5-数据库安全测评(S3A3G3)-Oracle

数据库安全测评表（Oracle）（数据库版本： IP:）被访谈人员确认签字： 访谈人员签字： 访谈时间：层 符合面主机面主机身份鉴a)应对登录操作系统和数据库系统的安全别（S）用户进行身份标识和鉴别；程度1证措施实现；1主机 身份2

库系统管理用户身份鉴别信息应具有

1）系统和数据库管理系统的身份标识与鉴别机制采取何种措施实现；0.52）理系统，查看是否提供了身份鉴别措施；在绕过认证方式进行系统登录的方法；1）检查主要服务器操作系统和主要数据库管复杂度和更换周期进行的要求和限制；1

2）经检查，数据库管理系统中不存在空口令或默认口令的用户。1）以默认口令和常见口令登录数据库，查看是否成功，查看Oracle数据库系统中是否存在空口令或默认口令的用户。默认口令：sys/change_on_installsystem/manager；常用口令一般包括：oracle：oracle/admin/ora92sys：oracle/adminsystem：oracle/admin访谈系统中用户是否存在默认口令的情况limitfromdba_profileswhereprofileDEFAULTandresource_type=’PASSWORD’，查看是否启用口令复杂度函数。utlpwdmg.sql(密码策略的sql,linux/unix安 别（S）不易被冒用的特点全 口令应有复杂度求并定期更换；

口令破解工具等，对服务器操作系统进行用户口令强度检测，查看是否能够破解用户口令，破解口令后是否能够登录进入系统；

默认路径是$ORACLE_HOME/rdbms/admin/utlpwdmg.sql)中“--Checkfortheminimumlengthofthepasswor“length(password)<”后的值。3）查看口令管理制度以及执行记录，并选择验证。层 符合序号 控制点 要求项 权重 测评实施 测评结果面 程度limitfromdba_profileswhereprofile=’DEFAULT’andresource_name=’FAILED_LOGIN_ATTEMPTS’，主机 身份鉴3安 别全主机 身份鉴4安 别全主机 身份鉴

应启用登录失败录次数和自动退出等措施；当对服务器进行信息在网络传输过程中被窃听；据库的不同用户分

0.51

1系统，查看是否已配置了鉴别失败处理功能，并设置了非法登录次数的限制值；查看是否设置网络登录连接超时，并自动退出；1）访谈系统管理员和数据库管理员，询问对操作系统和数据库管理系统是否采用了远程管理，如采用了远程管理，查看是否采用了防止鉴别信息在网络传输过程中被窃听的措施；1

unlimitedDEFAULTandresource_name=’PASSWORD_LOCK_TIME’，查看unlimitedinitSID.oraREMOTE_OS_AUTHENT（TRUEFALSE），是否允许管理员对数据库进行远程管理。listener.oraLISTENER”-“DESCRIPTION”-“ADDRESS_LIST”-“ADDRESS”-“PROTOCOL”的赋值，是否启用了包括TCPS在内的加密协议。5安 别全主

保用户名具有唯一性；f）

0.5 系统帐户列表，查看管理员用户名分配是否唯一；1

1）查看配置文件sqlnet.ora，查看机 身份鉴种以上组合的鉴别6安 别（S）技术对管理用户进全 行身份鉴别。主 访问控a)应启用访问控制7机 制（S）功能依据安全策

10.5

系统，查看身份鉴别是否采用两个及两个以上身份鉴别技术的组合来进行身份鉴别；是否对重要文件的访问权限进行了限制，对系

SQLNET.AUTHENTICATION_SERVICES的值，确认数据库管理系统指定的鉴别方式是否与管理员回答的一致。2）询问数据库管理员，数据库系统的访问控制策略是什么。Oracle面安全控制点面安全控制点要求项控制用户对资源的访问；权重测评实施统不需要的服务、共享路径等进行了禁用或删除；测评结果程度致。Select*fromv$pwfile_users;列出所有具有SYSDBA和SYSOPER权限的数据库用户1）查看每个登录用户的角色和权限，是否是该用户所需的最小权限。查看所有权限：序号主机 访问控8安 制全

应根据管理用户

1）检查主要服务器操作系统和主要数据库管理系统的权限设置情况，查看是否依据安全策略对用户权限进行了限制；0.52系统，查看特权用户的权限是否进行分离，如可分为系统管理员、安全管理员、安全审计员等；查看是否采用最小授权原则；

