1概述1。1适用范围 本规范明确了Oracle数据库安全配置方面的基本要求。1。2符号和缩略语 缩写 英文描述 中文描述 DBA DatabaseAdministrator 数据库管理员 2ORACLE安全配置要求 本规范所指的设备为ORACLE数据库。本规范提出的安全配置要求，在未特别说明的情况下，均适用于ORACLE数据库。 本规范从ORACLE数据库的认证授权功能、安全日志功能，和其他自身安全配置功能提出安全要求。2。1账号 ORACLE应提供账号管理及认证授权功能，并应满足以下各项要求。 2。1。1按用户分配帐号 要求内容 应按照用户分配账号，避免不同用户间共享账号。 操作指南1、参考配置操作 createuserabc1identifiedbypassword1； createuserabc2identifiedbypassword2； 建立role，并给role授权，把role赋给不同的用户 2、补充操作说明 1、abc1和abc2是两个不同的账号名称，可根据不同用户，取不同的名称； 检测方法3、判定条件 不同名称的用户可以连接数据库 4、检测操作 connectabc1password1连接数据库成功 5、补充说明 2。1。2删除或锁定无关帐号 要求内容 应删除或锁定与数据库运行、维护等工作无关的账号。 操作指南1、参考配置操作 alteruserusernamelock； dropuserusernamecascade； 2、补充操作说明 检测方法3、判定条件 首先锁定不需要的用户 在经过一段时间后，确认该用户对业务确无影响的情况下，可以删除 4、检测操作 5、补充说明 2。1。3限制SYSDBA用户的远程登录 要求内容 限制具备数据库超级管理员（SYSDBA）权限的用户远程登录。 操作指南1、参考配置操作 1。在spfile中设置REMOTELOGINPASSWORDFILENONE来禁止SYSDBA用户从远程登陆。 2。在sqlnet。ora中设置SQLNET。AUTHENTICATIONSERVICESNONE来禁用SYSDBA角色的自动登录。 2、补充操作说明 检测方法3、判定条件 1。不能通过SqlNet远程以SYSDBA用户连接到数据库。 2。在数据库主机上以sqlplus‘assysdba’连接到数据库需要输入口令。 4、检测操作 1。以Oracle用户登陆到系统中。 2。以sqlplus‘assysdba’登陆到sqlplus环境中。 3。使用showparameter命令来检查参数REMOTELOGINPASSWORDFILE是否设置为NONE。 ShowparameterREMOTELOGINPASSWORDFILE 4。检查在ORACLEHOMEnetworkadminsqlnet。ora文件中参数SQLNET。AUTHENTICATIONSERVICES是否被设置成NONE。 5、补充说明 2。1。4用户权限最小化 要求内容 在数据库权限配置能力内，根据用户的业务需要，配置其所需的最小权限。 操作指南1、参考配置操作 grant权限tousername； revoke权限fromusername； 2、补充操作说明 用第一条命令给用户赋相应的最小权限 用第二条命令收回用户多余的权限 检测方法3、判定条件 业务测试正常 4、检测操作 业务测试正常 5、补充说明 2。1。5使用ROLE管理对象的权限 要求内容 使用数据库角色（ROLE）来管理对象的权限。 操作指南1、参考配置操作 1。使用CreateRole命令创建角色。 2。使用用Grant命令将相应的系统、对象或Role的权限赋予应用用户。 2、补充操作说明 检测方法3、判定条件 对应用用户不要赋予DBARole或不必要的权限。 4、检测操作 1。以DBA用户登陆到sqlplus中。 2。通过查询dbaroleprivs、dbasysprivs和dbatabprivs等视图来检查是否使用ROLE来管理对象权限。 5、补充说明 2。1。6控制用户属性 要求内容 对用户的属性进行控制，包括密码策略、资源限制等。 操作指南1、参考配置操作 可通过下面类似命令来创建profile，并把它赋予一个用户 CREATEPROFILEappuser2LIMIT FAILEDLOGINATTEMPTS6 PASSWORDLIFETIME60 PASSWORDREUSETIME60 PASSWORDREUSEMAX5 PASSWORDVERIFYFUNCTIONverifyfunction PASSWORDLOCKTIME124 PASSWORDGRACETIME90； ALTERUSERjdPROFILEappuser2； 2、补充操作说明 检测方法3、判定条件 1。可通过设置profile来限制数据库账户口令的复杂程度，口令生存周期和账户的锁定方式等。 