xxx oracle数据库安全加固方案

Q/ZD浙 江 省 电 力 公 司 企 业 标 准 编号：Q/XXX Oracle数据库安全加固方案2014年11月19日2010-*-* 发布 2010-*-* 实施浙江省电力公司 发布前 言为规范Oracle数据库安全加固操作，全面系统地降低Oracle数据库面临的风险，及时堵塞漏洞，提高安全防护能力，特制订XXX Oracle数据库安全加固方案。本方案适用于Oracle数据库安全加固工作要求。本方案由XXX负责起草设计。本方案主要起草人：XXX。目 录1.适用范围52.方案实施准备52.1 准备工作52.2 危险点分析及预控措施63.方案实施流程74.方案实施程序及标准85.方案实施操作记录15XXX Oracle数据库安全加固方案1. 适用范围本方案适用于XXX Oracle 8i、10g数据库安全加固。2. 方案实施准备2.1 准备工作序号内容标准1核实Oracle数据库安全加固操作申请熟悉本次方案实施的内容和操作2填写、核实工作操作内容填写工作操作内容，并经相关责任人书面认可3获知本次操作所需的信息1、 获知Oracle数据库主机的地址、用户名和密码2、 获知Oracle数据库sys和system用户的密码2.2 危险点分析及预控措施序号危险点防范措施1修改帐号权限时，造成权限过大或过小以最小权限原则为每个帐号分配其必须的角色、系统权限、对象权限和语句权限2删除或禁止有用的服务、组件等对无用的服务、组件进行排查，并和应用系统厂商进行确认3增加网络访问控制，对应用系统造成影响操作前和业务部门、应用系统厂商进行确认并做好测试工作3. 方案实施流程4. 方案实施程序及标准序号工作内容操作方法及标准安全措施及注意事项登录系统1通过管理主机登录Oracle数据库主机通过ssh或vnc或RDP登录Oracle数据库主机，输入用户名密码注意用户名、密码的保密2登录Oracle数据库以sys用户的身份登录Oracle数据库，默认：sqlplus / as sysdba（10g)或sqlplus username/password（8i）帐号权限加固3限制应用用户在数据库中的权限，尽量保证最小化，避免授予了DBA权限1.查看权限SQLSELECT * FROM dba_sys_privs WHERE grantee=; - 系统权限SQLSELECT * FROM dba_tab_privs WHERE grantee=; - 对象权限SQLSELECT * FROM dba_role_privs WHERE grantee=; -赋予的角色2.收回相应权限(例如收回select any table权限)SQLREVOKE select any table FROM ;3. 收回应用用户的DBA角色SQLREVOKE dba FROM ;避免分配权限过大或过小4撤消public角色的程序包执行权限1.查看public角色的程序包执行权限SQLSELECT table_name FROM dba_tab_privs WHERE grantee=PUBLIC and privilege=EXECUTE; 2.撤销public角色的程序包执行权限（例如撤销在utl_file包上的执行权限）SQLREVOKE execute ON utl_file FROM public;Oracle官方建议撤销public角色对utl_file、utl_http、utl_tcp、utl_smtp、dbms_random程序包的执行权限。5修改系统帐户的默认口令（特别是管理员角色类帐户）锁定所有不需要的用户1.修改sys和system口令SQLALTER USER sys IDENTIFIED BY ;SQLALTER USER system IDENTIFIED BY ;2.锁定不需要的用户SQLALTER USER ACCOUNT LOCK;6删除系统中多余的自建帐号1.查看用户自建账号SQLSELECT username FROM all_users;2.删除或者禁用多余自建账号SQLDROP USER CASCADE;7为所有应用用户配置强口令1.根据设置的口令策略修改弱口令SQLALTER USER IDENTIFIED BY ;数据访问控制加固8严格限制库文件的访问权限，保证除属主和root外，其他用户对库文件没有写权限1. 用操作系统命令查看库文件访问权限（以RedHat Linux为例）ls -l $ORACLE_BASE/oradata2.用操作系统命令删除库文件组和其他用户的写权限chmod 640 $ORACLE_BASE/oradata/*3.Windows系统同理（方法不同）修改权限可能对部分应用系统造成影响，需要联系业务部门和应用系统厂商做好相关的测试工作9设置$ORACLE_HOME/bin其下所有程序的访问权限或其他安全控制机制1. 