數(shù)據(jù)庫安全測評表（Oracle）（數(shù)據(jù)庫版本： IP:）被訪談人員確認(rèn)簽字： 訪談人員簽字： 訪談時間：層 符合面主機面主機身份鑒a)應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的安全別（S）用戶進行身份標(biāo)識和鑒別；程度1證措施實現(xiàn)；1主機 身份2

庫系統(tǒng)管理用戶身份鑒別信息應(yīng)具有

1）系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)的身份標(biāo)識與鑒別機制采取何種措施實現(xiàn)；0.52）理系統(tǒng)，查看是否提供了身份鑒別措施；在繞過認(rèn)證方式進行系統(tǒng)登錄的方法；1）檢查主要服務(wù)器操作系統(tǒng)和主要數(shù)據(jù)庫管復(fù)雜度和更換周期進行的要求和限制；1

2）經(jīng)檢查，數(shù)據(jù)庫管理系統(tǒng)中不存在空口令或默認(rèn)口令的用戶。1）以默認(rèn)口令和常見口令登錄數(shù)據(jù)庫，查看是否成功，查看Oracle數(shù)據(jù)庫系統(tǒng)中是否存在空口令或默認(rèn)口令的用戶。默認(rèn)口令：sys/change_on_installsystem/manager；常用口令一般包括：oracle：oracle/admin/ora92sys：oracle/adminsystem：oracle/admin訪談系統(tǒng)中用戶是否存在默認(rèn)口令的情況limitfromdba_profileswhereprofileDEFAULTandresource_type=’PASSWORD’，查看是否啟用口令復(fù)雜度函數(shù)。utlpwdmg.sql(密碼策略的sql,linux/unix安 別（S）不易被冒用的特點全 口令應(yīng)有復(fù)雜度求并定期更換；

口令破解工具等，對服務(wù)器操作系統(tǒng)進行用戶口令強度檢測，查看是否能夠破解用戶口令，破解口令后是否能夠登錄進入系統(tǒng)；

默認(rèn)路徑是$ORACLE_HOME/rdbms/admin/utlpwdmg.sql)中“--Checkfortheminimumlengthofthepasswor“l(fā)ength(password)<”后的值。3）查看口令管理制度以及執(zhí)行記錄，并選擇驗證。層 符合序號 控制點 要求項 權(quán)重 測評實施 測評結(jié)果面 程度limitfromdba_profileswhereprofile=’DEFAULT’andresource_name=’FAILED_LOGIN_ATTEMPTS’，主機 身份鑒3安 別全主機 身份鑒4安 別全主機 身份鑒

應(yīng)啟用登錄失敗錄次數(shù)和自動退出等措施；當(dāng)對服務(wù)器進行信息在網(wǎng)絡(luò)傳輸過程中被竊聽；據(jù)庫的不同用戶分

0.51

1系統(tǒng)，查看是否已配置了鑒別失敗處理功能，并設(shè)置了非法登錄次數(shù)的限制值；查看是否設(shè)置網(wǎng)絡(luò)登錄連接超時，并自動退出；1）訪談系統(tǒng)管理員和數(shù)據(jù)庫管理員，詢問對操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)是否采用了遠(yuǎn)程管理，如采用了遠(yuǎn)程管理，查看是否采用了防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽的措施；1

unlimitedDEFAULTandresource_name=’PASSWORD_LOCK_TIME’，查看unlimitedinitSID.oraREMOTE_OS_AUTHENT（TRUEFALSE），是否允許管理員對數(shù)據(jù)庫進行遠(yuǎn)程管理。listener.oraLISTENER”-“DESCRIPTION”-“ADDRESS_LIST”-“ADDRESS”-“PROTOCOL”的賦值，是否啟用了包括TCPS在內(nèi)的加密協(xié)議。5安 別全主

保用戶名具有唯一性；f）

0.5 系統(tǒng)帳戶列表，查看管理員用戶名分配是否唯一；1

1）查看配置文件sqlnet.ora，查看機 身份鑒種以上組合的鑒別6安 別（S）技術(shù)對管理用戶進全 行身份鑒別。主 訪問控a)應(yīng)啟用訪問控制7機 制（S）功能依據(jù)安全策

