设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [15650] 2020-07-25_等保测评2.0：Oracle安全审计 ...
返回列表 发新帖
查看: 0|回复: 0

[15650] 2020-07-25_等保测评2.0：Oracle安全审计

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-07-25_等保测评2.0：Oracle安全审计 等 保 测 评 2 . 0 ： O r a c l e 安 全 审 计 原 创   起 于 凡 而 非 于 凡   F r e e B u f   2 0 2 0 - 0 7 - 2 5 1 .   说 明 说 明 本 篇 文 章 主 要 说 一 说 O r a c l e 数 据 库 安 全 审 计 控 制 点 中 b 、 c 、 d 测 评 项 的 相 关 内 容 和 理 解 ， 以 及 一 些 其 它 零 碎 的 与 等 保 相 关 的 内 容 。 2 .   测 评 项 测 评 项 3 .   测 评 项 测 评 项 b 审 计 记 录 应 该 包 含 足 够 的 信 息 ， 对 于 数 据 库 的 审 计 而 言 而 言 ， 包 含 具 体 的 语 句 是 必 须 的 。 从 中 可 以 得 知 ， 对 于 用 户 ， 需 要 参 数 设 置 为 才 会 记 录 用 户 的 具 体 操 作 的 语 句 ， 否 则 只 记 录 开 启 数 据 库 、 关 闭 数 据 库 、 建 立 连 接 等 信 息 。 对 于 普 通 用 户 ， 则 需 要 参 数 设 置 为 或 ， 否 则 不 会 记 录 具 体 的 s q l 语 句 。 实 际 测 评 时 ， 参 数 需 要 查 看 ， 同 时 具 体 的 日 志 文 件 也 需 要 查 看 ， 查 看 其 是 否 真 的 存 在 记 录 。 3 . 1 .   数 据 库 表 中 的 记 录 数 据 库 表 中 的 记 录 如 果 参 数 设 置 为 或 ， 则 其 记 录 存 放 在 数 据 库 的 表 中 。 s y s . a u d $   表 ， 审 计 记 录 的 存 放 表 ， 其 它 的 视 图 都 是 从 这 里 获 取 的 数 据 ： 这 里 要 说 一 句 ， 中 的 、 在 中 不 会 直 接 显 示 出 值 ： 要 手 动 选 择 编 辑 器 查 看 ： b ) 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 ； c ) 应 对 审 计 记 录 进 行 保 护 ， 定 期 备 份 ， 避 免 受 到 未 预 期 的 删 除 、 修 改 或 覆 盖 等 ； d ) 应 对 审 计 进 程 进 行 保 护 ， 防 止 未 经 授 权 的 中 断 。 b ) 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 ； S Q L O r a c l e 安 全 审 计 （ 上 ） S Y S a u d i t _ s y s _ o p e r a t i o n s t r u e s y s a u d i t _ t r a i l d b ,   e x t e n d e d x m l ,   e x t e n d e d a u d i t _ t r a i l d b d b , e x t e n d e d s e l e c t   *   f r o m   a u d $ ; s y s . a u d $ s q l b i n d s q l t e x t P L / S Q L
或 者 直 接 查 询 某 个 列 ： d b a _ a u d i t _ t r a i l 视 图 ， 感 觉 和 a u d $ 表 差 不 多 ， 但 是 它 的 、 列 是 直 接 显 示 信 息 的 ： d b a _ a u d i t _ o b j e c t 视 图 ， 可 以 查 询 所 有 对 象 跟 踪 信 息 ： s e l e c t   d b m s _ l o b . s u b s t r ( S Q L T E X T )     f r o m   a u d $ s q l b i n d s q l t e x t
