系统管理软件 on ClearSec Wiki

01、等保2.0_Oracle数据库测评

Fri, 15 Nov 2024 09:44:26 +0800

一、Oracle介绍

Oracle Database，又名Oracle RDBMS，或简称Oracle。是甲骨文公司的一款关系数据库管理系统。

本次安装环境为Windows10专业版操作系统，数据库版本为11.2.0.1，单机部署过程比较简单就不在此进行讲解。本文针对Oracle 11g等保测评进行实际操作，不妥之处还恳请留言指正，共同学习。

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

1）登录Oracle检查是否采用用户名和口令登录。
2）执行命令：

(1)密码有效期：“select limit from dba_profiles where profile=‘DEFAULT’ and resource_name=‘PASSWORD_LIFE_TIME’;”

(2)密码失效后锁定时间：“select limit from dba_profiles where profile=‘DEFAULT’ and resource_name=‘PASSWORD_REUSE_TIME’;”

(3)失效后保留次数：“select limit from dba_profiles where profile=‘DEFAULT’ and resource_name=‘PASSWORD_REUSE_MAX’;”

(4)失效后密码保留时间：“select limit from dba_profiles where profile=‘DEFAULT’ and resource_name=‘PASSWORD_GRACE_TIME’;”

(5)复杂度：“select limit from dba_profiles where profile=‘DEFAULT’ and resource_name=‘PASSWORD_VERIFY_FUNCTION’;”

查看输出结果：

如果为null表示未设置。

如果不为null,其中：
PASSWORD_LOGIN_ATTEMPTS = 登录尝试次数；
PASSWORD_LIFE_TIME = 设置口令有效期；
PASSWORD_ROUSE_MAX =设置重新启用一个先前用过的口令前必须对该口令进行重新设置的次数（重复用的次数）;
PASSWORD_VERIFY_FUNCITON =设置口令复杂度校验函数；
PASSWORD_GRACE_TIME=口令修改的宽限期天数，一般为7天；

备注：

“PASSWORD_VERIFY_FUNCTION”的Profile字段值为Default，某用户要使用Default的相关配置，就要设置DBA_USERS表中的Profile字段值为Default。

“PASSWORD_VERIFY_FUNCTION”表示该函数对口令进行校验，默认值是null，即不使用任何函数对口令进行校验。

3)执行命令：“Select username，account_status from dba_users;”查看用户名信息是否唯一：

02、等保2.0Tas中间件测评

Fri, 15 Nov 2024 09:44:26 +0800

TAS管理控制台是应用服务器提供的图形化管理工具，它允许管理员通过Web方式管理服务、应用程序、监控程序、用户信息等。TAS控制台是一个标准的servlet3.0规范的web应用,基于SpringBoot2.1研发。运行环境依赖JDK1.8+，TAS2+。控制台并非TAS的核心功能，即使没有控制台也不会影响TAS任何功能的使用，安装时根据需要选择是否安装。

在Windows操作系统下，也可以选择开始菜单中的“Access TAS Console”菜单，访问TAS管理控制台。默认账号为tas2admin，密码为tusc@999。

安装TAS后可以通过：

（1）http://[ip]:[port]/tas-console，其中port为安装TAS时输入的端口，默认8080；

（2）http://[ip]:8888/tas-console进行访问。

TAS对HTTPS的支持，默认附带一个证书，如果用户需要上传自己的证书，可以将证书上传到TAS安装目录/etc目录内，之后在服务器设置 -> 服务器模块配置页面打开HTTP模块，重启TAS中间件其余配置可以访问TAS列表内的通道设置进行配置。

登录界面如下：

默认实现三权分离，其中系统管理员：tas2admin，安全管理员：tas2security，审计管理员：tas2auditor。

(一)身份鉴别

单点登录提示如下：

用户名密码输入错误超过5次后（次数可配置），账户会进行锁定，需要联系安全保密管理员进行解锁。

安全保密管理员的用户名密码输入错误超过5次后，会锁定用户30分钟（时间可配置）

安全策略页面可以对用户登录时使用的密码强度进行设置，用户可以在此页面设置登录密码长度、登录密码组合、连续登录失败次数、登录锁定时间和用户密码有效时间。

TAS控制台使用默认密码登录后，必须进行修改后才能继续使用。

用户密码超过一定时间没有修改的话，建议进行修改后才能继续使用

(一)访问控制

TAS控制台安装后默认会自带三个账号：

l系统管理员：tas2admin

l 安全保密管理员：tas2security

l安全审计员：tas2auditor

他们分别对应了TAS的三种角色和权限，系统管理员负责管理和维护中间件，它还可以创建新的用户。安全保密管理员负责给新创建的用户赋权，配置用户登录时的安全策略。安全审计员负责对审计所有用户对服务器的操作记录。