Select*fromdba_users;Select*fromall_users;Select*fromuser_users;查看用户系统权限：Select*fromdba_sys_privs;Select*fromSelect*fromSelect*fromsession_privs;查看用户对象权限：Select*fromdba_tab_privs;Select*fromall_tab_privs;Select*fromuser_tab_privs;Select*fromdba_col_privs;Select*fromrole_tab_privs;查看所有角色：Select*fromdba_roles;查看用户所拥有的角色：Select*fromdba_role_privs;层 符合序号 控制点 要求项 权重 测评实施 测评结果面 程度Select*fromuser_role_privs;主机 访问控9安 制全主机 访问控10

和数据库系统特权用户的权限分离；应严格限制默认

10.5

1作系统管理员是否由不同管理员担任；1/

1）登录操作系统，查看是否能对数据库系统进行操作。1）以默认账户//Oracle户。默认账户/口令：sys/change_on_install安 制

并修改这些账户的

禁用或者严格限制是否删除了系统中多余的、 system/manager；全主机 访问控11安 制全主

默认口令；应及时删除多余

过期的以及共享的帐户；1）检查主要服务器操作系统和主要数据库管0.5 及共享的帐户；

常用账户/口令一般包括：oracle：oracle/admin/ora92sys：oracle/adminsystem：oracle/admin1）sqlplusselectusername,account_statusfromdba_usersscottoutl的账户。OracleLabelSecurityusername机 访问控f）应对重要信息12

11

fromdba_users，查看是否有包括所有OracleLabelSecurity安 制（S）源设置敏感标记；全

系统，查看是否对重要信息资源设置敏感标记；对象的LBACSYS用户，其缺省口令是LBACSYS。2）查看是否创建策略：selectpolicy_name,statusfrom控制点要求项权重控制点要求项权重测评实施测评结果面程度dba_sa_policies。查看是否创建级别：select*fromdba_sa_levelsorderlevel_num。查看标签创建情况：select*fromdba_sa_labels。5）询问重要数据存储表格名称。6）查看策略与模式、表的对应关系：select*fromdba_sa_tables_policies标签。序号主机 访问13

严格控制用户对有

1检查主要服务器操作系统和主要数据库管理1 系统，查看是否依据安全策略严格控制用户对

查看用户的标签：select*fromdba_sa_user_labels。安 制（S）敏感标记重要信息全 资源的操作。主到服务器和重要客

有敏感标记重要信息资源的操作；

选择特定的用户和表进行验证敏感标记功能是否正确。1）执行：selectvaluefromv$parameterwherename='audit_trail'或showparameteraudit_trail，查看是否开启审计功能，审计结果默认存放在哪里。审计跟踪结果如存放到OS文件，其默认位置为机 安全审14安 计全主安全审

户端上的每个操作系统用户和数据库用户；

1 是否符合安全审计策略的要求；

$ORACLE_BASE/admin/$ORACLE_SID/adump/，systemSYS.AUD$表中，可通过视图dba_audit_trail查看。2）用不同的用户登录数据库系统并进行不同的操作，在数据库中查看日志记录是否满足要求。showparameteraudit_sys_operations。15 机安

计（G）

资源的异常使用和

0.5 策略是否包括系统内重要用户行为、系统资源的异常和重要系统命令的使用等重要的安全相

selectsel,upd,del,ins,grafromdba_obj_audit_opts。（对象级别审计）层序号 控制点 要求面全 重要系统命令的用等系统内重要安全相关事件；

权重关事件；

符合测评实施 测评结果程度selectsel,upd,del,ins,grafromdba_stmt_audit_opts。（语句级别审计）selectsel,upd,del,ins,grafromdba_priv_audit_opts。（权限级别审计）1）主机 安全16

审计记录应包括

统和主要数据库管理系统，查看审计记录信息0.5 是否包括事件发生的日期与时间、触发事件的

select*fromsys.aud$;select*fromdba_audit_trail;安 计（G）类型主体标识客全 体标识和结果等；主应能够根据记录机 安全审 数据进行分析并安 计（G）成审计报表；全主应保护审计进程机 安全审 避免受到未预期安 计（G）中断；全主 应保护审计记录

10.5

主体与客体、事件的类型、事件成功或失败、事件的结果等内容；是否为授权用户提供浏览和分析审计记录的功能，是否可以根据需要自动生成不同格式的审计报表；统和主要数据库管理系统，可通过非审计员的其他帐户试图中断审计进程，验证审计进程是否受到保护；

SELECTsession_id,TIMESTAMP,db_user,os_user,userhost,sql_textFROMDba_Fga_Audit_Trail;1）OracleAuditVault工具并查看相关报表。与审计相关的操作。altersystemsetaudit_trail=none实例关闭审计功能，查看是否成功。1）询问系统管理员，是否严格限制用户访问审计记录的权限，机 安全19