用操作系统命令查看bin目录下所有程序文件的访问权限（以RedHat Linux为例）ls -l $ORACLE_HOME/bin2.用操作系统命令删除组和其他用户的写权限chmod 640 $ORACLE_HOME/bin/*修改权限可能对部分应用系统造成影响，需要联系业务部门和应用系统厂商做好相关的测试工作服务加固10在不影响业务系统正常运行情况下，停止或禁用与承载业务无关的服务或组件1.用操作系统命令查看有无与业务无关的服务或组件2.用操作系统命令停止或禁用与业务无关的服务或组件需要和业务部门确认11删除数据库中存在有无用的、测试的、废弃的表,视图1. 查看数据库中表或视图等对象SQLSELECT * FROM dba_tables;SQLSELECT * FROM dba_views;2.删除数据库中存在的无用的、测试的、废弃的表或视图SQLDROP TABLE ;SQLDROP VIEW ; 需要和业务部门确认网络访问控制加固12设置TNS登录的IP限制，仅允许最少的必要的IP地址可连接TNS监听器1.在目录$ORACLE_HOME/network/admin下修改sqlnet.ora文件实现TNS登录IP限制,设置下列配置信息：tcp.validnode_checking=yes#允许访问的iptcp.invited_nodes =(ip1,ip2,)#不允许访问的iptcp.excluded_nodes=(ip1,ip2,)2.修改sqlnet.ora后，重新启动listener服务可能对部分应用系统造成影响，需要联系业务部门和应用系统厂商做好相关的测试工作13关闭远程操作系统认证1. 在目录$ORACLE_HOME/network/admin下修改sqlnet.ora文件,设置下列配置信息:sqlnet.authentication_services=(NONE)2. 修改参数Remote_login_passwordfile为EXCLUSIVE或SHAREDSQLALTER SYSTEM SET REMOTE_LOGIN_PASSWORDFILE=EXCLUSIVE SCOPE=SPFILE;3. 修改参数REMOTE_OS_AUTHENTSQLALTER SYSTEM SET REMOTE_OS_AUTHENT=FALSE SCOPE=SPFILE;4. 重启数据库和监听使修改生效需要重启服务，应提前通知业务部门14在不影响应用的前提下，更改默认的1521端口1. 查看当前监听的状态lsnrctl status2. 停止监听lsnrctl stop3. 修改监听文件的端口号，在目录$ORACLE_HOME/network/admin下修改listener.ora文件（例如把端口号改为11251）LISTENER =(DESCRIPTION_LIST = (DESCRIPTION = (ADDRESS = (PROTOCOL = TCP)(HOST=LOCALHOST)(PORT=11251) )4. 修改初始化参数local_listenerSQLALTER SYSTEM SET local_listener=(address=(protocol=tcp)(host=localhost)(port=11251);SQLquit5. 重启监听器lsnrctl start6. 修改完毕，使用新端口登录测试netstat -tunap | grep 11251lsnrctl status客户端连接测试对所有应用系统都有影响，需要跟业务部门配合做好评估和测试工作15限制对监听器的远程管理，并设置监听器管理口令（8i）1.进入监听设置状态lsnrctl2.设置当前监听器set current_listener 3.设置密码change_passwordset password4.保存设置save_config5.检查listener.ora文件，看是否有一条PASSWORDS_的记录可能对部分应用系统造成影响，需要联系业务部门和应用系统厂商做好相关的测试工作16外部程序调用监听配置的删除（8i）1.打开listener.ora文件，删除以下配置文件:(ADDRESS_LIST = (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC0) )(SID_DESC = (SID_NAME = PLSExtProc) (ORACLE_HOME = C:oracleora81) (PROGRAM = extproc)2. 重启监听3. 