中国移动Oracle数据库安全配置基线规范资料
Oracle安全配置基线
Oracle数据库系统平安配置基线中国移动通信管理信息系统部2021年 4月备注：1.假设此文档需要日后更新，请创立人填写版本控制表格，否那么删除版本控制表格。
目录第1章概述 (4)目的 (4)适用范围 (4)适用版本 (4)实施 (4)例外条款 (4)第2章帐号 (5)帐号平安 (5)删除不必要帐号* (5)限制超级管理员远程登录* (5)用户属性控制 (6)数据字典访问权限 (6)TNS登录IP限制* (7)第3章口令 (8)口令平安 (8)帐号口令的生存期 (8)重复口令使用 (8)认证控制* (9)更改默认帐号密码 (9)密码更改策略 (10)密码复杂度策略 (10)第4章日志 (12)日志审计 (12)数据库审计谋略* (12)第5章其他 (13)其他配置 (13)设置监听器密码 (13)加密数据* (13)第6章评审与修订 (14)第1章概述1.1 目的本文档规定了中国移动管理信息系统部所维护管理的ORACLE数据库系统应当遵循的数据库平安性设置标准，本文档旨在指导数据库管理人员进展ORACLE数据库系统的平安配置。
1.2 适用范围本配置标准的使用者包括：数据库管理员、应用管理员、网络平安管理员。
本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的ORACLE数据库系统。
1.3 适用版本ORACLE数据库系统。
1.4 实施本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中假设有任何疑问或建议，应及时反应。
本标准发布之日起生效。
1.5 例外条款欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信管理信息系统部进展审批备案。
第2章帐号2.1 帐号平安2.1.1删除不必要帐号*2.1.2限制超级管理员远程登录*2.1.3用户属性控制2.1.4数据字典访问权限2.1.5TNS登录IP限制*第3章口令3.1 口令平安3.1.1帐号口令的生存期3.1.2重复口令使用3.1.3认证控制*3.1.4更改默认帐号密码3.1.5密码更改策略3.1.6密码复杂度策略第4章日志4.1 日志审计4.1.1数据库审计谋略*第5章其他5.1 其他配置5.1.1设置监听器密码5.1.2加密数据*第6章评审与修订本标准由中国移动通信管理信息系统部定期进展审查，根据审视结果修订标准，并颁发执行。
ORACLE安全配置基线
profile and dba users . account status二'OPEN' and
resource 且拥e二'PASSWORD GRACE TIME'
基线符合性 判定依据 加固方案
查询结果中 PASSWORD GRACE TlME 小子等于 70 设置 PASSWORD_GRACE_TIME 小子等于 7
3)
将返回结果不必需的账号列表对比，如发现无关账号.表明不符
合安全要求 E 根据列表只保留必需!账号.结合实际情况锁定(或删除)无关账
号Q
锁定账号
删除账号
al ter
user <username> account lock;
dtop ilser 勺lsern础l e) cascad已 1
风险等级
高
1. 1 .2 眼制超级管理员远程登录
第 l 页共 6 页
ORACLE 安全配置基线
基线符合性 判定依据
07 DICTIONARY ACCESSIBILITYE Show parameter 07_DICTIONARY_ACCESSIBILITY 参数 07 DICTIONARY ACCESSIBILITY 是否设置为 FAL乒E
Ð7_DICTIONARY_ACCESSIBILITY 二 FAlβE 则表明符合安全要求。
风险等级
备注
高
密码过期后 7 天内不修改密码，密码将失效
1. 1. 7 口令复杂度策略
对于采用静态口令进行认证的数据库，口令长度至少 B 位，并包括数
安全基线项说明
字、小写字母、大写字母和特殊符号四类中至少两类。且 5 次以内不 得设置相同的口令。密码应至少每 90 天进行更换 。 以 Oracle 用户登陆到系统中;
Oracle数据库安全配置基线
Oracle数据库安全配置基线
简介
本文档旨在提供Oracle数据库的安全配置基线指南，以帮助确保数据库的安全性。
通过按照以下步骤进行配置，可以减少潜在的安全威胁和风险。
配置步骤
以下是Oracle数据库安全配置的基线步骤：
1. 安装最新的数据库补丁：确保在安装数据库之前，先安装最新的补丁程序，以修复已知的安全漏洞。
2. 禁用默认的系统帐户：在部署数据库之前，禁用默认的系统帐户（如SYSTEM、SYS、SYSMAN等），并创建自定义的管理员帐户。