登录地址限制

“访问控制”操作项打开本页面，在这里可以看到访问控制列表项，用于限制访问到tas的IP。

日志审计

点击列表日志设置，进入设置页面，在这里可以对服务器的日志进行设置，可设置的参数有：

日志文件名称：TAS输出的文件名称，可以对路径进行设置

日志格式：日志文件内日志的输出格式

日志轮转文件名：日志轮转时的文件命名规则

单个文件最大值：单个日志文件保留的最大值

文件保留最大历史：单个日志文件保留的最大历史

总文件最大值：日志文件总数的最大值

日志级别配置：日志输出的级别控制

异步日志：日志的异步输出

用户设置之后点击进行保存，保存的配置将会存入tas安装目录/resource/logback.xml文件内。

点击监控下的“日志查看”可进入日志查看页面，点击日志，右侧实时输出日志可供查看，点击日志后面的“下载”可对日志进行保存。

审计管理员查看用户对中间件的操作日志，同时可以根据条件过滤日志内容。审计日志轮询配置：用户可修改位置文件：/opt/TAS/conf/audit.conf文件，maxFileCount：文件最大保留数，超过将会进行覆盖。默认值15，取值范围5-20；singleFileSize：单个文件最大值，超过将会产生新的文件，单位MB。默认值50，取值范围10-100。

05、等保2.0_Sql_Server数据库测评

Fri, 15 Nov 2024 09:44:26 +0800

一、SQL server数据库介绍

SQL server美国Microsoft公司推出的一种关系型数据库系统。SQL Server是一个可扩展的、高性能的、为分布式客户机/服务器计算所设计的数据库管理系统。

本次安装环境为Windows10专业版操作系统，数据库版本为Microsoft SQL Server 2019 (RTM) - 15.0.2000.5 (X64) ，单机部署过程比较简单就不在此进行讲解。本文针对SQL server等保测评进行实际操作，不妥之处还恳请留言指正，共同学习。

1.1等保测评命令

select @@version 查看数据库版本

select name, LOGINPROPERTY([name], ‘PasswordLastSetTime’) AS’PasswordChanged’ FROM sys.sql_logins;上传口令更换时间

select * from sys.sql_logins; 查看is_policy_checked字段的赋值是否强制实施密码策略

select * from sys.sql_logins ;查看SQL Server身份认证模式的能够登录账户

select * from sys.syslogins ;查看能够连接数据库的账户

sp_configure ‘remote login time’;查看超时
sp_configure ‘remote query timeout’;查看超时

sp_configure ;查看“c2 audit mode”项的值，“0”是未开启C2审计，“1”是开启C2审计。

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

1）SQL server数据库本身没有密码复杂度策略设置，它是使用Windows操作系统的校验函数来校验账户密码的，所以查看SQL server数据库密码复杂度需要结合操作系统本地安全策略的密码策略来看。SQL server密码策略要同时满足开启Windows密码策略并且勾选SQL server账户的强制实施密码策略才算是符合，但即使这样的话一样可以设置6位长度的口令，所以还要设置服务器的密码最小长度值。

2）在Microsoft SQL Server Management Studio中登录服务器，右键点击服务器，选择“属性”，选择“安全性”项，查看服务器身份验证。在Microsoft SQL Server Management Studio中选择服务器组并展开，选择“安全性->登录名”项，右键点击管理员用户的“属性”，在“常规”中查看“强制实施密码策略”和“强制密码过期”

06、等保2.0优炫数据库测评

Fri, 15 Nov 2024 09:44:26 +0800

一、优炫数据库介绍

优炫数据库系统主要包含：优炫数据库（以下简称UXDB）、优炫数据库管理平台（以下简称 UXDBWeb）和优炫数据库图形化开发软件（以下简称UXDBAdmin）。UXDB是一款数据库软件，数据处理引擎（DB）和分布式存储（UXFS）是非常重要的两个功能模块，同时包含数据迁移工具。UXDBWeb和UXDBAdmin是两款独立的软件，两者的不同在于使用对象和管理内容不同，UXDBWeb安装在管理端，供管理人员使用，主要实现对UXDB的DB部分、UXFS部分、系统、安全部分的监控和管理；UXDBAdmin一般安装在客户端，供开发人员使用，主要通过sql语句，实现对DB部分基本操作。

本次安装环境为Windows10专业版操作系统，数据库版本为v2.1.1.3 ，单机部署过程比较简单就不在此进行讲解。本文针对优炫数据库等保测评进行实际操作，不妥之处还恳请留言指正，共同学习。

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

1）优炫数据库本身没有密码复杂度策略设置，经测试发现数据库仅不允许空口令登录，允许设置弱口令。

3）用户唯一标识优炫数据库自动实现，这点默认符合。

b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

优炫数据可配置连接限制，此连接限制是指用户登录失败三次锁定账户，需要管理员进行解锁，解锁方式：如下图的可以登录项的off修改为on，无登录超时自动退出措施。

c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

核查是否采用加密等安全方式对系统进行远程管理，防止鉴别信息在网络传输过程中被窃听。检查远程管理时管理员所使用的管理协议，查看传输过程中的鉴别信息是否是经过加密处理的、抗重放的，并可使用抓包工具，判断管理员远程管理时传输过程中的鉴别信息被窃听的可能性。

