數(shù)據(jù)庫安全測評指導(dǎo)書

1、數(shù)據(jù)庫安全測評指導(dǎo)書MySQL安全測評序號測評指標(biāo)測評項(xiàng)檢查方法預(yù)期結(jié)果1身份鑒別a)檢查服務(wù)器的身份標(biāo)識與鑒別和用戶登錄的配置情況。訪談: 1)訪談數(shù)據(jù)庫管理員，詢問數(shù)據(jù)庫系統(tǒng)的身份標(biāo)識和鑒別機(jī)制采用何種措施實(shí)現(xiàn)； 2)登錄數(shù)據(jù)庫系統(tǒng)，查看是否提示輸入用戶口令，然后以正確口令登錄系統(tǒng)，再以錯(cuò)誤口令或空口令重新登錄，觀察是否成功。1)數(shù)據(jù)庫系統(tǒng)使用口令鑒別機(jī)制對用戶進(jìn)行身份標(biāo)識和鑒別； 2)登錄時(shí)提示輸入用戶名和口令；以錯(cuò)誤口令或空口令登錄時(shí)提示登錄失敗，驗(yàn)證了登錄控制功能的有效性； 3)數(shù)據(jù)庫系統(tǒng)不存在密碼為空的用戶。b)檢查服務(wù)器的身份標(biāo)識與鑒別和用戶登錄的配置情況。訪談： 1）訪談數(shù)據(jù)庫

2、管理員，詢問數(shù)據(jù)庫系統(tǒng)采取何種措施防止身份鑒別信息被冒用（如復(fù)雜性混有大小寫字母、數(shù)字和特殊字符，口令周期等）；在安裝時(shí)是否已經(jīng)修改root高權(quán)限用戶的默認(rèn)口令。并且在企業(yè)管理器中查看是否存在空口令用戶； 2）詢問數(shù)據(jù)庫管理員，MySQL數(shù)據(jù)庫的口令管理要求(口令的長度、口令復(fù)雜性，口令更新周期)。1)數(shù)據(jù)庫的用戶口令由大小寫字母、數(shù)字和特殊字符組成； 2)以不符合復(fù)雜度要求和不符合長度要求的口令創(chuàng)建用戶時(shí)均提示失敗。c)檢查服務(wù)器的身份標(biāo)識與鑒別和用戶登錄的配置情況。訪談： 訪談數(shù)據(jù)庫管理員，是否配置了鑒別失敗處理功能，并設(shè)置了非法登錄次數(shù)的限制值，對超過限制值的登錄終止其鑒別會(huì)話或臨時(shí)封閉

3、帳號。 手工檢查： 1）查看/etc/f（Windows下為my.ini），在mysqld后面是否已設(shè)置wait_timeout配置項(xiàng)； 2）查看MySQL數(shù)據(jù)庫運(yùn)行平臺的用戶是否已設(shè)置登錄失敗處理策略； 3）查看MySQL數(shù)據(jù)庫內(nèi)置的為應(yīng)用提供服務(wù)的用戶是否設(shè)置主機(jī)IP綁定。1)數(shù)據(jù)庫系統(tǒng)已啟用登陸失敗處理、結(jié)束會(huì)話、限制非法登錄次數(shù)等措施； 2)當(dāng)超過系統(tǒng)規(guī)定的非法登陸次數(shù)或時(shí)間時(shí)，系統(tǒng)鎖定或自動(dòng)斷開連接。d)檢查服務(wù)器的身份標(biāo)識與鑒別和用戶登錄的配置情況。訪談: 1)訪談數(shù)據(jù)庫管理員，是否采用了技術(shù)手段保證遠(yuǎn)程管理數(shù)據(jù)進(jìn)行加密傳輸，或者采取第三方措施保證遠(yuǎn)程管理數(shù)據(jù)加密傳輸； 2）訪談數(shù)

