Oracle數(shù)據(jù)庫安全配置手冊

Oracle數(shù)據(jù)庫安全配置手冊Version1.0版本掌握版本號版本號1.0日期20131217參與人員王峰更說明目 錄\l“_TOC_250017“第一章目的與范圍 1\l“_TOC_250016“目的 1\l“_TOC_250015“適用范圍 1\l“_TOC_250014“數(shù)據(jù)庫類型 1\l“_TOC_250013“其次章數(shù)據(jù)庫安全標準 1\l“_TOC_250012“操作系統(tǒng)安全 1\l“_TOC_250011“帳戶安全 2\l“_TOC_250010“密碼安全 2\l“_TOC_250009“訪問權(quán)限安全 2\l“_TOC_250008“日志記錄 3\l“_TOC_250007“加密 3\l“_TOC_250006“治理員客戶端安全 3\l“_TOC_250005“安全補丁 3\l“_TOC_250004“審計 3\l“_TOC_250003“第三章數(shù)據(jù)庫安全配置手冊 4\l“_TOC_250002“ORACLE數(shù)據(jù)庫安全配置方法 4\l“_TOC_250001“根本漏洞加固方4\l“_TOC_250000“特定漏洞加固方12第第132頁目的保證業(yè)務系統(tǒng)的正常運營，提高業(yè)務效勞質(zhì)量，特制定本方法。本文檔旨在于標準寶付對各業(yè)務系統(tǒng)的Oracle數(shù)據(jù)庫進展安全加固處理。適用范圍本手冊適用于對寶付公司的各業(yè)務系統(tǒng)的數(shù)據(jù)庫系統(tǒng)加固進展指導。數(shù)據(jù)庫類型其次章數(shù)據(jù)庫安全標準操作系統(tǒng)安全要使數(shù)據(jù)庫安全，首先要使其所在的平臺和網(wǎng)絡安全。然后就要考慮操作系Oracle的后臺進程進展讀寫。因此，只有要創(chuàng)立和刪第第232頁去意義。必需防止對全部數(shù)據(jù)備份的非法訪問。帳戶安全應用的實際需要，對數(shù)據(jù)庫帳戶所使用的資源〔如CPU等〕進展限制。這樣profile實施。的初始密碼登錄數(shù)據(jù)庫。另外，對不使用的帳戶應鎖定，消退帳戶安全隱患。密碼安全Oracle7.1開頭，client遠程連接數(shù)據(jù)庫，OracleNet會自動對通Oracle7.1sqlnet.oraora_encrypt_login=true。此外，對密碼進展嚴格的治理?？梢允褂胮rofile來治理口令的終止、重使以有效地防止黒客猜測帳戶口令，削減口令安全隱患。訪問權(quán)限安全和對象權(quán)限。對象權(quán)限可以實施到數(shù)據(jù)庫對象的字段級別。第第832日志記錄Oracle的警告日志alertsid.log出于安全的考慮，需有規(guī)律地檢查警告日志。加密在傳輸過程中不被竊聽，可以對數(shù)據(jù)進展加密，以密文進展傳輸。治理員客戶端安全更加安全。安全補丁Oracle雖然具有很高的安全性，但是不行避開還是有安全漏洞，一個比較安Oracle的安全公告，并準時安裝安全補丁。安全公告和補丁位置如下：“://otn.oracle/deploy/security/alerts.htm“://otn.oracle/deploy/security/alerts.htm審計出于數(shù)據(jù)庫的安全，需要實施審計以跟蹤重要的或可疑的數(shù)據(jù)庫活動。審計那么就可能降低他們?yōu)E用職權(quán)的可能性。由于傳統(tǒng)型的審計產(chǎn)生數(shù)量極大的數(shù)據(jù)，所以這就很難從中覺察有用的信息，因此，Oracle9i引進了準確細化的審治理員就能實行終止非法數(shù)據(jù)庫會晤的措施。