Oracle数据库安全加固-内文附相关审批表

安全小王

于 2024-07-20 11:31:08 发布

阅读量1k

点赞数 22

文章标签： oracle 数据库

本文链接：https://blog.csdn.net/qq_22893055/article/details/140568383

版权

一、身份鉴别

a）应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

1、设置合理的口令复杂度和口令长度：

加固流程：

1）sqlplus / as sysdba;

2）@$ORACLE_HOME/rdbms/admin/utlpwdmg.sql;

3）alter profile default limit password_verify_function verify_function;

风险：

1）无

合规结果截图：

select * from dba_profiles where resource_name='PASSWORD_VERIFY_FUNCTION';

2、设置合理的口令有效期：

加固流程：

1）sqlplus / as sysdba;

2）alter profile default limit password_life_time 180;

风险：

1）部分业务账号口令失效后可能导致业务中断

合规结果截图：

select * from dba_profiles where profile='DEFAULT' and resource_name='PASSWORD_LIFE_TIME';

3、定期更换口令（需满足1中设置的要求）：

加固流程：

1）sqlplus / as sysdba;

2）alter user '用户名' identified by '密码';【根据2中设置的策略定期更换口令（修改密码）】

风险：

1）无

合规结果截图：

上次密码修改时间在2中设置的有效期内

select name,ptime from user$,dba_users where user$.name=dba_users.username and dba_users.account_status='OPEN';

b）应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

1、设置登录次数限制（连续输错密码N次锁定M分钟）：

加固流程：

1）sqlplus / as sysdba;

2）alter profile default limit failed_login_attempts 10;

3）alter profile default limit password_lock_time 1;

风险：

1）如果口令未被牢记，可能造成口令尝试次数过多导致账户被锁定

合规结果截图：

select * from dba_profiles where profile='DEFAULT' and resource_name='FAILED_LOGIN_ATTEMPTS';

select * from dba_profiles where profile='DEFAULT' and resource_name='PASSWORD_LOCK_TIME';

2、设置空闲超时自动退出（无操作N分钟后自动退出当前账户）：

加固流程：

1）sqlplus / as sysdba;

2）alter system set resource_limit=true;

3）alter profile default limit idle_time 60;

风险：

1）无

合规结果截图：

show parameter resource_limit;

select * from dba_profiles where profile='DEFAULT' and resource_name='IDLE_TIME';

二、访问控制

b）应重命名或删除默认账户，修改默认账户的默认口令；

1、禁止sysdba账号被直接远程登录：

加固流程：

1）sqlplus / as sysdba;

2）alter system set remote_login_passwordfile=none scope=spfile;

3）shutdown immediate;

4）startup;

风险：

1）需重启数据库

合规结果截图：

show parameter remote_login_passwordfile;

d）应授予管理用户所需的最小权限，实现管理用户的权限分离；

1、设置“三权分立”账户：

加固流程：

1）添加用户：create user '用户名' identified by '密码';

2）添加系统管理员账户sysadmin、审计管理员账户audadmin、安全管理员账户secadmin

风险：

1）无

合规结果截图：

2、形成制度限制“特权账户”的使用：

加固流程：

1）从制度层面限制特权账户（如root）的使用，专人专管，一次一密，参考附件2.1

2）使用时进行记录，包括申请人、批准人、监督人、使用范围、使用时间、操作内容，参考附件2.2

风险：

1）无

合规结果：

1）将附件2.1作为信息安全管理制度进行发布

2）在实际运维中贯彻落实附件2.1制度文档，并形成附件2.2的记录文档

附件2.1

《特权账号和超级用户账号管理》

特权账号指在系统中有专用权限的账号，如备份账号、权限管理账号、系统维护账号等。超级用户账号指系统中最高权限账号，如administrator（或admin）、root等管理员账号。
特权账号的密码由安全主管或由安全主管指派专人进行管理和保存，只有经授权的用户才可使用特权账号和超级用户账号，严禁共享账号。
信息中心每季度查看系统日志，监督特权账号和超级用户账号使用情况，并填写《系统日志审阅表》（附件2.2）。
尽量避免特权账号和超级用户账号的临时使用，确需使用时必须履行正规的申请及审批流程，并保留相应的文档。
临时使用超级用户账号必须有监督人员在场记录其工作内容。
超级用户账号临时使用完毕后，账号管理人员立即更改账号密码。

附件2.2

特权账号申请表

申请表编号：

申请人			部门及岗位
申请日期			联系方式
使用日期			使用时间段
所属系统	□官网系统	□OA系统				□其他（）
申请描述
操作内容
审核人（部门主管或系统主管）：					批准日期：
审核意见
监督人（安全管理员或审计管理员）：					监督日期：
监督意见
批准人（安全主管或特权账号管理员）：				批准日期：
特权账号处理结果：					处理日期：