10.5

系統(tǒng)，查看身份鑒別是否采用兩個及兩個以上身份鑒別技術(shù)的組合來進行身份鑒別；是否對重要文件的訪問權(quán)限進行了限制，對系

SQLNET.AUTHENTICATION_SERVICES的值，確認(rèn)數(shù)據(jù)庫管理系統(tǒng)指定的鑒別方式是否與管理員回答的一致。2）詢問數(shù)據(jù)庫管理員，數(shù)據(jù)庫系統(tǒng)的訪問控制策略是什么。Oracle面安全控制點面安全控制點要求項控制用戶對資源的訪問；權(quán)重測評實施統(tǒng)不需要的服務(wù)、共享路徑等進行了禁用或刪除；測評結(jié)果程度致。Select*fromv$pwfile_users;列出所有具有SYSDBA和SYSOPER權(quán)限的數(shù)據(jù)庫用戶1）查看每個登錄用戶的角色和權(quán)限，是否是該用戶所需的最小權(quán)限。查看所有權(quán)限：序號主機 訪問控8安 制全

應(yīng)根據(jù)管理用戶

1）檢查主要服務(wù)器操作系統(tǒng)和主要數(shù)據(jù)庫管理系統(tǒng)的權(quán)限設(shè)置情況，查看是否依據(jù)安全策略對用戶權(quán)限進行了限制；0.52系統(tǒng)，查看特權(quán)用戶的權(quán)限是否進行分離，如可分為系統(tǒng)管理員、安全管理員、安全審計員等；查看是否采用最小授權(quán)原則；

Select*fromdba_users;Select*fromall_users;Select*fromuser_users;查看用戶系統(tǒng)權(quán)限：Select*fromdba_sys_privs;Select*fromSelect*fromSelect*fromsession_privs;查看用戶對象權(quán)限：Select*fromdba_tab_privs;Select*fromall_tab_privs;Select*fromuser_tab_privs;Select*fromdba_col_privs;Select*fromrole_tab_privs;查看所有角色：Select*fromdba_roles;查看用戶所擁有的角色：Select*fromdba_role_privs;層 符合序號 控制點 要求項 權(quán)重 測評實施 測評結(jié)果面 程度Select*fromuser_role_privs;主機 訪問控9安 制全主機 訪問控10

和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離；應(yīng)嚴(yán)格限制默認(rèn)

10.5

1作系統(tǒng)管理員是否由不同管理員擔(dān)任；1/

1）登錄操作系統(tǒng)，查看是否能對數(shù)據(jù)庫系統(tǒng)進行操作。1）以默認(rèn)賬戶//Oracle戶。默認(rèn)賬戶/口令：sys/change_on_install安 制

并修改這些賬戶的

禁用或者嚴(yán)格限制是否刪除了系統(tǒng)中多余的、 system/manager；全主機 訪問控11安 制全主

默認(rèn)口令；應(yīng)及時刪除多余

過期的以及共享的帳戶；1）檢查主要服務(wù)器操作系統(tǒng)和主要數(shù)據(jù)庫管0.5 及共享的帳戶；

常用賬戶/口令一般包括：oracle：oracle/admin/ora92sys：oracle/adminsystem：oracle/admin1）sqlplusselectusername,account_statusfromdba_usersscottoutl的賬戶。OracleLabelSecurityusername機 訪問控f）應(yīng)對重要信息12

11

fromdba_users，查看是否有包括所有OracleLabelSecurity安 制（S）源設(shè)置敏感標(biāo)記；全

系統(tǒng)，查看是否對重要信息資源設(shè)置敏感標(biāo)記；對象的LBACSYS用戶，其缺省口令是LBACSYS。2）查看是否創(chuàng)建策略：selectpolicy_name,statusfrom控制點要求項權(quán)重控制點要求項權(quán)重測評實施測評結(jié)果面程度dba_sa_policies。查看是否創(chuàng)建級別：select*fromdba_sa_levelsorderlevel_num。查看標(biāo)簽創(chuàng)建情況：select*fromdba_sa_labels。5）詢問重要數(shù)據(jù)存儲表格名稱。6）查看策略與模式、表的對應(yīng)關(guān)系：select*fromdba_sa_tables_policies標(biāo)簽。序號主機 訪問13

嚴(yán)格控制用戶對有

1檢查主要服務(wù)器操作系統(tǒng)和主要數(shù)據(jù)庫管理1 系統(tǒng)，查看是否依據(jù)安全策略嚴(yán)格控制用戶對

查看用戶的標(biāo)簽：select*fromdba_sa_user_labels。安 制（S）敏感標(biāo)記重要信息全 資源的操作。主到服務(wù)器和重要客

