oracle 数据库安全基线

目录

一、服务器基线

1. 环境与软硬件规范

1.1. 运行环境

1.2. 软件版本

1.3. ASM磁盘组

2. 操作系统安装规范

2.1. 字符集

2.2. 时区

3. 操作系统配置规范

3.1. 系统服务

3.2. SELinux

3.3. 透明大页

3.4. NTP配置

3.5. 多路径软件配置

3.6. 系统内核参数

3.7. SHELL配置

4. ORACLE数据库配置规范

4.1. 表空间配置规范

4.2. 数据文件管理规范

4.3. ASM实例参数调整

4.4. 数据库参数调整

4.5. Redo log配置规范

4.6. 控制文件参数调整

4.7. 监听器端口调整

4.8. Oracle用户与密码过期调整

4.9. 密码错误10次锁定调整

5. 安全基线配置

5.1. SNMP服务配置

5.2. 禁用ctrl+alt+del组合键

5.3. 锁定用户

5.4. 配置账户认证失败次数限制

5.5. 配置SSH方式账户认证失败次数限制

5.6. 配置记录用户对设备的操作（pacct）

5.7. 配置安全事件日志

5.8. 取消重要文件suid和sgid权限

5.9. 检查需关闭的服务

5.10. 配置su权限

5.11. 配置数据库用户权限

 

一、服务器基线

1. 环境与软硬件规范

1.1. 运行环境

序号	名称	规范	备注
1	高可用模式	数据库集群
2	数据库集群方式	ORACLE RAC
3	RAC存储管理方式	ORACLE ASM
4	操作系统	Linux	64bit

1.2. 软件版本

序号	运行环境名称	运行环境统一规范	备注
1	ORACLE GI初始版本	GRID 11.2.0.4.0	按年度动态更新
2	ORACLE GI PSU	PSU 11.2.0.4.10	按年度动态更新
3	ORACLE DATABASE初始版本	DATABASE 11.2.0.4.0	按年度动态更新
4	ORACLE DATABASE PSU	PSU 11.2.0.4.10	按年度动态更新
5	操作系统初始版本	RHEL 6.8	按年度动态更新

1.3. ASM磁盘组

序号	磁盘组名称	用途	冗余方式	RAID类型	建议设置
1	+DATA01	存放业务数据	外部冗余	RAID 5	按资源分配的方式单为依据来划分大小
2	+ARCH	存放归档日志	外部冗余	RAID 5	初始空间1000G，后期根据备份策略动态调整。
3	+OCR_VOTE	存放VOTING DISK和OCR	标准冗余	RAID 1+0	配置3块或以上大小相同的磁盘，建议大小为10GB
4	+REDO_LOG	存放在线日志	外部冗余	RAID 1+0	建议磁盘大小为10GB，日志分组见6.5小节

 

2. 操作系统安装规范

2.1. 字符集

统一采用英文界面安装，以保证采用英文作为操作系统缺省的语言环境。同时，在安装附加语言支持时，选择简体中文。

2.2. 时区

（1）时区选择东八区：Shanghai，Asia；

（2）系统时钟不使用 UTC（世界协调时间）；若有特殊要求，可根据实际需求调整。

3. 操作系统配置规范

3.1. 系统服务

序号	服务名称	服务说明	建议
1	ip6tables	ipv6包过滤软件防火墙服务	关闭
2	iptables	包过滤软件防火墙服务	关闭
3	sshd	ssh远程服务	开启
4	NTP	时间服务器	开启
5	Bluetooth	蓝牙服务	关闭
6	postfix	电子邮件服务	关闭
7	cups	cups打印机服务	关闭
8	cpuspeed	cpu速率调整服务	关闭
9	NetworkManager	网络自动管理服务	关闭
10	vsftpd	ftp服务	关闭
11	dhcpd	dhcp服务	关闭
12	nfs	网络文件共享服务	关闭
13	nfslock	nfs锁机制服务	关闭
14	ypbind	nis客户端服务	关闭

 