SSL连接加密所有跨网络发送的数据：口令、查询、返回的数据。ux_hba.conf文件允许管理员哪些主机可以使用不加密的连接（host），以及哪些主机需要使用SSL加密的连接（hostssl）。客户端还可以指定它们只通过 SSL 连接到服务器。我们还可以使用Stunnel 或SSH加密传输。客户端和主机都可以提供SSL证书给对方。UXDB有一个对使用SSL连接加密客户端/服务器通讯的本地支持，它可以增加安全性。这个特性要求在客户端和服务器端都安装OpenSSL并且打开这个支持。当安装OpenSSL后，可以通过将uxsinodb.conf中的ssl设置为on打开UXDB服务器的SSL支持。服务器在同一个TCP端口监听普通连接和SSL连接，并且将与任何正在连接的客户端协商是否使用SSL。

d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

访谈管理员并进行验证，是否采用双因子身份鉴别技术，鉴别技术是什么。实际实现双因素认证比较困难，一般情况判定为不符合。

访问控制

a) 应对登录的用户分配账户和权限； 1)查看用户，并结合结合访谈管理员是否存在网络管理员，安全管理员，系统管理员、审计管理员等多个账户，为各个管理用户分配对应的权限，根据所列出的账户，查看是否存在默认账户，默认账户是否已禁用（优炫数据库自身没有默认账户）。

b) 应重命名或删除默认账户，修改默认账户的默认口令

优炫数据库没有特定的默认账户，数据库一般情况不存在默认口令，输入命令：查看是否存在默认账户。

c) 应及时删除或停用多余的、过期的账户，避免共享账户的存在

1）询问管理员数据库中的账户使用情况，是否存在无人使用的账户，如果存在建议删除。

2)检查网络管理员，安全管理员、系统管理员不同用户是否采用不同账户登录数据库。根据所列出的账户，询问数据库管理员各个账户的作用，是否存在多余的、过期的和共享账户。

d) 应授予管理用户所需的最小权限，实现管理用户的权限分离

1）询问数据库管理员管理账户是否按照最小权限进行划分。

e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则

1）访谈和查看管理员是否制定了访问控制策略

2）查看管理员权限；（此测评点如果数据库已经启用身份鉴别，且具备权限分离可判定为符合）

f) 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级

结合a）、b）、c）、d）、e）项，并访谈管理员并核查访问控制粒度主体是否为用户级，客体是否为数据库表级。询问数据库管理员是否具有安全策略，数据库是否具有重要的表。在企业管理器中右键点击重要的表，查看其权限。

（此测评点多数测评机构默认判定为符合）

g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问

通过访谈管理员是否对重要主体和客体设置安全标记。SQL Server数据库自身应该很难实现这个功能，可能需要依赖操作系统或者第三方来实现。该项一般默认都不符合。

安全审计

a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

1）数据库本地仅看到会话信息

07、等保2.0（Kingbasees）人大金仓数据库测评

Fri, 15 Nov 2024 09:44:26 +0800

apache一、测评查询命令

select version(); 查看数据库版本

打开kingbase.conf配置文件可看到口令策略、登录失败处理和超时退出、安全审计策略

select setting from sys_settings where name=‘ssl’;查看是否开启SSL

select * from sys_user;查看管理用户

打开init.log查看日志信息

其他安全配置可在人大金仓数据库对象管理工具中看到。

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

1）KingbaseES 支持基于强化口令的身份鉴别，它包括对数据库用户施加口令复杂度检查、账户和口令有效期限设置、账户锁定等安全策略管理等机制。此外，KingbaseES 还支持基于 Kerberos、Radius、LDAP 认证协议和CA等技术在内的与第三方身份认证产品相结合的外部统一身份鉴别或集中化身份认证方式。

如果直接进入数据库则未对用户进行身份鉴别，判不符合；

如果无法登录则表明对用户进行了身份鉴别，则需要根据口令策略再进行判定。

2）KingbaseES 通过插件的方式来进行口令的复杂度管理，修改 kingbase.conf 文件中 shared_preload_libraries 参数后重启数据库，创建插件并打开密码复杂度开关。

密码复杂度开关，默认为关闭状态。

b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

1)KingbaseES 通过插件的方式来进行登录失败处理管理，修改 kingbase.conf 文件中 shared_preload_libraries 参数后重启数据库。

允许用户连续登录失败的最大次数通过参数sys_audlog.error_user_connect_times配置，用户登录失败的次数大于超过该值，用户自动锁定，取值范围为[0,INT_MAX]，缺省为 0。

设置密码连续最大失败次数为10：

ALTER SYSTEM SET sys_audlog.max_error_user_connect_times = 10;

CALL sys_reload_conf();

用户登录失败次数的最大值界限通过参数sys_audlog.max_error_user_connect_times配置，error_user_connect_times的最大取值，取值范围为[0,INT_MAX]，缺省为 2147483647。

设置密码连续最大失败次数为6：

ALTER SYSTEM SET sys_audlog.error_user_connect_times = 6;

CALL sys_reload_conf();

用户被锁定时间通过参数sys_audlog.error_user_connect_interval配置，若用户被锁定的时间超过了该参数，则该用户可自动解锁。单位是分钟，取值范围为[0，INT_MAX]，缺省为0。设置被封锁用户的自动解封时间为 1 小时：ALTER SYSTEM SET sys_audlog.error_user_connect_interval = 60;CALL sys_reload_conf();
c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