4、據(jù)庫管理員，安裝數(shù)據(jù)庫是否配置SSH遠(yuǎn)程加密連接。 手工檢查： 1)采用抓包工具，判斷遠(yuǎn)程管理數(shù)據(jù)包是否是明文； 2）查詢f文件中是否配置SSL證書加密傳輸； 3）查詢user表中是否有ssl_type字段。1)數(shù)據(jù)庫系統(tǒng)配置SSL證書進(jìn)行遠(yuǎn)程連接； 2)數(shù)據(jù)庫系統(tǒng)沒有采用明文的傳輸協(xié)議進(jìn)行遠(yuǎn)程管理； 3)采用第三方管理工具保證遠(yuǎn)程管理的信息保密。e)檢查服務(wù)器的身份標(biāo)識與鑒別和用戶登錄的配置情況。訪談： 1)訪談數(shù)據(jù)庫管理員，是否為數(shù)據(jù)庫各個(gè)實(shí)例分配不同用戶； 2）訪談數(shù)據(jù)庫管理員，是否存在多個(gè)帳戶共用同一個(gè)實(shí)例情況，是否存在多人共用一個(gè)帳號。1)帳戶與實(shí)例基于IP綁定； 2)數(shù)據(jù)庫系統(tǒng)不存

5、在多人共用一個(gè)實(shí)例的情況； 3)數(shù)據(jù)庫確保用戶名具有唯一性。f)檢查服務(wù)器的身份標(biāo)識與鑒別和用戶登錄的配置情況。訪談: 訪談數(shù)據(jù)庫管理員，數(shù)據(jù)庫系統(tǒng)是否采用了兩個(gè)及兩個(gè)以上身份鑒別技術(shù)的組合來進(jìn)行身份鑒別（如采用用戶名/口令、挑戰(zhàn)應(yīng)答、動(dòng)態(tài)口令、物理設(shè)備、生物識別技術(shù)中的任意兩個(gè)組合）。 手工檢查： 通過注冊用戶，并以一種身份鑒別技術(shù)登錄，驗(yàn)證是否可以登錄。用戶的認(rèn)證方式選擇兩種或兩種以上組合的鑒別技術(shù)，只用一種技術(shù)無法認(rèn)證成功。2訪問控制a)檢查服務(wù)器的訪問控制設(shè)置情況，包括安全策略覆蓋、控制粒度以及權(quán)限設(shè)置情況等。訪談： 訪談數(shù)據(jù)庫管理員，詢問數(shù)據(jù)庫系統(tǒng)是否明確主體（如用戶）以用戶和/或用

6、戶組的身份規(guī)定對客體（如文件或系統(tǒng)設(shè)備,目錄表和存取控制表訪問控制等）的訪問控制，覆蓋范圍是否包括與信息安全直接相關(guān)的主體（如用戶）和客體（如文件，數(shù)據(jù)庫表等）及它們之間的操作（如讀、寫或執(zhí)行）。 手工檢查: 查看數(shù)據(jù)庫是否為角色限定了權(quán)限，權(quán)限的覆蓋范圍是否包括與信息安全直接相關(guān)的主體(如用戶)和客體(如文件，數(shù)據(jù)庫表等)及它們之間的操作(如讀、寫或執(zhí)行)。數(shù)據(jù)庫系統(tǒng)的重要文件及目錄已根據(jù)用戶級設(shè)置訪問控制策略。b)檢查服務(wù)器的訪問控制設(shè)置情況，包括安全策略覆蓋、控制粒度以及權(quán)限設(shè)置情況等。訪談： 詢問并查看除數(shù)據(jù)庫管理員root外，是否還有其他的特權(quán)用戶，是否將系統(tǒng)管理、安全管理和業(yè)務(wù)數(shù)據(jù)

7、管理分配給不同的管理員。 手工檢查： 查看user表中帳戶信息。數(shù)據(jù)庫管理員、安全管理員、安全審計(jì)員由不同的人員和用戶擔(dān)當(dāng)。至少應(yīng)該有數(shù)據(jù)庫管理員和安全管理員，安全審計(jì)員在有第三方審計(jì)工具時(shí)可以不要求。c)檢查服務(wù)器的訪問控制設(shè)置情況，包括安全策略覆蓋、控制粒度以及權(quán)限設(shè)置情況等。訪談： 訪談數(shù)據(jù)庫管理員，數(shù)據(jù)庫的特權(quán)用戶分配情況，查看在系統(tǒng)管理員、安全管理員、安全審計(jì)員之間是否設(shè)置了相互制約關(guān)系（如系統(tǒng)管理員、安全管理員等不能對審計(jì)日志，安全審計(jì)員管理不了審計(jì)數(shù)據(jù)的開啟、關(guān)閉、刪除等重要事件的審計(jì)日志等）。數(shù)據(jù)庫系統(tǒng)除具有管理員賬戶外，至少還有專門的審計(jì)管理員賬戶，且他們的權(quán)限互斥。d)檢查

