数据库安全测评指导书

1、数据库安全测评指导书MySQL安全测评序号测评指标测评项检查方法预期结果1身份鉴别a)检查服务器的身份标识与鉴别和用户登录的配置情况。访谈: 1)访谈数据库管理员，询问数据库系统的身份标识和鉴别机制采用何种措施实现； 2)登录数据库系统，查看是否提示输入用户口令，然后以正确口令登录系统，再以错误口令或空口令重新登录，观察是否成功。1)数据库系统使用口令鉴别机制对用户进行身份标识和鉴别； 2)登录时提示输入用户名和口令；以错误口令或空口令登录时提示登录失败，验证了登录控制功能的有效性； 3)数据库系统不存在密码为空的用户。b)检查服务器的身份标识与鉴别和用户登录的配置情况。访谈： 1）访谈数据库

2、管理员，询问数据库系统采取何种措施防止身份鉴别信息被冒用（如复杂性混有大小写字母、数字和特殊字符，口令周期等）；在安装时是否已经修改root高权限用户的默认口令。并且在企业管理器中查看是否存在空口令用户； 2）询问数据库管理员，MySQL数据库的口令管理要求(口令的长度、口令复杂性，口令更新周期)。1)数据库的用户口令由大小写字母、数字和特殊字符组成； 2)以不符合复杂度要求和不符合长度要求的口令创建用户时均提示失败。c)检查服务器的身份标识与鉴别和用户登录的配置情况。访谈： 访谈数据库管理员，是否配置了鉴别失败处理功能，并设置了非法登录次数的限制值，对超过限制值的登录终止其鉴别会话或临时封闭

3、帐号。 手工检查： 1）查看/etc/f（Windows下为my.ini），在mysqld后面是否已设置wait_timeout配置项； 2）查看MySQL数据库运行平台的用户是否已设置登录失败处理策略； 3）查看MySQL数据库内置的为应用提供服务的用户是否设置主机IP绑定。1)数据库系统已启用登陆失败处理、结束会话、限制非法登录次数等措施； 2)当超过系统规定的非法登陆次数或时间时，系统锁定或自动断开连接。d)检查服务器的身份标识与鉴别和用户登录的配置情况。访谈: 1)访谈数据库管理员，是否采用了技术手段保证远程管理数据进行加密传输，或者采取第三方措施保证远程管理数据加密传输； 2）访谈数

4、据库管理员，安装数据库是否配置SSH远程加密连接。 手工检查： 1)采用抓包工具，判断远程管理数据包是否是明文； 2）查询f文件中是否配置SSL证书加密传输； 3）查询user表中是否有ssl_type字段。1)数据库系统配置SSL证书进行远程连接； 2)数据库系统没有采用明文的传输协议进行远程管理； 3)采用第三方管理工具保证远程管理的信息保密。e)检查服务器的身份标识与鉴别和用户登录的配置情况。访谈： 1)访谈数据库管理员，是否为数据库各个实例分配不同用户； 2）访谈数据库管理员，是否存在多个帐户共用同一个实例情况，是否存在多人共用一个帐号。1)帐户与实例基于IP绑定； 2)数据库系统不存

5、在多人共用一个实例的情况； 3)数据库确保用户名具有唯一性。f)检查服务器的身份标识与鉴别和用户登录的配置情况。访谈: 访谈数据库管理员，数据库系统是否采用了两个及两个以上身份鉴别技术的组合来进行身份鉴别（如采用用户名/口令、挑战应答、动态口令、物理设备、生物识别技术中的任意两个组合）。 手工检查： 通过注册用户，并以一种身份鉴别技术登录，验证是否可以登录。用户的认证方式选择两种或两种以上组合的鉴别技术，只用一种技术无法认证成功。2访问控制a)检查服务器的访问控制设置情况，包括安全策略覆盖、控制粒度以及权限设置情况等。访谈： 访谈数据库管理员，询问数据库系统是否明确主体（如用户）以用户和/或用

6、户组的身份规定对客体（如文件或系统设备,目录表和存取控制表访问控制等）的访问控制，覆盖范围是否包括与信息安全直接相关的主体（如用户）和客体（如文件，数据库表等）及它们之间的操作（如读、写或执行）。 手工检查: 查看数据库是否为角色限定了权限，权限的覆盖范围是否包括与信息安全直接相关的主体(如用户)和客体(如文件，数据库表等)及它们之间的操作(如读、写或执行)。数据库系统的重要文件及目录已根据用户级设置访问控制策略。b)检查服务器的访问控制设置情况，包括安全策略覆盖、控制粒度以及权限设置情况等。访谈： 询问并查看除数据库管理员root外，是否还有其他的特权用户，是否将系统管理、安全管理和业务数据

7、管理分配给不同的管理员。 手工检查： 查看user表中帐户信息。数据库管理员、安全管理员、安全审计员由不同的人员和用户担当。至少应该有数据库管理员和安全管理员，安全审计员在有第三方审计工具时可以不要求。c)检查服务器的访问控制设置情况，包括安全策略覆盖、控制粒度以及权限设置情况等。访谈： 访谈数据库管理员，数据库的特权用户分配情况，查看在系统管理员、安全管理员、安全审计员之间是否设置了相互制约关系（如系统管理员、安全管理员等不能对审计日志，安全审计员管理不了审计数据的开启、关闭、删除等重要事件的审计日志等）。数据库系统除具有管理员账户外，至少还有专门的审计管理员账户，且他们的权限互斥。d)检查

