| 評測項 |
評測要求 |
評測方法 |
評測記錄 |
| 身份鑒別 |
a)應用登錄的用戶進行身份標識和鑒別，身份標識具有唯一性，身份鑒別信息具有復雜度要求並定期更換 |
1)嘗試登錄數據庫，執行mysql –u root –p 查看是否提示輸入口令鑒別用戶身份 2）使用如下命令查詢賬號 select user, host FROM mysql.user 結果輸出用戶列表，查者是否存在相同用戶名 3）執行如下語句查詢是否存在空口令用： select * from mysql.user where length(password)= 0 or password is null 輸出結果是否為空 4）執行如下語句查看用戶口令復雜度相關配置： show variables like ‘validate%’;或 show VARIABLES like “%password”
樣例： 1）用戶登錄數據庫時，采用用戶名、口令的方式進行身份鑒別 2）查詢user表，不存在相同的用戶名 3）不存在空口令用戶； 4）配置信息： Validate_password_length 8 Validate_password_mixed_case_count l Validate_password_number_count l Validate_password policy MEDIUM Validate_password_special_char_count l |
|
| b)應具有登錄失敗處理功能，應配置並啟用結束會話、限制非法登錄次數和當登錄連接超時自動退出等相關措施 |
1)詢問管理員是否采取其他手段配置數據庫登錄失敗處理功能。 2)執行 show variables like %max_connect_errors%”;或核查my.cnf文件，應設置如下參數： max_connect_errors=100 3) show variables like “%timeout%”,查看返回值
樣例： 1）MySQL 數據庫采用第三方管理軟件，且第三方管理軟件設置登錄失敗鎖定次數 |
|
1/5
|
|
|
2）3）數據庫管理系統本地配置了參數max_connect_errors=100,Wait_timeout=28800,如果 mysql服務器連續接收到了來自於同一個主機的請求，且這些連續的請求全部都沒有成功的建立連續就被斷開了，當這些連續的請求的累計值大於 max_connect_errors的設定值，mysql服務器就會阻止這台主機后續的所有請求。Wait_timeout: 一個連接connection空閑超過8個小時（默認值28800秒），MySQL就會自動斷開這個連接 |
|
| c)當進行遠程管理時，應采取必要措施、防止鑒別信息在網絡傳輸過程中被竊聽 |
1）是否采用加密等安全方式對系統進行遠程管理 2）執行 Mysql>show variables like %have_ssl%” 查看是否支持ssl得連接特性，若為disabled說明此功能沒有激活，或執行\s查看是否啟用SSL： 3）如果采用本地管理方式，該項為不適用 |
|
|
| 訪問控制 |
a)應對登錄得用戶分配賬戶和權限 |
1）執行語句 select uesr,host FROM mysql.user 輸出結果是否為網絡管理員，安全管理員，系統管理員創建了不同賬戶： 2）執行 show grants for’ XXX’@’ localhost’ : 查看網絡管理員，安全管理員、系統管理員用戶賬戶的權限，權限間是否分離並相互制約 |
|
| b)應重命名或刪除默認賬戶， 修改默認賬戶的默認口令 |
1) 執行 select user,host FROM mysql.user 輸出結果查看root用戶是否被重命名或被刪除 2)若root賬戶未被刪除，是否更改其默認口令，避免空口令或弱口令。 |
|
|
| c)應及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在 |
1)在sqlplus中執行命令：select username,account_status from dba_users 2)執行下列語句： select * from mysql.user where user=”” select user, host FROM mysql.user 依次核查列出的賬戶，是否存在無關的賬戶。 3)訪談網絡管理員，安全管理員、系統管理員不同用戶是否采用不同賬戶登錄系統 |
|
|