避免受到未预期的

0.5

统和主要数据库管理系统，查看是否对审计记

如采用auditvault等。安 计（G）删除、修改或覆盖全 等。

录实施了保护措施，使其避免受到未预期的删除、修改或覆盖等；

或者：查看备份策略，是否定期备份审计数据。层序号 控制点 要求面重要服务器进行入主 侵的行为能够记

权重 测评实施施，入侵防范内容是否包括主机运行监视、特定进程监控、入侵行为检测和完整性检测等方

符合测评结果程度机 入侵20

入侵的源IP、攻击

0.5

面内容；安 范（G）的类型、攻击的目全 的攻击的时间在发生严重入侵事件时提供报警；b）应能够对重要程主序完整性进行检测，

IP（EMAIL）；1检查重要服务器是否提供对重要程序的完整机 入侵防21安 范全主机 入侵防22安 范全主恶意代机码防范安（G）全

复的措施；c)操作系统遵循最装需要的组件和应升级服务器等方式保持系统补丁及时得到更新。应安装防恶意代防恶意代码软件版本和恶意代码库；

10.51

性进行检测，并在检测到完整性受到破坏后具有恢复的措施的功能；1）组件和应用程序是否都是必须的；2）主要服务器操作系统补丁的升级；3系统的补丁是否得到了及时安装；取恶意代码实时检测与查杀措施，恶意代码实时检测与查杀措施的部署覆盖范围如何；层序号 控制点 要求项 权重 测评实面与查杀恶意代码的软件产品并进行及时更新；

符合测评结果程度恶意代b)恶意代b)产品应具有与网络码防范0.5防恶意代码产品不（G）同的恶意代码库；1机产品版本号和恶意代码库名称等，查看其是否安与主机防恶意代码产品有不同的恶意代码库；全恶意代c)应支持恶意代码恶意代c)应支持恶意代码码防范0.5（G）防范的统一管理。a）应保证操作系统和数据库管理系统用户的鉴别信息所剩余信在的存储空间，被释息保护放或再分配给其他0.5（S）用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；b）应确保系统内的剩余信文件、目录和数据库息保护记录等资源所在的0.2（S）存储空间，被释放或重新分配给其他用1）检查防恶意代码产品是否实现了统一管理；安全主 1检查主要操作系统和主要数据库管理系统维机 护操作手册，查看是否明确用户的鉴别信息存26安 储空间被释放或再分配给其他用户前的处理方全 法和过程；主 1检查主要操作系统和主要数据库管理系统维机 护操作手册，查看是否明确文件、目录和数据27安 库记录等资源所在的存储空间被释放或重新分全 配给其他用户前的处理方法和过程；层序号 控制点 要求面户前得到完全清除。

符合权重 测评实施 测评结果程度28主机 资源控29安 制全主机 资源控

设置登录终端的操作超时锁定；c）应对重要服务器

1）检查主要服务器操作系统，查看是否设定了主a)应通过设定终端机资源控主a)应通过设定终端机资源控安制（A）范围等条件限制终全端登录；1应检查访问主要服务器的终端是否都设置了0.5操作超时锁定的配置；CPU

1）sqlnet.oratcp.invited_nodes（dbTCP.EXCLUDED_NODES）和TCP.EXCLUDED_NODES（指定不允许访问oracle的节点，可以使用主机名或者IP地址）。2）如果没有在数据库系统上进行相关配置，则询问是否在防火墙或其他网络设备/安全设备上进行了相关的配置。1）查看空闲超时设置：selectlimitfromdba_profilesprofile=’DEFAULTandresource_name=’IDLE_TIME’。30安 制全主机 资源控

服务器的CPU、硬盘、0.5内存、网络等资源的使用情况；d)应限制单个用户

1）执行命令：selectusername,profilefromdba_users，确定用户使用的profile，针对指定用户的profile，查看其限制31安 制全

对系统资源的最大或最小使用限度；

0.2

单个用户对系统资源的最大或最小使用限度；

（以default为例）。limitfromdba_profileswhereandresource_name=’SESSIONS_PER_USER’，序号层面控制点要求项权重测评实施序号层面控制点要求项权重测评实施测评结果符合程度selectlimitfromdba_profileswhereprofile=’DEFAULT’andresource_name=’IDLE_TIME’。320.2 警；主e）应能够对系统的机资源控服务水平降低到预安制（A）先规定的最小值进全行检测和报警。select*fromsys.dba_usersselect*fromselect*fromdba_ts_quotasSelect*fromuser_history$Select*fromall_usersSelect*fromuser_u