搜索

[21076] 2020-06-11_网络安全等级保护测评-MYSQL篇

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-06-11_网络安全等级保护测评-MYSQL篇 网 络 安 全 等 级 保 护 测 评 - M Y S Q L 篇 L e m o n S e c   2 0 2 0 - 0 6 - 1 1 身 份 鉴 别 a ） 应 对 登 录 的 用 户 进 行 身 份 标 识 和 鉴 别 ， 身 份 标 识 具 有 唯 一 性 ， 身 份 鉴 别 信 息 具 有 复 杂 度 要 求 并 定 期 更 换 ； 测 评 方 法 ； 1 ） 使 用 如 下 命 令 查 询 账 号 s e l e c t   u s e r ,   h o s t ， p a s s w o r d   f r o m   m y s q l . u s e r ； 输 出 用 户 列 表 ， 查 者 是 否 存 在 相 同 用 户 名 2 ） 执 行 如 下 语 句 查 询 是 否 在 空 口 令 用 ： s e l e c t   *   f r o m   m y s q l . u s e r   w h e r e   l e n g t h ( p a s s w o r d ) =   0   o r   p a s s w o r d   i s   n u l l ； 输 出 结 果 是 否 为 空 3 ） ( 针 对 5 . 6 . 6 之 后 版 本 ) 执 行 如 下 语 句 查 看 用 户 口 今 复 杂 度 相 关 配 置 : s h o w   v a r i a b l e s   l i k e   ‘ v a l i d a t e _ p a s s w o r d % ’ ; 注 ； M y S Q L 过 低 版 本 不 能 进 行 密 码 复 杂 度 配 置 ， 则 关 注 当 前 口 令 复 杂 度 策 略 ， 有 些 M y S Q L 数 据 库 p a s s w o r d 字 段 无 效 ， 需 要 替 换 为 a u t h e n t i c a t i o n _ s t r i n g 1 . 应 对 登 录 的 用 户 进 行 身 份 标 识 和 鉴 别 ： M y S Q L 身 份 鉴 别 通 过 u s e r n a m e + h o s t + p a s s w o r d 来 进 行 登 录 验 证 ， 鉴 别 因 素 三 者 不 能 同 时 为 空 ； 2 . 实 际 口 令 组 成 情 况 和 更 换 情 况 ； M y S Q L 口 令 复 杂 度 策 略 配 置 （ 需 使 用 v a l i d a t e _ p a s s w o r d 插 件 ） ： v a l i d a t e _ p a s s w o r d _ c h e c k _ u s e r _ n a m e : O F F v a l i d a t e _ p a s s w o r d _ d i c t i o n a r y _ f i l e :   字 典 文 件 v a l i d a t e _ p a s s w o r d _ l e n g t h : 8   密 码 长 度 v a l i d a t e _ p a s s w o r d _ m i x e d _ c a s e _ c o u n t : 1   大 小 写 v a l i d a t e _ p a s s w o r d _ n u m b e r _ c o u n t : 1   密 码 中 数 据 长 度 v a l i d a t e _ p a s s w o r d _ p o l i c y : 1   o r   M E D I U M v a l i d a t e _ p a s s w o r d _ s p e c i a l _ c h a r _ c o u n t : 1   特 殊 字 符 3 . 定 期 更 换 ： 一 方 面 看 实 际 口 令 更 换 周 期 ， 访 谈 ， 或 查 看 u s e r 表 中 p a s s w o r d _ l a s t _ c h a n g e d 字 段 ； M y S Q L 5 . 6 . 6 开 始 ， u s e r 表 多 了 一 个 p a s s w o r d _ e x p i r e d 字 段 ， 默 认 为 N ， 设 置 为 Y 后 ， 则 通 过 定 时 器 任 务 等 方 式 来 改 密 码 ； 从 5 . 