由效勞器強制進展的審計捕獲用戶的活動、系統(tǒng)權(quán)限、語句或者對象觸發(fā)器能夠記錄未被自動包含在審計追蹤中的定制信息精細粒度的、可擴展的審計功能使機構(gòu)能夠定義具體的審計政策，以便還是機構(gòu)內(nèi)部大事處理器供給了確定如何處理由觸發(fā)器啟動的某一審計大事的敏捷性審計多層系統(tǒng)中的活動第三章數(shù)據(jù)庫安全配置手冊Oracle數(shù)據(jù)庫安全配置方法根本漏洞加固方法1、 操作系統(tǒng)安全性編號： 編號： 001名稱：操作系統(tǒng)安全性重要等級：高根本信息：假設要訪問一個數(shù)據(jù)庫，必需首先能夠以直接或非直接方式訪問正在運行該數(shù)據(jù)庫的服務器。要使數(shù)據(jù)庫安全，首先要使其所在的平臺和網(wǎng)絡安全。然后就要考慮操作系統(tǒng)的安全性。Oracle使用大量用戶不需要直接訪問的文件。例如，數(shù)據(jù)文件和聯(lián)機重做日志文件只能通過Oracle的后臺進程進展讀寫。因此，只有要創(chuàng)立和刪除這些文件的數(shù)據(jù)庫治理員才需要在操作系統(tǒng)級直接訪問它們。導出轉(zhuǎn)儲文件和其他備份文件也必需受到保護?？梢约僭O要保護數(shù)據(jù)的安全，就要對數(shù)據(jù)所駐留的每一個數(shù)據(jù)庫及這些數(shù)據(jù)庫的備份進展保護。假設某人能從含有你的數(shù)據(jù)備份的數(shù)據(jù)庫中帶走備份磁帶，那么你在數(shù)據(jù)庫中所做的全部保密工作就失去意義。必需防止對全部數(shù)據(jù)備份的非法訪問。檢測內(nèi)容：檢查承載平臺的安全檢查網(wǎng)絡的安全建議操作：參見主機和網(wǎng)絡安全方案操作結(jié)果：無操作結(jié)果：確保權(quán)限最小化2、 用戶環(huán)境文件編號： 編號： 002名稱：用戶環(huán)境文件重要等級：高根本信息：可以使用用戶環(huán)境文件profile來限制可由用戶使用的系統(tǒng)和數(shù)據(jù)庫資源并治理口令限制。假設數(shù)據(jù)庫中沒有創(chuàng)立環(huán)境文件，將使用缺省環(huán)境文件；缺省環(huán)境文件指定對于全部用戶資源沒有限制。檢測內(nèi)容：檢查系統(tǒng)環(huán)境文件建議操作：明確環(huán)境文件創(chuàng)立是否合理：明確環(huán)境文件創(chuàng)立是否合理：操作結(jié)果：確保資源調(diào)用最小化3、 內(nèi)建帳戶編號：

003 名稱：

內(nèi)建帳戶連接 重要等級： 中根本信息：數(shù)據(jù)庫有一些內(nèi)建帳戶，使用這些內(nèi)建帳戶的默認密碼，就可以訪問該數(shù)據(jù)庫。對不需要使用的內(nèi)建帳戶進展鎖定。檢測內(nèi)容：檢查內(nèi)建帳戶的默認密碼是否轉(zhuǎn)變，不需要使用的內(nèi)建帳戶是否已鎖定。建議操作：修改OUTLN密碼ALTERUSERoutlnIDENTIFIEDBY <new_password>;修改DBSNMP密碼ALTERUSERdbsnmpIDENTIFIEDBY <new_password>;編輯$ORACLE_HOME/network/admin/snmp_rw.ora，更改如下行：SNMP.CONNECT.<service_name>.PASSWORD=<new_password>其中，<service_name>是數(shù)據(jù)庫效勞名，<new_password>是密碼SCOTT密碼ALTERUSERscottIDENTIFIEDBY <new_password>;鎖定沒有使用的內(nèi)建帳戶ALTERUSERxxxACCOUNTLOCK;操作結(jié)果：無編號： 004名稱：編號： 004名稱：口令治理重要等級：高根本信息：在Oracle中，可以使用profile來治理口令的終止、重使用和簡單性。例如，可以限制一個口令的壽命、鎖定口令過舊的帳戶。也可以強制一個口令至少有肯定程度的簡單性并鎖定一個屢次注冊失敗的帳戶。