| d)應授權管理用戶所需的最小權限，實現管理用戶的權限分離 |
1)是否對用戶進行角色划分且只授予賬號必須的權限 如除root外，任何用戶不應該有mysql庫user表的存取權限，禁止將fil、.process、super 權限授予管理員以為的賬戶 2)查看權限表，並驗證用戶是否具有自身角色外的其他用戶的權限 |
|
|
| 安全審計 |
a)應啟用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審 |
1)執行下列語句： mysql > show variables like ‘log_%’ 查看輸出的日志內容是否覆蓋到所有用戶，記錄審計記錄覆蓋內容 |
|
2/5
|
|
計 |
2)檢查是否采取第三方工具增強MySQL 日志功能。若有，記錄第三方審計工具的審計內容，查看是否包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息 |
|
| b)審計記錄應用包括事件的日期和時間，用戶、事件類型，事件是否成功及其他與審計相關的信息 |
1)執行下列語句： mysql>show variables like ‘log_%’ 查看輸出的日志內容是否覆蓋所有用戶，記錄審計記錄覆蓋內容 2)檢查是否采取第三方工具增強MySQL日志功能。若有,記錄第三方審計工具的審計內容，查看是否包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息 |
|
|
| c)應對審計記錄進行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等 |
1)訪談管理員對審計話錄如何保護，對審計記錄是否定期備份，備份策略 2)是否嚴格限制用戶訪問審計記錄的權限 |
|
|
| 入侵防范 |
a)應通過設定終端接入方法或網絡地址范圍對通過網絡進行管理的管理終端進行限制 |
查看用戶登錄的IP地址：是否給所有用戶加上IP限制，拒絕所有未知主機進行連接 注：當uesr表中的Host值不為本地主機時，應制定特定IP地址，不應為%；或將user表中的Host值為空，而在host表中指定用戶賬戶允許登錄訪問的若干主機；在非信任的客戶端以數據庫賬戶登錄應被提示拒絕，用戶從其他子網登錄，應被拒絕 |
|
| b)應能發現可能存在的已知漏洞，並在經過充分測試評估后，及時修補漏洞 |
訪談MySQL補丁升級機制，查看補丁安裝情況： 1) 執行如下命令查看當前補丁版本： show variables where variable name like “version” 2)訪談數據庫是否為企業版，是否定期進行漏洞掃描，針對高風險漏洞是否評估補丁並經測試后再進行安裝 |
|
|
| 可信驗證 |
可基於可信根對計算設備的系統引導程序、系統程序、重要配置參數和應用程序等進行可信驗證，並在檢測到其可信性受到破壞后進行報警，並將驗證結果形成審計記錄送至安全管理中心 |
1)檢查數據庫的啟動，是否實現可信驗證的檢測過程，查看對那些系統引導程序、系統程序或重要配置參數進行可信驗證 2)修改其中的重要系統程序之一和應用程序之一，檢查是否能夠檢測到並進行報警 3)是否將驗證結果形成審計記錄送至安全管理中心 |
|
| 數據完整性 |
應采用校驗技術或密碼技術保證重要數據在傳輸過程中的完整性，包括但不限於鑒別數據、重要業務數據、重要審計數據、 |
1)詢問系統管理員，該系統的鑒別數據、重要業務數據、重要審計數據，重要配置數據，重要視頻數據和重要個人信息等在傳輸過程中是否采用了校驗技術或密碼技術保證完整性 2)使用工具對通信報文中的鑒別數據、重要業務數據、重要審計數據，重要配置數據、重要視頻數據和重要個人信息等進行篡改，查看是否能夠檢測到未知數據在傳輸過程中的完整性受到破壞能夠及時恢復 |
|
3/5
|
|
重要配置數據、重要視頻數據和重要個人信息等 |
|
|
| 數據備份恢復 |
a)應提重要數據處理系統的熱冗余，保證系統的高可用性 |
詢問系統管理員數據庫的備份和恢復策略是什么 |
|
| b)應提供異地實時備份功能，利用通信網絡將重要數據實時備份至備份場地 |
1)詢問系統管理員是否提供異地數據備份功能，是否定時批量傳送至備用場地 2)如果條件允許，則查看其實現技術措施的配置情況 |
|
|
| 剩余信息保護 |
應保證鑒別信息所在的存儲空間被釋放或重新分配前得到完全清除 |
詢問系統管理員，操作系統是否采取措施保證對存儲介質（如硬盤或內存）防止其他用戶非授權獲取該用戶的鑒別信息 |
|
4/5