MySQL

Windows主機(jī)測(cè)評(píng)Mysql基礎(chǔ)命令

create  USER 'new_user'@'localhost' IDENTIFIED BY 'password';				//創(chuàng)建用戶(hù)
alter user 'root'@'%' identified with mysql_native_password by '********'; 		//修改密碼
rename user 'root'@'%' to 'root'@'192.168.1.1';									//重命名
flush privileges;																//刷新權(quán)限
grant all privileges on *.* to 'root'@'192.168.1.%'; 							//賦予權(quán)限
revoke all privileges on *.* to 'root'@'%';										//收回權(quán)限
select current_user();												//查看當(dāng)前登錄的用戶(hù)
select current_role(); 												//查看當(dāng)前登錄的角
mysqldump -uroot -p mysql>mysql.sql 									//導(dǎo)出mysql數(shù)據(jù)庫(kù)
create database xiaozhou_db;									//創(chuàng)建xiaozhou數(shù)據(jù)庫(kù)
show databases;															//展示所有數(shù)據(jù)庫(kù)
drop database xiaohzou_db;													//刪除數(shù)據(jù)庫(kù)
alter user 'root'@'localhost' identified with mysql_native_password by 'xlpszqdbb';	//修改密碼
show variables like 'port';														//查看端口
ALTER USER 'existing_user'@'localhost' IDENTIFIED BY 'new_password';
show variables like 'validate%';
show variables like '%connection_control%';
show variables like '%timeout%'

一 身份鑒別

MySQL數(shù)據(jù)庫(kù)對(duì)于用戶(hù)的標(biāo)識(shí)和其它數(shù)據(jù)庫(kù)有些不一樣，不僅僅是用戶(hù)名，而是username + host。MySQL從5.7以上開(kāi)始，密碼字段不是password，而是authentication_string。

要滿(mǎn)足密碼復(fù)雜度必須在my.ini配置文件中安裝plugin-load-add=validate_password.dll(Windows/Linux為plugin-load-add=validate_password.so)插件。

select * from mysql.`plugin`;//查看插件

install plugin validate_password soname 'validate_password.so';

a) 應(yīng)對(duì)登錄的用戶(hù)進(jìn)行身份標(biāo)識(shí)和鑒別，身份標(biāo)識(shí)具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換；

1.提示輸入口令鑒別用戶(hù)身份

1)嘗試登錄數(shù)據(jù)庫(kù)，**執(zhí)行mysql -u root -p(linux下)查看是否提示輸入口令鑒別用戶(hù)身份。**此處直接使用navicat 進(jìn)行管理。

mysql -h localhost -u root -p123

2.查是否存在同名用戶(hù)

select user, host FROM mysql.user

結(jié)果輸出用戶(hù)列表，查者是否存在相同用戶(hù)名。結(jié)果默認(rèn)不存在同名用戶(hù)。

-查詢(xún)是否在空口令用戶(hù)：

select * from mysql.user where length(password)= 0 or password is null

或者

select user,authentication_string from user;

mysql 5.7以上識(shí)別第二條命令）通過(guò)查看不存在空口令用戶(hù)。

4)執(zhí)行如下語(yǔ)句查看用戶(hù)口今復(fù)雜度相關(guān)配置:

show variables like 'validate%';

默認(rèn)情況下未配置，為空。

要滿(mǎn)足密碼復(fù)雜度必須在my.ini配置文件中安裝plugin-load-add=validate_password.dll(Windows/Linux為plugin-load-add=validate_password.so)插件。

b) 應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會(huì)話(huà)、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時(shí)自動(dòng)退出等相關(guān)措施；

登錄失敗功能也需要mysql安裝connection_control.dll或者connection_control.so插件才能實(shí)現(xiàn)

1)詢(xún)問(wèn)管理員是否采取其他手段配置數(shù)據(jù)庫(kù)登錄失敗處理功能。

2）執(zhí)行show variables like '%connection_control%';或核查my.cnf或者my.ini文件，應(yīng)設(shè)置如下參數(shù)：

max_connect_errors=100

validate_password_policy：密碼安全策略，默認(rèn)MEDIUM策略
validate_password_dictionary_file：密碼策略文件，策略為STRONG才需要
validate_password_length：密碼最少長(zhǎng)度
validate_password_mixed_case_count：大小寫(xiě)字符長(zhǎng)度，至少1個(gè)
validate_password_number_count ：數(shù)字至少1個(gè)  validate_password_special_char_count：特殊字符至少1個(gè)

show variables like ”%timeout%“,查看返回值。默認(rèn)Wait_ timeout: 一個(gè)連接connection空閑超過(guò)8個(gè)小時(shí)(默認(rèn)值28800秒)，MySQL 就會(huì)自動(dòng)斷開(kāi)這個(gè)連接。默認(rèn)不符合，時(shí)間太長(zhǎng)。

