| Oracle® Enterprise Manager Cloud Control Oracle Databaseコンプライアンス標準 12c リリース4 (12.1.0.4) B70518-04 |
|
 前 |
 次 |
| Oracle® Enterprise Manager Cloud Control Oracle Databaseコンプライアンス標準 12c リリース4 (12.1.0.4) B70518-04 |
|
前 |
次 |
次に示すのは、Oracleの単一インスタンス・データベースのコンプライアンス標準のコンプライアンス・ルールです。コンプライアンス標準は次のとおりです。
Oracleデータベース標準の基本的なセキュリティ構成のコンプライアンス・ルールは、次のとおりです。
説明: クライアント・ログ・ディレクトリがOracleセットに所有された有効なディレクトリであり、パブリックには権限がないことを確認します。
重大度: クリティカル
理由: ログ・ファイルでは、エラー・スタックに含まれる情報が提供されます。エラー・スタックとは、ネットワーク・エラーの結果としてOracle通信スタック内に各レイヤーごとに作成される情報です。ログ・ファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ディレクトリへのアクセスを許可すると、ログ・ファイルが一般に公開される可能性があります。
説明: クライアントのトレース・ディレクトリがOracleセットに所有された有効なディレクトリであり、パブリックには権限がないことを確認します。
重大度: クリティカル
理由: トレースにより、ネットワーク・イベントを実行時に記述する一連の詳細な文が作成されます。操作をトレースすると、Oracle Net Servicesのコンポーネントの内部操作に関して、ログ・ファイルよりも詳しい情報を取得できます。このファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ディレクトリへのアクセスを許可すると、ログ・ファイルが一般に公開される可能性があります。
説明: ORACLE_HOMEディレクトリ(ORACLE_HOME/bin以外)のすべてのファイルに対するパブリックからの読取り、書込みまたは実行の権限がないことを確認します。
重大度: 警告
理由: ファイル・アクセス権が適切でないOracleファイルがある場合、セキュリティ上の重要な問題が発生する可能性があります。
説明: 監査ファイル・ディレクトリへのアクセスがOracleソフトウェア・セットの所有者とDBAグループに制限されていることを確認します。
重大度: クリティカル
理由: AUDIT_FILE_DEST初期化パラメータは、Oracleの監査機能により作成される監査ファイルのディレクトリを指定します。このディレクトリに対するパブリック読取り権限を付与すると、起動、停止および優先接続のログ情報などの重要な情報が公開される可能性があります。
説明: クライアントのトレース・ディレクトリがOracleセットに所有された有効なディレクトリであり、パブリックには権限がないことを確認します。
重大度: クリティカル
理由: トレースにより、ネットワーク・イベントを実行時に記述する一連の詳細な文が作成されます。操作をトレースすると、Oracle Net Servicesのコンポーネントの内部操作に関して、ログ・ファイルよりも詳しい情報を取得できます。このファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ディレクトリへのアクセスを許可すると、ログ・ファイルが一般に公開される可能性があります。
説明: REMOTE_OS_AUTHENT初期化パラメータがFALSEに設定されていることを確認します。
重大度: クリティカル
理由: リモートOS認証が許可されている場合、悪質なユーザーがデータベースにアクセスする可能性があります。
説明: sec_protocol_error_trace_actionパラメータがLOGまたはALERTに設定されていることを確認します。
重大度: クリティカル
理由: SEC_PROTOCOL_ERROR_TRACE_ACTIONには、悪意を持つ可能性があるクライアントから不正なパケットを受信したときに、データベースが行うアクションを指定します。データベース・サーバーでは不正なパケットが無視され、トレース・ファイルやログ・メッセージが生成されないため、NONEを指定しないでください。デフォルト値TRACEを指定すると、データベース・サーバーでは詳細なトレース・ファイルが生成されるため、デバッグのときのみ指定します。
説明: プロファイルに対してPASSWORD_VERIFY_FUNCTIONリソースが設定されていることを確認します。
重大度: クリティカル
理由: 複雑性の最低要件を満たさないパスワードを使用すると、複雑なパスワードを使用する場合に比べて大幅に保護機能が低下します。
説明: ORACLE_HOME/binフォルダ内のすべてのファイルおよびディレクトリの所有者がOracleソフトウェア・インストールの所有者と同じであることを確認します。
重大度: クリティカル