d b a _ a u d i t _ s e s s i o n 视 图 ， 所 得 到 的 数 据 都 是 有 关 l o g o n 或 者 l o g o f f 的 信 息 ： d b a _ a u d i t _ s t a t e m e n t ， 列 出 g r a n t   , r e v o k e   , a u d i t   , n o a u d i t   , a l t e r   s y s t e m 语 句 的 审 计 跟 踪 信 息 ： a u d i t _ a c t i o n s ， 可 以 查 询 出 在 a u d $ 等 视 图 中 a c t i o n s 列 的 含 义 （ 如 果 是 将 记 录 定 位 至 操 作 系 统 的 文 件 中 ， 则 日 志 文 件 中 也 会 有 类 似 a c t i o n s 的 列 ） ：
s y s t e m _ p r i v i l e g e _ m a p ， 可 以 查 询 出 a u d $ 等 视 图 中 p r i v $ u s e d 列 的 含 义 （ 如 果 是 将 记 录 定 位 至 操 作 系 统 的 文 件 中 ， 则 日 志 文 件 中 可 能 也 会 有 类 似 p r i v $ u s e d 的 列 ） ：
3 . 2 .   操 作 系 统 中 的 记 录 操 作 系 统 中 的 记 录 用 户 的 记 录 都 是 存 放 在 操 作 系 统 文 件 中 的 ， 普 通 用 户 的 记 录 如 果 设 置 参 数 为 o s 、 x m l 、 d b , e x t e n d e d ， 也 会 存 放 在 文 件 中 。 对 于 W i n d o w s 而 言 ， 可 以 在 事 件 查 看 器 中 的 应 用 程 序 中 进 行 查 看 。 对 于 L i n u x 而 言 ， 要 查 看 参 数 ， 得 知 存 储 文 件 的 路 径 ： 路 径 如 下 （ 文 件 好 像 是 登 录 1 次 生 成 1 次 ） ： 内 容 如 下 段 落 ： s y s a u d i t _ t r a i l a u d i t _ f i l e _ d e s t [ r o o t @ c e n t o s 0 1   a d u m p ] #   l l 总 用 量   2 0 1 2 - r w - r - - - - -     1   o r a c l e   o i n s t a l l     9 3 2   6 月     3 0   2 0 1 9   o r a c l e s i _ o r a _ 1 0 0 0 1 _ 1 . a u d - r w - r - - - - -     1   o r a c l e   o i n s t a l l     7 2 1   6 月     3 0   2 0 1 9   o r a c l e s i _ o r a _ 1 0 0 0 8 _ 1 . a u d - r w - r - - - - -     1   o r a c l e   o i n s t a l l   1 1 4 1   6 月     3 0   2 0 1 9   o r a c l e s i _ o r a _ 1 0 1 1 5 _ 1 . a u d - r w - r - - - - -     1   o r a c l e   o i n s t a l l     7 2 1   6 月     3 0   2 0 1 9   o r a c l e s i _ o r a _ 1 0 1 2 7 _ 1 . a u d - r w - r - - - - -     1   o r a c l e   o i n s t a l l     7 2 1   6 月     3 0   2 0 1 9   o r a c l e s i _ o r a _ 1 0 1 3 6 _ 1 . a u d - r w - r - - - - -     1   o r a c l e   o i n s t a l l     7 2 1   6 月     3 0   2 0 1 9   o r a c l e s i _ o r a _ 1 0 1 4 9 _ 1 . a u d - r w - r - - - - -     1   o r a c l e   o i n s t a l l     7 2 8   7 月     1 6   1 1 : 1 7   o r a c l e s i _ o r a _ 1 0 2 8 9 _ 1 . a u d S a t   J u l   1 8   2 1 : 1 1 : 0 7   2 0 2 0   + 0 8 : 0 0 L E N G T H   :   ' 1 9 3 ' A C T I O N   : [ 3 0 ]   ' u p d a t e   t e s t 8 . t e s t y   s e t   n o = 1 0 2   ' D A T A B A S E   U S E R : [ 3 ]   ' s y s ' P R I V I L E G E   : [ 6 ]   ' S Y S D B A '