當(dāng)進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽(tīng)；

1)是否采用加密等安全方式對(duì)系統(tǒng)進(jìn)行遠(yuǎn)程管理

是否用戶(hù)都是localhost，全為localhost則為本地管理。不適用。

2)若存在遠(yuǎn)程管理，執(zhí)行

show variables like "%have_ssl%"

或者者show variables like "%have_openssl%"

查看是否支持ssl的連接特性,若為disabled說(shuō)明此功能沒(méi)有激活,或執(zhí)行\(zhòng)s查看是否啟用SSL。

二、訪(fǎng)問(wèn)控制

應(yīng)對(duì)登錄的用戶(hù)分配賬戶(hù)

1.執(zhí)行語(yǔ)句select user,host FROM mysql.user

輸出結(jié)果結(jié)合訪(fǎng)談管理員是否存在網(wǎng)絡(luò)管理員，安全管理員，系統(tǒng)管理員等多個(gè)賬戶(hù)，且分配了相應(yīng)權(quán)限。

show grants for 'XXXX'@' localhost'：

查看其他管理員用戶(hù)賬號(hào)的權(quán)限，是否只存在特定用戶(hù)如root 用戶(hù)存在權(quán)限分配的權(quán)限。其他普通用戶(hù)如test用戶(hù)應(yīng)無(wú)Grant option 權(quán)限。

2.是否存在多余的、過(guò)期的賬戶(hù)，避免共享賬戶(hù)

select user,accounted _lock from user;

3.應(yīng)授予管理用戶(hù)所需的最小權(quán)限，實(shí)現(xiàn)管理用戶(hù)的權(quán)限分離

select * from mysql.user

如除root外，任何用戶(hù)不應(yīng)該有mysql庫(kù)user表的存取權(quán)限，禁止將fil、process、 super權(quán)限授予管理員以外的賬戶(hù)

查看用戶(hù)權(quán)限表，并驗(yàn)證用戶(hù)是否具有自身角色外的其他用戶(hù)的權(quán)限。輸入select \* from mysql.user where user="用戶(hù)名"。

4.訪(fǎng)問(wèn)控制策略規(guī)定主體對(duì)客體的訪(fǎng)問(wèn)規(guī)則

select * from mysql.user -檢查用戶(hù)權(quán)限列

select * from mysql.db --檢查數(shù)據(jù)庫(kù)權(quán)限

select * from mysql.tables_priv 一檢查用戶(hù)表權(quán)限列

select * from mysql.columns_priv-檢查列權(quán)限列管理員

三 安全審計(jì)

1.開(kāi)啟安全審計(jì)功能

show global variables like '%general%'。默認(rèn)為OFF，不符合。應(yīng)設(shè)置為ON為開(kāi)啟審計(jì)。

是否已開(kāi)啟審計(jì)general_log為ON。輸入：select * from general_log;得知具體內(nèi)容

2訪(fǎng)談是否存在第三方插件。

對(duì)于生產(chǎn)環(huán)境中任務(wù)繁重的MySOL數(shù)據(jù)庫(kù)，啟用審計(jì)會(huì)引起服務(wù)器的高昂成本，因此建議采用第三方數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品收集審計(jì)記錄。

3.應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，定期備份

cp /var/log/audit/audit.log /path/to/backup/audit.log  //手動(dòng)備份
gzip -c /var/log/audit/audit.log > /path/to/backup/audit.log.gz//壓縮備份
crontab 定時(shí)定期自動(dòng)備份

四 入侵防范

1.管理終端進(jìn)行限制

user表中的Host值不為本地主機(jī)時(shí),應(yīng)指定特定IP地址，不應(yīng)為%；

host表中指定用戶(hù)帳戶(hù)允許登陸訪(fǎng)問(wèn)的主機(jī)；在非信任的客戶(hù)端以數(shù)據(jù)庫(kù)賬戶(hù)登錄應(yīng)被提示拒絕，從其他子網(wǎng)登錄，應(yīng)被拒絕

GRANT ALL ON *.* TO 'root'@'myip.athome' //指定IP范問(wèn)

2.版本補(bǔ)丁情況

show variables where variable_name like "version"

