對網(wǎng)絡(luò)安全等級保護中數(shù)據(jù)庫整改的探討

盧方建 盧方玉 關(guān)益香 彭觀平 陽江市婦幼保健院

一、改造前的概況

（一）監(jiān)聽密碼設(shè)置情況

HIS、LIS、PACS、EMR 等服務(wù)器都采用Oracle 數(shù)據(jù)庫，在檢查Oracle 監(jiān)聽器發(fā)現(xiàn)，都沒設(shè)置口令，雖然這樣在使用起來方便，但是在執(zhí)行監(jiān)聽器命令前不需要輸入密碼，增加了數(shù)據(jù)庫訪問的風(fēng)險。

（二）數(shù)據(jù)庫口令情況

在檢查四大主要系統(tǒng)的Oracle 時，發(fā)現(xiàn)數(shù)據(jù)庫的密碼強度不足，有些甚至使用默認密碼，這樣的密碼會成為數(shù)據(jù)庫安全的一個短板，帶來被入侵的風(fēng)險。

（三）檢查用戶情況

數(shù)據(jù)庫登錄用戶應(yīng)該按實際需要設(shè)置，但在檢查中發(fā)現(xiàn)，有多個不必要的用戶，把這些用戶鎖定，提高安全系數(shù)。

（四）檢查密碼策略情況

針對服務(wù)器的密碼，默認情況下并沒有相關(guān)策略，這個需要根據(jù)實際情況進行創(chuàng)建，還可以設(shè)置密碼復(fù)雜度檢查函數(shù)。

（五）檢查用戶權(quán)限情況

數(shù)據(jù)庫中的一些系統(tǒng)權(quán)限和對象權(quán)限分配不合理，需要細致化地進行按需分配，對于不必要的應(yīng)去除。

二、整改實用操作

（一）檢查Oracle 監(jiān)聽器是否設(shè)置口令

具體操作：打開%ORACLE_HOME% etworkadminlistener.ora，檢查是否有以下類似的行PASSWORDS_LISTENER= F4BAA4 A006C26134，如果沒有，就表明沒設(shè)置口令，如果有，但是口令較弱，有必要設(shè)置新的復(fù)雜度足夠的口令。方法如下：

操作系統(tǒng)命令提示符下輸入：

SHELL>%ORACLE_HOME%/bin/lsnrctl

LSNRCTL>change_password

Oldpassword：<原來的口令><--如果原來沒有設(shè)置口令就直接回車，否則輸入原來的口令

Newpassword：<新口令>

Reenternewpassword：<新口令>

Connectingto（ADDRESS=（PROTOCOL=ipc） （KEY=XXX））

PasswordchangedforLISTENER

Thecommandcompletedsuccessfully

LSNRCTL>setpassword

Password：<輸入新口令>

LSNRCTL>save_config（保存當前設(shè)置）

以后執(zhí)行監(jiān)聽器命令前需要輸入密碼

LSNRCTL>setpassword

Password：<輸入新口令>

LSNRCTL>status（如果上一步未驗證密碼，則提示TNS-01169：監(jiān)聽器尚未識別口令）

（二）檢查數(shù)據(jù)庫弱口令

如果password 字段為null，查詢sys.user$基表

SQL>selectname，passwordfromsys.user$wherenamein（selectusernamefromdba_userswhereaccount_status='OPEN'）；將 密 碼hash 導(dǎo)入cain 軟件破解。

如果需要修改密碼，可用命令SQL>alteruser 用戶名identifiedby 新密碼。

（三）檢查不必要用戶

先查看數(shù)據(jù)庫用：SQL>selectusername fromdba_ userswhereaccount_ status='OPEN'；

如果用戶不使用，建議鎖定：SQL>alterusername 用戶名accountlock；

如果需要解鎖， 可用命令：SQL>alterusername 用戶名accountunlock；

（四）檢查密碼配置策略

先查看是否設(shè)置了密碼策略，使用以下命令：

SQL>selectusername，profilefromdba_userswhereaccount_status='OPEN'；

SQL>select*fromdba_profiles；

如果沒有，則要創(chuàng)建適當?shù)拿艽a策略：

SQL>createprofileprofile1limit

failed_login_attempts6 最大錯誤登陸次數(shù)

password_lock_time1 賬號鎖定時間

password_grace_time7 口令寬限天數(shù)

password_life_time90 口令有效時間

password_reuse_max5 口令歷史記錄保留次數(shù)

將策略應(yīng)用到用戶：

SQL>alteruseraaaprofileprofile1；

應(yīng)用策略后，修改密碼

SQL>alteruser 用 戶 名identifiedby 新 密碼replace 舊密碼；

這個操作存在一定風(fēng)險：設(shè)置口令策略可能影響應(yīng)用正常運行，包括無法登錄和賬號意外被鎖，所以要先把密碼設(shè)置為滿足此要求的密碼后，再設(shè)置此策略。

（五）檢查用戶權(quán)限

查看系統(tǒng)權(quán)限SQL>select*fromdba_sys_privs；

查看對象權(quán)限SQL>select*fromdba_tab_privs；

如沒必要，建議去除不必要的權(quán)限，例如：revokedbafromuser1；

三、結(jié)語

數(shù)據(jù)庫整改方案操作需要一定專業(yè)知識，每一步都要衡量是否會對正在運行的業(yè)務(wù)程序產(chǎn)生影響；盡量做到按此方案整改，能明顯提升數(shù)據(jù)庫的安全水平，這對于醫(yī)院業(yè)務(wù)工作可持續(xù)進行起到重要的作用。