理由: ファイル・アクセス権が適切でないOracleファイルがある場合、セキュリティ上の重要な問題が発生する可能性があります。
説明: ORACLE_HOMEディレクトリ(ORACLE_HOME/bin以外)のすべてのファイルに対するパブリックからの読取り、書込みまたは実行の権限がないことを確認します。
重大度: 警告
理由: ファイル・アクセス権が適切でないOracleファイルがある場合、セキュリティ上の重要な問題が発生する可能性があります。
説明: サーバーのトレース・ディレクトリがOracleセットに所有された有効なディレクトリであり、パブリックには権限がないことを確認します。
重大度: クリティカル
理由: トレースにより、ネットワーク・イベントを実行時に記述する一連の詳細な文が作成されます。操作をトレースすると、Oracle Net Servicesのコンポーネントの内部操作に関して、ログ・ファイルよりも詳しい情報を取得できます。このファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ディレクトリへのアクセスを許可すると、ログ・ファイルが一般に公開される可能性があります。
説明: データベース監査が有効であることを確認します。
重大度: マイナー警告
理由: AUDIT_TRAILパラメータは、データベース監査を有効または無効にします。監査により、責務が強制され、誤使用の証拠が提供され、規制へのコンプライアンスが頻繁に要求されるため、セキュリティが向上します。また、監査により、システム管理者は保護の強化、不審なアクティビティの早期検出およびセキュリティ・レスポンスの微調整を行うことができます。
説明: DBA_ROLE_PRIVSビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: DBA_ROLE_PRIVSビューにはユーザーに付与されたロールおよびその他のロールがリストされています。データベースのロールの構造に関する情報は、悪質なユーザーによって利用される可能性があります。
説明: 既知のアカウントにデフォルト・パスワードがないことを確認します。
重大度: 警告
理由: デフォルト・パスワードを使用して、悪質なユーザーがデータベースにアクセスすることが可能です。
説明: サーバー・パラメータ・ファイルへのアクセスが、Oracleソフトウェア・セットの所有者およびDBAグループに制限されていることを確認します。
重大度: クリティカル
理由: サーバー・パラメータ・ファイル(SPFILE)を使用すると、初期化パラメータをサーバー側ディスク・ファイルで永続的に保存および管理できます。SPFILEがパブリックからアクセス可能な場合、機密情報に関する初期化パラメータがスキャンされ、データベースのセキュリティ・ポリシーが公開される可能性があります。SPFILEを検索してOracleデータベース構成の設定の脆弱性を見つけることもできます。
説明: コア・ダンプ・ファイル・ディレクトリへのアクセスが、Oracleソフトウェア・セットの所有者およびDBAグループに制限されていることを確認します。
重大度: クリティカル
理由: コア・ダンプ・ファイルは、CORE_DUMP_DEST初期化パラメータで指定されたディレクトリに保存されます。このディレクトリに対するパブリック読取り権限があると、コア・ダンプ・ファイルから機密情報が公開される可能性があります。
説明: 初期化パラメータ・ファイルへのアクセスが、Oracleソフトウェア・セットの所有者およびDBAグループに制限されていることを確認します。
重大度: 警告
理由: 従来、Oracleではテキストの初期化パラメータ・ファイルに初期化パラメータが格納されます。初期化パラメータ・ファイルがパブリックからアクセス可能な場合、機密情報に関する初期化パラメータがスキャンされ、データベースのセキュリティ・ポリシーが公開される可能性があります。IFILEを検索してOracleデータベース構成の設定の脆弱性を見つけることもできます。
説明: 制御ファイル・ディレクトリへのアクセスがOracleソフトウェア・セットの所有者とDBAグループに制限されていることを確認します。
重大度: クリティカル
理由:制御ファイルとは、データファイルへのアクセスを制御するバイナリ構成ファイルです。制御ファイルは、CONTROL_FILES初期化パラメータで指定されたディレクトリに保存されます。このディレクトリに対するパブリック書込み権限があると、セキュリティ上の重大な問題を引き起こす可能性があります。
説明: トレース・ファイル・ディレクトリへのアクセスがOracleソフトウェア・セットの所有者とDBAグループに制限されていることを確認します。
重大度: クリティカル
理由: サーバー・プロセスのトレース・ファイルは、USER_DUMP_DEST初期化パラメータで指定されたディレクトリに保存されます。このディレクトリに対するパブリック読取り権限を付与すると、データベースおよびアプリケーションに関する内部の重要な機密情報の詳細が公開される可能性があります。
説明: サーバーのトレース・ディレクトリがOracleセットに所有された有効なディレクトリであり、パブリックには権限がないことを確認します。
重大度: クリティカル
