測等保2 0 Oracle訪問控制

資訊系統只要執行，就會產生資料，產生資料就需要儲存，資料庫就是所有資訊系統所必需的，資料是資訊系統最重要的東西，所以資料庫的安全就是保障資料安全的重要屏障，現在市面上有許多資料庫產品，其中使用比較廣泛的就是oracle資料庫，今天我們就來講一講等保測評2.0中對oracle資料庫有哪些安全要求。

oracle資料庫

寫到現在，其實等保2.0對於資料庫的要求都是一樣的，不同的是每個資料庫都會有自己的實現方式，下面我們按照慣例列出等保2.0對於oracle資料庫在訪問控制方面的要求。

a)應對登入的使用者分配賬戶和許可權；

b)應重新命名或刪除預設賬戶，修改預設賬戶的預設口令；

d)應授予管理使用者所需的最小許可權，實現管理使用者的許可權分離；

e)應由授權主體配置訪問控制策略，訪問控制策略規定主體對客體的訪問規則；

f)訪問控制的粒度應達到主體為使用者級或程序級，客體為檔案、資料庫表級；

g)應對重要主體和客體設定安全標記，並控制主體對有安全標記資訊資源的訪問。

a)應對登入的使用者分配賬戶和許可權；

從字面意思看，對登陸的使用者分配賬戶和許可權，既然已經登陸了，自然就存在賬戶了，這裡的意思是一開始就有幾個待分配的賬戶，當有使用者需要使用這些賬戶時，就分配給該使用者，至於許可權問題，就必須存在至少兩個賬戶，且這兩個賬戶的許可權不一樣，才有分配許可權的必要性。

b)應重新命名或刪除預設賬戶，修改預設賬戶的預設口令；

oracle在安裝成功後會自動生成三個預設賬戶，分別是sys使用者、scott使用者和system使用者，其中sys使用者是超級使用者，具有最高許可權，具有sysdba角色，有create database的許可權，該使用者預設的密碼是change_on_install；system使用者是管理操作員，許可權也很大，具有sysoper角色，沒有create database的許可權，預設的密碼是manager，一般來講，對資料庫維護，使用system使用者登入就可以了；scott是普通使用者，密碼是tiger。

根據本項要求需要重新命名或者刪除這三個預設賬戶，如果有需要就重新命名及修改預設口令，但是實際情況是sys使用者和system使用者對於資料庫有管理作用，刪除後會對資料庫產生一些影響，一般只做修改，而sys使用者名稱修改又比較麻煩，只修改口令就可以了。

刪除或停用多餘的、過期的賬戶，這無話可說，但是沒有好的方法確認哪些是多餘的、過期的賬戶，只有通過訪談的方式乙個乙個賬戶的詢問，如果被訪談人回答不上來這些賬戶的用途，就可以判斷這些賬戶是多餘的賬戶，但是無法避免被訪談人隨便回答的用途。我們可以使用語句：

select * from all_users;

檢視所有賬戶，當然前提是以管理員身份登入的。

共享賬戶就是多人使用乙個賬戶的情況，這個也只能通過訪談的方式檢查，結果無法考證，所以是避免，在測評的過程中也存在乙個人使用多個賬戶的情況，那麼這就存在多餘賬戶的可能，當然這也都無法查證。

d)應授予管理使用者所需的最小許可權，實現管理使用者的許可權分離；

oracle資料庫中許可權最大的是sys使用者，如果只有乙個sys管理使用者肯定不符合要求，一般大家比較常見的許可權劃分方法就是三權分立，即系統管理員、安全管理員和審計管理員。

系統管理員

1、負責系統引數，如流程、表單的配置、維護和管理；

2、負責使用者的註冊、刪除，保證使用者識別符號在系統生命週期的唯一性；

3、負責組織機構的變動調整，負責與使用者許可權相關的各類角色的設定。

安全管理員

1、負責人員涉密等級和職務等資訊調整和使用者許可權的分配；

2、負責保管所有除系統管理員以外的所有使用者的id標誌符檔案。安全保密管理員不能以其他使用者身份登入系統；

3、不能檢視和修改任何業務資料庫中的資訊；

4、負責使用者審計日誌以及安全審計員日誌的檢視，但不能增刪改日誌內容。

審計管理員

1、負責監督檢視系統管理員、安全保密管理員和安全審計管理員的操作日誌,但不能增刪改日誌內容；

2、負責定期備份、維護和匯出日誌。

我們可以通過語句：

select * from dba_sys_privs where grantee='sys' order by grantee;

查詢使用者被賦予的系統許可權，上班我們以sys使用者為例，如下圖所示：

sys使用者許可權

e)應由授權主體配置訪問控制策略，訪問控制策略規定主體對客體的訪問規則；

這一項說白了就是檢視資料庫有沒有專門負責給其他使用者分配許可權的使用者，用我們前邊「三權分立」的方法，就是檢視有沒有安全管理員，這個我們只能通過訪談的方式確認該使用者的存在，可以通過之前的語句檢視該使用者確實有授予其他使用者許可權的許可權。

f)訪問控制的粒度應達到主體為使用者級或程序級，客體為檔案、資料庫表級；

也就是說oracle資料庫可以給使用者或者程序分配具體到可以訪問哪個檔案和哪張表的功能，其實oracle資料庫可以分配到更細，直接到表裡的字段都可以，所以oracle資料庫是超標準預設符合該項要求，然而最大的問題是安全管理員並不在乎這個功能，最後導致形同虛設。

g)應對重要主體和客體設定安全標記，並控制主體對有安全標記資訊資源的訪問。

這一項幾乎不用看，基本沒有符合要求的，但是oracle確實提供了可以實現此項的外掛程式：oracle_label_security，但是由於安裝此外掛程式的硬體與軟體要求，以及安裝的費用、以後維護和實際使用價值都讓絕大部分人望而卻步，不過也不用太在意，因為這乙個測評項不屬於高風險項。

測等保2 0 Oracle訪問控制

等保1 0與等保2 0的區別

等保1 0與等保2 0的區別

等保2 0控制點總結

測等保2 0 Oracle訪問控制

等保1 0與等保2 0的區別

等保1 0與等保2 0的區別

等保2 0控制點總結

相關推薦