(2)评估方法
可进行如下检查:
SQL> select * from dba_profiles where
resource_name='PASSWORD_VERIFY_FUNCTION';
如果为空或 DEFAULTVALUE,则系统没有设置口令复杂度检查。
(3)评估结果
(4)安全加固建议
Oracle 已经提供了一个脚本 utlpwdmg.sql,通过运行该脚本将创建口令复杂度检查函
数 verify_function,并为 DEFAULTprofile 赋予该口令复杂度检查函数。
sql> @?/rdbms/admin/utlpwdmg. sql ;
SQL> select * from dba_profiles where
resource_name='PASSWORD_VERIFY_FUNCTION';
可修改该脚本,为 PROFILE_NEW 设置口令复杂度检查。
对管理用户如 SYS/SYSTEM 的口令管理实施难度很小。但是,口令管理各参数涉及业
务和按管理需求,另外,该系统各应用程序中直接写入了口令,因此,加强口令管理的难度
较大。
4.1.12.4 SYSDBA 角色访问控制检查
(1)评估目的和内容
根据安全管理规范,一方面可限制 SYSDBA 角色从远程登录,另一方面在本地以‘/as
sysdba’登录时,需要输入口令。
为实现上述目标,可将 sqlnet.ora 文件中的 SQLNET.AUTHENTICATION_SERVICES
设置为 NONE。
(2)评估方法
检查 sqlnet. ora 文件中 的 SQLNET. AUTHENTICATION_SERVICES.
(3)评估结果
以下是该系统的 sqlnet.ora 文件内容:
# sqlnet. ora. Netdb1 Network Configuration File : / oracle/app/oracle/
product/10. 2. 0 / db/network/admin/sqlnet. ora. Netdbl
# Generated by Oracle configuration tools.