3.數(shù)據(jù)庫(kù)定期漏掃

MongoDB

一 身份鑒別

MongoDB服務(wù)在安裝后默認(rèn)未開(kāi)啟權(quán)限驗(yàn)證，默認(rèn)是空賬戶(hù)、空口令

mongod.cfg配置文件中修改auth=true，啟用身份認(rèn)證，執(zhí)行命令mongo顯示權(quán)限不足

自身不具備設(shè)置登錄賬戶(hù)的口令復(fù)雜度和定期更換口令的策略，

僅通過(guò)管理員自行設(shè)置口令復(fù)雜度，use admin。

是否采用加密安全方式對(duì)系統(tǒng)進(jìn)行遠(yuǎn)程管理

二 訪(fǎng)問(wèn)控制

show users”查看mongoDB中的賬戶(hù)的管理權(quán)限，

授予管理用戶(hù)所需的最小權(quán)限，

實(shí)現(xiàn)管理用戶(hù)的權(quán)限分離

mongoDB不存在默認(rèn)賬戶(hù)， 應(yīng)及時(shí)刪除或停用多余的、過(guò)期的賬戶(hù)，避免共享賬戶(hù)的存在

訪(fǎng)談和查看管理員是否制定了訪(fǎng)問(wèn)控制策略;

use admin 啟用身份鑒別，且具備權(quán)限分離

訪(fǎng)問(wèn)控制的粒度應(yīng)達(dá)到主體為用戶(hù)級(jí)或進(jìn)程級(jí)

三安全審計(jì)

檢查mongod.cfg配置文件中是否添加quiet: false，啟用日志安全審計(jì)功能

四檢查mongod.log的日志文件記錄是否正常：

訪(fǎng)談人員是否通過(guò)第三方工具（數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)）收集審計(jì)數(shù)據(jù)進(jìn)行分析，查看是否包括事件的日期和時(shí)間、用戶(hù)、事件類(lèi)型、事件是否成功及其他與審計(jì)相關(guān)的信息。

應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，定期備份，避免受到未預(yù)期的刪除、修改或覆蓋等

MongoDB數(shù)據(jù)庫(kù)備份:

mongodump -h dbhost -d dbname -o dbdirectory

MongoDB數(shù)據(jù)庫(kù)恢復(fù):

mongorestore -h dbhost -d dbname --dir dbdirectory

集群部署、雙機(jī)熱備均可判定為符合。

檢查數(shù)據(jù)庫(kù)中是否存儲(chǔ)個(gè)人信息，若有，檢查個(gè)人信息保護(hù)機(jī)制和個(gè)人信息保護(hù)管理制度

五 入侵防范

最小安裝原則

管理的管理終端進(jìn)行限制

打開(kāi)mongdb.cfg 看它的bindip。需要修改為指定連接

訪(fǎng)談管理員是否定期或不定期進(jìn)行掃描或測(cè)試，若存在，是否及時(shí)進(jìn)行修補(bǔ)。

a)應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸過(guò)程中的完整性

TLS、SSH等協(xié)議

詢(xún)問(wèn)管理人員是否使用了第三方軟件對(duì)數(shù)據(jù)庫(kù)重要數(shù)據(jù)進(jìn)行了完整性校驗(yàn)。

Oracle

一、身份鑒別

a) 應(yīng)對(duì)登錄的用戶(hù)進(jìn)行身份標(biāo)識(shí)和鑒別，身份標(biāo)識(shí)具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換；

sysdba是Oracle數(shù)據(jù)庫(kù)的最高權(quán)限管理員。通常使用sqlplus或PL/SQL 管理軟件進(jìn)行管理，PL/SQL 為第三方管理軟件，但SQL查詢(xún)語(yǔ)句一樣。

注：sysdba如果是本地管理，亂輸密碼也能登錄成功，需要改sqlnet.ora文件。

• 管理員登錄數(shù)據(jù)庫(kù)時(shí)是是否需要輸入用戶(hù)名/口令，不存在空口令；
• 使用 Select username，account_status from dba_users; 顯示所有能登錄數(shù)據(jù)庫(kù)的用戶(hù)信息:(),那些是open那些是locked,UID是否唯一

\3. 通過(guò)命令 *select \ from dba_profiles where resource_type='password';或SELECT LIMIT FROM DBA_PROFILES WHERE PROFILE='DEFAULT' AND RESOURCE_NAME='PASSWORD_VERIFY_FUNCTION';**如果為NULL則為未設(shè)置密碼復(fù)雜度要求。