1)是否采用加密等安全方式对系统进行远程管理是否用户都是localhost，全为localhost则为本地管理，可判定为不适用。

10、等保2.0 Gaussddb（华为高斯数据库）测评

Fri, 15 Nov 2024 09:44:26 +0800

查询命令

gsql -d postgres -U gaussdba：登录数据库，gaussdba为用户名

gaussdb –version 查询数据库版本

cps template-instance-list –service gaussdb gaussdb命令查看gaussdb部署节点

select * from pg_user; 查询用户

cps template-params-show –service gaussdb gaussdb 查看登录失败处理。

\set 查看连接超时时间。

cps template-params-show –service gaussdb gaussdb 查看传输协议。

进入/opt/fusionplatform/data/gaussdb_data/data目录，执行cat postgresql.conf | grep ssl_ciphers中的算法(也就是进入安装目录查看postgresql.conf配置文件中的ssl采用的算法。

select * from information_schema.routine_privileges where grantee=‘user_name’; 命令查询user_name用户所拥有的权限，user_name替换成实际的用户名。

select ROLNAME from pg_authid where oid=10; 查看默认用户。

show audit_enabled;查看审计，ON表示已经开启审计功能。

select * from pg_query_audit(‘2022-08-19 08:00:00’,‘2022-08-20 08:00:00’); 查看具体时间段的日志记录。

进入/var/log/fusionsphere/component/gaussdb目录，执行ll，查看该目录下文件的权限。

打开pg_hba.conf配置文件，查看IP白名单限制（登录地址限制）。

版本查询

su - gaussdba

gaussdb –version

12、等保2.0 Mysql数据库命令

Fri, 15 Nov 2024 09:44:26 +0800

第一部分

select version(); //mysql版本查询访谈有没有定期扫描，有漏洞是否修复

select user(); //取得当前登录的用户

select * from mysql.user; 查询mysql.user表中的所有内容

SELECT User, Host, Password from mysql.user; // 5.7版本以下查看用户名密码

select User,authentication_string,Host from mysql.user; // 5.7版本以上查看用户名和密码

show variables like ‘validate_password%’; //查看密码复杂度策略

show global variables like “%max_connect%”; //最大登录次数，默认100不生效，需访谈有无第三方

show global variables like ‘%timeout%’; //超时自动退出

show variables like ‘%connection_control%’; //看是否有登录超时策略

show variables like ‘have%ssl%’; //远程加密管理

select * from information_schema.user_privileges; //查看用户权限表中的内容

show global variables like ‘%general%’; //查看是否开启审计，默认为off，不符合，建议第三方审计

show variables like ‘%audit%’; //查看日志配置

13、等保2.0 Linux（Tomcat）中间件命令

Fri, 15 Nov 2024 09:44:26 +0800

一、ps -ef|grep tomcat 查看tomcat服务，并查看tomcat在什么目录下，如/usr/local/tomcat文件；

二、cd 进入文件目录，如：cd /usr/local/tomcat；

三、ls 查看当前目录

四、使用cd 进入logs目录（命令：cd logs），然后使用ls查看当前文件夹中的内容

五、cd -退回至上层目录

六、cd 进入文件目录，如：cd conf，然后使用ls列出当前目录

七、使用cat 打开配置文件（cat后面两个空格）；如： cat logging.properties

八、使用cat 打开配置文件；如： cat server.xml

九、./bin/catalina.sh version 查看中间件版本

whereis 文件名查找文件

Which 文件名查找文件

netstat -ntlp 查看服务

nginx -v查看版本

ps aux|grep nginx

cd /var/log/nginx

find / -name +文件名

more +文件名

rpm -qa | grep nginx

进入tomcat的home目录之后

cat RELEASE-NOTES | grep Version

httpd -v

常用中间件未启用快捷命令查询版本时，可索引至中间件文件夹目录下进行查询，如：

/usr/local/nginx/sbin/nginx -V

22、等保测评2.0_Mysql访问控制理解解读

Fri, 15 Nov 2024 09:44:26 +0800

一、说明

本篇文章主要说一说MySQL中访问控制控制点的相关内容和理解。，其余层面要求项见https://cloud.tencent.com/developer/column/2006

二、测评项

a)应对登录的用户分配账户和权限； b)应重命名或删除默认账户，修改默认账户的默认口令； c)应及时删除或停用多余的、过期的账户，避免共享账户的存在； d)应授予管理用户所需的最小权限，实现管理用户的权限分离； e)应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；f)访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级； g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。

三、测评项a

a)应对登录的用户分配账户和权限；

3.1. 要求1

如果从字面意思来看，就是一个废话，用户都登录账户了，自然就存在着账户。

这里的意思是应该是你本来就存在“多个账户”，然后当用户使用时要适当的“分配账户”给用户，而账户再拥有不一样的权限，这样就实现了将权限通过账户分配给用户（自然人）。

