DB2數(shù)據(jù)庫(kù)安全配置基線

1、DB2 數(shù)據(jù)庫(kù)系統(tǒng)安全配置基線 第 0 頁(yè) 共 14 頁(yè) DB2DB2 數(shù)據(jù)庫(kù)系統(tǒng)安全配置基線數(shù)據(jù)庫(kù)系統(tǒng)安全配置基線 DB2 數(shù)據(jù)庫(kù)系統(tǒng)安全配置基線 第 1 頁(yè) 共 14 頁(yè) 版本版本版本控制信息版本控制信息更新日期更新日期更新人更新人審批人審批人 V1.0創(chuàng)建2009 年 1 月 V2.0更新2012 年 4 月 備注：備注： 1. 若此文檔需要日后更新，請(qǐng)創(chuàng)建人填寫(xiě)版本控制表格，否則刪除版本控制表格。 DB2 數(shù)據(jù)庫(kù)系統(tǒng)安全配置基線 第 2 頁(yè) 共 14 頁(yè) 目目 錄錄 第第 1 章章概述概述.4 1.1適用范圍.4 1.2適用版本.4 1.3實(shí)施.4 1.4例外條款.4 第第 2 章章帳

2、號(hào)與口令帳號(hào)與口令.5 2.1帳號(hào).5 2.1.1刪除不必要的帳號(hào)*.5 2.1.2分配數(shù)據(jù)庫(kù)用戶所需的最小權(quán)限*.5 2.2口令.6 2.2.1DB2用戶口令安全.6 第第 3 章章數(shù)據(jù)庫(kù)權(quán)限數(shù)據(jù)庫(kù)權(quán)限.7 3.1從 PUBLIC 撤銷隱式的權(quán)限和特權(quán) .7 3.1.1從PUBLIC撤銷隱式的權(quán)限和特權(quán).7 3.2跟蹤隱式的特權(quán).9 3.2.1跟蹤隱式的特權(quán).9 3.3檢查用戶許可和特權(quán).9 3.3.1檢查用戶許可和特權(quán)*.9 第第 4 章章DB2 認(rèn)證認(rèn)證.11 4.1為 SYSXXX_GROUP 參數(shù)使用顯式值.11 4.1.1為SYSxxx_GROUP 參數(shù)使用顯式值.11 4.2使用

3、加密的 AUTHENTICATION 模式.11 4.2.1使用加密的AUTHENTICATION模式.11 第第 5 章章DB2 審計(jì)審計(jì).13 5.1執(zhí)行隨機(jī)安全審計(jì).13 5.1.1執(zhí)行隨機(jī)安全審計(jì)*.13 第第 6 章章評(píng)審與修訂評(píng)審與修訂.14 DB2 數(shù)據(jù)庫(kù)系統(tǒng)安全配置基線 第 3 頁(yè) 共 14 頁(yè) 第第 1 章章概述概述 本文檔旨在指導(dǎo)系統(tǒng)管理人員或安全檢查人員進(jìn)行 DB2 數(shù)據(jù)庫(kù)系統(tǒng)的安全合規(guī)性檢查 和配置。 1.1 適用范圍適用范圍 本配置標(biāo)準(zhǔn)的使用者包括：數(shù)據(jù)庫(kù)管理員、應(yīng)用管理員、網(wǎng)絡(luò)安全管理員。 1.2 適用版本適用版本 DB2 數(shù)據(jù)庫(kù)系統(tǒng)。 1.3 實(shí)施實(shí)施 1.4 例

