2021年中国移动Oracle数据库安全配置综合手册.doc

密 级：
文档编号：
项目代号：
中国移动Oracle数据库
安全配置手册
Version
中国移动通信
二零零四年十一月
拟 制:
审 核:
批 准:
会 签:
标准化:
版本控制
版本号
日期
参与人员
更新说明
分发控制
编号
读者
文档权限
和文档关键关系
1
创建、修改、读取
负责编制、修改、审核
2
同意
负责本文档同意程序
3
标准化审核
作为本项目标标准化责任人，负责对本文档进行标准化审核
4
读取
5
读取
目 录
第一章 目标和范围 1
目标 1
1
1
第二章 数据库安全规范 1
操作系统安全 1
帐户安全 2
2
访问权限安全 2
日志统计 3
加密 3
管理员用户端安全 3
安全补丁 3
审计 3
第三章 数据库安全配置手册 4
Oracle数据库安全配置方法 4
基础漏洞加固方法 4
特定漏洞加固方法 12
第四章 附录：数据库安全问题及处理方案 17
数据库安全问题 17
数据安全基础需求 17
数据安全风险 19
业界采取安全技术 21
Oracle9i安全处理之道 21
Oracle9i 安全处理方案 – 提供端到端安全体系结构 23
Oracle9i Database 安全机制 23
托管环境安全 26
网络中安全——基于标准公共密钥体系结构 (PKI) 27
优异用户和安全策略管理 29

第一章 目标和范围
目标
为了加强中国移动集团下属各企业网络系统安全管理，全方面提升中国移动集团下属各企业业务网和办公网网络安全水平，确保网络通信通畅和信息系统正常运行，提升网络服务质量，特制订本方法。
本文档意在于规范中国移动集团下属各企业对Oracle数据库进行安全加固。

本手册适适用于对中国移动集团下属各企业业务网和办公网系统数据库系统加固进行指导。

数据库类型为Oracle9i Enterprise Edition。
第二章 数据库安全规范
操作系统安全
要使数据库安全，首先要使其所在平台和网络安全。然后就要考虑操作系统安全性。Orac
le使用大量用户不需要直接访问文件。比如，数据文件和联机重做日志文件只能经过Oracle后台进程进行读写。所以，只有要创建和删除这些文件数据库管理员才需要在操作系统级直接访问它们。导出转储文件和其它备份文件也必需受到保护。能够把数据复制到其它数据库上，或是作为复制模式一部分，或是提供一个开发数据库。若要保护数据安全，就要对数据所驻留每一个数据库及这些数据库备份进行保护。假如某人能从含有你数据备份数据库中带走备份磁带，那么你在数据库中所做全部保密工作就失去意义。必需预防对全部数据备份非法访问。
帐户安全
为了避免数据库帐户大量花费系统资源，影响其它用户正常访问，能够依据应用实际需要，对数据库帐户所使用资源（如CPU等）进行限制。这么能够控制恶意攻击者提议大量连接及事务破坏数据库系统正常运行，限制数据库帐户系统资源能够用profile实施。
另外，数据库创建后，会存在部分内建帐户，这些帐户全部有初始密码。出于安全考虑，需要修改这些内建帐户初始密码，预防恶意攻击者以众所周知初始密码登录数据库。另外，对不使用帐户应锁定，消除帐户安全隐患。

用户登录数据库密码很关键，一旦密码被窃听，数据库安全就面临严重威胁。从Oracle ，client 远程连接数据库，Oracle Net 会自动对经过网络传输登录密码进行加密，确保密码不被明文传输而被窃听。，可在
=true。
另外，对密码进行严格管理。能够使用profile来管理口令终止、重新使用和复杂性。比如，能够限制一个口令寿命、锁定口令过旧帐户等。也能够强制一个口令最少有一定程度复杂性并锁定一个数次注册失败帐户。这么能够有效地预防黒客猜测帐户口令，降低口令安全隐患。