Oracle數據庫安全配置手冊_第1頁
Oracle數據庫安全配置手冊_第2頁
Oracle數據庫安全配置手冊_第3頁
Oracle數據庫安全配置手冊_第4頁
Oracle數據庫安全配置手冊_第5頁
已閱讀5頁,還剩14頁未讀 繼續免費閱讀

下載本文檔

版權說明:本文檔由用戶提供并上傳,收益歸屬內容提供方,若內容存在侵權,請進行舉報或認領

文檔簡介

Oracle數據庫安全配置手冊Version1.0版本掌握版本號版本號1.0日期20131217參與人員王峰更說明目 錄\l“_TOC_250017“第一章目的與范圍 1\l“_TOC_250016“目的 1\l“_TOC_250015“適用范圍 1\l“_TOC_250014“數據庫類型 1\l“_TOC_250013“其次章數據庫安全標準 1\l“_TOC_250012“操作系統安全 1\l“_TOC_250011“帳戶安全 2\l“_TOC_250010“密碼安全 2\l“_TOC_250009“訪問權限安全 2\l“_TOC_250008“日志記錄 3\l“_TOC_250007“加密 3\l“_TOC_250006“治理員客戶端安全 3\l“_TOC_250005“安全補丁 3\l“_TOC_250004“審計 3\l“_TOC_250003“第三章數據庫安全配置手冊 4\l“_TOC_250002“ORACLE數據庫安全配置方法 4\l“_TOC_250001“根本漏洞加固方4\l“_TOC_250000“特定漏洞加固方12第第132頁目的保證業務系統的正常運營,提高業務效勞質量,特制定本方法。本文檔旨在于標準寶付對各業務系統的Oracle數據庫進展安全加固處理。適用范圍本手冊適用于對寶付公司的各業務系統的數據庫系統加固進展指導。數據庫類型其次章數據庫安全標準操作系統安全要使數據庫安全,首先要使其所在的平臺和網絡安全。然后就要考慮操作系Oracle的后臺進程進展讀寫。因此,只有要創立和刪第第232頁去意義。必需防止對全部數據備份的非法訪問。帳戶安全應用的實際需要,對數據庫帳戶所使用的資源〔如CPU等〕進展限制。這樣profile實施。的初始密碼登錄數據庫。另外,對不使用的帳戶應鎖定,消退帳戶安全隱患。密碼安全Oracle7.1開頭,client遠程連接數據庫,OracleNet會自動對通Oracle7.1sqlnet.oraora_encrypt_login=true。此外,對密碼進展嚴格的治理。可以使用profile來治理口令的終止、重使以有效地防止黒客猜測帳戶口令,削減口令安全隱患。訪問權限安全和對象權限。對象權限可以實施到數據庫對象的字段級別。第第832日志記錄Oracle的警告日志alertsid.log出于安全的考慮,需有規律地檢查警告日志。加密在傳輸過程中不被竊聽,可以對數據進展加密,以密文進展傳輸。治理員客戶端安全更加安全。安全補丁Oracle雖然具有很高的安全性,但是不行避開還是有安全漏洞,一個比較安Oracle的安全公告,并準時安裝安全補丁。安全公告和補丁位置如下:“://otn.oracle/deploy/security/alerts.htm“://otn.oracle/deploy/security/alerts.htm審計出于數據庫的安全,需要實施審計以跟蹤重要的或可疑的數據庫活動。審計那么就可能降低他們濫用職權的可能性。由于傳統型的審計產生數量極大的數據,所以這就很難從中覺察有用的信息,因此,Oracle9i引進了準確細化的審治理員就能實行終止非法數據庫會晤的措施。由效勞器強制進展的審計捕獲用戶的活動、系統權限、語句或者對象觸發器能夠記錄未被自動包含在審計追蹤中的定制信息精細粒度的、可擴展的審計功能使機構能夠定義具體的審計政策,以便還是機構內部大事處理器供給了確定如何處理由觸發器啟動的某一審計大事的敏捷性審計多層系統中的活動第三章數據庫安全配置手冊Oracle數據庫安全配置方法根本漏洞加固方法1、 操作系統安全性編號: 編號: 001名稱:操作系統安全性重要等級:高根本信息:假設要訪問一個數據庫,必需首先能夠以直接或非直接方式訪問正在運行該數據庫的服務器。要使數據庫安全,首先要使其所在的平臺和網絡安全。然后就要考慮操作系統的安全性。Oracle使用大量用戶不需要直接訪問的文件。例如,數據文件和聯機重做日志文件只能通過Oracle的后臺進程進展讀寫。因此,只有要創立和刪除這些文件的數據庫治理員才需要在操作系統級直接訪問它們。導出轉儲文件和其他備份文件也必需受到保護。可以假設要保護數據的安全,就要對數據所駐留的每一個數據庫及這些數據庫的備份進展保護。假設某人能從含有你的數據備份的數據庫中帶走備份磁帶,那么你在數據庫中所做的全部保密工作就失去意義。必需防止對全部數據備份的非法訪問。檢測內容:檢查承載平臺的安全檢查網絡的安全建議操作:參見主機和網絡安全方案操作結果:無操作結果:確保權限最小化2、 用戶環境文件編號: 編號: 002名稱:用戶環境文件重要等級:高根本信息:可以使用用戶環境文件profile來限制可由用戶使用的系統和數據庫資源并治理口令限制。假設數據庫中沒有創立環境文件,將使用缺省環境文件;缺省環境文件指定對于全部用戶資源沒有限制。檢測內容:檢查系統環境文件建議操作:明確環境文件創立是否合理:明確環境文件創立是否合理:操作結果:確保資源調用最小化3、 內建帳戶編號:

003 名稱:

內建帳戶連接 重要等級: 中根本信息:數據庫有一些內建帳戶,使用這些內建帳戶的默認密碼,就可以訪問該數據庫。對不需要使用的內建帳戶進展鎖定。檢測內容:檢查內建帳戶的默認密碼是否轉變,不需要使用的內建帳戶是否已鎖定。建議操作:修改OUTLN密碼ALTERUSERoutlnIDENTIFIEDBY <new_password>;修改DBSNMP密碼ALTERUSERdbsnmpIDENTIFIEDBY <new_password>;編輯$ORACLE_HOME/network/admin/snmp_rw.ora,更改如下行:SNMP.CONNECT.<service_name>.PASSWORD=<new_password>其中,<service_name>是數據庫效勞名,<new_password>是密碼SCOTT密碼ALTERUSERscottIDENTIFIEDBY <new_password>;鎖定沒有使用的內建帳戶ALTERUSERxxxACCOUNTLOCK;操作結果:無編號: 004名稱:編號: 004名稱:口令治理重要等級:高根本信息:在Oracle中,可以使用profile來治理口令的終止、重使用和簡單性。例如,可以限制一個口令的壽命、鎖定口令過舊的帳戶。也可以強制一個口令至少有肯定程度的簡單性并鎖定一個屢次注冊失敗的帳戶。檢測內容:檢查系統口令設置狀況建議操作:假設設置用戶環境文件的FAILED_LOGIN_ATTEMPTS資源為5,該帳戶允許連續注冊失56次就會引起帳戶被鎖定。PASSWORD_REUSE_MAX或PASSWORD_REUSE_TIME。這兩個參數互不相容:假設給其中的一個設了值,另一個就必需設為UNLIMITED。PASSWORD_REUSE_TIME參數規定一個口令可以重使用前必需經過的天數。例如,假設設置PASSWORD_REUSE_TIME6060PASSWORD_REUSE_MAX參數指定一個口令可以重使用前必需對其轉變的次數。假設試圖在這個限制到達前重使用該口令,Oracle會拒絕口令的修改。可以強制用戶的口令符合簡單度標準。例如,可以要求口令的最小長度、不是一些簡潔的createprofile和alterprofilePASSWORD_VERIFY_FUNCTION參數指定用于評估口令的函數名。假設用戶提出的口令不符合要求,就不會被承受。操作結果:確保口令安全編號: 005名稱:編號: 005名稱:登陸口令重要等級:高根本信息:對于Oracle7.1以前,當從一個客戶機連接到數據庫效勞器,或者通過數據庫鏈接從一個數據庫連接到另一個數據庫時,除非指定其他形式,否則Oracle將以非加密的形式傳輸輸入的口令。對于的口令。對于Oracle7.1以前,可以設置參數來強制Oracle在傳輸前將口令值加密。對于Oracle71以后,Oracle默認將以加密的形式傳輸輸入的口令,不需另外手工配置。檢測內容:檢查是否設置了口令加密建議操作:對于Oracle7.1以前,假設要啟用口令加密,需設置以下參數:對于客戶機,把sqlnet.ora件中的ORA_ENCRYPT_LOGIN 參數設為TRUE。對于效勞器,把init.oa件中的DBLINK_ENCRYPT_LOGIN參數設為TRUE。和效勞器到效勞器之間傳送。操作結果:確保登陸安全編號: 006名稱:口令文件驗證編號: 006名稱:口令文件驗證重要等級:高根本信息:DBAUNIX/etc/grop件中DBA以內部連接。假設從遠程DBA用戶連接數據庫,建議使用口令文件驗證。檢測內容:檢查口令文件狀況建議操作:1)ORAPWD有用程序創立口令文件。ORAPWDFILE=filenamePASSWORD=passwordENTRIES=max_usersORAPWD是一個生成口令文件的Oracle有用程序。執行ORAPWDSYS訪問的口令外,還規定要創立的口令文件的名稱。ENTRIES參數通知Oracle,要在口令文件中創ENTRIES值設得高一些。假設超出口令文件條目數的范圍限額,就收到一個ORA-1996錯誤。重建該口令文件時,需要重授SYSDBASYSOPER權限。將init.oraREMOTE_LOGIN_PASSWORDFILEEXCLUSIVE,關閉并重啟動數據庫,以便變更的參數起作用。SYSOPERSYSDBA權限授予需要進展數據庫治理的每一個用戶。SYSDBA授予用戶數據庫治理員的權限;SYSOPER使用戶能執行數據庫操作支持活動。為了授予用戶SYSOPER或SYSDBA權限,必需在內部連接。被受權用戶現在應能通過使用一個與下述命令類似的命令與數據庫連接:connectgeorge/如下面例子所示,可以用revoke命令撤消一個用戶的SYSDBASYSOPER權限:revokeSYSDBAfromGeorge;SYSDBASYSOPER系統權限的用戶,可以查詢V$PWFILE_USERS。假設用戶擁有SYSDBA權限,V$PWFILE_USERS在其SYSDBA列中將有一個TRUE擁有SYSOPER權限,將在其SYSOPER列中有一個TRUE值。操作結果:無7、系統權限編號:編號:007名稱:系統權限重要等級:高根本信息:可以使用系統級角色分派以治理數據庫的系統級命令。下表列出了Oracle11個系統級角色。使用這些角色就能對授予數據庫治理角色的系統級權限進展限制。檢測內容:檢查全部用戶的權限檢查網絡的安全建議操作:明確每個用戶的權限級別歸屬:是否有必要8、 對象權限編號:根本信息:

008 名稱:

對象權限 重要等級: 高對象級權限(object-levelprivilege)使用戶可以訪問不屬于自己的數據。可以使用角色來削減權限grant命令創立,存于數據字典中。對表、視圖、序列(以及它們的同義詞)的訪問,加上執行過程、函數、軟件包及類型的力量都可以授權給用戶。檢測內容:檢查對象權限建議操作:下 表 列 出 了 可 以 授 予 對 象 的 權 限 。第1032頁第第1132頁可以使用可以使用子句向授與用戶傳遞授權力量,以便在基對象上進一步授權。隨著角色的消滅,這些權限的治理就簡潔了。角色是成組的權限,角色可授給用戶,這樣就大大簡化了權限治理進程。操作結果:確保權限最小化9、 日志記錄編號: 編號: 509名稱:警告日志文件重要等級:高根本信息:Oraclealertsid.log里記錄有數據庫的關鍵活動,如刪除表空間等,出于安全的考慮,需有規律地檢查警告日志。檢測內容:檢查警告日志文件建議操作:明確關鍵的數據庫活動是否合理:操作結果:無特定漏洞加固方法sqlnet.ora文件,對傳輸的數據進展加密,以避開明文在網絡上的傳輸。Administrator’sGuide——ConfiguringDataEncryptionandIntegrity二、對于訪問數據庫的客戶端IP地址進展配置。數據庫監聽客戶端IP/$oracle/log/listener.log文件里,請治理員定期查看和分析該日志文件。在/$oracle/network/adminSQLNET.ORA文件,增加如下內容:tcp.validnode_checking=YEStcp.excluded_nodes=(192.168.0.1)IP的限制,借助操作系統或者防火墻等設備實現也是可行的。三、安裝最補丁程序Oracle雖然具有很高的安全性,但是不行避開還有安全漏洞,一個比較安全Oracle的安全公告,并準時安裝安全補丁。安全公告和補丁位置如下:“://otn.oracle/deploy/security/alerts.htm“://otn.oracle/deploy/security/alerts.htmOracle好備份工作,聯系Oracle公司或者你的開發商,定時做補丁升級是格外必要的。四、對敏感的數據庫活動實施審計對敏感的數據庫活動,如刪除表等進展審計。Oracle供給的數據庫審計類型有:SQL語句。這種類型的審計范圍格外廣。特權審計:監視數據庫里一個或者多個特定用戶或者全部用戶使用的系統權限,比方auditcreatetable。這種類型的審計范圍是中等的。比方:auditinsertintoEMPLOYEES。這種類型的審計是格外有重點的,范圍狹窄。audit_trailDBOS。表里;OS表示將審計記錄寫到操作系統文件中,默認生成在$ORACLE_HOME/rdbms/audit名目,審計文件也可AUDIT_FILE_DEST另外指定。啟用審計144個可以審計的審計命令,如:createtable,insert,select等。數據庫,可通過以下命令啟用審計:auditcreatetableby<username>;查詢審計select*fromdba_audit_trail;五、用戶治理過多的用戶被授予DBA的權限SELECT的”DBA”DBA角色的用戶,依據需WHEREGRANTED=’DBA’。PUBLIC的狀況戶可以臨時鎖定該用戶,或賜予格外簡單的口令。