8、服务器的访问控制设置情况，包括安全策略覆盖、控制粒度以及权限设置情况等。访谈： 1）询问数据库系统管理员，是否加强了默认帐户root口令强度，并让管理员登陆数据库系统进行口令验证； 2）查看默认帐户root的权限，是否严格限制高权限的分配； 3）查看是否有临时账户，是否严格限制临时账户的权限。已严格限制默认帐户访问权限，临时账户已禁用。e)检查服务器的访问控制设置情况，包括安全策略覆盖、控制粒度以及权限设置情况等。访谈： 询问user表中是否存在多余,过期账户。 手工检查： 应检查主要数据库系统，查看是否有多余的、过期的账户，避免共享账户，并且进行记录没有被禁用的系统默认用户名。不存在多余、过

9、期和共享账户。f)检查服务器的访问控制设置情况，包括安全策略覆盖、控制粒度以及权限设置情况等。手工检查： 1)查看数据库系统功能手册或相关文档，确认数据库系统是否具备能对信息资源设置敏感标记功能； 2)询问数据库管理员是否对重要信息资源设置敏感标记。对重要信息资源已设置敏感标记。g)检查服务器的访问控制设置情况，包括安全策略覆盖、控制粒度以及权限设置情况等。访谈： 访谈数据库管理员，目前数据库系统敏感标记策略的相关设置，如：如何划分敏感标记分类，如何设定访问权限等。通过敏感标记设定用户对重要信息资源的访问。3安全审计a)检查服务器的安全审计的配置情况，如覆盖范围、记录的项目和内容等；检查安全审

10、计进程和记录的保护情况。访谈： 1）访谈数据库管理员，询问数据库系统是否具备安全审计功能，是否部署了第三方数据库审计设备； 2）Mysql自身没有提供审计功能，访谈数据库管理员是否设置init-connect+ binlog的方法进行mysql的操作审计，是否设置慢log功能。数据库系统配置安全审计功能或部署了第三方数据库安全审计设备。b)检查服务器的安全审计的配置情况，如覆盖范围、记录的项目和内容等；检查安全审计进程和记录的保护情况。访谈： 访谈安全审计员，审计策略是否覆盖系统内重要的安全相关事件，例如，用户标识与鉴别、自主访问控制的所有操作记录、重要用户行为（如用超级用户命令改变用户身份，

11、删除库表）、系统资源的异常使用、重要系统命令的使用（如删除客体）等。 手工检查： 在MySQL数据库中的日志记录，是否包括重要用户行为(如登录系统、增加/删除用户等)、系统资源异常和重要系统命令的使用的日志记录。例如：log、log-error、log-update、log-bin、-log-slow-queries。审计内容开启包括用户的添加和删除、审计功能的启动和关闭、审计策略的调整、权限变更、系统资源的异常使用、重要的系统操作（如用户登录、退出）等设置。c)检查服务器的安全审计的配置情况，如覆盖范围、记录的项目和内容等；检查安全审计进程和记录的保护情况。访谈： 访谈安全审计员，是否采取第

12、三方工具或其他方式增强MySQL的日志功能。在数据库MySQL日志中，查看日志记录，是否包括日期和时间、类型、主体标识(如用户名等)、客体标识(如数据库表、字段或记录等)、事件的结果等。审计记录包括事件的日期、时间、类型、主体标识、客体标识和结果等内容。d)检查服务器的安全审计的配置情况，如覆盖范围、记录的项目和内容等；检查安全审计进程和记录的保护情况。手工检查： 1)检查MySQL日志文件，确认是否记录了必要的审计要素； 2)若有第三方审计工具或系统，则查看其审计日志是否包括必要的审计要素； 3)检查审计日志记录、分析、生成报表情况。能定期生成审计报表并包含必要审计要素。e)检查服务器的安全

13、审计的配置情况，如覆盖范围、记录的项目和内容等；检查安全审计进程和记录的保护情况。访谈： 访谈安全审计员，审计进程监控和保护采取的措施。对审计进程已采取相关保护措施。f)检查服务器的安全审计的配置情况，如覆盖范围、记录的项目和内容等；检查安全审计进程和记录的保护情况。访谈： 访谈安全审计员，是否采取专用日志服务器等措施，对审计记录进行存储、 备份和保护。 手工检查： 以普通用户试图产生一些重要的安全相关事件（如鉴别失败等），测试安全审计的覆盖情况和记录情况与要求是否一致。通过专用日志服务器或存储设备对审计记录进行备份，并避免对审计记录的修改、删除或覆盖。4资源控制a)检查服务器对单个用户的登录

14、方式、网络地址范围、会话数量等的限制情况。访谈： 访谈数据库管理员，是否有根据终端接入方式、网络地址范围等条件限制终端登录，如果有，是如何实现的。 手工检查： 1）任选一个用户帐户，登录数据库，用不同的终端接入方式、网络地址试图登录数据库，验证数据库系统是否通过终端接入方式、网络地址范围等条件限制终端登录； 2）查看f是否设置限制单用户的连接数。已设定终端登录安全策略及措施，非授权终端无法登录管理。b)检查服务器对单个用户的登录方式、网络地址范围、会话数量等的限制情况。访谈： 访谈数据库管理员，是否设置登录连接超时，并自动退出；查看是否设置鉴别警示信息。 手工检查： 1）查看在数据库上能否进行相应的配置,或者在防火墙等设备上进行相应的配置； 2）运行show VARIABLES like %