查看监听状态默认安装时，会安装一个PL/SQL外部程序（ExtProc）条目在listener.ora中，是oracle为调用外部程序默认配置的监听，它的名字通常是ExtProc或PLSExtProc，但一般不会使用它，可以直接从listener.ora中将这项移除，因为对ExtProc已经有多种攻击手段了，在不使用外部程序时，oracle也是建议删除的。口令策略加固16设置口令复杂度要求1.检查profile文件设置SQLSELECT * FROM dba_profiles;2.创建口令复杂度函数SQL$ORACLE_HOME/rdbms/admin/utlpwdmg.sql3.设置口令复杂度，要求长度不小于4位字符串，而且是字母和数字或特殊字符的混合，用户名和口令禁止相同SQLALTER PROFILE DEFAULT LIMIT password_verify_function verify_function;但是Oracle口令复杂度包含的特殊字符不是任意特殊字符都可以，一般以下划线、$、*等符号为主。17设置口令使用期限，要求到期后自动更改1.检查profile文件设置SQLSELECT * FROM dba_profiles;2.设置profile密码策略，建议使用控制台设置SQLALTER PROFILE DEFAULT LIMIT password_life_time 30;18设置策略对口令尝试次数进行限制1.检查profile文件设置SQLSELECT * FROM dba_profiles;2.设置profile密码策略SQLALTER PROFILE DEFAULT LIMIT failed_login_attempts 5 password_lock_time 1;设置口令尝试次数为5次，登录超过有效次数锁定时间为1天。缺陷是万一有恶意访问，在输入多次错误密码后此用户就被锁定导致不可用。审计策略加固19启用相应的审计功能，配置审核策略使系统能够审核数据库管理和安全相关操作的信息，建议对SYSDBA审计操作1.启用审计功能SQLALTER SYSTEM SET audit_trail=os scope=spfile;2.启用对sysdba的活动审计SQLALTER SYSTEM SET audit_sys_operations=true;2.重启数据库，使设置生效若是windows 平台,audit trail会记录在windows的事件管理器中,若是linux/unix平台则会记录在audit_file_dest参数指定文件中；审计功能对数据库的性能和磁盘空间要求较高；需要重启数据库，应提前通知业务部门20配置日志策略，确保数据库的归档日志文件、在线日志文件、网络日志、跟踪文件、警告日志记录功能是否启用并且有效实施1. 配置归档模式将数据库正常关闭SQLSHUTDOWN IMMEDIATE启动到MOUNT模式SQLSTARTUP MOUNTSQLALTER DATABASE ARCHIVELOGSQLALTER DATABASE OPEN2.配置归档日志的名称格式ALTER SYSTEM SET log_archvie_format=%S_%T_%R.log scope=spfile3.配置归档位置ALTER SYSTEM SET log_archive_dest_1=location=oracleoradataarchive1 scope=spfile对磁盘空间要求非常高；需要重启数据库，应提前通知业务部门21配置日志管理策略、保证日志存放的地点的安全可靠1. 配置多个归档位置，包括本地归档位置和远程归档位置ALTER SYSTEM SET log_archive_dest_2=location=oracleoradataarchive2 scope=spfileALTER SYSTEM SET log_archive_dest_3=service=standby scope=spfile配置远程归档位置时，SERVICE选项需要制定远程数据库的网络服务名（在tnsnames.Ora文件中配置）对磁盘空间要求非常高；需要重启数据库，应提前通知业务部门漏洞加固22安装系统安全补丁，对扫描或手工检查发现的系统漏洞进行修补1. 运行防病毒软件（如SEP）保护操作系统2. 下载并安装相应的安全补丁更新安全补丁可能对数据库系统、应用系统造成影响；需要进行严格测试并做好备份恢复措施后实施。退出系统23退出系统1. 断开数据库连接2. 关闭和数据库主机之间的连接5. 方案实施操作记录Oracle数据库安全加固操作记录见附录A。附录AOracle数据库安全加固操作记录编号： 日期： 年 月 日名称：地点：序号项目完成情况1登录系统2帐号权限加固3数据访问控制加固4服务加固5网络访问控制加固6口令策略加固7审计策略加固8漏洞加固9退出系统记录请详细记录操作情况：操作说明操作命令备注删除权限REVOKE select any table FROM ;成功操作者：下面是赠送的中秋节演讲辞，不需要的朋友可以下载后编辑删除！