所以，该测评项就需要MySQL中存在至少两个账户，且这两个账户的权限不一样。

3.2. 要求2

在测评要求中测评实施如下：

在MySQL中，安装完成后默认存在的账户一般有3个，都是root：

先不管其中是否存在多余账户，这个账户如果使用的话一般当做超级管理员来用，默认状况下root账户也拥有着所有的全局权限，也不需要对root账户的权限做什么限制。

全局权限存储在user表中，里面有着权限列：

四、测评项b

b)应重命名或删除默认账户，修改默认账户的默认口令；

默认账户root当然是可以修改用户名的，但是一般数据库和实际业务关联比较深，修改数据库用户的用户名肯定会影响到业务。

所以从实际角度来说，应该是建议修改root的用户名，但不强制要求。

如果没有修改用户名或者禁用账户的话，似乎MySQL安装好后root账户存在一个初始口令（随机生成的）。

无论存不存在初始口令，现在使用的口令应该是强口令，才符合测评要求。

五、测评项c

c)应及时删除或停用多余的、过期的账户，避免共享账户的存在；

默认账户一般就是root账户，这里个人觉得是存在多余账户的：

在等保测评2.0：MySQL身份鉴别（上）中有说过：

对于MySQL来说，如上文所言，用户的身份标识为username + host，MySQL并没有禁止出现完全一样的username + host行，所以这里是可能出现身份标识不唯一的情况的。这三个用户的User都是root，虽然Host看上去不一样，实际上也都是本机地址。 127.0.0.1就是本地的ip地址，localhost则是在hosts文件里（linux系统中）和ip地址进行了映射，其实映射的还是127.0.0.1地址，至于::1应该是ipv6格式的本机地址。 ::1这个我不知道要如何才能连上，当用户名为root的行只剩下host值为::1的行的时候，使用用户名root怎么连都不可能连上。对于127.0.0.1和localhost，在windows系统上没啥区别，登录时其排序是不确定的（对于这种，应该是谁先创建谁在前）。对于127.0.0.1和localhost，好像在linux上有一点区别：MySQL主机127.0.0.1与localhost区别总结从正常的业务需求来说，明显这三个用户的身份标识是不唯一的，应该删掉::1和另外一个。至于非默认账户，可以通过访谈或者权限查询来判断是否为多余账户。

六、测评项d

d)应授予管理用户所需的最小权限，实现管理用户的权限分离；

6.1. MySQL的权限结构

MySQL的权限是有多个层级的，分别是，存储在各个表当中。

分别是：mysql.user表（全局权限）、mysql.db表（数据库权限）、mysql.tables_priv（表权限）、mysql.columns_priv（列权限）。

权限判断过程大概是这样的：

客户端操作核实阶段，当客户端的连接请求被MySQL服务器端通过其身份认证后。那么接下来就可以发送数据库的操作命令给服务器端处理，服务器检查用户要执行的操作，在确认权限时，MySQL首先检查user表，如果指定的权限没有在user表中被授权；MySQL将检查db表，db表时下一安全层级，其中的权限限定于数据库层级，在该层级的SELECT权限允许用户查看指定数据库的所有表中的数据；如果在该层级没有找到限定的权限，则MySQL继续检查tables_priv表以及columns_priv表，如果所有权限表都检查完毕，但还是没有找到允许的权限操作，MySQL将返回错误信息，用户请求的操作不能执行，操作失败。其过程大概如下图：

查询某用户的权限的话，可以去上述几个权限表中查看数据。

也可以使用show grants for ‘xx’@’xx’语句，这个语句应该会把某用户在这些表中的权限全部列出来：

+---------------------------------------------------------------------------------------------+| Grants for dba@localhost |
+---------------------------------------------------------------------------------------------+| GRANT RELOAD, SUPER, REPLICATION CLIENT ON *.* TO 'dba'@'localhost' |
| GRANT CREATE TEMPORARY TABLES ON `mysql`.* TO 'dba'@'localhost' |
|---|
| GRANT SELECT, INSERT, UPDATE, CREATE, DROP ON `mysql`.`backup_history` TO 'dba'@'localhost' |
| GRANT INSERT, UPDATE, CREATE, DROP ON `mysql`.`ibbackup_binlog_maker` TO 'dba'@'localhost' |
| GRANT INSERT, UPDATE, CREATE, DROP ON `mysql`.`backup_progress` TO 'dba'@'localhost' |
+---------------------------------------------------------------------------------------------+

其中第一行是全局权限，第二行是mysql数据库的权限，第三、四行则是表一级的权限。

25、等保2.0 Postgresql数据库配置核查命令

Fri, 15 Nov 2024 09:44:26 +0800

第一部分

psql -h 127.0.0.1 -d postgres -U postgres 连接pgsql server

pg_ctl –version 查看数据库版本

select version(); 查看数据库版本（登录到数据库中）

打开pg_hba.conf配置文件查看数据库的身份认证方式

select * from pg_shadow ; 口令到期时间

show password_encryption; 查看口令加密算法

select * from pg_settings ps where ps.name like ‘%timeout%’; 查询超时

show shared_preload_libraries; 查看是否启用密码复杂度模块

打开postgresql.conf配置文件，查看ssl字段是否为on

第二部分

\du 查看管理用户。

打开postgresql.conf配置文件，查看logging_collector 是否= on，on表示开启日志，查看 log_statement的参数判断数据库审计记录信息。