另 外 ， 如 果 设 置 了 值 ， 就 要 查 看 它 的 值 ， 以 及 查 看 系 统 中 的 内 容 ， 判 断 最 后 将 记 录 输 出 到 哪 个 文 件 中 。 具 体 怎 么 判 断 ， 可 以 把 的 相 关 内 容 看 一 看 。 4 .   测 评 项 测 评 项 c 4 . 1 .   审 计 记 录 的 保 护 审 计 记 录 的 保 护 其 实 在 官 方 文 档 中 ， 就 建 议 用 户 将 审 计 记 录 存 储 于 操 作 系 统 的 文 件 中 。 因 为 如 果 存 储 在 表 中 ， 用 户 可 以 随 意 删 除 其 中 的 记 录 。 而 存 储 于 文 件 中 ， 且 该 文 件 仅 r o o t 或 专 门 的 用 户 可 以 操 作 的 话 ， 则 实 现 了 权 限 隔 离 ， 使 得 记 录 不 会 随 意 受 到 修 改 。 如 果 存 储 在 文 件 中 ， 则 查 询 该 文 件 的 权 限 设 置 ， 是 否 不 允 许 操 作 系 统 中 的 数 据 库 用 户 （ 比 如 o r a c l e 用 户 ） 进 行 修 改 。 如 果 存 储 在 表 中 ， 则 要 看 d b a 角 色 、 u p d a t e   a n y   t a b l e 等 权 限 被 授 予 给 哪 些 用 户 了 以 及 查 看 o 7 _ d i c t i o n a r y _ a c c e s s i b i l i t y 参 数 的 值 ， 详 情 可 看 等 保 测 评 2 . 0 ： O r a c l e 访 问 控 制 （ 下 ） 的 3 . 6 节 。 4 . 2 .   审 计 记 录 的 备 份 审 计 记 录 的 备 份 如 果 是 存 储 在 数 据 库 中 ， 则 对 数 据 库 进 行 备 份 即 可 。 在 l i n u x 上 ， 一 般 使 用 定 时 任 务 跑 备 份 脚 本 ， 测 评 时 直 接 查 看 脚 本 内 容 以 及 是 否 设 置 了 定 时 任 务 ： 然 后 再 查 看 是 否 真 的 存 在 备 份 的 文 件 。 如 果 是 存 储 在 文 件 中 ， 同 样 也 是 这 个 方 法 。 或 者 对 方 使 用 了 软 件 、 备 份 一 体 机 等 ， 也 是 要 查 看 策 略 以 及 实 际 备 份 的 文 件 是 否 存 在 。 另 外 说 一 句 ， 如 果 使 用 了 分 布 式 存 储 ， 数 据 同 时 存 在 2 个 或 2 个 以 上 的 可 用 副 本 ， 这 个 不 叫 做 备 份 ， 应 该 输 入 热 冗 余 范 畴 内 。 只 能 说 你 存 在 多 个 副 本 ， 某 个 副 本 所 依 赖 的 硬 件 出 问 题 了 ， 那 其 余 副 本 还 正 常 存 在 ， 数 据 没 有 丢 失 。 但 是 如 果 你 删 除 了 某 一 条 数 据 ， 则 多 个 副 本 也 同 时 删 除 了 这 一 条 数 据 ， 这 条 数 据 就 没 了 。 假 如 你 之 前 进 行 了 备 份 ， 那 么 这 条 数 据 就 还 在 ， 这 就 是 差 别 。 4 . 3 .   审 计 记 录 的 留 存 时 间 审 计 记 录 的 留 存 时 间 在 的 5 . 2 节 中 ， 对 于 网 络 安 全 法 中 对 日 志 留 存 时 间 的 要 求 如 何 测 评 ， 进 行 过 一 些 个 人 的 猜 想 。 我 的 个 人 理 解 是 由 于 测 评 项 没 有 作 出 明 确 的 要 求 ， 测 评 要 求 中 也 未 进 行 说 明 。 同 时 根 据 最 新 的 高 风 险 项 判 定 指 引 （ 5 月 2 8 日 版 ） 的 内 容 ， 对 于 日 志 留 存 时 间 仅 应 用 系 统 以 及 集 中 管 控 中 存 在 高 风 险 项 。 所 以 我 觉 得 3 级 系 统 的 各 个 设 备 （ 服 务 器 、 数 据 库 等 ） 的 日 志 留 存 时 间 ， 应 该 集 中 在 集 中 管 控 的 测 评 项 中 统 一 描 述 ， 不 P R I V I L E G E   : [ 6 ]   ' S Y S D B A ' C L I E N T   U S E R : [ 2 ]   ' c x ' C L I E N T   T E R M I N A L : [ 1 5 ]   ' D E S K T O P - 7 T R O 2 L 7 ' S T A T U S : [ 1 ]   ' 0 ' D B I D : [ 1 0 ]   ' 1 5 3 9 9 4 3 1 0 6 ' a u d i t _ s y s l o g _ l e v e l s y s l o g . c o n f 等 保 测 评 2 . 0 ： O r a c l e 安 全 审 计 （ 上 ） c ) 应 对 审 计 记 录 进 行 保 护 ， 定 期 备 份 ， 避 免 受 到 未 预 期 的 删 除 、 修 改 或 覆 盖 等 ； O r a c l e d b a [ r o o t @ c e n t o s 0 1   a d u m p ] #   c r o n t a b   - l n o   c r o n t a b   f o r   r o o t 等 保 测 评 2 . 0 ： M y S Q L 安 全 审 计