3.2. SELinux

  SELinux 全称 Security Enhanced Linux,因当前生产环境采用了硬件防火墙，建议关闭SELinux安全策略，以免降低性能。

3.3. 透明大页

透明大页（Transparent HugePages ）在RAC环境下会导致性能问题，ORACLE官方不建议使用。

3.4. NTP配置

配置NTP服务时注意启用-x微调模式选项。

3.5. 多路径软件配置

（1）多路径软件和存储连接要求最少两条链路，设置为负载均衡模式。

（2）建议优先选用存储厂商提供的多路径软件。若使用操作系统自带的multipath配置存储多路径，按下面的规范进行配置：

3.6. 系统内核参数

序号	参数名	参数说明	建议值
1	kernel.shmmni	共享内存段的最大数量	4096
2	kernel.shmall	控制共享内存页数	根据计算公式进行调整，物理内存*0.7*1024*1024KB/4KB
3	kernel.shmmax	单个共享内存段的最大值	根据计算公式进行调整，物理内存*0.7*1024*1024*1024
4	kernel.sem	每个进程通讯需要的信号灯	250 32000 100 128
5	fs.file-max	同时打开的文件数目	6815744
6	fs.aio-max-nr	同时可以拥有的的异步IO请求数目	1048576
7	net.core.rmem_default	接收套接字缓冲区默认大小	262144
8	net.core.rmem_max	接收套接字缓冲区最大值	4194304
9	net.core.wmem_default	发送套接字缓冲区默认大小	262144
10	net.core.wmem_max	发送套接字缓冲区最大值	1048576
11	net.ipv4.ip_local_port_range	端口的范围	9000 65500
12	net.ipv4.ipfrag_high_thresh	IP分片汇聚的最大内存用量	4194304
13	net.ipv4.ipfrag_low_thresh	用于IP分片汇聚的最小内存用量	3145728
14	vm.min_free_kbytes	系统虚拟内存最低保留的大小	512000
15	vm.vfs_cache_pressure	内核回收用于directory和inode cache内存的倾向	200
16	vm.swappiness	控制系统将内存交换到SWAP积极性	20
17	vm.nr_hugepages	启用大页管理，该参数指明了内存页数	DB_SGA+ASM_SGA+1GB/Hugepagesize

3.7. SHELL配置

编辑limits.conf文件，设置grid和oracle用户的资源限制，并把pam_limits.so加入启动文件中以确保配置生效。

# vi /etc/pam.d/login  #编辑login文件，加入以下内容

session required pam_limits.so

4. ORACLE数据库配置规范

4.1. 表空间配置规范

序号	名称	建议初始大小	数据文件存放位置
1	SYSTEM表空间	30G	+DATA01
2	SYSAUX表空间	60G	+DATA01
3	UNDOTBS1表空间	120G	+DATA01
4	UNDOTBS2表空间	120G	+DATA01
5	TEMP表空间	>=60G	+DATA01
6	业务表空间		+DATA01

 

4.2. 数据文件管理规范

UNDO、TEMP表空间中的文件，必须关闭自动扩展；业务表空间，建议关闭自动扩展。

4.3. ASM实例参数调整

Oracle11g默认asm实例的SGA大小为272M，在实际生产过程中，经常会由于磁盘组的增加导致ASM实例提示4031错误。因此建议增加ASM实例的SGA大小。

序号	参数名称	参数说明	建议值
1	ASM实例SGA_TARGET	设置ASM实例SGA目标值	Oracle11g默认asm实例的SGA大小为272M，修改为4G   两个节点分别操作(+ASM1根据实际名称修改) export ORACLE_SID=+ASM1 sqlplus /as asmdba alter system set sga_max_size = 4096M scope=spfile;