2。可通过设置profile来限制数据库账户的CPU资源占用。 4、检测操作 1。以DBA用户登陆到sqlplus中。 2。查询视图dbaprofiles和dbausres来检查profile是否创建。 5、补充说明 2。1。7启用数据库字典保护 要求内容 启用数据字典保护，只有SYSDBA用户才能访问数据字典基础表。 操作指南1、参考配置操作 通过设置下面初始化参数来限制只有SYSDBA权限的用户才能访问数据字典。 O7DICTIONARYACCESSIBILITYFALSE 2、补充操作说明 检测方法3、判定条件 以普通dba用户登陆到数据库，不能查看X开头的表，比如： selectfromsys。xksppi； 4、检测操作 1。以Oracle用户登陆到系统中。 2。以sqlplus‘assysdba’登陆到sqlplus环境中。 3。使用showparameter命令来检查参数O7DICTIONARYACCESSIBILITY是否设置为FALSE。 ShowparameterO7DICTIONARYACCESSIBILITY 5、补充说明 2。2口令2。2。1静态口令认证的密码复杂度控制 要求内容 对于采用静态口令进行认证的数据库，口令长度至少6位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。 操作指南1、参考配置操作 为用户建profile，调整PASSWORDVERIFYFUNCTION，指定密码复杂度 2、补充操作说明 检测方法3、判定条件 修改密码为不符合要求的密码，将失败 4、检测操作 alteruserabcd1identifiedbyabcd1；将失败 5、补充说明 2。2。2静态口令认证的密码生命周期 要求内容 对于采用静态口令认证技术的数据库，账户口令的生存期不长于90天。 操作指南1、参考配置操作 为用户建相关profile，指定PASSWORDGRACETIME为90天 2、补充操作说明 在90天内，需要修改密码 检测方法3、判定条件 到期不修改密码，密码将会失效。连接数据库将不会成功 4、检测操作 connectusernamepassword报错 5、补充说明 2。2。3静态口令认证的密码重复使用限制 要求内容 对于采用静态口令认证技术的数据库，应配置数据库，使用户不能重复使用最近5次（含5次）内已使用的口令。 操作指南1、参考配置操作 为用户建profile，指定PASSWORDREUSEMAX为 2、补充操作说明 当前使用的密码，必需在密码修改次后才能再次被使用 检测方法3、判定条件 重用修改次内的密码，将不能成功 4、检测操作 alteruserusernameidentifiedbypassword1；如果password1在次修改密码内被使用，该操作将不能成功 5、补充说明 2。2。4景泰口令认证的连续登录失败的帐号锁定策略 要求内容 对于采用静态口令认证技术的数据库，应配置当用户连续认证失败次数超过6次（不含6次），锁定该用户使用的账号。 操作指南1、参考配置操作 为用户建profile，指定FAILEDLOGINATTEMPTS为 2、补充操作说明 如果连续次连接该用户不成功，用户将被锁定 检测方法3、判定条件 连续次用错误的密码连接用户，第次时用户将被锁定 4、检测操作 connectusernamepassword，连续次失败，用户被锁定 5、补充说明 2。2。5更改数据库默认帐号的密码 要求内容 更改数据库默认帐号的密码。 操作指南1、参考配置操作 1。可通过下面命令来更改默认用户的密码： ALTERUSERXXXIDENTIFIEDBYXXX； 2。下面是默认用户列表： ANONYMOUS CTXSYS DBSNMP DIP DMSYS EXFSYS HR LBACSYS MDDATA MDSYS MGMTVIEW ODM ODMMTR OE OLAPSYS ORDPLUGINS ORDSYS OUTLN PM QS QSADM QSCB QSCBADM QSCS QSES QSOS QSWS RMAN SCOTT SH SIINFORMTNSCHEMA SYS SYSMAN SYSTEM TSMSYS WKTEST WKPROXY WKSYS WMSYS XDB 2、补充操作说明 检测方法3、判定条件 不能以用户名作为密码或使用默认密码的账户登陆到数据库。 4、检测操作 1。以DBA用户登陆到sqlplus中。 2。检查数据库默认账户是否使用了用户名作为密码或默认密码。 5、补充说明 2。2。6操作系统级的帐户安全策略 要求内容 Oracle软件账户的访问控制可遵循操作系统账户的安全策略，比如不要共享账户、强制定期修改密码、密码需要有一定的复杂度等。 