用 在 每 个 被 测 评 对 象 的 安 全 审 计 控 制 点 的 c 测 评 项 中 进 行 描 述 。 这 么 想 的 话 ， 逻 辑 上 还 算 自 洽 。 但 是 2 级 系 统 的 的 各 个 设 备 （ 服 务 器 、 数 据 库 等 ） 的 日 志 留 存 时 间 要 不 要 进 行 测 评 ， 就 让 人 疑 惑 了 。 咨 询 了 某 位 大 佬 ， 他 的 回 答 如 下 （ 文 章 中 的 章 节 指 的 是 最 新 版 的 高 风 险 项 判 定 指 引 ） ： 有 点 复 杂 ， 其 实 第 一 次 征 求 意 见 时 这 个 问 题 就 提 出 来 了 ， 有 两 种 意 见 ， 一 种 是 《 网 络 安 全 法 》 要 求 ， 不 分 等 级 ， 所 以 二 级 也 要 保 存 6 个 月 ； 另 一 种 是 《 网 络 安 全 法 》 的 要 求 前 半 句 是 “ 网 络 运 营 者 应 当 按 照 网 络 安 全 等 级 保 护 制 度 的 要 求 ， 履 行 下 列 安 全 保 护 义 务 ” ， 且 对 于 要 保 存 的 日 志 内 容 ， 应 该 是 “ 采 取 监 测 、 记 录 网 络 运 行 状 态 、 网 络 安 全 事 件 的 技 术 措 施 ， 并 按 照 规 定 留 存 相 关 的 网 络 日 志 不 少 于 六 个 月 ” ， 并 不 是 所 有 日 志 都 需 要 保 留 6 个 月 ， 且 应 该 是 按 照 “ 等 保 的 规 定 ” 保 存 ， 等 保 要 求 中 只 对 三 级 系 统 有 明 确 保 存 时 间 上 的 要 求 （ 即 安 全 管 理 中 心 的 “ 应 对 分 散 在 各 个 设 备 上 的 审 计 数 据 进 行 收 集 汇 总 和 集 中 分 析 ， 并 保 证 审 计 记 录 的 留 存 时 间 符 合 法 律 法 规 要 求 ” 要 求 ） ， 因 此 ， 应 该 是 3 级 系 统 上 判 高 风 险 。 最 后 综 合 各 方 意 见 ， 做 了 一 个 折 中 的 处 理 ： 1 、 对 于 3 级 系 统 ， 设 备 日 志 和 应 用 日 志 都 要 至 少 保 存 6 个 月 （ 设 备 日 志 在 8 . 1 . 2 章 节 体 现 ， 应 用 日 志 在 7 . 2 . 3 . 2 章 节 体 现 ） ； 2 、 对 于 2 级 系 统 ， 考 虑 到 应 用 相 关 日 志 相 对 来 说 对 于 时 间 追 溯 比 较 重 要 ， ， 因 此 作 为 强 制 要 求 ， 并 对 应 到 “ 应 对 审 计 记 录 进 行 保 护 ， 定 期 备 份 ， 避 免 受 到 未 预 期 的 删 除 、 修 改 或 覆 盖 等 。 ” 这 条 要 求 里 ； 至 于 设 备 ， 由 于 其 自 身 存 储 的 能 力 有 限 ， 如 果 没 有 日 志 服 务 器 集 中 存 储 ， 日 志 保 存 六 个 月 难 度 比 较 大 ， 而 恰 恰 2 级 并 没 有 集 中 存 储 的 要 求 ， 因 此 ， 在 这 一 版 的 《 指 引 》 中 暂 不 明 确 要 求 ， 测 评 时 可 以 根 据 实 际 情 况 进 行 判 断 。 5 .   测 评 项 测 评 项 d 从 基 本 层 面 来 说 ， 就 是 修 改 与 审 计 相 关 的 参 数 的 权 限 是 否 得 到 控 制 ： 修 改 参 数 的 语 句 格 式 为 ： 所 以 理 论 上 应 该 是 查 看 这 个 系 统 权 限 、 角 色 的 授 予 情 况 。 另 外 ， 这 些 修 改 后 都 是 需 要 重 启 数 据 库 才 能 生 效 的 ， 也 只 有 特 权 用 户 s y s d b a 、 s y s o p e r 才 有 相 关 的 权 限 。 所 以 ， 还 要 查 看 s y s d b a 、 s y s o p e r 被 授 予 给 了 谁 。 6 .   M y s q l 数 据 库 的 身 份 鉴 别 数 据 库 的 身 份 鉴 别 在 对 身 份 鉴 别 控 制 点 c 项 进 行 过 说 明 ， 但 是 没 说 全 。 