理由: トレースにより、ネットワーク・イベントを実行時に記述する一連の詳細な文が作成されます。操作をトレースすると、Oracle Net Servicesのコンポーネントの内部操作に関して、ログ・ファイルよりも詳しい情報を取得できます。このファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ディレクトリへのアクセスを許可すると、ログ・ファイルが一般に公開される可能性があります。
説明: SYSとして接続したユーザーのセッションが完全に監査されていることを確認します。
重大度: 警告
理由: AUDIT_SYS_OPERATIONSパラメータは、SYSユーザーおよびSYSDBAまたはSYSOPER権限で接続しているユーザーが発行した操作の監査を有効または無効にします。
説明: ユーティリティ・ファイル・ディレクトリ(UTL_FILE_DIR)初期化パラメータが、アスタリスク(*)、ピリオド(.)およびコア・ダンプ・トレース・ファイルの場所のいずれにも設定されていないことを確認します。
重大度: クリティカル
理由: UTL_FILEパッケージがアクセス可能なディレクトリを指定します。パラメータをアスタリスク(*)、ピリオド(.)または機密情報ディレクトリに設定すると、UTL_FILEパッケージに対して実行権限を持つすべてのユーザーに機密情報が公開される可能性があります。
説明: すべてのプロファイルでPASSWORD_LOCK_TIMEが適切な日数に設定されていることを確認します。
重大度: 警告
理由: 小さい値を指定すると、DoS攻撃の可能性が増加します。
説明: すべてのプロファイルでPASSWORD_LIFE_TIMEが適切な日数に設定されていることを確認します。
重大度: 警告
理由: パスワード存続期間が長いと、ハッカーにパスワードを推測する時間を多く与えることになります。そのため、データベースのセキュリティ上の重大な問題が発生する可能性があります。
説明: DBA_TAB_PRIVSビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: ユーザーまたはロールに付与された、データベース内のオブジェクトに対する権限がリストされています。データベースのロールの構造に関する情報は、悪質なユーザーによって利用される可能性があります。
説明: PUBLICがUTL_TCPパッケージに対する実行権限を持たないことを確認します。
重大度: クリティカル
理由: PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。悪質なユーザーによって、EXECUTE権限を使用され、電子メール、ネットワークおよびHTTPモジュールにアクセスされる可能性があります。
説明: ユーザー・プロファイル設定IDLE_TIMEが、特定のデータベースおよびアプリケーションに対して適切な値に設定されていることを確認します。
重大度: クリティカル
理由: 複数のアイドル・セッションがオープンのままになっている期間が長すぎると、システム・リソースが消費され、Oracleデータベースの他のユーザーに対するサービス拒否が生じる可能性があります。セッションをアイドル状態にしておける最大分数を制限してください。
説明: データファイルへのアクセス権がOracleソフトウェア・セットの所有者とDBAグループに制限されます。
重大度: クリティカル
理由: データファイルには、すべてのデータベース・データが含まれています。パブリックからデータファイルの読取りが可能な場合、このデータに対するデータベース権限のないユーザーがデータファイルを読み取ることができます。
説明: サーバー・パラメータ・ファイルへのアクセスが、Oracleソフトウェア・セットの所有者およびDBAグループに制限されていることを確認します。
重大度: クリティカル
理由: サーバー・パラメータ・ファイル(SPFILE)を使用すると、初期化パラメータをサーバー側ディスク・ファイルで永続的に保存および管理できます。SPFILEがパブリックからアクセス可能な場合、機密情報に関する初期化パラメータがスキャンされ、データベースのセキュリティ・ポリシーが公開される可能性があります。SPFILEを検索してOracleデータベース構成の設定の脆弱性を見つけることもできます。
説明: データファイルへのアクセス権がOracleソフトウェア・セットの所有者とDBAグループに制限されます。
重大度: クリティカル
理由: データファイルには、すべてのデータベース・データが含まれています。パブリックからデータファイルの読取りが可能な場合、このデータに対するデータベース権限のないユーザーがデータファイルを読み取ることができます。
説明: クライアント・ログ・ディレクトリがOracleセットに所有された有効なディレクトリであり、パブリックには権限がないことを確認します。
重大度: クリティカル
理由: ログ・ファイルでは、エラー・スタックに含まれる情報が提供されます。エラー・スタックとは、ネットワーク・エラーの結果としてOracle通信スタック内に各レイヤーごとに作成される情報です。ログ・ファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ディレクトリへのアクセスを許可すると、ログ・ファイルが一般に公開される可能性があります。