檢測內(nèi)容：檢查系統(tǒng)口令設置狀況建議操作：假設設置用戶環(huán)境文件的FAILED_LOGIN_ATTEMPTS資源為5，該帳戶允許連續(xù)注冊失56次就會引起帳戶被鎖定。PASSWORD_REUSE_MAX或PASSWORD_REUSE_TIME。這兩個參數(shù)互不相容：假設給其中的一個設了值，另一個就必需設為UNLIMITED。PASSWORD_REUSE_TIME參數(shù)規(guī)定一個口令可以重使用前必需經(jīng)過的天數(shù)。例如，假設設置PASSWORD_REUSE_TIME6060PASSWORD_REUSE_MAX參數(shù)指定一個口令可以重使用前必需對其轉(zhuǎn)變的次數(shù)。假設試圖在這個限制到達前重使用該口令，Oracle會拒絕口令的修改?？梢詮娭朴脩舻目诹罘虾唵味葮藴?。例如，可以要求口令的最小長度、不是一些簡潔的createprofile和alterprofilePASSWORD_VERIFY_FUNCTION參數(shù)指定用于評估口令的函數(shù)名。假設用戶提出的口令不符合要求，就不會被承受。操作結(jié)果：確?？诹畎踩幪枺?005名稱：編號： 005名稱：登陸口令重要等級：高根本信息：對于Oracle7.1以前，當從一個客戶機連接到數(shù)據(jù)庫效勞器，或者通過數(shù)據(jù)庫鏈接從一個數(shù)據(jù)庫連接到另一個數(shù)據(jù)庫時，除非指定其他形式，否則Oracle將以非加密的形式傳輸輸入的口令。對于的口令。對于Oracle7.1以前，可以設置參數(shù)來強制Oracle在傳輸前將口令值加密。對于Oracle71以后，Oracle默認將以加密的形式傳輸輸入的口令，不需另外手工配置。檢測內(nèi)容：檢查是否設置了口令加密建議操作：對于Oracle7.1以前，假設要啟用口令加密，需設置以下參數(shù)：對于客戶機，把sqlnet.ora件中的ORA_ENCRYPT_LOGIN 參數(shù)設為TRUE。對于效勞器，把init.oa件中的DBLINK_ENCRYPT_LOGIN參數(shù)設為TRUE。和效勞器到效勞器之間傳送。操作結(jié)果：確保登陸安全編號： 006名稱：口令文件驗證編號： 006名稱：口令文件驗證重要等級：高根本信息：DBAUNIX/etc/grop件中DBA以內(nèi)部連接。假設從遠程DBA用戶連接數(shù)據(jù)庫，建議使用口令文件驗證。檢測內(nèi)容：檢查口令文件狀況建議操作：1)ORAPWD有用程序創(chuàng)立口令文件。ORAPWDFILE=filenamePASSWORD=passwordENTRIES=max_usersORAPWD是一個生成口令文件的Oracle有用程序。執(zhí)行ORAPWDSYS訪問的口令外，還規(guī)定要創(chuàng)立的口令文件的名稱。ENTRIES參數(shù)通知Oracle，要在口令文件中創(chuàng)ENTRIES值設得高一些。假設超出口令文件條目數(shù)的范圍限額，就收到一個ORA-1996錯誤。重建該口令文件時，需要重授SYSDBASYSOPER權(quán)限。將init.oraREMOTE_LOGIN_PASSWORDFILEEXCLUSIVE，關(guān)閉并重啟動數(shù)據(jù)庫，以便變更的參數(shù)起作用。SYSOPERSYSDBA權(quán)限授予需要進展數(shù)據(jù)庫治理的每一個用戶。SYSDBA授予用戶數(shù)據(jù)庫治理員的權(quán)限；SYSOPER使用戶能執(zhí)行數(shù)據(jù)庫操作支持活動。為了授予用戶SYSOPER或SYSDBA權(quán)限，必需在內(nèi)部連接。