3. 启用密码复杂性检查：使用强密码策略，确保数据库用户的密码具备足够的复杂性和强度。
4. 实施账户锁定策略：设置账户锁定策略，限制登录失败的次数，以防止暴力。
5. 限制数据库访问权限：核实数据库用户的访问权限，仅赋予他们所需的最低权限，以限制潜在的恶意操作。
6. 启用审计功能：启用Oracle数据库的审计功能，记录和监控数据库的所有活动，便于发现潜在的安全威胁。
7. 启用网络加密：使用SSL/TLS等加密协议，确保数据库与客户端之间的通信是安全和加密的。
8. 实施备份和恢复策略：定期备份数据库，并测试恢复过程，以防止数据丢失和灾难恢复。
9. 定期审查和更新安全配置：定期审查数据库的安全配置，并根据最新的安全标准和最佳实践的推荐，更新配置以提高安全性。
总结
通过遵循以上基线配置步骤，可以帮助提高Oracle数据库的安全性。
然而，在实际应用中，还应根据具体情况进行定制化的安全配置，并持续关注新的安全威胁和漏洞，及时进行更新和升级。
数据库安全基线
Oracle数据库安全基线目录1.1.Oracle 数据库系统安全基线配置规范............... 错误!未定义书签。
1.1.1.Linux版本...................................... 错误!未定义书签。
1.1.1.1.删除无用帐号.................................... 错误!未定义书签。
1.1.1.2.默认帐号修改口令................................ 错误!未定义书签。
1.1.1.3.限制数据库SYSDBA帐号........................... 错误!未定义书签。
1.1.1.4.口令策略........................................ 错误!未定义书签。
1.1.1.5.帐号锁定策略.................................... 错误!未定义书签。
1.1.1.6.用户权限最小化.................................. 错误!未定义书签。
1.1.1.7.public权限..................................... 错误!未定义书签。
1.1.1.8.数据库角色管理.................................. 错误!未定义书签。
1.1.1.9.启用日志审计.................................... 错误!未定义书签。
1.1.1.10.日志记录及保存.................................. 错误!未定义书签。
1.1.1.11.日志文件保护.................................... 错误!未定义书签。
1.1.1.12.开启监听器日志.................................. 错误!未定义书签。
Oracle数据库系统安全加固规范
ELK-Oracle-01-01-03
名称
限制超级管理员远程登录
实施目的
限制具备数据库超级管理员（SYSDBA）权限的用户远程登录。。
问题影响
允许数据库超级管理员远程非法登陆
系统当前状态
查看spfile,sqlnet.ora内容
实施步骤
1、参考配置操作
在spfile中设置REMOTE_LOGIN_PASSWORDFILE=NONE来禁止SYSDBA用户从远程登陆。在sqlnet.ora中设置SQLNET.AUTHENTICATION_SERVICES=NONE来禁用SYSDBA角色的自动登录。
示例:
SQL>CREATE OR REPLACE FUNCTION my_password_verify (username VARCHAR2 ,password VARCHAR2 ,old_password VARCHAR2 ) RETURN BOOLEAN IS
2 BEGIN
3 IF LENGTH(password) < 6 THEN
实施风险
高
重要等级
★
备注
1.1.5
编号
ELK-Oracle-01-01-05
名称
数据库角色
实施目的
使用数据库角色（ROLE）来管理对象的权限。
问题影响
账号管理混乱
系统当前状态
select * from dba_role_privs;
select * from user_role_privs;
记录用户拥有的role
实施风险
低
重要等级
★★★
备注
1.2.2
编号
ELK-Oracle-01-02-02
Oracle数据库安全配置标准
XX公司Oracle数据库安全配置标准（试行）1 目的为保证公司应用系统的信息安全，规范数据库层面的安全配置操作，制定本标准。