説明: OS認証接頭辞がOPS$以外の値に設定されていることを確認します。
重大度: 警告
理由: OS_AUTHENT_PREFIXパラメータは、サーバーに接続しようとするユーザーの認証に使用される接頭辞を指定します。接続がリクエストされたら、Oracleは接頭辞付きユーザー名とデータベースのユーザー名を比較します。接頭辞(特にOPS$)を使用すると、アカウントをオペレーティング・システム・ユーザーとして、またはIDENTIFIED句で使用されるパスワードを使用して認証できるため、構成が安全でなくなる傾向があります。攻撃者はこれを認識しており、このようなアカウントを攻撃します。
説明: DBA_SYS_PRIVSビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: DBA_SYS_PRIVSビューに問い合せて、ロールおよびユーザーに付与されたシステム権限を検索できます。データベースのロールの構造に関する情報は、悪質なユーザーによって利用される可能性があります。
説明: クリアテキスト・パスワードを使用するデータベース・リンクが使用されていないことを確認します。
重大度: 警告
理由: SYS.LINK$表には、データベース・リンクで使用されるクリアテキスト・パスワードが含まれます。悪質なユーザーがSYS.LINK$表からクリアテキスト・パスワードを読み取り、望ましくない結果になる可能性があります。
説明: PUBLICがUTL_SMTPパッケージに対する実行権限を持たないことを確認します。
重大度: クリティカル
理由: PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。悪質なユーザーによって、EXECUTE権限を使用され、電子メール、ネットワークおよびHTTPモジュールにアクセスされる可能性があります。
説明: 初期化パラメータ・ファイルへのアクセスが、Oracleソフトウェア・セットの所有者およびDBAグループに制限されていることを確認します。
重大度: 警告
理由: 従来、Oracleではテキストの初期化パラメータ・ファイルに初期化パラメータが格納されます。初期化パラメータ・ファイルがパブリックからアクセス可能な場合、機密情報に関する初期化パラメータがスキャンされ、データベースのセキュリティ・ポリシーが公開される可能性があります。IFILEを検索してOracleデータベース構成の設定の脆弱性を見つけることもできます。
説明: 監査ファイル・ディレクトリへのアクセスがOracleソフトウェア・セットの所有者とDBAグループに制限されていることを確認します。
重大度: クリティカル
理由: AUDIT_FILE_DEST初期化パラメータは、Oracleの監査機能により作成される監査ファイルのディレクトリを指定します。このディレクトリに対するパブリック読取り権限を付与すると、起動、停止および優先接続のログ情報などの重要な情報が公開される可能性があります。
説明: トレース・ファイル・ディレクトリへのアクセスがOracleソフトウェア・セットの所有者とDBAグループに制限されていることを確認します。
重大度: クリティカル
理由: ログ・ライター・プロセスやデータベース・ライター・プロセスなどのバックグラウンド・プロセスは、データベース操作の状態変化および例外やエラーの記録にトレース・ファイルを使用します。トレース・ファイルは、BACKGROUND_DUMP_DEST初期化パラメータで指定されたディレクトリに保存されます。このディレクトリに対するパブリック読取り権限を付与すると、データベースおよびアプリケーションに関する内部の重要な機密情報の詳細が公開される可能性があります。
説明: SEC_PROTOCOL_ERROR_FURTHER_ACTIONパラメータがDROPまたはDELAYに設定されていることを確認します。
重大度: クリティカル
理由: デフォルト値CONTINUEが使用されている場合、不良パケットが受信されても、サーバー・プロセスは継続して実行されます。悪意を持つクライアントが不正なパケットを継続的に送信する場合、データベース・サーバーはサービス妨害(DoS)攻撃を受ける可能性があります。
説明: SYS.USER_HISTORY$表へのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: ユーザー名およびパスワード・ハッシュがSYS.USER_HISTORY$表から読み取られるため、ハッカーによる総当たり攻撃が可能になります。
説明: STATS$SQL_SUMMARY表へのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: サーバーに対して発行されたほとんどのリソース集約コマンドを表すSQLテキストの最初の数行が含まれています。バインド変数なしで実行されたSQL文がここに表示され、機密情報が公開される可能性があります。
説明: トレース・ファイル・ディレクトリへのアクセスがOracleソフトウェア・セットの所有者とDBAグループに制限されていることを確認します。
重大度: クリティカル