刪除用戶及其全部的數據對象命令:dropuserdbusercascade;取消用戶角色權限:revokeconnectfromdbuser;應檢查的用戶名包括:SCOTT,DBSNMP,TRACESVR,CTXSYS,MDSYS,DEMO,CTXDEMO,APPLSYS,PO8,NAMES,SYSADM,ORDPLUGIN,OUTLN,ADAMS,BLAKE,JONES,CLARK,AURORA$ORB$UNAUTHENTICATED,APPS。連接時使用空口令。PROFILE,防止利用空口令或默認口令進展連接。UTL_FILE的使用用戶需要使用UTL_FILE程序包假設沒有用戶使用,應收回一般用戶對該包的執行權限。假設確實有用戶需要使用。與應用系統開發商協商,是否可以轉變 DB_LINK的創立方式,在創立DB_LINK時不指定用戶名和口令。七、數據庫配置:數據庫配置未承受數據字典保護。。該參據字典。.Default:Oracle8i:TUREOracle9i:FALSEServerEM和動態效勞。假設無必要,server:$>cd $ORACLE_HOME/Apache/Apache/bin$>apachectl stop九、關閉遠程數據庫驗證為遠程數據庫驗證。為加強安全起見,關閉遠程數據庫驗證。設定初始化參數REMOTE_OS_AUTHENT=FALSEVPD和OracleLabelSecurity如有必要,在一般的數據庫安全機制外,還可實施另一種的安全機制,稱VP〔虛擬專用數據庫,幫助從數據庫內部供給有效的安全。這種安全機制生作用,使得當用戶提交一個查詢〔或insert,update,delete〕時,自動地加上相應whereOracleselect*fromcustomers;表里有一個相關的安全策略來限制銷售代表只能查看自己顧客的信息,這個查詢將被自動地重寫為:select*fromcustomerswheresales_rep_id=sys_context(‘hr_context’,‘sales_id’);A,B兩位銷售代表鍵入的是同一條SQL語句,select*fromcustomers,但返回的結果不同:A返回的是select*fromorderswhereBselect*fromorderswheresales_rep_id=152,也就where子句確保該銷售代表只能查ID從用戶定義的應用h

溫馨提示

  • 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請聯系上傳者。文件的所有權益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙,網頁內容里面會有圖紙預覽,若沒有圖紙預覽就沒有圖紙。
  • 4. 未經權益所有人同意不得將文件中的內容挪作商業或盈利用途。
  • 5. 人人文庫網僅提供信息存儲空間,僅對用戶上傳內容的表現方式做保護處理,對用戶上傳分享的文檔內容本身不做任何修改或編輯,并不能對任何下載內容負責。
  • 6. 下載文件中如有侵權或不適當內容,請與我們聯系,我們立即糾正。
  • 7. 本站不保證下載資源的準確性、安全性和完整性, 同時也不承擔用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。

評論

0/150

提交評論