操作指南1、参考配置操作 使用操作系统一级的账户安全管理来保护Oracle软件账户。 2、补充操作说明 检测方法3、判定条件 每3个月自动提示更改密码，过期后不能登陆。 4、检测操作 每3个月强制修改Oracle软件账户密码，并且密码需要满足一定的复杂程度，符合操作系统的密码要求。 5、补充说明 2。3日志2。3。1登录日志功能 要求内容 数据库应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号、登录是否成功、登录时间以及远程登录时用户使用的IP地址。 操作指南1、参考配置操作 创建ORACLE登录触发器，记录相关信息，但对IP地址的记录会有困难 检测方法2、判定条件 登录测试，检查相关信息是否被记录 3、检测操作 4、补充说明 触发器与AUDIT会有相应资源开消，请检查系统资源是否充足。特别是RAC环境，资源消耗较大。 2。3。2DDL日志 要求内容 数据库应配置日志功能，记录用户对数据库的操作，包括但不限于以下内容：账号创建、删除和权限修改、口令修改、读取和修改数据库配置、读取和修改业务用户的话费数据、身份数据、涉及通信隐私数据。记录需要包含用户账号，操作时间，操作内容以及操作结果。 操作指南1、参考配置操作 创建ORACLEDDL触发器，记录相关信息，但对IP地址的记录会有困难 2、补充操作说明 检测方法2、判定条件 做相关操作，检查是否记录成功 4、检测操作 5、补充说明 触发器与AUDIT会有相应资源开消，请检查系统资源是否充足。特别是RAC环境，资源消耗较大。 2。3。3数据库审记 要求内容 根据业务要求制定数据库审计策略。 操作指南1、参考配置操作 1。通过设置参数audittraildb或os来打开数据库审计。 2。然后可使用Audit命令对相应的对象进行审计设置。 2、补充操作说明 检测方法3、判定条件 对审计的对象进行一次数据库操作，检查操作是否被记录。 4、检测操作 1。检查初始化参数audittrail是否设置。 2。检查dbaaudittrail视图中或ORACLEBASEadminadump目录下是否有数据。 5、补充说明 AUDIT会有相应资源开消，请检查系统资源是否充足。特别是RAC环境，资源消耗较大。 2。4其他2。4。1DataVault 要求内容 使用Oracle提供的DataVault选件来限制有DBA权限的用户访问敏感数据。 操作指南1、参考配置操作 OracleDataVault是作为数据库安全解决方案的一个单独选件，主要功能是将数据库管理账户的权限和应用数据访问的权限分开，DataVault可限制有DBA权限的用户访问敏感数据。设置比较复杂，具体细节请参考Oracle文档。 2、补充操作说明 检测方法3、判定条件 以DBA用户登陆，不能查询其它用户下面的数据。 4、检测操作 1。在视图dbausers中查询是否存在dvsys用户。 2。在视图dbaobjects中检查是否存在dbmsmacadm对象。 5、补充说明 2。4。2Listener设定密码保护 要求内容 为数据库监听器（LISTENER）的关闭和启动设置密码。 操作指南1、参考配置操作 通过下面命令设置密码： lsnrctl LSNRCTLchangepassword Oldpassword：Notdisplayed Newpassword：Notdisplayed Reenternewpassword：Notdisplayed Connectingto（DESCRIPTION（ADDRESS（PROTOCOLTCP）（HOSTprolin1）（PORT1521）（IPFIRST））） PasswordchangedforLISTENER Thecommandcompletedsuccessfully LSNRCTLsaveconfig 2、补充操作说明 检测方法3、判定条件 使用lsnrctlstart或lsnrctlstop命令起停listener需要密码 4、检测操作 检查ORACLEHOMEnetworkadminlistener。ora文件中是否设置参数PASSWORDSLISTENER。 5、补充说明 2。4。3设定信任IP集 要求内容 设置只有信任的IP地址才能通过监听器访问数据库。 操作指南1、参考配置操作 只需在服务器上的文件ORACLEHOMEnetworkadminsqlnet。ora中设置以下行： tcp。validnodecheckingyes tcp。invitednodes（ip1，ip2） 2、补充操作说明 检测方法3、判定条件 在非信任的客户端以数据库账户登陆被提示拒绝。 4、检测操作 检查ORACLEHOMEnetworkadminsqlnet。ora文件中是否设置参数tcp。validnodechecking和tcp。invitednodes。 