有敏感標(biāo)記重要信息資源的操作；

選擇特定的用戶和表進行驗證敏感標(biāo)記功能是否正確。1）執(zhí)行：selectvaluefromv$parameterwherename='audit_trail'或showparameteraudit_trail，查看是否開啟審計功能，審計結(jié)果默認(rèn)存放在哪里。審計跟蹤結(jié)果如存放到OS文件，其默認(rèn)位置為機 安全審14安 計全主安全審

戶端上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；

1 是否符合安全審計策略的要求；

$ORACLE_BASE/admin/$ORACLE_SID/adump/，systemSYS.AUD$表中，可通過視圖dba_audit_trail查看。2）用不同的用戶登錄數(shù)據(jù)庫系統(tǒng)并進行不同的操作，在數(shù)據(jù)庫中查看日志記錄是否滿足要求。showparameteraudit_sys_operations。15 機安

計（G）

資源的異常使用和

0.5 策略是否包括系統(tǒng)內(nèi)重要用戶行為、系統(tǒng)資源的異常和重要系統(tǒng)命令的使用等重要的安全相

selectsel,upd,del,ins,grafromdba_obj_audit_opts。（對象級別審計）層序號 控制點 要求面全 重要系統(tǒng)命令的用等系統(tǒng)內(nèi)重要安全相關(guān)事件；

權(quán)重關(guān)事件；

符合測評實施 測評結(jié)果程度selectsel,upd,del,ins,grafromdba_stmt_audit_opts。（語句級別審計）selectsel,upd,del,ins,grafromdba_priv_audit_opts。（權(quán)限級別審計）1）主機 安全16

審計記錄應(yīng)包括

統(tǒng)和主要數(shù)據(jù)庫管理系統(tǒng)，查看審計記錄信息0.5 是否包括事件發(fā)生的日期與時間、觸發(fā)事件的

select*fromsys.aud$;select*fromdba_audit_trail;安 計（G）類型主體標(biāo)識客全 體標(biāo)識和結(jié)果等；主應(yīng)能夠根據(jù)記錄機 安全審 數(shù)據(jù)進行分析并安 計（G）成審計報表；全主應(yīng)保護審計進程機 安全審 避免受到未預(yù)期安 計（G）中斷；全主 應(yīng)保護審計記錄

10.5

主體與客體、事件的類型、事件成功或失敗、事件的結(jié)果等內(nèi)容；是否為授權(quán)用戶提供瀏覽和分析審計記錄的功能，是否可以根據(jù)需要自動生成不同格式的審計報表；統(tǒng)和主要數(shù)據(jù)庫管理系統(tǒng)，可通過非審計員的其他帳戶試圖中斷審計進程，驗證審計進程是否受到保護；

SELECTsession_id,TIMESTAMP,db_user,os_user,userhost,sql_textFROMDba_Fga_Audit_Trail;1）OracleAuditVault工具并查看相關(guān)報表。與審計相關(guān)的操作。altersystemsetaudit_trail=none實例關(guān)閉審計功能，查看是否成功。1）詢問系統(tǒng)管理員，是否嚴(yán)格限制用戶訪問審計記錄的權(quán)限，機 安全19

避免受到未預(yù)期的

0.5

統(tǒng)和主要數(shù)據(jù)庫管理系統(tǒng)，查看是否對審計記

如采用auditvault等。安 計（G）刪除、修改或覆蓋全 等。

錄實施了保護措施，使其避免受到未預(yù)期的刪除、修改或覆蓋等；

或者：查看備份策略，是否定期備份審計數(shù)據(jù)。層序號 控制點 要求面重要服務(wù)器進行入主 侵的行為能夠記

權(quán)重 測評實施施，入侵防范內(nèi)容是否包括主機運行監(jiān)視、特定進程監(jiān)控、入侵行為檢測和完整性檢測等方

符合測評結(jié)果程度機 入侵20

入侵的源IP、攻擊

0.5

面內(nèi)容；安 范（G）的類型、攻擊的目全 的攻擊的時間在發(fā)生嚴(yán)重入侵事件時提供報警；b）應(yīng)能夠?qū)χ匾讨餍蛲暾赃M行檢測，

IP（EMAIL）；1檢查重要服務(wù)器是否提供對重要程序的完整機 入侵防21安 范全主機 入侵防22安 范全主惡意代機碼防范安（G）全

復(fù)的措施；c)操作系統(tǒng)遵循最裝需要的組件和應(yīng)升級服務(wù)器等方式保持系統(tǒng)補丁及時得到更新。應(yīng)安裝防惡意代防惡意代碼軟件版本和惡意代碼庫；

