设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [16137] 2020-11-26_等保涉及的PostgreSQL数据库 ...
返回列表 发新帖
查看: 0|回复: 0

[16137] 2020-11-26_等保涉及的PostgreSQL数据库

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-11-26_等保涉及的PostgreSQL数据库 等 保 涉 及 的 P o s t g r e S Q L 数 据 库 等 保 不 好 做 啊   F r e e B u f   2 0 2 0 - 1 1 - 2 6 一 、 访 问 控 制 一 、 访 问 控 制 1 .   应 及 时 删 除 或 停 用 多 余 的 、 过 期 的 账 户 ， 避 免 共 享 账 户 的 存 在 应 及 时 删 除 或 停 用 多 余 的 、 过 期 的 账 户 ， 避 免 共 享 账 户 的 存 在 查 看 当 前 已 有 账 户 ， 询 问 管 理 员 是 否 存 在 多 余 过 期 账 户 2 .   应 授 予 管 理 用 户 所 需 的 最 小 权 限 ， 实 现 管 理 用 户 的 权 限 分 离 应 授 予 管 理 用 户 所 需 的 最 小 权 限 ， 实 现 管 理 用 户 的 权 限 分 离 这 个 管 理 用 户 的 权 限 分 离 ， 像 安 全 设 备 那 种 的 三 权 分 立 用 户 ， 个 人 认 为 数 据 库 层 面 不 太 好 实 现 ， 一 般 不 符 合 ， 要 不 就 询 问 客 户 取 证 。 3 .   应 由 授 权 主 体 配 置 访 问 控 制 策 略 ， 访 问 控 制 策 略 规 定 主 体 对 客 体 的 访 问 规 则 应 由 授 权 主 体 配 置 访 问 控 制 策 略 ， 访 问 控 制 策 略 规 定 主 体 对 客 体 的 访 问 规 则 确 认 各 用 户 的 操 作 权 限 ， 例 如 ： 赋 予 z f y 角 色 所 有 表 的 查 询 权 限 然 后 查 询 这 个 用 户 对 应 表 的 权 限 ， 就 均 拥 有 了 s e l e c t 权 限 。 这 里 的 授 权 主 体 一
般 为 数 据 库 管 理 员 ， 对 应 的 账 户 p o s t g r e s ， 然 后 给 z f y 这 个 账 户 授 予 了 s e l e c t 权 限 ， 也 就 是 访 问 控 制 规 则 了 。 4 .   访 问 控 制 的 粒 度 应 达 到 主 体 为 用 户 级 或 进 程 级 ， 客 体 为 文 件 、 数 据 库 表 级 访 问 控 制 的 粒 度 应 达 到 主 体 为 用 户 级 或 进 程 级 ， 客 体 为 文 件 、 数 据 库 表 级 这 个 感 觉 是 流 氓 条 款 。 。 。 不 知 道 我 的 理 解 对 不 对 看 字 面 意 识 就 是 要 主 体 为 用 户 ， 客 体 为 数 据 库 表 级 ？ 所 以 就 是 需 要 每 一 张 表 单 独 给 用 户 授 权 ， 不 能 授 权 整 个 库 或 者 全 局 权 限 ， 就 是 权 限 这 块 需 要 做 的 更 细 致 ， 这 个 感 觉 一 般 都 做 不 到 。 查 看 访 问 控 制 策 略 规 则 ， 确 认 是 否 达 到 用 户 级 、 数 据 库 表 级 。 如 果 有 多 个 角 色 s u p e r 之 类 的 肯 定 不 符 合 ， 这 样 粒 度 就 不 是 表 级 了 。 5 .   应 对 重 要 主 体 和 客 体 设 置 安 全 标 记 ， 并 控 制 主 体 对 有 安 全 标 记 信 息 资 源 的 访 问 应 对 重 要 主 体 和 客 体 设 置 安 全 标 记 ， 并 控 制 主 体 对 有 安 全 标 记 信 息 资 源 的 访 问 敏 感 标 记 ， 这 个 数 据 库 应 该 没 有 自 带 这 个 功 能 。 二 、 安 全 审 计 二 、 安 全 审 计 1 .   应 启 用 安 全 审 计 功 能 ， 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 应 启 用 安 全 审 计 功 能 ， 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 P o s t g r e S Q L 有 3 种 日 志 ： p g _ l o g （ 数 据 库 运 行 日 志 ）       内 容 可 读         默 认 关 闭 的 ， 需 要 设 置 参 数 启 动 p g _ x l o g （ W A L   日 志 ， 即 重 做 日 志 ）         内 容 一 般 不 具 有 可 读 性                 强 制 开 启 p g _ c l o g （ 事 务 提 交 日 志 ， 记 录 的 是 事 务 的 元 数 据 ）     内 容 一 般 不 具 有 可 读 性         强 制 开 启 1 . 