Oracle數(shù)據(jù)庫 配置基準(zhǔn)v2

1、OracleOracle 數(shù)據(jù)庫數(shù)據(jù)庫 配置基準(zhǔn)配置基準(zhǔn)文檔信息文檔信息密級分類密級分類機(jī)密機(jī)密- -內(nèi)部內(nèi)部版本版本日期日期更新說明更新說明撰寫人員撰寫人員復(fù)核人員復(fù)核人員V12006-04-29王芳王凡詢版本控制版本控制序號序號控制區(qū)域控制區(qū)域控制目標(biāo)控制目標(biāo)備注備注1系統(tǒng)一般性設(shè)置缺省帳號和密碼更改缺省帳號和密碼更改應(yīng)該禁用軟件自帶的默認(rèn)用戶帳號，或修改該帳號名。如果必須保留默認(rèn)用戶帳號，其密碼應(yīng)根據(jù)公司制定的密碼管理制度而更改。若無業(yè)務(wù)要求，建議刪除或更名默認(rèn)帳號（諸如 SCOTT 等）；若有些帳號不能禁用或更名（如 SYS,SYSTEM），設(shè)置復(fù)雜密碼。2系統(tǒng)一般性設(shè)置基于主機(jī)的認(rèn)證

2、基于主機(jī)的認(rèn)證用戶直接通過數(shù)據(jù)庫而不是通過主機(jī)操作系統(tǒng)進(jìn)行認(rèn)證。建議：Oracle 帳號認(rèn)證方式為database.3配置設(shè)置帳號鎖定帳號鎖定用戶帳號應(yīng)該設(shè)置為若干次失敗登陸嘗試后自動鎖定或禁用。建議：失敗登陸嘗試次數(shù)（FAILED_LOGIN_ATTEMPTS）設(shè)置為 3 次 用戶帳號鎖定周期（PASSWORD_LOCK_TIME） 設(shè)置為 5 天；4配置設(shè)置用戶空閑對話（用戶空閑對話（Idle_SessionIdle_Session timeouttimeout）不活動的已登陸帳號應(yīng)該在一段時間后自動登出。建議：自動注銷時間（IDLE_TIME）設(shè)置為 15 分。連接應(yīng)用程序的數(shù)據(jù)庫帳號若

3、不能達(dá)到上述要求， 必須保證帳號不能被未經(jīng)授權(quán)人使用。5配置設(shè)置密碼構(gòu)成密碼構(gòu)成配置系統(tǒng)使其要求輸入復(fù)雜密碼（如希臘字母、數(shù)字鍵、大寫字母及特殊字符）以減少密碼被破解的可能性。此外，用戶不要使用容易被猜中的密碼（如字典中某詞、用戶名的改寫、個人愛好等）。建議：啟用函數(shù) VERIFY_FUNCTION連接應(yīng)用程序的數(shù)據(jù)庫帳號若不能滿足復(fù)雜密碼的要求，必須保證帳號不能被未經(jīng)授權(quán)人使用。6配置設(shè)置密碼過期密碼過期所有帳號密碼都應(yīng)該在規(guī)定周期內(nèi)過期。建議：最長密碼使用周期（PASSWORD_LIFE_TIME）設(shè)置為 90 天。連接應(yīng)用程序的數(shù)據(jù)庫帳號若不能達(dá)到上述要求， 必須保證帳號不能被未經(jīng)授權(quán)人

4、使用。7配置設(shè)置歷史密碼歷史密碼應(yīng)該設(shè)置系統(tǒng)對歷史密碼進(jìn)行維護(hù)，并在規(guī)定時間內(nèi)不允許重復(fù)使用歷史密碼。建議：將密碼歷史記錄保存次數(shù)（PASSWORD_REUSE_MAX）設(shè)置為 4，將密碼歷史紀(jì)錄保存時間（PASSWORD_REUSE_TIME）設(shè)置為“unlimited”。 8配置設(shè)置密碼要求密碼要求要求每個帳號都設(shè)立密碼。9特權(quán)用戶權(quán)限OracleOracle 數(shù)據(jù)文件訪問許可數(shù)據(jù)文件訪問許可只有 Oracle 數(shù)據(jù)庫擁有者能對 Oracle 數(shù)據(jù)文件有讀/寫權(quán)利。建議：對數(shù)據(jù)庫數(shù)據(jù)文件的訪問應(yīng)該控制，只賦予授權(quán)人員 10特權(quán)用戶權(quán)限數(shù)據(jù)庫超級帳號的數(shù)據(jù)庫超級帳號的數(shù)據(jù)庫 dba 權(quán)限只能

5、賦予授權(quán)人員11特權(quán)用戶權(quán)限限定角色功能限定角色功能帶有“插入”、“更新”或“刪除”權(quán)限的角色創(chuàng)建時必須配有密碼。12關(guān)鍵資源和程序安全對于數(shù)據(jù)庫服務(wù)工具的訪問對于數(shù)據(jù)庫服務(wù)工具的訪問對于強(qiáng)大的系統(tǒng)與數(shù)據(jù)庫服務(wù)工具的訪問要嚴(yán)格限定于那些確實(shí)有工作需要的用戶。建議：對數(shù)據(jù)庫的可執(zhí)行文件或 Oracle 其他的工具的訪問權(quán)限是經(jīng)過授權(quán)的。13用戶訪問授權(quán)對生產(chǎn)數(shù)據(jù)的訪問對生產(chǎn)數(shù)據(jù)的訪問對于數(shù)據(jù)的“更新”“插入”“刪除”權(quán)限只授予授權(quán)人員。14用戶訪問授權(quán)臨時帳號和第三方服務(wù)商帳號臨時帳號和第三方服務(wù)商帳號臨時帳號和第三方服務(wù)商帳號應(yīng)該設(shè)置為在指定周期后過期或刪除。15用戶訪問監(jiān)控開啟審計日志開啟審計日志記錄登陸日志記錄權(quán)限修改的日志記錄對數(shù)據(jù)庫修改的日志16特權(quán)用戶權(quán)限審計表許可審計表許可對于審計表訪問的許可嚴(yán)格限制在確實(shí)有此需要的帳號中。17職責(zé)分離訪問底層操作系統(tǒng)