其 实 和 O r a c l e 一 样 ， M y s q l 数 据 库 就 算 不 适 用 S S L 协 议 ， 也 不 会 做 出 明 文 传 输 口 令 、 口 令 的 h a s h 值 这 种 举 动 的 。 M y s q l 在 客 户 端 连 接 数 据 库 时 ， 也 是 使 用 挑 战 / 应 答 （ C h a l l e n g e / R e s p o n s e ） 方 式 进 行 鉴 别 的 ， 具 体 什 么 是 挑 战 / 应 答 （ C h a l l e n g e / R e s p o n s e ） 方 式 请 看 等 保 测 评 2 . 0 ： O r a c l e 身 份 鉴 别 （ 下 ） 的 4 . 2 节 。 d ) 应 对 审 计 进 程 进 行 保 护 ， 防 止 未 经 授 权 的 中 断 。 S Q L >   s h o w   p a r a m e t e r   a u d i t ; N A M E                                                                   T Y P E                 V A L U E - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -   - - - - - - - - - - -   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - a u d i t _ f i l e _ d e s t                                             s t r i n g             / o r a c l e / a d m i n / o r c l / a d u m p a u d i t _ s y s _ o p e r a t i o n s                                   b o o l e a n           T R U E a u d i t _ s y s l o g _ l e v e l                                       s t r i n g a u d i t _ t r a i l                                                     s t r i n g             N O N E a l t e r   s y s t e m   参 数 = 值   s c o p e = s p f i l e ; a l t e r   s y s t e m d b a 等 保 测 评 2 . 0 ： M y S Q L 身 份 鉴 别 （ 下 ） c ) 当 进 行 远 程 管 理 时 ， 应 采 取 必 要 措 施 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 ；
所 以 具 体 到 测 评 项 的 判 定 而 言 ， 默 认 情 况 下 至 少 判 定 为 部 分 符 合 ， 根 据 具 体 情 况 再 选 择 是 否 判 定 为 符 合 。 具 体 M y s q l 的 鉴 别 过 程 ， 我 就 不 抓 包 进 行 验 证 了 ， 官 网 上 有 相 关 的 说 明 ， 网 上 也 有 很 多 文 章 ， 有 兴 趣 的 可 以 自 己 验 证 下 ： h t t p s : / / d e v . m y s q l . c o m / d o c / i n t e r n a l s / e n / s u c c e s s f u l - a u t h e n t i c a t i o n . h t m l   （ 官 网 说 文 章 中 的 内 容 已 过 时 ， 但 是 没 过 时 的 就 是 找 不 到 … … ） h t t p : / / w w w . p h p w e b l o g . n e t / G a R Y / a r c h i v e / 2 0 1 0 / 0 8 / 2 0 / m y s q l _ c l i e n t _ t o _ s e r v e r _ a u t h _ m e t h o d . h t m l 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 13:06 , Processed in 0.640520 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表