2 范围本标准适用于公司各个业务系统中使用的Oracle 10g及以上数据库系统。
3 安全配置标准3.1安装数据库的主机要求●主机应当专门用于数据库的安装和使用；●数据库主机避免安装在域控制器上；●硬件要求请参考Oracle 10g及以上各发行版自带的发行说明；●主机操作系统层面应当保证安全：Oracle数据库可以安装在Windows Server,Linux,及各类Unix系统上，数据库软件安装之前，应当保证主机操作系统层面的安全，需要对主机进行安全设置，补丁更新，防病毒软件安装等。
3.2数据库补丁安装标准日常运行维护中如果Oracle推出新的补丁，则应按照《基础平台运维管理办法》的相关规定，在进行评估、验证之后，升级相关补丁。
3.3数据库口令安全配置标准3.3.1 密码复杂性配置要求1.密码长度至少为8位2.必须为DBA帐户和普通帐户提供复杂的口令，需要包含以下字符：⏹英语大写字母 A, B, C, … Z⏹英语小写字母 a, b, c, … z⏹西方阿拉伯数字 0, 1, 2, (9)⏹非字母数字字符，如标点符号，@, #, $, %, &, *等⏹为用户建profile，调整PASSWORD_VERIFY_FUNCTION，对密码负载度进行设置：3.3.2 创建应用账号并授权创建用户：SQL>create user username identified by password;基本授权：SQL>grant connect,resource to username;创建表空间：SQL>create tablespace tablespace_name datafile ‘/home/oracle/tablespace_name.dbf’size 500m;用户与表空间对应：SQL>alter user username default tablespace tablespace_name;3.3.3 禁用不必要的数据库帐户针对每个数据库里的数据库帐号，确保没有测试帐号和无用的帐号存在。
Oracle数据库安全配置规范
Oracle数据库安全配置规范Oracle数据库安全配置规范1.概述1.1. 目的本规范明确了Oracle数据库安全配置方面的基本要求。
为了提高Oracle数据库的安全性而提出的。
1.2. 范围本规范适用于XXXX使用的Oracle数据库版本。
2.配置标准2.1. 帐号管理及认证授权2.1.1.按照用户分配帐号【目的】应按照用户分配账号，避免不同用户间共享账号。
【具体配置】create user abc1 identified by password1;create user abc2 identified by password2;建立role，并给role授权，把role赋给不同的用户删除无关帐号2.1.2.删除无用帐号【目的】应删除或锁定与数据库运行、维护等工作无关的账号。
【具体配置】alter user username lock;drop user username cascade;2.1.3.限制DBA远程登录【目的】限制具备数据库超级管理员（SYSDBA）权限的用户远程登录。
【具体配置】1. 在spfile中设置REMOTE_LOGIN_PASSWORDFILE=NONE来禁止SYSDBA用户从远程登陆。
2. 在sqlnet.ora中设置SQLNET.AUTHENTICATION_SERVICES=NONE来禁用 SYSDBA 角色的自动登录。
【检测操作】1. 以Oracle用户登陆到系统中。
2. 以sqlplus ‘/as sysdba’登陆到sqlplus环境中。
3. 使用show parameter命令来检查参数REMOTE_LOGIN_PASSWORDFILE是否设置为NONE。
Show parameter REMOTE_LOGIN_PASSWORDFILE4. 检查在$ORACLE_HOME/network/admin/sqlnet.ora文件中参数SQLNET.AUTHENTICATION_SERVICES是否被设置成NONE。
中国移动安全基线
基线安全
分类项 1 2 3 4 5 6 7
8
9 10 11 12 13
中国移动思科路由交换设备基线安全规范
Cisco路由交换 限制管理员账户直接登录
分类项 14
Cisco路由交换 非必要功能禁用
配置账户所需最的ACL，过滤掉业务无关协议，端口 使用ssh协议进行维护
账号、口令、授权、认证
• 日志配置要求 • IP协议安全配置要求
• 基本协议安全、路由协议安全、snmp协议安全、MPLS安全
• 设备其他安全配置要求
关闭未使用的端口、修改路由器缺省banner值、配置定时账户自动 退出、配置console口密码保护、关闭不必要的网络服务或功能、
PPT文档演模板