4、外條款例外條款 第第 2 章章帳號(hào)與口令帳號(hào)與口令 2.1 帳號(hào)帳號(hào) 2.1.1 刪除不必要的帳號(hào)刪除不必要的帳號(hào)* 安全基線項(xiàng)安全基線項(xiàng) 目名稱目名稱 數(shù)據(jù)庫(kù)管理系統(tǒng) DB2 用戶安全基線要求項(xiàng) 安全基線安全基線 SBL- DB2-02-01-01 安全基線項(xiàng)安全基線項(xiàng) 說(shuō)明說(shuō)明 應(yīng)刪除與數(shù)據(jù)庫(kù)運(yùn)行、維護(hù)等工作無(wú)關(guān)的帳號(hào)。 DB2 數(shù)據(jù)庫(kù)系統(tǒng)安全配置基線 第 4 頁(yè) 共 14 頁(yè) 檢測(cè)操作步檢測(cè)操作步 驟驟 1、 參考配置操作 DB2 企業(yè)管理器-安全性-登陸中刪除無(wú)關(guān)帳號(hào)； DB2 企業(yè)管理器-數(shù)據(jù)庫(kù)-對(duì)應(yīng)數(shù)據(jù)庫(kù)-用戶中刪除無(wú)關(guān)帳號(hào)； 基線符合性基線符合性 判定依據(jù)判定依據(jù) 首先刪除不需要

5、的用戶，已刪除數(shù)據(jù)庫(kù)不能登陸使用 在 DB2 查詢分析器的登陸界面中使用已刪除帳號(hào)登陸 備注備注手工檢查 2.1.2 分配數(shù)據(jù)庫(kù)用戶所需的最小權(quán)限分配數(shù)據(jù)庫(kù)用戶所需的最小權(quán)限* 安全基線項(xiàng)安全基線項(xiàng) 目名稱目名稱 數(shù)據(jù)庫(kù)管理系統(tǒng) DB2 共享帳號(hào)安全基線要求項(xiàng) 安全基線安全基線 SBL- DB2-02-01-02 安全基線項(xiàng)安全基線項(xiàng) 說(shuō)明說(shuō)明 在數(shù)據(jù)庫(kù)權(quán)限配置能力內(nèi)，根據(jù)用戶的業(yè)務(wù)需要，配置其所需的最小權(quán)限。 檢測(cè)操作步檢測(cè)操作步 驟驟 1. 更改數(shù)據(jù)庫(kù)屬性，取消業(yè)務(wù)數(shù)據(jù)庫(kù)帳號(hào)不需要的服務(wù)器角色； 2.更改數(shù)據(jù)庫(kù)屬性，取消業(yè)務(wù)數(shù)據(jù)庫(kù)帳號(hào)不需要的“數(shù)據(jù)庫(kù)訪問(wèn)許可”和 “數(shù)據(jù)庫(kù)角色中允許”中不需

6、要的角色。 基線符合性基線符合性 判定依據(jù)判定依據(jù) 1. 更改數(shù)據(jù)庫(kù)屬性，取消業(yè)務(wù)數(shù)據(jù)庫(kù)帳號(hào)不需要的服務(wù)器角色； 2.更改數(shù)據(jù)庫(kù)屬性，取消業(yè)務(wù)數(shù)據(jù)庫(kù)帳號(hào)不需要的“數(shù)據(jù)庫(kù)訪問(wèn)許可”和 “數(shù)據(jù)庫(kù)角色中允許”中不需要的角色。 備注備注 建議手工檢查 2.2 口令口令 2.2.1 DB2 用戶口令安全用戶口令安全 安全基線項(xiàng)安全基線項(xiàng) 目名稱目名稱 數(shù)據(jù)庫(kù)管理系統(tǒng) DB2 用戶口令安全基線要求項(xiàng) 安全基線安全基線 SBL- DB2-02-02-01 安全基線項(xiàng)安全基線項(xiàng) 說(shuō)明說(shuō)明 對(duì)用戶的屬性進(jìn)行安全檢查，包括空密碼、密碼更新時(shí)間等。修改目前所有 帳號(hào)的口令，確認(rèn)為強(qiáng)口令?？诹铋L(zhǎng)度至少 8 位，并包括

