Oracle安全基线的一些检查命令

Oracle安全基线检查

检查是否限制口令不能重用的天数：

select dba_profiles.profile,resource_name, limit from dba_profiles, dba_users where dba_profiles.profile = dba_users.profile and dba_users.account_status='OPEN' and resource_name='PASSWORD_REUSE_MAX';
select LIMIT from dba_profiles where RESOURCE_NAME='PASSWORD_REUSE_MAX' AND PROFILE='DEFAULT';
查询结果大于应等于5

检查是否设置超过数据库登录失败次数锁定用户时间：

select LIMIT from dba_profiles where RESOURCE_NAME='PASSWORD_LOCK_TIME' AND PROFILE='DEFAULT';
查看值是否小于或等于5

检查是否限制DBA组中的操作系统用户：

select * from dba_role_privs where grantee in ( select username from dba_users where account_status='OPEN') and granted_role='DBA' order by grantee;

检查是否打开监听日志：

lsnrctl status

检查是否开启数据库审计日志：

show parameter audit_trail;
select name, value from v$parameter where name like 'audit%';

检查当前用户拥有的触发器：

SELECT OBJECT_NAME FROM DBA_OBJECTS WHERE OBJECT_TYPE='TRIGGER';
SELECT NAME FROM USER_SOURCE WHERE TYPE='TRIGGER' GROUP BY NAME;
select object_name from user_objects where object_type='TRIGGER';

检查是否对管理员用户远程登录进行限制：

show parameter REMOTE_LOGIN_PASSWORDFILE;

检查是否为监听器设置密码：

查看cat $ORACLE_HOME/network/admin/listener.ora文件中是否设置参数PASSWORDS_LISTENER

检查是否启用数据字典保护功能：

show parameter O7_DICTIONARY_ACCESSIBILITY
应为FALSE

检查是否限制oracle密码长度：

select LIMIT from dba_profiles where RESOURCE_NAME='PASSWORD_VERIFY_FUNCTION' AND PROFILE='DEFAULT';

检查是否对用户登录失败次数进行限制：

select * from dba_profiles s where s.profile='DEFAULT' and resource_name='FAILED_LOGIN_ATTEMPTS';
建议为6次

检查是否修改数据库默认密码：

sqlplus '/as sysdba'
conn system/system
conn system/manager 
conn sys/sys
conn sys/cHAnge_on_install 
conn scott/scott
conn scott/tiger
conn dbsnmp/dbsnmp 
conn rman/rman
conn xdb/xdb

检查是否对用户属性进行配置：

select profile from dba_profiles;
select profile from dba_users;
存在default以外的profile即可

断开超时的空闲远程连接：

cat $ORACLE_HOME/network/admin/sqlnet.ora
如数据库将自动断开超过10分钟的空闲远程连接
设置SQLNET.EXPIRE_TIME=10

检查静态口令认证的密码生命周期：

select LIMIT from dba_profiles where RESOURCE_NAME='PASSWORD_GRACE_TIME' AND PROFILE='DEFAULT';
7天

检查口令生存周期：

select LIMIT from dba_profiles where RESOURCE_NAME='PASSWORD_LIFE_TIME' AND PROFILE='DEFAULT';
90天

select LIMIT from dba_profiles where RESOURCE_NAME=‘FAILED_LOGIN_ATTEMPTS’ AND PROFILE=‘DEFAULT’;

检查是否加密数据

$ORACLE_HOME/network/admin/sqlnet.ora文件中设置sqlnet.encryption

检查是否进行TNS登陆IP限制

$ORACLE_HOME/network/admin/sqlnet.ora中设置tcp.validnode_checking = yes和tcp.invited_nodes = (信任ip1,信任ip2,...)