Oracle数据库系统加固规范

select ? * ? from ? dba_users;

记录用户列表

create user abc1 identified by password1;

create user abc2 identified by password2;

建立role，并给role授权，把role赋给不同的用户

2、补充操作说明

1、abc1和abc2是两个不同的账号名称，可根据不同用户，取不同的名称；

connect sys/密码 as sysdba;

drop user A cascade;

2. 在数据库主机上以sqlplus ‘/as sysdba’连接到数据库需要输入口令。

检测操作

1. 以Oracle用户登陆到系统中。

2. 以sqlplus ‘/as sysdba’登陆到sqlplus环境中。

3. 使用show parameter命令来检查参数REMOTE_LOGIN_PASSWORDFILE是否设置为NONE。

Show parameter REMOTE_LOGIN_PASSWORDFILE

4. 检查在

$ORACLE_HOME/network/admin/文件中参数是否被设置成NONE。

select * from user_role_privs;

select * from user_tab_privs;

记录用户拥有权限

grant　权限　to username;

revoke 权限　from username;

2、补充操作说明

用第一条命令给用户赋相应的最小权限

用第二条命令收回用户多余的权限

select * from user_role_privs;

记录用户拥有的role

1.创建角色，不指定密码：

create role testrole；

2．创建角色，指定密码：

create role testrole identified by passwd;

3．修改角色：

alter role testrole identified by passwd;

4. 给角色授予权限。

Grant select on Table_name to testrole;

把角色赋予用户：（特别说明，授予角色不是实时的。如下：）

grant testrole to User_Name;

二、起用角色：给用户赋予角色，角色并不会立即起作用。

1．角色不能立即起作用。必须下次断开此次连接，下次连接才能起作用。

2.或者执行命令：有密码的角色set role testrole   identified by passwd 立即生效；

3．无密码的角色：set role testrole；

revoke ? role_name ? from ? user_name

记录用户赋予的profile

SQL> show parameter resource_limit

SQL> alter system set resource_limit=true;

CREATE PROFILE profile_name LIMIT   

  FAILED_LOGIN_ATTEMPTS 6

   PASSWORD_LIFE_TIME 60

   PASSWORD_REUSE_TIME 60

   PASSWORD_REUSE_MAX 5

   PASSWORD_VERIFY_FUNCTION verify_function

   PASSWORD_LOCK_TIME 1/24

   PASSWORD_GRACE_TIME 90;

ALTER USER user_name PROFILE profile_name;

恢复默认

2. 可通过设置profile来数据库账户的CPU资源占用。

4、检测操作

1. 以DBA用户登陆到sqlplus中。

2. 查询视图dba_profiles和dba_usres来检查profile是否创建。

记录当前状态

alter system set O7_DICTIONARY_ACCESSIBILITY=FALSE scope=spfile; 

select * from sys. x$ksppi;

检测操作

1. 以Oracle用户登陆到系统中。

2. 以sqlplus ‘/as sysdba’登陆到sqlplus环境中。

3. 使用show parameter命令来检查参数O7_DICTIONARY_ACCESSIBILITY是否设置为FALSE。

Show 

parameter O7_DICTIONARY_ACCESSIBILITY

通过/etc/passwd文件来检查是否有其它用户在DBA组中。

删除用户：#userdel username; 

锁定用户：

1) 修改/etc/shadow文件，用户名后加*LK*

2) 将/etc/passwd文件中的shell域设置成/bin/false

3) #passwd -l username

只有具备超级用户权限的使用者方可使用，#passwd -l username锁定用户,用#passwd –d username解锁后原有密码失效，登录需输入新密码，修改/etc/shadow能保留原有密码。

无其它用户属于DBA组。

检测操作

通过/etc/passwd文件来检查是否有其它用户在DBA组中。

记录用户赋予的profile

为用户建profile，调整PASSWORD_VERIFY_FUNCTION，指定密码复杂度

示例:

SQL>CREATE OR REPLACE FUNCTION my_password_verify   (username VARCHAR2   ,password VARCHAR2   ,old_password VARCHAR2   ) RETURN BOOLEAN IS

        2  BEGIN

3 IF LENGTH(password) < 6 THEN

        4  raise_application_error(-20001,''Password must be at least 6 characters long'');

        5  END IF;

        6  RETURN(TRUE);

        7  END;

SQL> create profile TEST_PROFILE limit

? 2? password_verify_function MY_PASSWORD_VERIFY;

修改密码为不符合要求的密码，将失败

2、检测操作

alter user user_name identified by passwd;将失败

记录用户赋予的profile

为用户建相关profile，指定PASSWORD_GRACE_TIME为90天

2、补充操作说明

在90天内，需要修改密码

到期不修改密码，密码将会失效。连接数据库将不会成功

4、检测操作

connect username/password报错

记录用户赋予的profile

为用户建profile,指定PASSWORD_REUSE_MAX为５

2、补充操作说明

当前使用的密码，必需在密码修改５次后才能再次被使用

重用修改５次内的密码，将不能成功

4、检测操作

alter user username identified by password1;如果password1在５次修改密码内被使用，该操作将不能成功

记录用户赋予的profile

为用户建profile，指定FAILED_LOGIN_ATTEMPTS为６

2、补充操作说明

如果连续６次连接该用户不成功，用户将被锁定

连续６次用错误的密码连接用户，第７次时用户将被锁定

4、检测操作

connect username/password，连续６次失败，用户被锁定

1. 可通过下面命令来更改默认用户的密码：

ALTER USER user_name IDENTIFIED BY passwd;