7、數(shù)字、小寫(xiě)字母、 大寫(xiě)字母和特殊符號(hào)四類中至少兩類。且 5 次次以內(nèi)不得設(shè)置相同的口令。密 碼應(yīng)至少每 90 天天進(jìn)行更換。 DB2 數(shù)據(jù)庫(kù)系統(tǒng)安全配置基線 第 5 頁(yè) 共 14 頁(yè) 檢測(cè)操作步檢測(cè)操作步 驟驟 1.檢查 password 字段是否為 null。 2.參考配置操作 查看用戶狀態(tài) 運(yùn)行查詢分析器，查看口令為空的用戶 基線符合性基線符合性 判定依據(jù)判定依據(jù) password 字段不為 null。 備注備注 DB2 數(shù)據(jù)庫(kù)系統(tǒng)安全配置基線 第 6 頁(yè) 共 14 頁(yè) 第第 3 章章數(shù)據(jù)庫(kù)權(quán)限數(shù)據(jù)庫(kù)權(quán)限 3.1 從從 PUBLIC 撤銷隱式的權(quán)限和特權(quán)撤銷隱式的權(quán)限和特權(quán) 3.1.1 從

8、從 PUBLIC 撤銷隱式的權(quán)限和特權(quán)撤銷隱式的權(quán)限和特權(quán) 安全基線項(xiàng)安全基線項(xiàng) 目名稱目名稱 DB2 隱式權(quán)限安全基線要求項(xiàng) 安全基線編安全基線編 號(hào)號(hào) SBL-DB2-03-01-01 安全基線項(xiàng)安全基線項(xiàng) 說(shuō)明說(shuō)明 從 PUBLIC 撤銷隱式的權(quán)限和特權(quán) 檢測(cè)操作步檢測(cè)操作步 驟驟 連接數(shù)據(jù)庫(kù)這里以 testdb 為例，CONNECT TO testdb; 執(zhí)行下面命令取消 PUBLIC 的隱式的權(quán)限和特權(quán)： REVOKE BINDADD ON DATABASE FROM PUBLIC; REVOKE CREATETAB ON DATABASE FROM PUBLIC; REVOKE C

9、ONNECT ON DATABASE FROM PUBLIC; REVOKE IMPLICIT_SCHEMA ON DATABASE FROM PUBLIC; REVOKE USE OF TABLESPACE USERSPACE1 FROM PUBLIC; REVOKE SELECT ON TABLE SYSCAT.COLAUTH FROM PUBLIC; REVOKE SELECT ON TABLE SYSCAT.DBAUTH FROM PUBLIC; REVOKE SELECT ON TABLE SYSCAT.INDEXAUTH FROM PUBLIC; REVOKE SELECT ON

10、TABLE SYSCAT.PACKAGEAUTH FROM PUBLIC; REVOKE SELECT ON TABLE SYSCAT.PASSTHRUAUTH FROM PUBLIC; REVOKE SELECT ON TABLE SYSCAT.ROUTINEAUTH FROM PUBLIC; REVOKE SELECT ON TABLE SYSCAT.SCHEMAAUTH FROM PUBLIC; REVOKE SELECT ON TABLE SYSCAT.SECURITYLABELACCESS FROM PUBLIC; REVOKE SELECT ON TABLE SYSCAT.SECU

11、RITYPOLICYEXEMPTIONS DB2 數(shù)據(jù)庫(kù)系統(tǒng)安全配置基線 第 7 頁(yè) 共 14 頁(yè) FROM PUBLIC; REVOKE SELECT ON TABLE SYSCAT.SEQUENCEAUTH FROM PUBLIC; REVOKE SELECT ON TABLE SYSCAT.SURROGATEAUTHIDSFROM PUBLIC; REVOKE SELECT ON TABLE SYSCAT.TABAUTH FROM PUBLIC; REVOKE SELECT ON TABLE SYSCAT.TBSPACEAUTH FROM PUBLIC; REVOKE SELECT ON