若有設(shè)置應(yīng)為 （1）PASSWORD_LOGIN_ATTEMPTS = 登錄嘗試次數(shù)； （2）PASSWORD_LIFE_TIME = unlimited 未設(shè)置口令有效期； （3）PASSWORD_ROUSE_MAX = unlimited 未設(shè)置重新啟用一個(gè)先前用過(guò)的口令前必須對(duì)該口令進(jìn)行重新設(shè)置的次數(shù)（重復(fù)用的次數(shù)）; （4）PASSWORD_VERIFY_FUNCITON = NULL,未設(shè)置口令復(fù)雜度校驗(yàn)函數(shù)； （5）PASSWORD_GRACE_TIME=，口令修改的寬限期天數(shù)：7；

b) 應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會(huì)話(huà)、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時(shí)自動(dòng)退出等相關(guān)措施；

1. 通過(guò)輸入 SELECT LIMIT FROM DBA_PROFILES WHERE PROFILE='DEFAULT' AND RESOURCE_NAME='FAILED_LOGIN_ATTEMOTS';，查詢(xún)結(jié)果若為’UNLIMITED’則無(wú)登錄重試次數(shù)限制，超過(guò)此值用戶(hù)被鎖定。可以通過(guò)ALTER PROFILE DEFAULT LIMIT FAILED_LOGIN_ATTEMPTS 10（重試次數(shù)10次）

二、訪(fǎng)問(wèn)控制

a) 應(yīng)對(duì)登錄的用戶(hù)分配賬戶(hù)和權(quán)限；

通過(guò)輸入Select username，account_status from dba_users；語(yǔ)句，主要查看數(shù)據(jù)庫(kù)存在那些可用用戶(hù)，至少得有兩個(gè)，該測(cè)評(píng)項(xiàng)就需要Oracle中存在至少兩個(gè)賬戶(hù)，且這兩個(gè)賬戶(hù)的權(quán)限不一樣。

1.為用戶(hù)分配了賬戶(hù)和權(quán)限及相關(guān)設(shè)置情況，主要看可用賬戶(hù)（例如采用“用戶(hù)權(quán)限列表”）；
2.是否已禁用或限制匿名、默認(rèn)賬戶(hù)的訪(fǎng)問(wèn)權(quán)限。如只有MGMT_UIEW,SYSTEM,SYS,DBSNMP為啟用狀態(tài)，其他均為啟用狀態(tài)，則為符合。

b) 應(yīng)重命名或刪除默認(rèn)賬戶(hù)，修改默認(rèn)賬戶(hù)的默認(rèn)口令

在Oracle中默認(rèn)用戶(hù)最常用的就是SYS和SYSTEM這兩個(gè)賬戶(hù)。
1.是否已經(jīng)重命名SYS、SYSTEM、DBSNMP等默認(rèn)帳戶(hù)名或已修改默認(rèn)口令，sys默認(rèn)口令為CHANGE_ON_INSTALL；SYSTEM：MANAGER；DBSNMP的默認(rèn)口令為：DBSNMP?？梢缘卿洔y(cè)試。

c) 應(yīng)及時(shí)刪除或停用多余的、過(guò)期的賬戶(hù)，避免共享賬戶(hù)的存在

訪(fǎng)談管理員是否存在多余或過(guò)期賬戶(hù)，管理員用戶(hù)與賬戶(hù)之間是否一一對(duì)應(yīng)通過(guò)輸入Select username，account_status from dba_users；查看是否存在默認(rèn)帳戶(hù)SCOTT/OUTLN/ORDSY等用戶(hù)，不存在acount_status為expired的賬戶(hù)。訪(fǎng)談管理員是否存在共享賬戶(hù)等。示例不符合。

d) 應(yīng)授予管理用戶(hù)所需的最小權(quán)限，實(shí)現(xiàn)管理用戶(hù)的權(quán)限分離

1. 通過(guò)輸入Select username，account_status from dba_users;查看狀態(tài)為open的用戶(hù)的用途。是否進(jìn)行角色劃分,是否有多個(gè)用戶(hù)進(jìn)行管理數(shù)據(jù)庫(kù)；
2. 通過(guò)輸入 select * from dba_tab_privs where grantee='SYS'  ORDER BY GRANTEE；查看SYS最高權(quán)限授予給那些用戶(hù)，得知管理用戶(hù)的權(quán)限是否已進(jìn)行分離；

總結(jié)

數(shù)據(jù)庫(kù)安全加固是組織信息安全戰(zhàn)略的關(guān)鍵組成部分，不僅有助于防范安全威脅，還能支持業(yè)務(wù)發(fā)展和符合法律法規(guī)的要求。

到此這篇關(guān)于常見(jiàn)數(shù)據(jù)庫(kù)安全加固及測(cè)評(píng)(MySQL|MongoDB|Oracle)的文章就介紹到這了,更多相關(guān)常見(jiàn)數(shù)據(jù)庫(kù)安全加固及測(cè)評(píng)內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！