2. 下面是默认用户密码列表：

CTXSYS CTXSYS

DBSNMP DBSNMP

LBACSYS LBACSYS

MDDATA MDDATA

MDSYS  MDSYS

DMSYS  DMSYS

OLAPSYS MANAGER

ORDPLUGINS ORDPLUGINS

ORDSYS ORDSYS

OUTLN OUTLN

SI_INFORMTN_SCHEMA SI_INFORMTN_SCHEMA

SYS CHANGE_ON_INSTALL

SYSMAN CHANGE_ON_INSTALL

SYSTEM MANAGER

不能以用户名作为密码或使用默认密码的账户登陆到数据库。

检测操作

1. 以DBA用户登陆到sqlplus中。

2. 检查数据库默认账户是否使用了用户名作为密码或默认密码。

(

    session_id int not null,        --        sessionid

    login_on_time  date,                --        登入时间       

    login_off_time  date,                --        登出时间        

    user_in_db        varchar2(30),        --        登入的db user

    machine    varchar2(20),           --        机器名

    ip_address varchar2(20),        --        ip地址

    run_program varchar2(20)    --        以何程序登入

);

create or replace trigger login_on_info                --  记录登入信息的触发器

after logon on database 

Begin 

insert into login_log(session_id,login_on_time,login_of

f_time,user_in_db,machine,ip_address,run_program)

select AUDSID,sysdate,null,,machine,SYS_CO

NTEXT('USERENV','IP_ADDRESS'),program

    from v$session where AUDSID = USERENV('SESSIONID');  --当前SESSION

END;

create or replace trigger login_off_info        --        记录登出信息的触发器

before logoff on database 

Begin

        update login_log set  login_off_time = sysdate

        where session_id = USERENV('SESSIONID');        --当前SESSION        

exception

    when others then

            null;

END;

drop trigger 名称;

登录测试，检查相关信息是否被记录

补充说明

触发器与AUDIT会有相应资源开消，请检查系统资源是否充足。特别是RAC环境，资源消耗较大。

        who varchar2(30),

        action varchar2(20));

        when date);

create   or   replace   trigger   biud_employ_copy   

        before   insert   or   update   or   delete   

        on   employees_copy   

  declare   

        l_action   %type;   

  begin   

      if   inserting   then     

            l_action:='insert';   

      elsif   updating   then   

            l_action:='delete';   

    elsif   deleting   then   

            l_action:='update';   

    else     

            raise_application_error(-2001,'you   shoule   never   ever   get   this   error.');   

    end   if;   

       insert   into   employees_log(who,action,when)   

        values(user,l_action,sysdate);   

  end   biud_employ_copy;

drop trigger 名称;

create table jax_event_table(eventname

 varchar2(30),time date);

create trigger tr_startup

after startup ondatabase

begin

 insertinto jax_event_table

 values(ora_sysevent,sysdate);

end;

create trigger tr_shutdown

beforeshutdownondatabase

begin

 insertinto jax_event_table

 values(ora_sysevent,sysdate);

end;

drop trigger 名称;

show parameter audit_trail;

查看返回值,并记录.

SQL> alter system set audit_sys_operations=TRUE scope=spfile;

SQL> alter system set audit_trail=db scope=spfile;

SQL> show parameter audit;

SQL> audit all on table_name;

恢复audit_sys_operations, audit_trail属性

对审计的对象进行一次数据库操作，检查操作是否被记录。

检测操作

1. 检查初始化参数audit_trail是否设置。

2. 检查dba_audit_trail视图中或$ORACLE_BASE/admin/adump目录下是否有数据。

补充说明

AUDIT会有相应资源开消，请检查系统资源是否充足。特别是RAC环境，资源消耗较大

只需在服务器上的文件$ORACLE_HOME/network/admin/中设置以下行：

 = yes 

 = (ip1,ip2…)

在非信任的客户端以数据库账户登陆被提示拒绝。

检测操作

检查$ORACLE_HOME/network/admin/文件中是否设置参数和。

$ORACLE_HOME/network/admin/文件

1. 在Oracle Net Manager中选择“Oracle Advanced Security”。

2. 然后选择Encryption。

3. 选择Client或Server选项。

4. 选择加密类型。

5. 输入加密种子（可选）。

6. 选择加密算法（可选）。

7. 保存网络配置，被更新。

通过网络层捕获的数据库传输包为加密包。

检测操作

检查$ORACLE_HOME/network/admin/文件中是否设置等参数

$ lsnrctl

LSNRCTL> change_password

Old password: Not displayed

New password: Not displayed

Reenter new password: Not displayed

Connecting to

 (DESCRIPTION=(ADDRESS=(PROTOCOL=TCP)(H

OST=prolin1)(PORT=1521)(IP=FIRST)))

Password changed for LISTENER

The command completed successfully

LSNRCTL> save_config

取消密码

使用lsnrctl start或lsnrctl stop命令起停listener需要密码

检测操作

检查$ORACLE_HOME/network/admin/文件中是否设置参数PASSWORDS_LISTENER。

$ORACLE_HOME/network/admin/文件

在中设置下面参数：

=10

10分钟以上的无任何操作的空闲数据库连接被自动断开

检测操作

检查$ORACLE_HOME/network/admin/文件中是否设置参数。