被受權(quán)用戶現(xiàn)在應能通過使用一個與下述命令類似的命令與數(shù)據(jù)庫連接：connectgeorge/如下面例子所示，可以用revoke命令撤消一個用戶的SYSDBASYSOPER權(quán)限：revokeSYSDBAfromGeorge;SYSDBASYSOPER系統(tǒng)權(quán)限的用戶，可以查詢V$PWFILE_USERS。假設用戶擁有SYSDBA權(quán)限，V$PWFILE_USERS在其SYSDBA列中將有一個TRUE擁有SYSOPER權(quán)限，將在其SYSOPER列中有一個TRUE值。操作結(jié)果：無7、系統(tǒng)權(quán)限編號：編號：007名稱：系統(tǒng)權(quán)限重要等級：高根本信息：可以使用系統(tǒng)級角色分派以治理數(shù)據(jù)庫的系統(tǒng)級命令。下表列出了Oracle11個系統(tǒng)級角色。使用這些角色就能對授予數(shù)據(jù)庫治理角色的系統(tǒng)級權(quán)限進展限制。檢測內(nèi)容：檢查全部用戶的權(quán)限檢查網(wǎng)絡的安全建議操作：明確每個用戶的權(quán)限級別歸屬：是否有必要8、 對象權(quán)限編號：根本信息：

008 名稱：

對象權(quán)限 重要等級： 高對象級權(quán)限(object-levelprivilege)使用戶可以訪問不屬于自己的數(shù)據(jù)?？梢允褂媒巧珌硐鳒p權(quán)限grant命令創(chuàng)立，存于數(shù)據(jù)字典中。對表、視圖、序列(以及它們的同義詞)的訪問，加上執(zhí)行過程、函數(shù)、軟件包及類型的力量都可以授權(quán)給用戶。檢測內(nèi)容：檢查對象權(quán)限建議操作：下 表 列 出 了 可 以 授 予 對 象 的 權(quán) 限 。第1032頁第第1132頁可以使用可以使用子句向授與用戶傳遞授權(quán)力量，以便在基對象上進一步授權(quán)。隨著角色的消滅，這些權(quán)限的治理就簡潔了。角色是成組的權(quán)限，角色可授給用戶，這樣就大大簡化了權(quán)限治理進程。操作結(jié)果：確保權(quán)限最小化9、 日志記錄編號： 編號： 509名稱：警告日志文件重要等級：高根本信息：Oraclealertsid.log里記錄有數(shù)據(jù)庫的關(guān)鍵活動，如刪除表空間等，出于安全的考慮，需有規(guī)律地檢查警告日志。檢測內(nèi)容：檢查警告日志文件建議操作：明確關(guān)鍵的數(shù)據(jù)庫活動是否合理：操作結(jié)果：無特定漏洞加固方法sqlnet.ora文件，對傳輸?shù)臄?shù)據(jù)進展加密，以避開明文在網(wǎng)絡上的傳輸。Administrator’sGuide——ConfiguringDataEncryptionandIntegrity二、對于訪問數(shù)據(jù)庫的客戶端IP地址進展配置。數(shù)據(jù)庫監(jiān)聽客戶端IP/$oracle/log/listener.log文件里，請治理員定期查看和分析該日志文件。在/$oracle/network/adminSQLNET.ORA文件，增加如下內(nèi)容：tcp.validnode_checking=YEStcp.excluded_nodes=(192.168.0.1)IP的限制，借助操作系統(tǒng)或者防火墻等設備實現(xiàn)也是可行的。三、安裝最補丁程序Oracle雖然具有很高的安全性，但是不行避開還有安全漏洞，一個比較安全Oracle的安全公告，并準時安裝安全補丁。安全公告和補丁位置如下：“://otn.oracle/deploy/security/alerts.htm“://otn.oracle/deploy/security/alerts.htmOracle好備份工作，聯(lián)系Oracle公司或者你的開發(fā)商，定時做補丁升級是格外必要的。四、對敏感的數(shù)據(jù)庫活動實施審計對敏感的數(shù)據(jù)庫活動，如刪除表等進展審計。