7 . 4 版 本 开 始 ， M y S Q L 多 了 一 个 全 局 变 量 d e f a u l t _ p a s s w o r d _ l i f e t i m e ， 可 执 行 s e l e c t   g l o b a l   v a r i a b l e s   l i k e   ‘ d e f a u l t _ p a s s w o r d _ l i f e t i m e ’ ; 查 看 ， 并 且 u s e r 表 增 加 了 两 个 字 段 ： p a s s w o r d _ l i f e t i m e 、 p a s s w o r d _ l a s t _ c h a n g e d , 可 执 行 ： s e l e c t   u s e r , h o s t , p a s s w o r d , p a s s w o r d _ l a s t _ c h a n g e d , p a s s w o r d _ e x p i r e d f r o m   m y s q l . u s e r ; 查 看 对 于 d e f a u l t _ p a s s w o r d _ l i f e t i m e 和 p a s s w o r d _ l i f e t i m e 而 言 ， 值 为 0 则 代 表 有 效 期 为 永 远 ， 单 位 为 天 。 b ） 应 具 有 登 录 失 败 处 理 功 能 ， 应 配 置 并 启 用 结 束 会 话 、 限 制 非 法 登 录 次 数 和 当 登 录 连 接 超 时 自 动 退 出 等 相 关 措 施 ； 测 评 方 法 ； 1 . 登 录 失 败 : 执 行 s h o w   v a r i a b l e s   l i k e   ‘ % m a x _ c o n n e c t _ e r r o r s % ’ ; 查 看 m a x _ c o n n e c t _ e r r o r s   =   1 0 0 ； 执 行 s h o w   v a r i a b l e s   l i k e   ‘ % t i m e o u t % ’ ; 返 回 值 W a i t _ t i m e o u t = 2 8 8 0 0 （ 秒 ） 。 2 . 登 录 失 败 ： 可 以 使 用 插 件 c o n n e c t i o n _ c o n t r o l 和 c o n n e c t i o n _ c o n t r o l _ f a i l e d _ l o g i n _ a t t e m p t s 共 同 实 现 。 使 用 下 列 语 句 查 询 插 件 ： s h o w   p l u g i n s ; 或 s e l e c t   p l u g i n _ n a m e , p l u g i n _ s t a t u s   f r o m   i n f o r m a t i o n _ s c h e m a . p l u g i n s   w h e r e   p l u g i n _ n a m e   l i k e   ‘ c o n n e c t i o n % ’ ;   相 关 参 数 如 下 ： （ 事 件 毫 秒 ） c o n n e c t i o n _ c o n t r o l _ f a i l e d _ c o n n e c t i o n s _ t h r e s h o l d ： 3 c o n n e c t i o n _ c o n t r o l _ m i n _ c o n n e c t i o n _ d e l a y ： 1 0 0 0 c o n n e c t i o n _ c o n t r o l _ m a x _ c o n n e c t i o n _ d e l a y ： 1 0 8 0 0 0 前 三 次 失 败 没 延 迟 ， 第 四 次 失 败 1 0 0 0 毫 秒 延 迟 ， 第 五 次 2 0 0 0 直 到 最 大 延 迟 1 0 8 0 0 0