理由: サーバー・プロセスのトレース・ファイルは、USER_DUMP_DEST初期化パラメータで指定されたディレクトリに保存されます。このディレクトリに対するパブリック読取り権限を付与すると、データベースおよびアプリケーションに関する内部の重要な機密情報の詳細が公開される可能性があります。
説明: 一致するバージョン以上のクライアントからのログオンのみを、サーバーが許可することを確認します。
重大度: 警告
理由: sqlnet.oraでSQLNET.ALLOWED_LOGON_VERSIONパラメータをサーバーのバージョンより低く設定すると、比較的セキュアでない認証プロトコルが強制的にサーバーで使用されます。
説明: すべてのプロファイルでPASSWORD_GRACE_TIMEが適切な日数に設定されていることを確認します。
重大度: クリティカル
理由: PASSWORD_GRACE_TIMEパラメータの値が高く設定されていると、ユーザーが同じパスワードを長時間使用できるため、データベースのセキュリティ上の重大な問題が発生する可能性があります。
説明: SYS.USER$表へのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: ユーザー名およびパスワード・ハッシュがSYS.USER$表から読み取られるため、ハッカーによる総当たり攻撃が可能になります。
説明: UNIXシステムでOracleソフトウェアの所有者が適切なumask値である022に設定されていることを確認します。
重大度: 警告
理由: umaskが適切な値(022など)に設定されていない場合、ログまたはトレース・ファイルがパブリックからアクセスできるようになり、機密情報が公開される可能性があります。
説明: 制御ファイル・ディレクトリへのアクセスがOracleソフトウェア・セットの所有者とDBAグループに制限されていることを確認します。
重大度: クリティカル
理由:制御ファイルとは、データファイルへのアクセスを制御するバイナリ構成ファイルです。制御ファイルは、CONTROL_FILES初期化パラメータで指定されたディレクトリに保存されます。このディレクトリに対するパブリック書込み権限があると、セキュリティ上の重大な問題を引き起こす可能性があります。
説明: コア・ダンプ・ファイル・ディレクトリへのアクセスが、Oracleソフトウェア・セットの所有者およびDBAグループに制限されていることを確認します。
重大度: クリティカル
理由: コア・ダンプ・ファイルは、CORE_DUMP_DEST初期化パラメータで指定されたディレクトリに保存されます。このディレクトリに対するパブリック読取り権限があると、コア・ダンプ・ファイルから機密情報が公開される可能性があります。
説明: データ・ディクショナリの保護が有効であることを確認します。
重大度: クリティカル
理由: 07_DICTIONARY_ACCESSIBILITYパラメータにより、データ・ディクショナリへのアクセスが制御されます。07_DICTIONARY_ACCESSIBILITYをTRUEに設定すると、ANYシステム権限を持つユーザーはデータ・ディクショナリにアクセスできます。その結果、これらのユーザーのアカウントが、データへの不正なアクセスの取得に利用されます。
説明: DBA_ROLESビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: DBA_ROLESビューには、データベースのすべてのロールの詳細が含まれます。データベースのロールの構造に関する情報は、悪質なユーザーによって利用される可能性があります。
説明: DBA_USERSビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: ユーザー・パスワード・ハッシュおよびその他のアカウント情報が含まれています。この情報にアクセスされると、総当たり攻撃に利用される可能性があります。
説明: STATS$SQLTEXT表へのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: この表には最近実行されたSQL文の完全なテキストが記載されています。SQL文から機密情報が公開される可能性があります。
説明: SYS.AUD$表へのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: 知識のある悪質なユーザーが、機密監査情報へアクセスできる可能性があります。
説明: PUBLICがUTL_HTTPパッケージに対する実行権限を持たないことを確認します。
重大度: クリティカル
理由: PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。悪質なユーザーによって、EXECUTE権限を使用され、電子メール、ネットワークおよびHTTPモジュールにアクセスされる可能性があります。
説明: Well Knownアカウントへのアクセス可能性をチェックします。
重大度: 警告
理由: Well Knownアカウントを利用して、知識のある悪質なユーザーがデータベースにアクセスする可能性があります。
説明: サーバー・ログ・ディレクトリがOracleセットに所有された有効なディレクトリであり、パブリックには権限がないことを確認します。
重大度: クリティカル