1   p g _ l o g 作 用 ： 这 个 日 志 一 般 是 记 录 服 务 器 与 D B 的 状 态 ， 比 如 各 种 E r r o r 信 息 ， 定 位 慢 查 询 S Q L ， 数 据 库 的 启 动 关 闭 信 息 ， 发 生 c h e c k p o i n t 过 于 频 繁 等 的 告 警 信 息 ， 诸 如 此 类 。 该 日 志 有 . c s v 格 式 和 . l o g 。 建 议 使 用 . c s v 格 式 ， 因 为 它 一 般 会 按 大 小 和 时 间 自 动 切 割 ， 毕 竟 查 看 一 个 巨 大 的 日 志 文 件 比 查 看 不 同 时 间 段 的 多 个 日 志 要 难 得 多 。 p g _ l o g 是 可 以 被 清 理 删 除 ， 压 缩 打 包 或 者 转 移 ， 同 时 并 不 影 响 D B 的 正 常 运 行 。 当 我 们 有 遇 到 D B 无 法 启 动 或 者 更 改 参 数 没 有 生 效 时 ， 第 一 个 想 到 的 就 是 查 看 这 个 日 志 。 日 志 配 置 文 件 在 $ P G D A T A / p o s t g r e s q l . c o n f 文 件 ：

涉 及 的 参 数 ： 涉 及 的 参 数 有 ：
l o g g i n g _ c o l l e c t o r             — 是 否 开 启 日 志 收 集 开 关 ， 默 认 o f f ， 开 启 要 重 启 D B l o g _ d e s t i n a t i o n         — 日 志 记 录 类 型 ， 默 认 是 s t d e r r ， 只 记 录 错 误 输 出 l o g _ d i r e c t o r y             — 日 志 路 径 ， 默 认 是 $ P G D A T A / p g _ l o g ,   这 个 目 录 最 好 不 要 和 数 据 文 件 的 目 录 放 在 一 起 ,   目 录 需 要 给 启 动 p o s t g r e s 的 操 作 系 统 用 户 写 权 限 . l o g f i l e n a m e               — 日 志 名 称 ， 默 认 是 p o s t g r e s q l - % Y - % m - % d % H % M % S . l o g l o g _ f i l e _ m o d e       － － 日 志 文 件 类 型 ， 默 认 为 0 6 0 0 l o g _ t r u n c a t e _ o n _ r o t a t i o n     － － 默 认 为 o f f ， 设 置 为 o n 的 话 ， 如 果 新 建 了 一 个 同 名 的 日 志 文 件 ， 则 会 清 空 原 来 的 文 件 ， 再 写 入 日 志 ， 而 不 是 在 后 面 附 加 。 l o g _ r o t a t i o n _ a g e       — 保 留 单 个 文 件 的 最 大 时 长 , 默 认 是 1 d , 也 有 1 h , 1 m i n , 1 s , 个 人 觉 得 不 实 用 l o g _ r o t a t i o n _ s i z e     — 保 留 单 个 文 件 的 最 大 尺 寸 ， 默 认 是 1 0 M B l o g _ e r r o r _ v e r b o s i t y   － － 默 认 为 d e f a u l t ， v e r b o s e 表 示 冗 长 的 l o g _ c o n n e c t i o n s         — 用 户 s e s s i o n 登 陆 时 是 否 写 入 日 志 ， 默 认 o f f l o g _ d i s c o n n e c t i o n s   — 用 户 s e s s i o n 退 出 时 是 否 写 入 日 志 ， 默 认 o f f 1 . 2   p x _ l o g 代 表 W A L 日 志 ， 即 重 做 日 志 作 用 ： 这 个 日 志 是 记 录 的 P o s t g r e s q l 的 W A L 信 息 ， 也 就 是 一 些 事 务 日 志 信 息 ( t r a n s a c t i o n   l o g ) 。 默 认 单 个 大 小 是 1 6 M ， 源 码 安 装 的 时 候 可 以 更 改 其 大 小 （ . / c o n f i g u r e   — w i t h - w a l - s e g s i z e = t a r g e t _ v a l u e   参 数 ， 即 可 设 置 ） 这 些 日 志 会 在 定 时 回 滚 恢 复 ( P I T R ) ，   流 复 制 ( R e p l i c a t i o n   S t r e a m ) 以 及 归 档 时 能 被 用 到 ， 这 些 日 志 是 非 常 重 要 的 ， 记 录 着 数 据 库 发 生 的 各 种 事 务 信 息 ， 不 得 随 意 删 除 或 者 移 动 这 类 日 志 文 件 ， 不 然 你 的 数 据 库 会 有 无 法 恢 复 的 风 险 W A L ： P o s t g r e S Q L 在 将 缓 存 的 数 据 刷 入 到 磁 盘 之 前 ， 先 写 日 志 ,   这 就 是 P o s t g r e S Q L   W A L   (   W r i t e - A h e a d   L o g   ) 方 式 ， 也 就 是 预 写 日 志 方 式 日 志 目 录 ： 在 $ P G D A T A 目 录 下