注 ； M Y S Q L 数 据 库 要 配 置 登 录 失 败 处 理 功 能 需 要 安 装 插 件 ， 默 认 是 无 此 功 能 ， 不 符 合 c ） 当 进 行 远 程 管 理 时 ， 应 采 取 必 要 措 施 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 ； 测 评 方 法 ； 询 问 核 查 通 过 什 么 管 理 工 具 连 接 数 据 库 ， 查 询 此 连 接 工 具 是 否 具 备 远 程 连 接 加 密 措 施 注 ； M y S Q L 自 己 支 持 使 用 s s l 协 议 对 连 接 进 行 加 密 ， 相 关 参 数 有 h a v e _ o p e n s s l 、 h a v e _ s s l ， 执 行 s h o w   g l o b a l   v a r i a b l e s   l i k e   ‘ % s s l % ’ ; 为 Y E S 则 代 表 数 据 库 支 持 S S L 连 接 。 如 果 某 连 接 使 用 了 S S L ， 使 用 s t a t u s 可 以 查 看 到 ， 使 用 S S L 需 要 运 行 m y s q l _ s s l _ r s a _ s e t u p d ） 应 采 用 口 令 、 密 码 技 术 、 生 物 技 术 等 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 对 用 户 进 行 身 份 鉴 别 ， 且 其 中 一 种 鉴 别 技 术 至 少 应 使 用 密 码 技 术 来 实 现 。 测 评 方 法 ； 询 问 并 核 查 是 否 采 用 双 因 子 登 录 数 据 库 ， 且 其 中 一 种 属 于 密 码 技 术 注 ； 通 常 情 况 下 都 是 用 户 名 + 口 令 ， 且 数 据 库 层 面 实 现 双 因 子 登 录 比 较 困 难 ， 目 前 好 像 只 有 用 户 名 + 口 令 + U k e y 可 以 实 现 访 问 控 制 a ） 应 对 登 录 的 用 户 分 配 账 户 和 权 限 测 评 方 法 ； 1 ） 执 行 语 句 s e l e c t   u s e r , h o s t   f r o m   m y s q l . u s e r   询 问 数 据 库 管 理 员 各 个 账 户 的 作 用 与 权 限 ， 输 出 结 果 是 否 与 实 际 人 员 相 符 注 ； 此 项 基 本 上 时 默 认 符 合 ， 因 为 至 少 有 个 r o o t 用 户 存 在 b ） 应 重 命 名 或 删 除 默 认 账 户 ， 修 改 默 认 账 户 的 默 认 口 令 ； 测 评 方 法 ； 查 看 r o o t 账 户 是 否 重 命 名 和 修 改 默 认 口 令 注 ； 默 认 账 户 r o o t 可 以 修 改 ， 若 因 为 业 务 原 因 不 方 便 修 改 ， 则 应 该 使 用 强 口 令 c ） 应 及 时 删 除 或 停 用 多 余 的 、 过 期 的 账 户 ， 避 免 共 享 账 户 的 存 在 ； 测 评 方 法 ； 查 看 u s e r 表 再 访 谈 管 理 员 表 中 用 户 与 现 实 是 否 做 到 一 一 对 应 ， 且 无 共 用 ， 多 余 ， 过 期 的 账 户 d ） 应 授 予 管 理 用 户 所 需 的 最 小 权 限 ， 实 现 管 理 用 户 的 权 限 分 离 ； 测 评 方 法 ； 1 ） 先 根 据 用 户 方 实 际 人 员 情 况 核 查 是 否 具 备 不 同 管 理 员 2 ） 使 用 命 令 s e l e c t   H o s t , U s e r , F i l e _ p r i v , S h u t d o w n _ p r i v ， g r a n t _ p r i v   f r o m   u s e r ; 查 看 各 管 理 员 账 户 权 限 设 置 是 否 与 实 际 情 况 对 应 注 ； 此 项 至 少 要 包 括 系 统 管 理 员 和 审 计 管 理 员 才 能 算 符 合 e ） 应 由 授 权 主 体 配 置 访 问 控 制 策 略 ， 访 问 控 制 策 略 规 定 主 体 对 客 体 的 访 问 规 则 ； 测 评 方 法 ； 1 ） 访 谈 管 理 员 是 否 制 定 了 访 问 控 制 策 略 2 ） 执 行 语 句 ： m y s q l > s e l c e c   *   f r o m   m y s q l . u s e r G   - 检 