4.4. 数据库参数调整

序号	参数名称	参数说明	建议值
1	SGA_TARGET	SGA设置目标值	初始值建议为：(总物理内存* 0.7) * 0.8，后续需要定期分析系统做适应性调整
2	PGA_AGGREGATE_TARGET	PGA设置目标值	(总物理内存* 0.7) * 0.2，后续需要定期分析系统做适应性调整
3	SGA_MAX_SIZE	SGA设置最大值	初始值建议为：(总物理内存* 0.7) * 0.8，后续需要定期分析系统做适应性调整
4	DB_CACHE_SIZE	数据库缓存大小	建议设置一个最小值，初始为SGA的50%左右，具体值需要根据物理内存大小、SGA大小而确定，后续需要定期分析系统做适应性调整
5	SHARED_POOL_SIZE	共享池大小	建议设置一个最小值，初始为SGA的25%左右，具体值需要根据物理内存大小、SGA大小而确定，后续需要定期分析系统做适应性调整
6	MEMORY_TARGET	AMM管理设置内存大小	建议值0（11G及以后版本）
7	SESSION_CACHED_CURSOR	会话缓存游标	建议初始300，具体需要根据系统特性而确定，后续需要定期分析系统做适应性调整
8	LOG_BUFFER	日志缓存	建议初始200MB，后续需要定期分析系统做适应性调整
9	AUTO_SPACE_ADVISOR	自动空间审计维护任务	建议停用该自动维护任务
10	_GC_UNDO_AFFINITY	关闭DRM特性	建议值FALSE
11	_GC_POLICT_TIME	关闭DRM特性	建议值0
12	PARALLEL_FORCE_LOCAL	并行跨实例查询	建议值TRUE
13	OPEN_CURSORS	每个会话允许最大游标	建议初始500，后续需要定期分析系统做适应性调整
14	PROCESSES	用户进程	建议初始5000，具体需要根据系统特性而确定，后续需要定期分析系统做适应性调整
15	DB_FILES	最大允许数据文件	建议2000以上（初始为200）
16	UNDO_RETENTION	保留过期undo段 的时间	建议初始10800（3小时），注意undo表空间要足够大（初始最少120GB以上），后续需要定期分析系统做适应性调整
17	_OPTIMIZER_EXTENDED_CURSOR_SHARING	关闭ACS特性	建议值NONE，规避ACS功能可能引起的BUG
18	_OPTIMIZER_EXTENDED_CURSOR_SHARING_REL	关闭ACS特性	建议值NONE，规避ACS功能可能引起的BUG
19	_SERIAL_DIRECT_READ	关闭直接路径读	建议值NEVER，关闭11G的这个新特性
20	RECYCLEBIN	回收站	建议关闭
21	AWR的SNAP_INTERVAL	采集快照间隔时间	建设值30分钟
22	LOG_ARCHIVE_DEST_1	归档路径	+ARCH
23	LARGE_POOL_SIZE	大池大小	建议设置为256M
24	AUDIT_TRAIL	审计痕迹	建议值NONE

4.5. Redo log配置规范

序号	指标名称	建议值
1	redo日志组个数	每个实例12组以上，具体需要根据系统特性而确定，后续需要定期分析系统做适应性调整
2	redo日志成员文件大小	每组大小1GB，具体需要根据系统特性而确定，后续需要定期分析系统做适应性调整

4.6. 控制文件参数调整

序号	指标名称	建议值
1	控制文件个数	最少2个，最多3个，一个分布DATA01磁盘组，一个分布于OCR磁盘组。

4.7. 监听器端口调整

为安全起见，监听器端口不使用默认端口1521，按国网端口规范要求统一使用非缺省端口11521。

4.8. Oracle用户与密码过期调整

Oracle 11g版本中对用户密码过期等默认参数有了修改，从原来的UNLIMITED修改为有效期180天，考虑到业务系统实际情况，为避免影响业务生产，建议禁用密码过期设置，需要将以下参数进行修改。

alter profile default limit password_life_time unlimited;

4.9. 密码错误10次锁定调整

用户登录数据库失败次数，默认10次，建议设置unlimited。

alter profile default limit failed_login_attempts unlimited;

 