检查访问控制配置：

SELECT * FROM pg_roles; SELECT * FROM pg_stat_user_tables;

执行more /var/lib/pgsql/data/pg_hba.conf;查看文件允许管理员指定主机需要使用 SSL 加密的连接（hostssl）。客户端还可以指定它们只通过 SSL 连接到服务器

TYPE：值为local和host, Local值表示为主机Socket连接， host代表允许的主机地址连接

DATABASE: 允许访问的数据库名， all代表允许全部数据库

USER: 表示允许哪个用户访问数据库， all代表所有用户都可以访问

28、等保2.0 Maridb数据库测评

Fri, 15 Nov 2024 09:44:26 +0800

一、MariDB介绍

MariaDB数据库管理系统是MySQL的一个分支，是同一MySQL版本的二进制替代品，主要由开源社区在维护，采用GPL授权许可 MariaDB的目的是完全兼容MySQL。

本次安装环境为Windows10专业版操作系统，数据库版本为10.8.3，单机部署过程比较简单就不在此进行讲解。本文针对MariDB等保测评进行实际操作，不妥之处还恳请留言指正，共同学习。

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

1）执行命令：“mysql"检查数据库是否对用户进行身份鉴别:

如果直接进入数据库则未对用户进行身份鉴别，判不符合；

如果无法登录则表明对用户进行了身份鉴别，则需要根据口令策略再进行判定。

2）在数据库“my.ini”配置文件修改口令策略参数。

3)执行命令：“show variables like ‘validate%’;”查看口令策略是否合理：

备注：如果数据库未安装密码策略插件请执行命令：“INSTALL SONAME ‘simple_password_check’;”进行安装并配置相关策略。

4）执行命令：“CREATE USER “test1”@”localhost” IDENTIFIED BY ‘123456’;若不存在空口令、弱口令的现象：

b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

show variables like ‘%timeout%’;

c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

1)是否采用加密等安全方式对系统进行远程管理是否用户都是localhost，全为localhost则为本地管理，可判定为不适用。

2）远程管理根据实际管理情况进行判定（如了解数据库管理工具采用什么措施防止鉴别信息在传输过程中被窃听），若存在远程管理，执行命令：“show variables like ‘%have_ssl%’;”查看是否启用ssl协议，并验证协议是否生效：

d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

访谈管理员并进行验证，是否采用双因子身份鉴别技术，鉴别技术是什么。实际实现双因素认证比较困难，一般情况判定为不符合。

访问控制

a) 应对登录的用户分配账户和权限；

1)执行命令：“select user,host FROM mysql.user;”查看用户，并结果结合访谈管理员是否存在网络管理员，安全管理员，系统管理员、审计管理员等多个账户，为各个管理用户分配对应的权限：

2）执行命令：”select * from mysql.user where user=‘XXX’;或“select * from mysql.db;”检查用户权限：

b) 应重命名或删除默认账户，修改默认账户的默认口令

检查root账户是否重命名，检查其他账户的是否属于默认账户（数据库一盘情况不存在默认口令）。

29、等保2.0 Mongodb测评

Fri, 15 Nov 2024 09:44:26 +0800

一、MongoDB介绍

MongoDB 是一个基于分布式文件存储的数据库。由C++语言编写。旨在为WEB应用提供可扩展的高性能数据存储解决方案。

MongoDB 是一个介于关系数据库和非关系数据库之间的产品，是非关系数据库当中功能最丰富，最像关系数据库的。他支持的数据结构非常松散，是类似json的bson格式，因此可以存储比较复杂的数据类型。

本次安装环境为Windows10专业版操作系统，数据库版本为5.0.8，单机部署过程比较简单就不在此进行讲解。本文针对MongoDB等保测评进行实际操作，不妥之处还恳请留言指正，共同学习。** **

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

1）MongoDB服务在安装后默认未开启权限验证，默认是空账户、空口令，这就导致了任何人无需进行账号认证就可以登陆到数据服务器（同时身份标识的唯一性就得不到满足），未启用身份验证时执行命令“mongo"即刻对数据库进行任意操作:

2）检查mongod.cfg配置文件中修改auth=true，启用身份认证，执行命令：“mongo"后输入其他命令结果显示权限不足或不显示：

2）MongoDB自身不具备设置登录账户的口令复杂度和定期更换口令的策略，仅通过管理员自行设置口令复杂度：

b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

据了解，mongoDB好像不具备登录失败处理功能。

c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

1)是否采用加密等安全方式对系统进行远程管理是否用户都是localhost，全为localhost则为本地管理，可判定为不适用。

2）远程管理根据实际管理情况进行判定（如了解数据库管理工具采用什么措施防止鉴别信息在传输过程中被窃听）

d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

访谈管理员并进行验证，是否采用双因子身份鉴别技术，鉴别技术是什么。实际实现双因素认证比较困难，一般情况判定为不符合。

访问控制

a) 应对登录的用户分配账户和权限；

执行命令“show users”查看mongoDB中的账户的管理权限：

b) 应重命名或删除默认账户，修改默认账户的默认口令

mongoDB不存在默认账户，可根据需要建立不同权限的账户，所有账户都是用户自行建立，账户权限列表如下：

c) 应及时删除或停用多余的、过期的账户，避免共享账户的存在

1）询问管理员数据库中的账户使用情况，是否存在无人使用的账户，如果存在建议删除。

2)检查网络管理员，安全管理员、系统管理员不同用户是否采用不同账户登录数据库。

d) 应授予管理用户所需的最小权限，实现管理用户的权限分离

执行命令“show users”查看mongoDB中的账户的管理权限是否不同，是否建立三员。

e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则

1）访谈和查看管理员是否制定了访问控制策略

2）查看管理员权限；（此测评点如果mongoDB已经启用身份鉴别，且具备权限分离可判定为符合）

f) 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级

结合a）、b）、c）、d）、e）项，并访谈管理员并核查访问控制粒度主体是否为用户级，客体是否为数据库表级。

（此测评点多数测评机构默认判定为符合）

g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问

通过访谈管理员是否对重要主体和客体设置安全标记。mongoDB自身应该不具备这个功能，可能需要依赖操作系统或者第三方来实现。该项一般默认都不符合。

安全审计

a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

1）确保日志记录捕获尽可能多的信息安全审计，检查mongod.cfg配置文件中是否添加quiet: false

2）可检查mongod.log的日志文件记录是否正常：

3）访谈管理员是否通过第三方工具（数据库审计系统）收集审计数据进行分析。

b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

1）检查mongod.log的日志文件:

30、等保2.0 达梦数据库测评

Fri, 15 Nov 2024 09:44:26 +0800

一、达梦数据库介绍

达梦数据库管理系统属于新一代大型通用关系型数据库，全面支持 ANSI SQL 标准和主流编程语言接口/开发框架。行列融合存储技术，在兼顾 OLAP 和 OLTP 的同时，满足 HTAP 混合应用场景。

本次安装环境为Windows10专业版操作系统，数据库版本为v458764

查询命令

select * from v$dm_ini where para_name =‘PWD_POLICY’;查看密码策略

SELECT * FROM V$DM_INI WHERE PARA_NAME=‘ENABLE_AUDIT’;查看审计状态

select * from V$AUDITRECORDS;查看审计记录

select * from v$dm_ini where para_name =‘ENABLE_OBJ_REUSE’;查看客体内存重用和文件重用

其他安全配置可在DM管理工具中看到。** **

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

达梦支持数据库身份验证模式和外部身份验证模式。数据库身份验证模式需要利用数据库口令，即在创建或修改用户时指定用户口令，用户在登录时输入对应口令进行身份验证；外部身份验证模式支持基于操作系统(OS)的身份验证、LDAP 身份验证和 KERBEROS 身份验证。

1）验证方式：

2）用户登录验证：

3）口令策略：

执行命令：“select * from v$dm_ini where para_name =‘PWD_POLICY’;”查看密码策略：

4）用户唯一标识由达梦数据库自动实现，这点默认符合。

b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

达梦数据库具备登录失败处理功能：

备注：如果未设置登录失败处理措施，可执行命令：“LIMIT FAILED_LOGIN_ATTEMPS 3, PASSWORD_LOCK_TIME 5;”进行配置。表示用户失败的登录次数达到3次，这个用户账号将被锁定5分钟。