不 可 读
1 . 3   p g _ c l o g p g _ c l o g 这 个 文 件 也 是 事 务 日 志 文 件 ， 但 与 p g _ x l o g 不 同 的 是 它 记 录 的 是 事 务 的 元 数 据 ( m e t a d a t a ) ， 这 个 日 志 告 诉 我 们 哪 些 事 务 完 成 了 ， 哪 些 没 有 完 成 。 这 个 日 志 文 件 一 般 非 常 小 ， 但 是 重 要 性 也 是 相 当 高 ， 不 得 随 意 删 除 或 者 对 其 更 改 信 息 。 1 . 4   等 保 查 看 点 那 么 在 我 们 测 评 的 时 候 ， 一 般 会 查 询 以 下 参 数 ： 1 ） 开 启 数 据 库 运 行 日 志 （ p g _ l o g ） 收 集 s h o w   l o g g i n g _ c o l l e c t o r ;   — 是 否 开 启 日 志 收 集 ， 默 认 o f f 2 ） 其 他 一 些 日 志 配 置 s h o w   l o g _ d e s t i o n a t i o n ;   — 日 志 记 录 类 型 ， 默 认 是 s t d e r r ， 只 记 录 错 误 输 出
s h o w   l o g _ d i r e c t o r y ;   — 日 志 路 径 ， 默 认 是 $ P G D A T A / p g _ l o g s h o w   l o g f i l e n a m e ;   — 日 志 名 称 ， 默 认 是 p o s t g r e s q l - % Y - % m - % d % H % M % S . l o g s h o w   l o g _ c o n n e c t i o n s ;   — 用 户 s e s s i o n 登 录 时 是 否 写 入 日 志 ， 默 认 o f f s h o w   l o g _ d i s c o n n e c t i o n s ;   — 用 户 s e s s i o n 退 出 时 是 否 写 入 日 志 ， 默 认 o f f s h o w   l o g _ s t a t e m e n t ;   — 记 录 用 户 登 录 数 据 库 后 的 各 种 操 作 l o g _ s t a t e m e n t 参 数 值 ： n o n e ， 不 记 录 d d l ， 记 录 c r e a t e ， d r o p ， 和 a l t e r m o d ， 记 录 d d l + i n s e r t ， d e l e t e ， u p d a t e 和 t r u n c a t e a l l ， m o d + s e l e c t 2 .   审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 2 . 1   查 看 数 据 库 当 前 时 间
2 . 2   查 看 日 志 文 件 1 ）   查 看 $ P G D A T A 目 录 p o s t g r e s q l 文 件 l o g _ l i n e _ p r e f i x 参 数 也 可 使 用 命 令 查 看 2 ） 位 置 ： 在 $ P G D A T A 目 录 下 的 ： 查 看 其 中 一 条 日 志 ， 默 认 包 含 事 件 的 时 间 、 日 期 、 主 客 体 标 识 等 ：
3 .   应 对 审 计 记 录 进 行 保 护 ， 定 期 备 份 ， 避 免 受 到 未 预 期 的 删 除 、 修 改 或 覆 盖 等 应 对 审 计 记 录 进 行 保 护 ， 定 期 备 份 ， 避 免 受 到 未 预 期 的 删 除 、 修 改 或 覆 盖 等 1 ） 查 看 存 储 在 本 机 的 日 志 文 件 权 限 查 看 l o g _ f i l e _ m o d e 参 数 ： 在 操 作 系 统 本 地 生 成 的 也 就 是 6 0 0 权 限 2 ） 本 机 轮 替 规 则 查 看   l o g _ t r u n c a t e _ o n _ r o t a t i o n 参 数 ， 需 为 开 启 状 态 再 查 看 l o g _ f i l e n a m e 参 数 ， 默 认 参 数 如 下 ： 产 生 的 日 志 文 件 ， 每 天 产 生 一 个 ， 不 轮 替 ：
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:45 , Processed in 0.877833 second(s), 32 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表