10.51

性進行檢測，并在檢測到完整性受到破壞后具有恢復(fù)的措施的功能；1）組件和應(yīng)用程序是否都是必須的；2）主要服務(wù)器操作系統(tǒng)補丁的升級；3系統(tǒng)的補丁是否得到了及時安裝；取惡意代碼實時檢測與查殺措施，惡意代碼實時檢測與查殺措施的部署覆蓋范圍如何；層序號 控制點 要求項 權(quán)重 測評實面與查殺惡意代碼的軟件產(chǎn)品并進行及時更新；

符合測評結(jié)果程度惡意代b)惡意代b)產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)碼防范0.5防惡意代碼產(chǎn)品不（G）同的惡意代碼庫；1機產(chǎn)品版本號和惡意代碼庫名稱等，查看其是否安與主機防惡意代碼產(chǎn)品有不同的惡意代碼庫；全惡意代c)應(yīng)支持惡意代碼惡意代c)應(yīng)支持惡意代碼碼防范0.5（G）防范的統(tǒng)一管理。a）應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)用戶的鑒別信息所剩余信在的存儲空間，被釋息保護放或再分配給其他0.5（S）用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中；b）應(yīng)確保系統(tǒng)內(nèi)的剩余信文件、目錄和數(shù)據(jù)庫息保護記錄等資源所在的0.2（S）存儲空間，被釋放或重新分配給其他用1）檢查防惡意代碼產(chǎn)品是否實現(xiàn)了統(tǒng)一管理；安全主 1檢查主要操作系統(tǒng)和主要數(shù)據(jù)庫管理系統(tǒng)維機 護操作手冊，查看是否明確用戶的鑒別信息存26安 儲空間被釋放或再分配給其他用戶前的處理方全 法和過程；主 1檢查主要操作系統(tǒng)和主要數(shù)據(jù)庫管理系統(tǒng)維機 護操作手冊，查看是否明確文件、目錄和數(shù)據(jù)27安 庫記錄等資源所在的存儲空間被釋放或重新分全 配給其他用戶前的處理方法和過程；層序號 控制點 要求面戶前得到完全清除。

符合權(quán)重 測評實施 測評結(jié)果程度28主機 資源控29安 制全主機 資源控

設(shè)置登錄終端的操作超時鎖定；c）應(yīng)對重要服務(wù)器

1）檢查主要服務(wù)器操作系統(tǒng)，查看是否設(shè)定了主a)應(yīng)通過設(shè)定終端機資源控主a)應(yīng)通過設(shè)定終端機資源控安制（A）范圍等條件限制終全端登錄；1應(yīng)檢查訪問主要服務(wù)器的終端是否都設(shè)置了0.5操作超時鎖定的配置；CPU

1）sqlnet.oratcp.invited_nodes（dbTCP.EXCLUDED_NODES）和TCP.EXCLUDED_NODES（指定不允許訪問oracle的節(jié)點，可以使用主機名或者IP地址）。2）如果沒有在數(shù)據(jù)庫系統(tǒng)上進行相關(guān)配置，則詢問是否在防火墻或其他網(wǎng)絡(luò)設(shè)備/安全設(shè)備上進行了相關(guān)的配置。1）查看空閑超時設(shè)置：selectlimitfromdba_profilesprofile=’DEFAULTandresource_name=’IDLE_TIME’。30安 制全主機 資源控

服務(wù)器的CPU、硬盤、0.5內(nèi)存、網(wǎng)絡(luò)等資源的使用情況；d)應(yīng)限制單個用戶

1）執(zhí)行命令：selectusername,profilefromdba_users，確定用戶使用的profile，針對指定用戶的profile，查看其限制31安 制全

對系統(tǒng)資源的最大或最小使用限度；

0.2

單個用戶對系統(tǒng)資源的最大或最小使用限度；

（以default為例）。limitfromdba_profileswhereandresource_name=’SESSIONS_PER_USER’，序號層面控制點要求項權(quán)重測評實施序號層面控制點要求項權(quán)重測評實施測評結(jié)果符合程度selectlimitfromdba_profileswhereprofile=’DEFAULT’andresource_name=’IDLE_TIME’。320.2 警；主e）應(yīng)能夠?qū)ο到y(tǒng)的機資源控服務(wù)水平降低到預(yù)安制（A）先規(guī)定的最小值進全行檢測和報警。select*fromsys.dba_usersselect*fromselect*fromdba_ts_quotasSelect*fromuser_history$Select*fromall_usersSelect*fromuser_u