查 用 户 权 限 列 表 m y s q l > s e l c e c   *   f r o m   m y s q l . d b G   - - 检 查 数 据 库 权 限 列 表 m y s q l > s e l c e c   *   f r o m   m y s q l . t a b l e s _ p r i v G   - 检 查 用 户 表 权 限 列 表 输 出 的 权 限 列 是 是 否 与 管 理 员 制 定 的 访 问 控 制 策 略 及 规 则 一 致 3 ） 登 录 不 同 的 用 户 ， 验 证 是 否 存 在 越 权 访 问 的 情 形 注 ； 通 常 情 况 下 是 由 系 统 管 理 员 来 配 置 策 略 ， 基 本 上 算 默 认 符 合
f ） 访 问 控 制 的 粒 度 应 达 到 主 体 为 用 户 级 或 进 程 级 ， 客 体 为 文 件 、 数 据 库 表 级 ； 测 评 方 法 ； 此 项 主 要 检 查 访 问 的 主 体 和 客 体 是 什 么 级 别 的 注 ； 通 常 情 况 下 数 据 库 层 面 主 体 为 用 户 及 ， 客 体 为 数 据 库 表 级 安 全 审 计 a ） 应 启 用 安 全 审 计 功 能 ， 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 ； 测 评 方 法 ； 1 ） 执 行 下 列 语 句 : s h o w   v a r i a b l e s   l i k e   ‘ l o g _ % ’ ; 查 看 二 进 制 日 志 、 慢 查 询 日 志 、 错 误 日 志 、 操 作 日 志 是 否 开 启 2 ） 核 查 是 否 采 取 第 三 方 工 具 增 强 M y S Q L 日 志 功 能 。 若 有 ， 记 录 第 三 方 审 计 工 具 的 审 计 内 容 ， 查 看 是 否 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 注 ； s h o w   g l o b a l   v a r i a b l e s   l i k e   ‘ % g e n e r a l % ’ ; 值 为 O F F 或 0 表 示 未 开 启 ， b ） 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 ； 测 评 方 法 ； 1 ） 执 行 下 列 语 句 : m y s q l > s h o w   m a s t e r   s t a t u s ; 查 看 当 前 日 志 根 据 日 志 存 放 路 径 ， 查 看 输 出 的 日 志 内 容 2 ） 核 查 是 否 采 取 第 三 方 工 具 增 强 M y S Q L 日 志 功 能 。 若 有 ， 记 录 第 三 方 审 计 工 具 的 审 计 内 容 ， 查 看 是 否 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 注 ； 只 要 开 启 了 审 计 功 能 ， 此 项 默 认 符 合 c ） 应 对 审 计 记 录 进 行 保 护 ， 定 期 备 份 ， 避 免 受 到 未 预 期 的 删 除 、 修 改 或 覆 盖 等 ； 测 评 方 法 ； 询 问 管 理 员 是 否 对 审 计 记 录 保 护 并 定 期 备 份 ， 备 份 在 哪 里 ， 并 且 日 志 记 录 保 存 时 间 是 否 大 于 6 个 月 d ） 应 对 审 计 进 程 进 行 保 护 ， 防 止 未 经 授 权 的 中 断 。 测 评 方 法 ； 切 换 开 放 状 态 的 账 户 （ 非 r o o t 账 户 ） 进 行 测 试 ， 看 能 否 中 断 审 计 、 日 志 服 务 ： 可 信 验 证 a ） 可 基 于 可 信 根 对 计 算 设 备 的 系 统 引 导 程 序 、 系 统 程 序 、 重 要 配 置 参 数 和 应 用 程 序 等 进 行 可 信 验 证 ， 并 在 应 用 程 序 的 关 键 执 行 环 节 进 行 动 态 可 信 验 证 ， 在 检 测 到 其 可 信 性 受 到 破 坏 后 进 行 报 警 ， 并 将 验 证 结 果 形 成 审 计 记 录 送 至 安 全 管 理 中 心 。 