检查 $ORACLE_HOME/network/admin/listener.ora
文件中是否设置参数
PASSWORDS LISTENER 。
5、补充说明
RAC 数据库不执行该策略 2.4.2设定信任IP 集 要求内容
设置只有信任的IP 地址才能通过监听器访问数据库。
操作指南 1参考配置操作
只需在服务器上的文件 $ORACLE_HOME/network/admi n/sql net.ora 中设
置以下行：
tcp. valid no de_check ing = yes
tcp .i nvited_ no des = (ip 1,i p2 …) 推荐采用软件防火墙实现访问控制，如
ip tables
$ IsnrctI
LSNRCTL> cha nge_p assword
Old p assword: <Old Password 〉Not dis played
New p assword: <New Password 〉Not dis played
Reen ter new p assword: <New Password 〉Not dis played Conn ect ing
to
(DESCR IP TION=(ADDRESS=( PROTOCOL=TC P)(HOST=proli n1)( PORT= 1521)( IP=FIRST)))
P assword changed for LISTENER
The comma nd compi eted successfully
LSNRCTL> save_co nfig
2、补充操作说明 检测方法
3、判定条件
在非信任的客户端以数据库账户登陆被提示拒绝。
4、检测操作
检查 $ORACLE_HOME/network/admin/sqlnet.ora 文件 中是否设 置参数 tcp. valid no de_check ing 禾 R tcp .i nvited_ no des 。
软件防火墙需检查配置。
如：
ip tables -ist
6、补充说明 HA , RAC 或者链接数量超过 500不执行该策略
2.4.3限制DBA 组中的操作系统用户数量 要求内容 限制在DBA 组中的操作系统用户数量，通常 用
户。
DBA 组中只有Oracle 安装 操作指南 1参考配置操作
通过/etc/passwd 文件来检查是否有其它用户在 2、补充操作说明 DBA 组中。
检测方法 3、 判定条件
无其它用户属于DBA 组。
4、 检测操作
通过/etc/passwd 文件来检查是否有其它用户在 5、 补充说明
DBA 组中。
2.4.4前端数据库分离
要求内容 通过在核心交换机划分 VLAN,实现前端服务器和数据库服务器之间分
离，配置VLAN 间访问控制。
并且隔离数据库服务器只能访问内部资源
，
操作指南
1参考配置操作
2、补充操作说明
检测方法
3、判定条件。