12、 TABLE SYSCAT.XSROBJECTAUTHFROM PUBLIC; REVOKE SELECT ON TABLE SYSCAT.AUTHORIZATIONIDS FROM PUBLIC; REVOKE SELECT ON TABLE SYSCAT.OBJECTOWNERS FROM PUBLIC; REVOKE SELECT ON TABLE SYSCAT.PRIVILEGES FROM PUBLIC; 基線符合性基線符合性 判定依據(jù)判定依據(jù) 建議在創(chuàng)建一個(gè)新的數(shù)據(jù)庫(kù)之后，應(yīng)立即撤銷這些被授給 PUBLIC 的隱式 特權(quán)。 從 DB2 V9.1 開(kāi)始，CREATE DATABASE

13、 命令語(yǔ)法增加了 RESTRICTIVE 選項(xiàng)。如果該命令中包括了 RESTRICTIVE 選項(xiàng)，那么會(huì)導(dǎo)致 RESTRICT_ACCESS 數(shù)據(jù)庫(kù)配置參數(shù)被設(shè)置為 YES，同時(shí)不自動(dòng)授予 PUBLIC 任何特權(quán)。如果忽略了 RESTRICTIVE 選項(xiàng)，那么 RESTRICT_ACCESS 數(shù)據(jù)庫(kù)配置參數(shù)被設(shè)置為 NO，前述所有特權(quán)都將自 動(dòng)授予 PUBLIC。 您可以執(zhí)行上述清單中顯示的語(yǔ)句來(lái)撤銷系統(tǒng)編目視圖上的特權(quán)和其他被授 予 PUBLIC 的隱式特權(quán)。但這個(gè)清單還不是最全的。 備注備注 DB2 在內(nèi)部使用一個(gè)名為 PUBLIC 的偽組，對(duì)于 PUBLIC，可以為之授予 特權(quán)，也可以撤

14、銷它的特權(quán)。PUBLIC 實(shí)際上不是在外部安全設(shè)施中定義 的一個(gè)組，但通過(guò)它可以為通過(guò) DB2 認(rèn)證的用戶授予特權(quán)。 DB2 數(shù)據(jù)庫(kù)系統(tǒng)安全配置基線 第 8 頁(yè) 共 14 頁(yè) 3.2 跟蹤隱式的特權(quán)跟蹤隱式的特權(quán) 3.2.1 跟蹤隱式的特權(quán)跟蹤隱式的特權(quán) 安全基線項(xiàng)安全基線項(xiàng) 目名稱目名稱 DB2 隱式特權(quán)管理安全基線要求項(xiàng) 安全基線編安全基線編 號(hào)號(hào) SBL-DB2-03-02-01 安全基線項(xiàng)安全基線項(xiàng) 說(shuō)明說(shuō)明 跟蹤隱式的特權(quán) 檢測(cè)操作步檢測(cè)操作步 驟驟 運(yùn)行 get dbm cfg 查看狀態(tài)，并記錄。 例如，假設(shè)您一開(kāi)始將 DBADM 權(quán)限授予用戶 JEFF，而隨后又您決定撤銷此 權(quán)限

15、。為了撤銷 JEFF 的 DBADM 權(quán)限，可以使用以下語(yǔ)句： REVOKE DBADM ON DATABASE FROM USER jeff 基線符合性基線符合性 判定依據(jù)判定依據(jù) 應(yīng)該仔細(xì)檢查和跟蹤執(zhí)行某動(dòng)作時(shí)所授予的隱式特權(quán)。如果以后撤銷這個(gè)動(dòng) 作，那么應(yīng)撤銷任何隱式的特權(quán)。 備注備注 3.3 檢查用戶許可和特權(quán)檢查用戶許可和特權(quán) 3.3.1 檢查用戶許可和特權(quán)檢查用戶許可和特權(quán)* 安全基線項(xiàng)安全基線項(xiàng) 目名稱目名稱 DB2 用戶許可和特權(quán)安全基線要求項(xiàng) 安全基線編安全基線編 號(hào)號(hào) SBL-DB2-03-03-01 安全基線項(xiàng)安全基線項(xiàng) 說(shuō)明說(shuō)明 檢查用戶許可和特權(quán) 檢測(cè)操作步檢測(cè)操作步