中国移动安全基线
MSSQL数据库 不同用户分配不同账号
删除无关账号 配置账户最小权限 使用数据库角色来管理对象权限 检查弱口令/空口令账户 配置日志功能，记录账户登录事件 配置日志功能，记录与数据库相关的安全事件 （一般默认满 足要求） 删除不必要的存储过程 使用通信协议加密 安装最新补丁包
PPT文档演模板
中国移动安全基线
不同用户分配不同组 （可选）
21 主机访问控制 （可选）
用户口令复杂度策略
22 禁止ICMP重定向，采用静态路由 （可选）
口令生存周期
23 禁止ip转发 （可选）
限制口令重复次数 （可选）
24 设置登录超时 （可选）
口令锁定策略
（可选）
25 设置屏幕锁定 （可选）
passwd shadow group 文件授权
PPT文档演模板
中国移动安全基线
基线安全
• 中国移动Windows系统安全配置要求
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
中国移动O r a c l e数据库
配置安全基线规范
T i t l e{英文黑体四号}
版本号：2.０.０{黑体小四}
╳╳╳╳-╳╳-╳╳发布╳╳╳╳-╳╳-╳╳实施
目录
1概述 (1)
1.1适用范围 (1)
1.2内部适用性说明 (1)
1.3外部引用说明 (2)
1.4术语和定义 (2)
1.5符号和缩略语 (4)
2ORACLE数据库（功能、配置）安全基线 (4)
2.1账号 (4)
2.2口令 (5)
2.3授权 (5)
2.4日志 (5)
2.5IP (5)
2.6其他 (6)
3编制历史 (6)
前言
本标准由中国移动通信有限公司网络部提出并归口。
本标准由标准提出并归口部门负责解释。
本标准起草单位：中国移动通信有限公司网络部
本标准解释单位：同提出单位
1概述
1.1 适用范围
本规范适用于中国移动通信网、业务系统和支撑系统中使用的Oracle数据库
设备。
本规范明确了设备的基本安全要求，为在设备入网测试、工程验收和设备
运行维护环节明确相关安全要求提供指南。
本规范可作为编制设备入网测试规
范，工程验收手册，局数据模板等文档的参考。
1.2 内部适用性说明
本规范是依据《中国移动设备通用安全基线规范》中配置类基线要求的基础上提出的Oracle数据库安全基线配置规范，为便于比较，特作以下逐一比较及说明（在“采纳意见”部分对应为“完全采纳”、“部分采纳”、“增强要求”、“新增”、“不采纳”。
在“补充说明”部分，对于增强要求的情况，说明在本规范的相应条款中描述了增强的要求。
对于“不采纳”的情况，说明采纳的原因）。
1.3 外部引用说明
1.4 术语和定义
数据库角色
是Oracle数据库中用来定义一组对象权限的集合。
数据库超级管理员(SYSDBA)
具有SYSDBA权限的用户可以启动和停止数据库。
用户的Profile
Oracle通过Profile功能来对数据库帐号的某些属性进行限制，比如CPU使用率、每个用户的最大连接数、口令生存周期等。
数据库监听器
是一个在服务器端运行的，用作监听客户端连接的进程。
它来授权和建立客户端与数据库服务器端的连接。
Oracle安全补丁
是由Oracle公司定期在其官方网站上发布的用作修补Oracle产品安全漏洞的补丁集。
Oracle高级安全性
Oracle高级安全性提供了3个组件来满足隐私保护和法规遵守的需求：透明的数据加密、网络加密和数据完整性以及强认证。
Oracle标签安全性(OLS)
Oracle标签安全性（OLS）通过把用户的安全性许可证与附加在数据行上的数据分类标签进行对比，来提供现成可用的行级安全性。
在Oracle身份管理系统中可有效地管理整个企业的用户安全性许可证。
虚拟专用数据库
Oracle虚拟专用数据库（VPD）提供了可定制、基于政策的直至行一级的访问控制，以管理数据安全性和隐私保护。
各项政策被有计划地附加到数据库的各个对象（表，视图）上，因而不管采用何种访问方法，政策都会得到执行。
这样就消除了应用安全性问题，并为数据的整合奠定了基础，保护了各个数据集的分离性。
数据加密
Oracle数据加密特性为在介质上存储的数据提供了一个额外的保护层。
现在，你可以保护至关重要的数据，如信用卡号码，甚至是介质被盗了，你的数据仍然是安全的。
BDUMP/UDUMP/CDUMP目录
是通过初始化参数background_dump_dest、core_dump_dest和user_dump_dest 来定义的Oracle数据库日志的输出目录。
1.5 符号和缩略语
2Oracle数据库（功能、配置）安全基线
（本部分应分大类逐条说明该类设备对应的功能基线或配置基线。
对每大类规范要求应依据下面的格式。
）
2.1账号
2.2口令
2.3授权
2.4日志
2.5IP
2.6其他
3编制历史。