31、等保2.0测评_Redis_数据库

Fri, 15 Nov 2024 09:44:26 +0800

查看数据库版本：

1）服务器本地查看

redis-server -v
redis-server --version

2）登录到数据库内查询

登录数据库：redis-cli -h 127.0.0.1 -p 6379 -h后面跟ip，-p跟端口

一般是本地登录，直接 redis-cli 即可登录，当然前提是没有修改过Redis的服务端口。

登录到数据库后，我们输入：info

四、入侵防范

以下条款为：不适用

a）应遵循最小安装的原则，仅安装需要的组件和应用程序

b）应关闭不需要的系统服务、默认共享和高危端口

d）应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求

f）应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警

涉及到的：

c）应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制

找到redis的配置文件，一般为redis.conf，可以先找NETWORK，下面会有个bind

注释情况下为任意IP访问，可设置指定 IP，以空格分割。这里只要看bind后面跟的ip地址即可。

e）应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞

这条就结合漏扫、测试等方法进行判断，redis这玩意可是出了名的漏洞多。。

像非授权访问漏洞，本地也测试过能成功，这里就不细说了，交给渗透工程师去看吧，然后我们等保的拿他们的报告确认是否存在对应漏洞即可。

五、数据完整性

针对这个数据库，下面两条默认都是不符合。询问管理人员是否做了相关措施来保证数据的完整性。

a）应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等

b）应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等

六、数据保密性

这个保密性同理，针对这个数据库，下面两条默认都是不符合。询问管理人员是否做了相关措施来保证数据的保密性。

a）应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等

b）应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等

七、数据备份恢复

a) 应提供重要数据的本地数据备份与恢复功能

这个没啥好说的，直接去问管理人员备份怎么做的，是否有措施保证备份数据有效（有测试记录即可）。

b）应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地

询问管理员

c）应提供重要数据处理系统的热冗余，保证系统的高可用性

这个根据实际情况来看，是否有热冗余的必要性。没有个人认为可判不适用。

33、等保2.0 Db2数据库命令

Fri, 15 Nov 2024 09:44:26 +0800

01、su - db2inst1 Linux操作系统或AIX操作系统进入数据库，并切换到db2inst1用户；

02、db2level ：查看数据库版本；

03、db2 list application ：查看数据库所有连接；

04、db2ilist ：列出所有实例；

05、db2 list database directory ：列出数据库库目录（含数据库库名）；

06、db2 list tables for user：列出用户表；

07、db2 list tables for all ：列出所有表；

08、db2audit describe或db2audit configure scope all status both errortype audit：查看数据库实例审计状态；（注：FALSE表示未开启审计；FAILURE表示只记录失败的审计事件，如Audit active: 为"FALSE “则数据库实例审计为未开启，下面策略均未起到任何作用）；

09、 db2audit query status ：查看数据库的日志审计规则；

10、 db2audit query details ：查看数据库具体的审计规则的详细配置

11、db2 get dbm cfg ：查看数据库参数；

12、db2 get dbm cfg | grep -i encrypt ：查看是否进行加密（如果返回结果中包含类似 “Database manager authentication (AUTHENTICATION) = SERVER_ENCRYPT” 或 “SSL server keydb file (SSL_SVR_KEYDB) =” 的信息，表示数据库启用了加密选项）；

37、等保2.0 Mysql等保测评

Fri, 15 Nov 2024 09:44:26 +0800

一、身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换

01、登录 mysql 查看是否使用了口令和密码的组合鉴别身份

mysql -h 192.168.100.16 -u root -p

02、使用如下命令查询用户列表，是否存在相同用户名。结果默认不存在同名用户

select user, host FROM mysql.user;

03、执行如下命令查看是否存在空口令用户

select user,host,authentication_string,password_lifetime,account_locked from mysql.user;

04、执行如下命令查看密码复杂度设置

show variables like 'validate%';

b）应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施

01、询问管理员是否采取其他手段配置数据库登录失败处理功能。

02、查看是否安装插件，并增加失败处理功能

show variables like '%connection_control%';show variables like '%max_connect_errors%'; 
# 查看登录失败策略

03、操作超时自动退出功能

show variables like "%timeout%";

c）当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听

01、询问是否采用远程管理，如果本地管理则不适用，远程管理是否启用 SSL

show variables like "%have_ssl%";show variables like "%have_openssl%";

d）应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现

对于数据库基本不符合。

二、访问控制

a）应对登录的用户分配账户和权限

01、使用命令查看，是否为登录的用户创建了不同账户和权限。

select user,host from mysql.user ;SHOW grants for 'root'@'localhost';

系统管理软件 on ClearSec Wiki

01、等保2.0_Oracle数据库测评

一、Oracle介绍

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

02、等保2.0Tas中间件测评

05、等保2.0_Sql_Server数据库测评

一、SQL server数据库介绍

1.1等保测评命令

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

06、等保2.0优炫数据库测评

一、优炫数据库介绍

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

优炫数据可配置连接限制，此连接限制是指用户登录失败三次锁定账户，需要管理员进行解锁，解锁方式：如下图的可以登录项的off修改为on，无登录超时自动退出措施。

d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

访问控制

b) 应重命名或删除默认账户，修改默认账户的默认口令

c) 应及时删除或停用多余的、过期的账户，避免共享账户的存在

d) 应授予管理用户所需的最小权限，实现管理用户的权限分离

1）询问数据库管理员管理账户是否按照最小权限进行划分。

e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则

g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问

安全审计

a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

07、等保2.0（​Kingbasees）人大金仓数据库测评

apache一、测评查询命令

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

10、等保2.0 Gaussddb（华为高斯数据库）测评

查询命令

版本查询

12、等保2.0 Mysql数据库命令

第一部分

13、等保2.0 Linux（Tomcat）中间件命令

22、等保测评2.0_Mysql访问控制理解解读

一、说明

二、测评项

三、测评项a

3.1. 要求1

3.2. 要求2

四、测评项b

五、测评项c

六、测评项d

6.1. MySQL的权限结构

25、等保2.0 Postgresql数据库配置核查命令

第一部分

第二部分

28、等保2.0 Maridb数据库测评

一、MariDB介绍

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

访问控制

a) 应对登录的用户分配账户和权限；

b) 应重命名或删除默认账户，修改默认账户的默认口令

29、等保2.0 Mongodb测评

一、MongoDB介绍

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

访问控制

a) 应对登录的用户分配账户和权限；

b) 应重命名或删除默认账户，修改默认账户的默认口令

c) 应及时删除或停用多余的、过期的账户，避免共享账户的存在

d) 应授予管理用户所需的最小权限，实现管理用户的权限分离

e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则

g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问

安全审计

a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

30、等保2.0 达梦数据库测评

07、等保2.0（Kingbasees）人大金仓数据库测评