5、补充说明 2。4。4加密网络传输 要求内容 使用Oracle提供的高级安全选件来加密客户端与数据库之间或中间件与数据库之间的网络传输数据。 操作指南1、参考配置操作 1。在OracleNetManager中选择OracleAdvancedSecurity。 2。然后选择Encryption。 3。选择Client或Server选项。 4。选择加密类型。 5。输入加密种子（可选）。 6。选择加密算法（可选）。 7。保存网络配置，sqlnet。ora被更新。 2、补充操作说明 检测方法3、判定条件 通过网络层捕获的数据库传输包为加密包。 4、检测操作 检查ORACLEHOMEnetworkadminsqlnet。ora文件中是否设置sqlnet。encryption等参数。 5、补充说明 2。4。5断开超时的空闲远程连接 要求内容 在某些应用环境下可设置数据库连接超时，比如数据库将自动断开超过10分钟的空闲远程连接。 操作指南1、参考配置操作 在sqlnet。ora中设置下面参数： SQLNET。EXPIRETIME10 2、补充操作说明 检测方法3、判定条件 10分钟以上的无任何操作的空闲数据库连接被自动断开 4、检测操作 检查ORACLEHOMEnetworkadminsqlnet。ora文件中是否设置参数SQLNET。EXPIRETIME。 5、补充说明 2。4。6限制DBA组中的操作系统用户数量 要求内容 限制在DBA组中的操作系统用户数量，通常DBA组中只有Oracle安装用户。 操作指南1、参考配置操作 通过etcpasswd文件来检查是否有其它用户在DBA组中。 2、补充操作说明 检测方法3、判定条件 无其它用户属于DBA组。 4、检测操作 通过etcpasswd文件来检查是否有其它用户在DBA组中。 5、补充说明
仲景牌六味地黄丸源自医圣张仲景的补肾经方，可调理肾阴亏损中医的九种体质，大家虽然说不具体，但日常生活中多少都会有点讲究。比如我这人爱上火，吃不了辣我怕冷，早早就穿上秋衣秋裤了我消化不好，多吃一点就会胃胀难受我青菜吃少了嗯嗯就不顺畅了其实这一类食物很便宜，既能帮助降糖，还能帮助降血压在的你印象里，是不是觉得，人在生病的时候，要饮食清淡，少吃辛辣？但真实情况可能未必是这样。研究发现，吃辣椒能降低血糖和血压水平，有糖尿病和高血压的人，反而可以适当吃点辣24。那辣椒总是如鲠在喉？小心反流性咽喉炎咽炎的病因林林总总，大家对于咽炎的症状也是相对熟悉了，但是有一种特殊的咽炎反流性咽喉炎，我们大部分人对它一无所知。虽然反流性咽喉炎在大众的认知里并不熟悉，但在临床工作中却并不陌生。百会穴为啥叫百，会？百会别名三阳五会天满泥丸宫巅上。百会位置在前顶后一寸五分，顶中央旋毛中，陷可容指。取法正坐，在后发际中点上7寸处或于头部中线与两耳尖连线的交点处取穴。局部解剖在帽状腱膜中有左右颞浅长期吃面食，与长期吃米饭的人，有什么区别？哪种人身体更健康最早在黄河流域文化刚刚诞生的时期，主食这一概念就已经存在了。考古学家从古文化遗迹中发现的谷物种子，都能够很好地证明这一点。直至今日，我国主食主要分化为米饭和面食两种流派，而对于两种中国6人出战仅丁俊晖输球，12人晋级德国正赛创纪录，种子大溃败11月26日，本赛季世界斯诺克巡回赛德国大师赛资格赛全部结束，晋级正赛32强的选手悉数诞生。中国军团在最后一个比赛日中表现出色，总计6人出战决胜轮，只有丁俊晖一人输球出局，其他5人广东队三消息赵睿升任队长，锋线小将被租借，第二阶段名单被曝赵睿升任球队队长。北京时间11月27日，CBA第一阶段休赛期，根据国内媒体爆料，广东男篮休赛期期间，在球队队长的人选是再次作出调整，老将任俊飞将不再担任球队队长一职，球队队长将会由浓眉缺阵，老詹狂砍39分11板3助1断1帽，湖人再胜马刺，411倒计时今天洛杉矶湖人客场背靠背继续挑战圣安东尼奥马刺队，詹姆斯全场出战35分钟21投11中，砍下39分11篮板3助攻1次抢断1封盖，今天只有4次失误，投篮手感爆棚，罚球线上今天10罚10老詹复出9次失误！刚踢世界杯赶回来，凑合着看吧！韩国瑜伽网红找找状态！老詹复出17中8砍下21分8板5助2断9失误NBA常规赛，湖人客场10594力克马刺。此役，老詹伤缺5场后复出，全场比赛出战35分钟，17中8得到21分8板5助2断，值1接受多场四官考验中国裁判等待主裁时机马宁出场担任第四官员。中国青年报客户端北京11月27日电（中青报中青网记者郭剑文刘占崑摄）27日凌晨，卡塔尔世界杯D组次轮，卫冕冠军法国队20战胜丹麦队成为第一支晋级16强球队，中火箭变主场龙！格林单节9分5助攻13分，双塔3632，圆脸4记三分费尔南多的防守并不比森贡强多少，塞拉斯估计也看出来了，于是让他休战。森贡身体恢复了，回归后继续出任首发中锋。戈登没问题，他属于背靠背轮休，回来之后仍然担任首发小前锋，小马丁虽然打得