AIX數(shù)據(jù)庫(kù)服務(wù)器主機(jī)安全方案

1、數(shù)據(jù)庫(kù)服務(wù)器主機(jī)安全方案主機(jī)環(huán)境服務(wù)器類(lèi)型：IBM P740(8205-E6B)，2臺(tái)操作系統(tǒng)：AIX 6.1本機(jī)磁盤(pán)：2路鏡像磁盤(pán)組，每個(gè)磁盤(pán)容量300GB（實(shí)際可用280G）內(nèi)存：32GB外接存儲(chǔ)：IBM 2076 FC Disk，1TB數(shù)據(jù)庫(kù)軟件：Oracle 11g R2 RAC方案描述# 安全性原則 #用戶(hù)被賦予唯一的用戶(hù)名、用戶(hù)ID（UID）和口令。用戶(hù)登陸后，對(duì)文件訪問(wèn)的合法性取決于UID。文件創(chuàng)建時(shí)，UID自動(dòng)成為文件屬主。只有文件屬主和root才能修改文件的訪問(wèn)許可權(quán)。需要共享一組文件的用戶(hù)可以歸入同一個(gè)組中。每個(gè)用戶(hù)可屬于多個(gè)組。每個(gè)組被賦予唯一的組名和組ID（GID），G

2、ID也被賦予新創(chuàng)建的文件。# root特權(quán)的控制 #嚴(yán)格限制具有root特權(quán)的人數(shù)。如需獲得root特權(quán)，需向主管方進(jìn)行申請(qǐng)，說(shuō)明緣由和要進(jìn)行的操作以及使用時(shí)間。root口令應(yīng)由系統(tǒng)管理員以不公開(kāi)的周期進(jìn)行更改。不同的機(jī)器采用不同的root口令。系統(tǒng)管理員應(yīng)以未公開(kāi)的用戶(hù)登錄，然后用su命令切換到root用戶(hù)root的PATH環(huán)境變量不要隨意更改。注意：為防止配置錯(cuò)誤對(duì)系統(tǒng)造成影響，安全方案實(shí)施之前，請(qǐng)先對(duì)/etc目錄的內(nèi)容進(jìn)行備份。數(shù)據(jù)庫(kù)服務(wù)器主機(jī)安全方案包括身份鑒別、訪問(wèn)控制、安全審計(jì)、剩余信息保護(hù)、資源控制等5個(gè)方面的內(nèi)容。1.1 身份鑒別身份鑒別部分的內(nèi)容涉及密碼復(fù)雜度、密碼有效期、身

3、份驗(yàn)證失敗處理、限制遠(yuǎn)程連接用戶(hù)、鑒別信息加密等方面。1.1.1a) 是否對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶(hù)進(jìn)行身份標(biāo)識(shí)和鑒別登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)，均需要通過(guò)用戶(hù)名和密碼進(jìn)行驗(yàn)證檢查/etc/passwd文件，第二列值為!的用戶(hù)已經(jīng)設(shè)置密碼，為*的未設(shè)置密碼.用passwd命令為所有未設(shè)置密碼的用戶(hù)設(shè)置密碼# passwd username1.1.2b) 操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶(hù)身份標(biāo)識(shí)是否具有不易被冒用的特點(diǎn)，口令是否有復(fù)雜度要求并定期更換以下以wsj用戶(hù)為例，設(shè)置密碼的復(fù)雜度和有效期。# 創(chuàng)建賬戶(hù) #mkuser wsjpaswwd wsjwsj用戶(hù)第一次登錄時(shí)，要求修改密碼# 口令

4、復(fù)雜度 # 口令必須具備采用3種以上字符、長(zhǎng)度不少于8位并定期更換；記錄帳戶(hù)原來(lái)屬性：lsuser wsj密碼長(zhǎng)度不小于8chuser minlen=8 wsj至少包含1個(gè)字母chuser minalpha=1 wsj至少包含1個(gè)非字母數(shù)字chuser minother=1 wsj# 口令有效期 # 口令最長(zhǎng)有效期為12周chuser maxage=12 wsj# 設(shè)置口令與前面5個(gè)口令不能重復(fù) # chuser histsize=5 wsj1.1.3c) 是否啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施以下以wsj用戶(hù)為例，設(shè)置用戶(hù)登錄失敗鎖定。# 登錄失敗處理 #

5、 設(shè)置6次登陸失敗后鎖定帳戶(hù)chuser loginretries=6 wsj解除鎖定的方法：將/etc/security/lastlog文件中wsj用戶(hù)的unsuccessful_login_count值修改為01.1.4d) 當(dāng)對(duì)服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，是否采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽(tīng)# 遠(yuǎn)程管理時(shí)應(yīng)啟用SSH等管理方式，加密管理數(shù)據(jù)，防止被網(wǎng)絡(luò)竊聽(tīng)。# 查看sshd服務(wù)是否開(kāi)啟：1.1.5e) 是否為操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶(hù)分配不同的用戶(hù)名，確保用戶(hù)名具有唯一性操作系統(tǒng)的管理員用戶(hù)為rootOracle數(shù)據(jù)庫(kù)系統(tǒng)的用戶(hù)為oracle，cluster用戶(hù)為grid1