8、服務(wù)器的訪問控制設(shè)置情況，包括安全策略覆蓋、控制粒度以及權(quán)限設(shè)置情況等。訪談： 1）詢問數(shù)據(jù)庫系統(tǒng)管理員，是否加強(qiáng)了默認(rèn)帳戶root口令強(qiáng)度，并讓管理員登陸數(shù)據(jù)庫系統(tǒng)進(jìn)行口令驗(yàn)證； 2）查看默認(rèn)帳戶root的權(quán)限，是否嚴(yán)格限制高權(quán)限的分配； 3）查看是否有臨時(shí)賬戶，是否嚴(yán)格限制臨時(shí)賬戶的權(quán)限。已嚴(yán)格限制默認(rèn)帳戶訪問權(quán)限，臨時(shí)賬戶已禁用。e)檢查服務(wù)器的訪問控制設(shè)置情況，包括安全策略覆蓋、控制粒度以及權(quán)限設(shè)置情況等。訪談： 詢問user表中是否存在多余,過期賬戶。 手工檢查： 應(yīng)檢查主要數(shù)據(jù)庫系統(tǒng)，查看是否有多余的、過期的賬戶，避免共享賬戶，并且進(jìn)行記錄沒有被禁用的系統(tǒng)默認(rèn)用戶名。不存在多余、過

9、期和共享賬戶。f)檢查服務(wù)器的訪問控制設(shè)置情況，包括安全策略覆蓋、控制粒度以及權(quán)限設(shè)置情況等。手工檢查： 1)查看數(shù)據(jù)庫系統(tǒng)功能手冊或相關(guān)文檔，確認(rèn)數(shù)據(jù)庫系統(tǒng)是否具備能對信息資源設(shè)置敏感標(biāo)記功能； 2)詢問數(shù)據(jù)庫管理員是否對重要信息資源設(shè)置敏感標(biāo)記。對重要信息資源已設(shè)置敏感標(biāo)記。g)檢查服務(wù)器的訪問控制設(shè)置情況，包括安全策略覆蓋、控制粒度以及權(quán)限設(shè)置情況等。訪談： 訪談數(shù)據(jù)庫管理員，目前數(shù)據(jù)庫系統(tǒng)敏感標(biāo)記策略的相關(guān)設(shè)置，如：如何劃分敏感標(biāo)記分類，如何設(shè)定訪問權(quán)限等。通過敏感標(biāo)記設(shè)定用戶對重要信息資源的訪問。3安全審計(jì)a)檢查服務(wù)器的安全審計(jì)的配置情況，如覆蓋范圍、記錄的項(xiàng)目和內(nèi)容等；檢查安全審

10、計(jì)進(jìn)程和記錄的保護(hù)情況。訪談： 1）訪談數(shù)據(jù)庫管理員，詢問數(shù)據(jù)庫系統(tǒng)是否具備安全審計(jì)功能，是否部署了第三方數(shù)據(jù)庫審計(jì)設(shè)備； 2）Mysql自身沒有提供審計(jì)功能，訪談數(shù)據(jù)庫管理員是否設(shè)置init-connect+ binlog的方法進(jìn)行mysql的操作審計(jì)，是否設(shè)置慢log功能。數(shù)據(jù)庫系統(tǒng)配置安全審計(jì)功能或部署了第三方數(shù)據(jù)庫安全審計(jì)設(shè)備。b)檢查服務(wù)器的安全審計(jì)的配置情況，如覆蓋范圍、記錄的項(xiàng)目和內(nèi)容等；檢查安全審計(jì)進(jìn)程和記錄的保護(hù)情況。訪談： 訪談安全審計(jì)員，審計(jì)策略是否覆蓋系統(tǒng)內(nèi)重要的安全相關(guān)事件，例如，用戶標(biāo)識與鑒別、自主訪問控制的所有操作記錄、重要用戶行為（如用超級用戶命令改變用戶身份，