Oracle供給的數(shù)據(jù)庫審計類型有：SQL語句。這種類型的審計范圍格外廣。特權(quán)審計：監(jiān)視數(shù)據(jù)庫里一個或者多個特定用戶或者全部用戶使用的系統(tǒng)權(quán)限，比方auditcreatetable。這種類型的審計范圍是中等的。比方：auditinsertintoEMPLOYEES。這種類型的審計是格外有重點的，范圍狹窄。audit_trailDBOS。表里；OS表示將審計記錄寫到操作系統(tǒng)文件中，默認生成在$ORACLE_HOME/rdbms/audit名目，審計文件也可AUDIT_FILE_DEST另外指定。啟用審計144個可以審計的審計命令，如：createtable,insert,select等。數(shù)據(jù)庫，可通過以下命令啟用審計：auditcreatetableby<username>;查詢審計select*fromdba_audit_trail;五、用戶治理過多的用戶被授予DBA的權(quán)限SELECT的”DBA”DBA角色的用戶，依據(jù)需WHEREGRANTED=’DBA’。PUBLIC的狀況戶可以臨時鎖定該用戶，或賜予格外簡單的口令。刪除用戶及其全部的數(shù)據(jù)對象命令：dropuserdbusercascade;取消用戶角色權(quán)限：revokeconnectfromdbuser;應檢查的用戶名包括：SCOTT,DBSNMP,TRACESVR,CTXSYS,MDSYS,DEMO,CTXDEMO,APPLSYS,PO8,NAMES,SYSADM,ORDPLUGIN,OUTLN,ADAMS,BLAKE,JONES,CLARK,AURORA$ORB$UNAUTHENTICATED,APPS。連接時使用空口令。PROFILE，防止利用空口令或默認口令進展連接。UTL_FILE的使用用戶需要使用UTL_FILE程序包假設沒有用戶使用，應收回一般用戶對該包的執(zhí)行權(quán)限。假設確實有用戶需要使用。與應用系統(tǒng)開發(fā)商協(xié)商，是否可以轉(zhuǎn)變 DB_LINK的創(chuàng)立方式，在創(chuàng)立DB_LINK時不指定用戶名和口令。七、數(shù)據(jù)庫配置：數(shù)據(jù)庫配置未承受數(shù)據(jù)字典保護。。該參據(jù)字典。.Default:Oracle8i:TUREOracle9i:FALSEServerEM和動態(tài)效勞。假設無必要，server:$>cd $ORACLE_HOME/Apache/Apache/bin$>apachectl stop九、關(guān)閉遠程數(shù)據(jù)庫驗證為遠程數(shù)據(jù)庫驗證。為加強安全起見，關(guān)閉遠程數(shù)據(jù)庫驗證。設定初始化參數(shù)REMOTE_OS_AUTHENT=FALSEVPD和OracleLabelSecurity如有必要，在一般的數(shù)據(jù)庫安全機制外，還可實施另一種的安全機制，稱VP〔虛擬專用數(shù)據(jù)庫，幫助從數(shù)據(jù)庫內(nèi)部供給有效的安全。這種安全機制生作用，使得當用戶提交一個查詢〔或insert,update,delete〕時，自動地加上相應whereOracleselect*fromcustomers;表里有一個相關(guān)的安全策略來限制銷售代表只能查看自己顧客的信息，這個查詢將被自動地重寫為：select*fromcustomerswheresales_rep_id=sys_context(‘hr_context’,‘sales_id’);A,B兩位銷售代表鍵入的是同一條SQL語句，select*fromcustomers,但返回的結(jié)果不同：A返回的是select*fromorderswhereBselect*fromorderswheresales_rep_id=152，也就where子句確保該銷售代表只能查ID從用戶定義的應用h