数据库安全测评指导书.doc

数据库安全测评指导书 MySQL安全测评 序号 测评指标 测评项 检查方法 预期结果 1 身份鉴别 a)检查服务器的身份标识与鉴别和用户登录的配置情况。 访谈: 1)访谈数据库管理员，询问数据库系统的身份标识和鉴别机制采用何种措施实现； 2)登录数据库系统，查看是否提示输入用户口令，然后以正确口令登录系统，再以错误口令或空口令重新登录，观察是否成功。 1)数据库系统使用口令鉴别机制对用户进行身份标识和鉴别； 2)登录时提示输入用户名和口令；以错误口令或空口令登录时提示登录失败，验证了登录控制功能的有效性； 3)数据库系统不存在密码为空的用户。 b)检查服务器的身份标识与鉴别和用户登录的配置情况。 访谈： 1）访谈数据库管理员，询问数据库系统采取何种措施防止身份鉴别信息被冒用（如复杂性混有大小写字母、数字和特殊字符，口令周期等）；在安装时是否已经修改root高权限用户的默认口令。并且在企业管理器中查看是否存在空口令用户； 2）询问数据库管理员，MySQL数据库的口令管理要求(口令的长度、口令复杂性，口令更新周期)。 1)数据库的用户口令由大小写字母、数字和特殊字符组成； 2)以不符合复杂度要求和不符合长度要求的口令创建用户时均提示失败。 c)检查服务器的身份标识与鉴别和用户登录的配置情况。 访谈： 访谈数据库管理员，是否配置了鉴别失败处理功能，并设置了非法登录次数的限制值，对超过限制值的登录终止其鉴别会话或临时封闭帐号。 手工检查： 1）查看/etc/my.cnf（Windows下为my.ini），在[mysqld]后面是否已设置wait_timeout配置项； 2）查看MySQL数据库运行平台的用户是否已设置登录失败处理策略； 3）查看MySQL数据库内置的为应用提供服务的用户是否设置主机IP绑定。 1)数据库系统已启用登陆失败处理、结束会话、限制非法登录次数等措施； 2)当超过系统规定的非法登陆次数或时间时，系统锁定或自动断开连接。 d)检查服务器的身份标识与鉴别和用户登录的配置情况。 访谈: 1)访谈数据库管理员，是否采用了技术手段保证远程管理数据进行加密传输，或者采取第三方措施保证远程管理数据加密传输； 2）访谈数据库管理员，安装数据库是否配置SSH远程加密连接。 手工检查： 1)采用抓包工具，判断远程管理数据包是否是明文； 2）查询my.cnf文件中是否配置SSL证书加密传输； 3）查询user表中是否有ssl_type字段。 1)数据库系统配置SSL证书进行远程连接； 2)数据库系统没有采用明文的传输协议进行远程管理； 3)采用第三方管理工具保证远程管理的信息保密。 e)检查服务器的身份标识与鉴别和用户登录的配置情况。 访谈： 1)访谈数据库管理员，是否为数据库各个实例分配不同用户； 2）访谈数据库管理员，是否存在多个帐户共用同一个实例情况，是否存在多人共用一个帐号。 1)帐户与实例基于IP绑定； 2)数据库系统不存在多人共用一个实例的情况； 3)数据库确保用户名具有唯一性。 f)检查服务器的身份标识与鉴别和用户登录的配置情况。 访谈: 访谈数据库管理员，数据库系统是否采用了两个及两个以上身份鉴别技术的组合来进行身份鉴别（如采用用户名/口令、挑战应答、动态口令、物理设备、生物识别技术中的任意两个组合）。 手工检查： 通过注册用户，并以一种身份鉴别技术登录，验证是否可以登录。 用户的认证方式选择两种或两种以上组合的鉴别技术，只用一种技术无法认证成功。 2 访问控制 a)检查服务器的访问控制设置情况，包括安全策略覆盖、控制粒度以及权限设置情况等。 访谈： 访谈数据库管理员，询问数据库系统是否明确主体（如用户）以用户和/或用户组的身份规定对客体（如文件或系统设备,目录表和存取控制表访问控制等）的访问控制，覆盖范围是否包括与信息安全直接相关的主体（如用户）和客体（如文件，数据库表等）及它们之间的操作（如读、写或执行）。 手工检查: 查看数据库是否为角色限定了权限，权限的覆盖范围是否包括与信息安全直接相关的主体(如用户)和客体(如文件，数据库表等)及它们之间的操作(如读、写或执行)。 数据库系统的重要文件及目录已根据用户级设置访问控制策略。 b)检查服务器的访问控制设置情况，包括安全策略覆盖、控制粒度以及权限设置情况等。 访谈： 询问并查看除数据库管理员root外，是否还有其他的特权用户，是否将系统管理、安全管理和业务数据管理分配给不同的管理员。 手工检查： 查看user表中帐户信息。 数据库管理员、安全管理员、安全审计员由不同的人员和用户担当。至少应该有数据库管理员和安全管理员，安全审计员在有第三方审计工具时可以不要求。 c)检查服务器的访问控制设置情况，包括安全策略覆盖、控制粒度以及权限设置情况等。 访谈： 访谈数据库管