6、.2訪問(wèn)控制1.2.1a) 是否啟用訪問(wèn)控制功能，依據(jù)安全策略控制用戶(hù)對(duì)資源的訪問(wèn)制定嚴(yán)格的訪問(wèn)控制安全策略，根據(jù)策略控制用戶(hù)對(duì)應(yīng)用系統(tǒng)的訪問(wèn)，特別是文件操作、數(shù)據(jù)庫(kù)訪問(wèn)等，控制粒度主體為用戶(hù)級(jí)、客體為文件級(jí)。1.2.2 b)是否根據(jù)管理用戶(hù)的角色分配權(quán)限，實(shí)現(xiàn)管理用戶(hù)的權(quán)限分離，僅授予管理用戶(hù)所需的最小權(quán)限操作系統(tǒng)的管理員用戶(hù)為root（組為root），Oracle數(shù)據(jù)庫(kù)系統(tǒng)的用戶(hù)為oracle（組為oinstall等），cluster用戶(hù)為grid設(shè)置umask，系統(tǒng)缺省值為022。查看用戶(hù)的umask：# umask如需修改，在/etc/profile或用戶(hù)home目錄下的.profil

7、e中加入如下一行內(nèi)容（以027為例）：umask 027檢查和系統(tǒng)安全相關(guān)的幾個(gè)配置文件的訪問(wèn)權(quán)限。1.2.3c) 是否實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶(hù)的權(quán)限分離區(qū)分root和oracle，grid用戶(hù)權(quán)限。1.2.4d) 是否限制默認(rèn)帳戶(hù)的訪問(wèn)權(quán)限，重命名系統(tǒng)默認(rèn)帳戶(hù)，修改這些帳戶(hù)的默認(rèn)口令為每一個(gè)系統(tǒng)默認(rèn)帳戶(hù)重設(shè)口令。方法詳見(jiàn)1.1.2節(jié)。1.2.5e) 是否及時(shí)刪除多余的、過(guò)期的帳戶(hù)，避免共享帳戶(hù)的存在檢查系統(tǒng)賬戶(hù)之外多余和過(guò)期的帳戶(hù)并刪除。以test用戶(hù)為例：# rmuser test1.3安全審計(jì)1.3.1a) 審計(jì)范圍是否覆蓋到服務(wù)器和重要客戶(hù)端上的每個(gè)操作系統(tǒng)用戶(hù)和數(shù)據(jù)庫(kù)用戶(hù)操作

8、系統(tǒng)用戶(hù)的審計(jì)由主機(jī)的審計(jì)服務(wù)進(jìn)行管理，數(shù)據(jù)庫(kù)用戶(hù)的審計(jì)由Oracle數(shù)據(jù)庫(kù)系統(tǒng)來(lái)管理。1.3.2 b) 審計(jì)內(nèi)容是否包括重要用戶(hù)行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件用# audit query命令查看系統(tǒng)的audit服務(wù)是否開(kāi)啟，以及審計(jì)哪些事件和對(duì)象(如果audit服務(wù)未開(kāi)啟，用# audit start命令開(kāi)啟。)查看/etc/security/audit/conf文件是否包含子系統(tǒng)審計(jì)處理的事件用# auditpr v /audit/trail和# auditpr v /dev/console 2&1# touch /etc/rc.local# chm

9、od 700 /etc/rc.local在rc.local文件中加入audit start1.3.6f) 是否保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等嚴(yán)格控制審計(jì)記錄文件的讀寫(xiě)權(quán)限1.4剩余信息保護(hù)1.4.1a) 是否保證操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)用戶(hù)的鑒別信息所在的存儲(chǔ)空間，被釋放或再分配給其他用戶(hù)前得到完全清除，無(wú)論這些信息是存放在硬盤(pán)上還是在內(nèi)存中檢查/etc/passwd，/etc/group等系統(tǒng)配置文件，保證沒(méi)有已刪用戶(hù)的數(shù)據(jù)殘留，在刪除用戶(hù)后確認(rèn)home目錄同時(shí)被刪除1.4.2b) 是否確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間，被釋放或重新分配給其他用戶(hù)前得到完全

10、清除清理回收站，/tmp、/var/tmp等臨時(shí)目錄下的相關(guān)目錄和文件，刪除數(shù)據(jù)庫(kù)用戶(hù)的同時(shí)刪除其擁有的數(shù)據(jù)庫(kù)對(duì)象和表空間1.5資源控制1.5.1a) 是否通過(guò)設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄限制終端接入方式為經(jīng)過(guò)數(shù)據(jù)加密的ssh方式。關(guān)閉telnet，xdmcp，XVnc等連接方式。關(guān)閉telnet服務(wù)：stopsrc t telnetlssrc -t telnet清空 /etc/hosts.equiv禁止root遠(yuǎn)程登錄# vi /etc/ssh/sshd_config : （修改下面兩條，需重啟sshd：service sshd restart）PermitRootLog

11、in noMaxAuthTries 6屏蔽banner信息# vi /etc/ssh/sshd_config :注釋掉banner的相關(guān)條目#Banner /some/path1.5.2b) 是否根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定開(kāi)啟屏幕保護(hù)，長(zhǎng)時(shí)間無(wú)操作后鎖定屏幕。Ssh連接長(zhǎng)時(shí)間無(wú)請(qǐng)求自動(dòng)斷開(kāi)連接：1.5.3c) 是否對(duì)重要服務(wù)器進(jìn)行監(jiān)視，包括監(jiān)視服務(wù)器的CPU、硬盤(pán)、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況可使用*stat命令查看服務(wù)器資源使用情況?；虬惭bnmon工具，對(duì)系統(tǒng)資源使用情況進(jìn)行監(jiān)控和統(tǒng)計(jì)。nmon監(jiān)控命令：# /nmon/nmon12f_aix612將數(shù)據(jù)捕獲到文件，便于以后分析和繪制圖形：# /nmon/nmon12f_aix612 -fT -s 10 m /nmon（使用# /nmon/nmon12f_aix612 -h查看nmon命令的用法）可將生成的.mon文件ftp到windows主機(jī)，用nmon analyzer