测 评 方 法 ； 数 据 库 未 涉 及 可 信 技 术 的 使 用 ， 故 不 适 用 数 据 完 整 性 a ） 应 采 用 校 验 技 术 或 密 码 技 术 保 证 重 要 数 据 在 传 输 过 程 中 的 完 整 性 ， 包 括 但 不 限 于 鉴 别 数 据 、 重 要 业 务 数 据 、 重 要 审 计 数 据 、 重 要 配 置 数 据 、 重 要 视 频 数 据 和 重 要 个 人 信 息 等 ； 测 评 方 法 ； 若 数 据 库 只 涉 及 鉴 别 信 息 ， 则 按 照 身 份 鉴 别 c 项 来 写 ， 其 他 数 据 绝 大 多 数 情 况 考 虑 不 适 用 由 应 用 层 面 负 责 b ） 应 采 用 校 验 技 术 或 密 码 技 术 保 证 重 要 数 据 在 存 储 过 程 中 的 完 整 性 ， 包 括 但 不 限 于 鉴 别 数 据 、 重 要 业 务 数 据 、 重 要 审 计 数 据 、 重 要 配 置 数
据 、 重 要 视 频 数 据 和 重 要 个 人 信 息 等 。 测 评 方 法 ； 如 果 数 据 保 密 性 满 足 要 求 则 完 整 性 也 满 足 要 求 ， 可 以 根 据 数 据 保 密 性 b ） 来 写 数 据 保 密 性 a ） 应 采 用 密 码 技 术 保 证 重 要 数 据 在 传 输 过 程 中 的 保 密 性 ， 包 括 但 不 限 于 鉴 别 数 据 、 重 要 业 务 数 据 和 重 要 个 人 信 息 等 ； 测 评 方 法 ； 数 据 库 只 涉 及 了 身 份 鉴 别 ， 看 身 份 鉴 别 c 项 b ） 应 采 用 密 码 技 术 保 证 重 要 数 据 在 存 储 过 程 中 的 保 密 性 ， 包 括 但 不 限 于 鉴 别 数 据 、 重 要 业 务 数 据 和 重 要 个 人 信 息 等 。 测 评 方 法 ； 主 要 查 看 鉴 别 信 息 根 据 数 据 库 采 用 了 什 么 加 密 方 式 ， 至 于 其 他 重 要 数 据 根 据 现 场 查 看 情 况 来 定 数 据 备 份 恢 复 a ） 应 提 供 重 要 数 据 的 本 地 数 据 备 份 与 恢 复 功 能 ； 测 评 方 法 ； 主 要 询 问 管 理 员 是 否 对 数 据 库 进 行 本 地 备 份 ， 并 且 是 否 做 过 恢 复 性 测 试 b ） 应 提 供 异 地 实 时 备 份 功 能 ， 利 用 通 信 网 络 将 重 要 数 据 实 时 备 份 至 备 份 场 地 ； 测 评 方 法 ； 主 要 询 问 管 理 员 是 否 做 了 异 地 实 时 备 份 ， 具 体 备 份 在 哪 里 ， 保 存 时 间 注 ； 此 项 要 注 意 实 时 ， 往 往 业 主 做 了 异 地 备 份 ， 但 不 是 实 时 ， 也 只 能 算 部 分 符 合 c ） 应 提 供 重 要 数 据 处 理 系 统 的 热 冗 余 ， 保 证 系 统 的 高 可 用 性 。 测 评 方 法 ； 询 问 管 理 员 是 否 对 数 据 库 采 用 热 冗 余 方 式 部 署 注 ； 需 要 注 意 一 定 要 是 重 要 数 据 存 在 的 数 据 库 ， 可 根 据 现 场 具 体 情 况 和 业 务 判 断 剩 余 信 息 保 护 a ） 应 保 证 鉴 别 信 息 所 在 的 存 储 空 间 被 释 放 或 重 新 分 配 前 得 到 完 全 清 除 ； 测 评 方 法 ； m y s q l 数 据 库 自 身 能 够 保 证 鉴 别 信 息 所 在 的 存 储 空 间 被 释 放 或 重 新 分 配 前 得 到 完 全 清 除 b ） 应 保 证 存 有 敏 感 数 据 的 存 储 空 间 被 释 放 或 重 新 分 配 前 得 到 完 全 清 除 测 评 方 法 ； m y s q l 数 据 库 自 身 能 够 保 证 存 有 敏 感 数 据 的 存 储 空 间 被 释 放 或 重 新 分 配 前 得 到 完 全 清 除 个 人 信 息 保 护 a ） 应 仅 采 集 和 保 存 业 务 必 需 的 用 户 个 人 信 息 ； 测 评 方 法 ； 数 据 库 不 涉 及 对 个 人 信 息 的 采 集 ， 此 项 在 应 用 层 面 进 行 判 定 b ） 应 禁 止 未 授 权 访 问 和 非 法 使 用 用 户 个 人 信 息 。 测 评 方 法 ； 数 据 库 不 涉 及 对 个 人 信 息 的 采 集 ， 此 项 在 应 用 层 面 进 行 判 定

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理