5. 安全基线配置

5.1. SNMP服务配置

检查是否安装snmp服务，如果未安装snmp服务，则认为合规，否则需要修改public默认团体字。

vi /etc/snmp/snmpd.conf

com2sec notConfigUser default public

修改为

com2sec notConfigUser default strongpass

5.2. 禁用ctrl+alt+del组合键

vi /etc/inittab

注释如下行ca::ctrlaltdel:/sbin/shutdown***，之后重启系统。

5.3. 锁定用户

使用usermod –L锁定以下用户：

adm,lp,mail,uucp,operator,games,gopher,ftp,nobody,nobody4,noaccess,listen,webservd,rpm,dbus,avahi,mailnull,smmsp,nscd,vcsa,rpc,rpcuser,nfs,sshd,pcap,ntp,haldaemon,distcache,apache,webalizer,squid,xfs,gdm,sabayon,named

vi /etc/shadow

bin,daemon,adm,lp,sync,shutdown,halt,mail,uucp,operator,games,gopher,ftp,nobody,nfsnobody密码列的*改为!!

5.4. 配置账户认证失败次数限制

vi /etc/pam.d/system-auth-ac

修改成以下内容：

#%PAM-1.0

# This file is auto-generated.

# User changes will be destroyed the next time authconfig is run.

auth        required      pam_env.so

auth        sufficient    pam_fprintd.so

auth        sufficient    pam_unix.so nullok try_first_pass

auth        requisite     pam_succeed_if.so uid >= 500 quiet

auth        required      pam_deny.so

account     required      pam_unix.so

account     sufficient    pam_localuser.so

account     sufficient    pam_succeed_if.so uid < 500 quiet

account     required      pam_permit.so

password    requisite     pam_cracklib.so ucredit=-1 lcredit=-1 dcredit=-1 try_first_pass retry=3 type=

password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=5

password    required      pam_deny.so

session     optional      pam_keyinit.so revoke

session     required      pam_limits.so

session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid

session     required      pam_unix.so

auth        required   pam_tally.so deny=5 unlock_time=600 no_lock_time

5.5. 配置SSH方式账户认证失败次数限制

vi /etc/pam.d/sshd

修改成以下内容：

#%PAM-1.0

auth    required pam_sepermit.so

auth       include      password-auth

auth    required pam_tally.so deny=5 unlock_time=600 no_lock_time

account    required     pam_nologin.so

account    include      password-auth

account    required pam_tally.so

password   include      password-auth

# pam_selinux.so close should be the first session rule

session    required     pam_selinux.so close

session    required     pam_loginuid.so

# pam_selinux.so open should only be followed by sessions to be executed in the user context

session    required     pam_selinux.so open env_params

session    optional     pam_keyinit.so force revoke

session    include      password-auth

5.6. 配置记录用户对设备的操作（pacct）

chkconfig psacct on

service psacct start

touch /var/log/pacct

accton /var/log/pacct

5.7. 配置安全事件日志

mkdir /var/adm

touch /var/adm/messages

chmod 666 /var/adm/messages

chmod 755 /var/adm/

/etc/init.d/rsyslog restart

5.8. 取消重要文件suid和sgid权限

chmod a-s /usr/bin/chage

chmod a-s /usr/bin/gpasswd

chmod a-s /usr/bin/wall

chmod a-s /usr/bin/chfn

chmod a-s /usr/bin/chsh

chmod a-s /usr/bin/newgrp

chmod a-s /usr/bin/write

chmod a-s /usr/sbin/usernetctl

chmod a-s /bin/mount

chmod a-s /bin/umount

chmod a-s /sbin/netreport

5.9. 检查需关闭的服务

kshell、time、ntalk、lpd、sendmail、printer、klogin、nfslock、echo、discard、chargen、bootps、tftp、nfs、ypbind、ident、daytime

5.10. 配置su权限

mv /etc/pam.d/su /etc/pam.d/su.bak

echo "auth    sufficient    pam_rootok.so">>/etc/pam.d/su

echo "auth    required     pam_wheel.so group=wheel">>/etc/pam.d/su

cat /etc/pam.d/su.bak >>/etc/pam.d/su

chmod 644 /etc/pam.d/su

chmod 644 /etc/pam.d/su.bak

5.11. 配置数据库用户权限

业务账号不允许DBA权限，仅赋予RESOURCE和connect权限。

grant resource to username;    grant connect to username;