谢谢中秋佳节演讲词推荐中秋,怀一颗感恩之心老师们，同学们：秋浓了，月圆了，又一个中秋要到了!本周日，农历的八月十五，我国的传统节日中秋节。中秋节，处在一年秋季的中期，所以称为“中秋”，它仅仅次于春节，是我国的第二大传统节日。中秋的月最圆，中秋的月最明，中秋的月最美，所以又被称为“团圆节”。金桂飘香，花好月圆，在这美好的节日里，人们赏月、吃月饼、走亲访友无论什么形式，都寄托着人们对生活的无限热爱和对美好生活的向往。中秋是中华瑰宝之一，有着深厚的文化底蕴。中国人特别讲究亲情，特别珍视团圆，中秋节尤为甚。中秋，是一个飘溢亲情的节日;中秋，是一个弥漫团圆的时节。这个时节，感受亲情、释放亲情、增进亲情;这个时节，盼望团圆、追求团圆、享受团圆这些，都已成为人们生活的主旋律。同学们，一定能背诵出许多关于中秋的千古佳句，比如“举头望明月，低头思故乡”、“但愿人长久，千里共婵娟”、“海上生明月，天涯共此时”这些佳句之所以能穿透历史的时空流传至今，不正是因为我们人类有着的共同信念吗。中秋最美是亲情。一家人团聚在一起，讲不完的话，叙不完的情，诉说着人们同一个心声：亲情是黑暗中的灯塔，是荒漠中的甘泉，是雨后的彩虹中秋最美是思念。月亮最美，美不过思念;月亮最高，高不过想念。中秋圆月会把我们的目光和思念传递给我们想念的人和我们牵挂的人，祝他们没有忧愁，永远幸福，没有烦恼，永远快乐! 一、活动主题：游名校、赏名花，促交流，增感情二、活动背景：又到了阳春三月，阳光明媚，微风吹拂，正是踏青春游的好时节。借春天万物复苏之际，我们全班聚集在一起，彼此多一点接触，多一点沟通，共话美好未来，与此同时，也可以缓解一下紧张的学习压力。 相信在这次春游活动中，我们也能更亲近的接触自然，感悟自然，同时吸收万物之灵气的同时感受名校的人文气息。三、活动目的：1. 丰富同学们的校园生活，陶冶情操。2. 领略优美自然风光，促进全班同学的交流，营造和谐融洽的集体氛围。 3. 为全体同学营造一种轻松自由的气氛，又可以加强同学们的团队意识。 4. 有效的利用活动的过程及其形式，让大家感受到我们班级的发展和进步。四、活动时间：XX年3月27日星期四五、活动参与对象：房产Q1141全体及“家属”六、活动地点：武汉市华中农业大学校内七、活动流程策划：1、27日8点在校训时集合，乘车2、9点前往华农油菜基地、果园，赏花摄影3、10点30，回农家乐开始做饭，进行“我是厨王”大比拼4、1点30，收拾食品残物，开始集体活动5、4点，乘车返校八、职能分工及责任定岗1、调研组：负责前期的选址、策划的撰写、实地考察、交通工具的联系和检验组长：金雄成员：吴开慧2、安全保卫组：负责登记参加春游的人数，乘车前的人数的登记，集体活动时同学的请假的审批，安全知识的培训与教育，午餐制作的人员分组组长：徐杨超成员：王冲3、食材采购组：根据春游的人数和预算费用合理购买食材组长：胡晴莹成员：何晓艺4、活动组织组：在车上、赏花期间、主要是做饭完后的集体活动期间的活动的组织组长：武男成员：冯薏林5、厨艺大赛组织组：负责指导各个小组的午餐的准备，最后负责从五个小组里推荐的里面选出“厨王”（厨王春游费用全免）组长：朱忠达成员：严露6、财务组：负责财务的报账及最后的费用的收取，做好最后的决算向全班报告组长：杨雨7、督导组：负责检查各组的任务的完成及协调各小组的任务分工组长：叶青青【注】以上只是大致的责任定岗，组长负主责，各小组要相互配合，相互帮助发挥你们的聪明才智去认真完成任务九、注意事项1、分组要尽量把做事积极的与不太积极的搭配，每组里都要有学生干部，学生干部要起带头作用2、食材的购买不要太复杂了，先前想出菜谱，然后组织大家学习下烹饪知识，注意食材购买的质和量3、注意提醒大家手机充足电，随时保持通讯畅通，有相机的同学带上相机，组织大家多拍几张全家福4、游戏最好要能吸引全部人参加，让同学们能增加了解，班委们能更好的了解同学们的动态，增进感情各组应在规定时间前把活动准备情况向督导组报告，出现紧急情况要第一时报告。督导组也可以及时把活动的准备情况在班委群公布，实时互动。中秋最美是感恩!无须多言，给父母一个微笑，给亲友一个问候，递上一杯清茶，送上一口月饼，这是我们给予父母最好的回报。感谢父母给予的生命，感谢父母给予的培养老师们，同学们，这个中秋，我们要用一颗感恩的心来度过!心怀感恩!感恩一切造就我们的人，感恩一切帮助我们成长的人!心怀感恩，我们才懂得尊敬师长，才懂得关心帮助他人，才懂得勤奋学习、珍爱自己，才会拥有快乐，拥有幸福!老师们，同学们，中秋最美，美不过一颗感恩的心!中秋最美，美不过真心的祝福!在此，我代表学校，祝老师们、同学们中秋快乐，一切圆满!