11、刪除庫表）、系統(tǒng)資源的異常使用、重要系統(tǒng)命令的使用（如刪除客體）等。 手工檢查： 在MySQL數(shù)據(jù)庫中的日志記錄，是否包括重要用戶行為(如登錄系統(tǒng)、增加/刪除用戶等)、系統(tǒng)資源異常和重要系統(tǒng)命令的使用的日志記錄。例如：log、log-error、log-update、log-bin、-log-slow-queries。審計(jì)內(nèi)容開啟包括用戶的添加和刪除、審計(jì)功能的啟動(dòng)和關(guān)閉、審計(jì)策略的調(diào)整、權(quán)限變更、系統(tǒng)資源的異常使用、重要的系統(tǒng)操作（如用戶登錄、退出）等設(shè)置。c)檢查服務(wù)器的安全審計(jì)的配置情況，如覆蓋范圍、記錄的項(xiàng)目和內(nèi)容等；檢查安全審計(jì)進(jìn)程和記錄的保護(hù)情況。訪談： 訪談安全審計(jì)員，是否采取第

12、三方工具或其他方式增強(qiáng)MySQL的日志功能。在數(shù)據(jù)庫MySQL日志中，查看日志記錄，是否包括日期和時(shí)間、類型、主體標(biāo)識(如用戶名等)、客體標(biāo)識(如數(shù)據(jù)庫表、字段或記錄等)、事件的結(jié)果等。審計(jì)記錄包括事件的日期、時(shí)間、類型、主體標(biāo)識、客體標(biāo)識和結(jié)果等內(nèi)容。d)檢查服務(wù)器的安全審計(jì)的配置情況，如覆蓋范圍、記錄的項(xiàng)目和內(nèi)容等；檢查安全審計(jì)進(jìn)程和記錄的保護(hù)情況。手工檢查： 1)檢查MySQL日志文件，確認(rèn)是否記錄了必要的審計(jì)要素； 2)若有第三方審計(jì)工具或系統(tǒng)，則查看其審計(jì)日志是否包括必要的審計(jì)要素； 3)檢查審計(jì)日志記錄、分析、生成報(bào)表情況。能定期生成審計(jì)報(bào)表并包含必要審計(jì)要素。e)檢查服務(wù)器的安全

13、審計(jì)的配置情況，如覆蓋范圍、記錄的項(xiàng)目和內(nèi)容等；檢查安全審計(jì)進(jìn)程和記錄的保護(hù)情況。訪談： 訪談安全審計(jì)員，審計(jì)進(jìn)程監(jiān)控和保護(hù)采取的措施。對審計(jì)進(jìn)程已采取相關(guān)保護(hù)措施。f)檢查服務(wù)器的安全審計(jì)的配置情況，如覆蓋范圍、記錄的項(xiàng)目和內(nèi)容等；檢查安全審計(jì)進(jìn)程和記錄的保護(hù)情況。訪談： 訪談安全審計(jì)員，是否采取專用日志服務(wù)器等措施，對審計(jì)記錄進(jìn)行存儲、 備份和保護(hù)。 手工檢查： 以普通用戶試圖產(chǎn)生一些重要的安全相關(guān)事件（如鑒別失敗等），測試安全審計(jì)的覆蓋情況和記錄情況與要求是否一致。通過專用日志服務(wù)器或存儲設(shè)備對審計(jì)記錄進(jìn)行備份，并避免對審計(jì)記錄的修改、刪除或覆蓋。4資源控制a)檢查服務(wù)器對單個(gè)用戶的登錄

14、方式、網(wǎng)絡(luò)地址范圍、會(huì)話數(shù)量等的限制情況。訪談： 訪談數(shù)據(jù)庫管理員，是否有根據(jù)終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄，如果有，是如何實(shí)現(xiàn)的。 手工檢查： 1）任選一個(gè)用戶帳戶，登錄數(shù)據(jù)庫，用不同的終端接入方式、網(wǎng)絡(luò)地址試圖登錄數(shù)據(jù)庫，驗(yàn)證數(shù)據(jù)庫系統(tǒng)是否通過終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄； 2）查看f是否設(shè)置限制單用戶的連接數(shù)。已設(shè)定終端登錄安全策略及措施，非授權(quán)終端無法登錄管理。b)檢查服務(wù)器對單個(gè)用戶的登錄方式、網(wǎng)絡(luò)地址范圍、會(huì)話數(shù)量等的限制情況。訪談： 訪談數(shù)據(jù)庫管理員，是否設(shè)置登錄連接超時(shí)，并自動(dòng)退出；查看是否設(shè)置鑒別警示信息。 手工檢查： 1）查看在數(shù)據(jù)庫上能否進(jìn)行相應(yīng)的配置,或者在防火墻等設(shè)備上進(jìn)行相應(yīng)的配置； 2）運(yùn)行show VARIABLES like %