16、 驟驟 打開(kāi) Control Center 查看授予許可； 檢查每個(gè)用戶的許可，將超出的許可和特權(quán)取消。 基線符合性基線符合性 判定依據(jù)判定依據(jù) 確保所有被授出的許可和特權(quán)都是確實(shí)有必要的。 對(duì)于不熟悉 DB2 安全模型的開(kāi)發(fā)人員來(lái)說(shuō)，他們往往因?yàn)樨潏D簡(jiǎn)單而通過(guò) Control Center 為自己授予所有可用的特權(quán)，以避免安全錯(cuò)誤消息。您應(yīng)該 DB2 數(shù)據(jù)庫(kù)系統(tǒng)安全配置基線 第 9 頁(yè) 共 14 頁(yè) 確保所有被授出的許可和權(quán)限都是確實(shí)有必要的。 備注備注手工檢查 DB2 數(shù)據(jù)庫(kù)系統(tǒng)安全配置基線 第 10 頁(yè) 共 14 頁(yè) 第第 4 章章DB2 認(rèn)證認(rèn)證 4.1 為為 SYSxxx_GROUP

17、 參數(shù)使用顯式值參數(shù)使用顯式值 4.1.1 為為 SYSxxx_GROUP 參數(shù)使用顯式值參數(shù)使用顯式值 安全基線項(xiàng)安全基線項(xiàng) 目名稱目名稱 DB2SYSxxx_GROUP 參數(shù)安全基線要求項(xiàng) 安全基線編安全基線編 號(hào)號(hào) SBL-DB2-04-01-01 安全基線項(xiàng)安全基線項(xiàng) 說(shuō)明說(shuō)明 為 SYSxxx_GROUP 參數(shù)使用顯式值 檢測(cè)操作步檢測(cè)操作步 驟驟 連接數(shù)據(jù)庫(kù)這里以 testdb 為例，CONNECT TO testdb; 執(zhí)行下面命令修改參數(shù)的缺省值： UPDATE DBM CFG USING SYSADM_GROUP dbagrp1 db2stop db2start 基線符合性基

18、線符合性 判定依據(jù)判定依據(jù) 在 Windows 上進(jìn)行缺省的 DB2 安裝時(shí)，這些參數(shù)的值被缺省地設(shè)置為 NULL。這意味著超級(jí)用戶權(quán)限被授給屬于本地 Administrators 組的所有有 效用戶帳戶。 在 Linux 和 UNIX 平臺(tái)上，NULL 值被缺省地賦給實(shí)例所有者的主組， 完成安裝后，缺省情況下這個(gè)組只包含用戶 ID 和實(shí)例所有者。 備注備注 4.2 使用加密的使用加密的 AUTHENTICATION 模式模式 4.2.1 使用加密的使用加密的 AUTHENTICATION 模式模式 安全基線項(xiàng)安全基線項(xiàng) 目名稱目名稱 DB2AUTHENTICATION 模式安全基線要求項(xiàng) D

19、B2 數(shù)據(jù)庫(kù)系統(tǒng)安全配置基線 第 11 頁(yè) 共 14 頁(yè) 安全基線編安全基線編 號(hào)號(hào) SBL-DB2-04-02-01 安全基線項(xiàng)安全基線項(xiàng) 說(shuō)明說(shuō)明 使用加密的 AUTHENTICATION 模式 檢測(cè)操作步檢測(cè)操作步 驟驟 連接數(shù)據(jù)庫(kù)這里以 testdb 為例，CONNECT TO testdb; 執(zhí)行下面命令修改參數(shù)的缺省值（要更新 AUTHENTICATION 實(shí)例參數(shù)的 值，在這個(gè)例子中就是 DATA_ENCRYPT 的值）： UPDATE DBM CFG USING AUTHENTICATION DATA_ENCRYPT db2stop db2start 基線符合性基線符合性 判定依據(jù)判定依據(jù) AUTHENTICATION 參數(shù)是在實(shí)例級(jí)上設(shè)置的，這意味著在相同實(shí)例中創(chuàng) 建的數(shù)據(jù)庫(kù)將使用共同的身份驗(yàn)證模式