理由: ログ・ファイルでは、エラー・スタックに含まれる情報が提供されます。エラー・スタックとは、ネットワーク・エラーの結果としてOracle通信スタック内に各レイヤーごとに作成される情報です。ログ・ファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ディレクトリへのアクセスを許可すると、ログ・ファイルが一般に公開される可能性があります。
説明: サーバー・ログ・ディレクトリがOracleセットに所有された有効なディレクトリであり、パブリックには権限がないことを確認します。
重大度: クリティカル
理由: ログ・ファイルでは、エラー・スタックに含まれる情報が提供されます。エラー・スタックとは、ネットワーク・エラーの結果としてOracle通信スタック内に各レイヤーごとに作成される情報です。ログ・ファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ディレクトリへのアクセスを許可すると、ログ・ファイルが一般に公開される可能性があります。
説明: REMOTE_OS_ROLES初期化パラメータがFALSEに設定されていることを確認します。
重大度: クリティカル
理由: リモート・ユーザーに権限のあるロールを付与できる場合、悪質なユーザーがデータベースにアクセスする可能性があります。
説明: データベース・トレース・ファイルがパブリックから読取り不可能であることを確認します。
重大度: クリティカル
理由: トレース・ファイルをPUBLICグループから読取り可能にすると、悪質なユーザーがトレース・ファイルを読取りにいき、機密情報が公開される可能性があります。
説明: データベース・インスタンスとは別のリモート・マシンでリスナー・インスタンスを使用していないことを確認します。
重大度: 警告
理由: REMOTE_LISTENER初期化パラメータを使用すると、リモート・マシン上のリスナーがデータベースにアクセスできます。マルチマスター・レプリケーション環境またはRAC環境では、このパラメータ設定によりロード・バランシング・メカニズムがリスナーに提供されるため、このパラメータは適用できません。
説明: SYS.SOURCE$表へのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: データベースにあるすべてのストアド・パッケージ・ユニットのソースが含まれています。
Oracleデータベース標準の構成のベスト・プラクティスのコンプライアンス・ルールは、次のとおりです。
説明: データベースの強制ロギングが無効になっていないかどうかをチェックします。
重大度: 警告
理由: データベースが強制ロギング・モードではありません。データベースがData Guardプライマリ・データベースの場合、ログに記録されない直接書込みはスタンバイ・データベースに伝播されません。
説明: 自動UNDO領域管理が使用されていないことをチェックします。
重大度: マイナー警告
理由: 自動UNDO管理を使用しないと、データベースで不要な競合とパフォーマンスの問題が発生します。特に、ロールバック・セグメントのヘッダー・ブロックに対する競合は、バッファ・ビジー待機の形で発生し、ORA-1555 (スナップショットが古すぎます)のエラーが発生する確率が高くなります。
説明: PGA_AGGREGATE_TARGET初期化パラメータの値が0であるかどうか、またはWORKAREA_SIZE_POLICYの値がMANUALであるかどうかをチェックします。
重大度: 警告
理由: 自動PGAメモリー管理は、PGAメモリーの割当て方法を簡略化し向上させます。有効にすると、DBAが設定したPGA_AGGREGATE_TARGET制限を保持したまま、作業領域専用のPGAメモリーの一部がOracleによって動的に調整できるようになります。
説明: STATISTICS_LEVEL初期化パラメータがALLに設定されているかどうかをチェックします。
重大度: マイナー警告
理由: 自動統計収集は、オプティマイザによる正確な実行計画の生成を可能にし、またパフォーマンスの問題を特定および修正する場合に必要です。STATISTICS_LEVEL初期化パラメータは、現在、ALLに設定されています。これは指定時間に動作する追加のOSおよび計画実行統計が収集中であることを意味します。これらの統計は必要なく、またシステムに追加のオーバーヘッドを作成します。
説明: SPFILEを使用しているかどうかをチェックします。
重大度: マイナー警告
理由: SPFILE (サーバー・パラメータ・ファイル)を使用すると、ALTER SYSTEMコマンドによって行ったOracle初期化パラメータへの動的な変更を永続させることができます。この永続性は、データベースのシャットダウン後にも維持されます。データベースでSPFILEが設定されている場合、対応する変更をOracleのinit.oraファイルに反映させる必要はありません。また、ALTER SYSTEMコマンドによって行われたすべての変更は、シャットダウンと再起動の後でも失われません。
説明: STATISTICS_LEVEL初期化パラメータがBASICに設定されているかどうかをチェックします。
重大度: クリティカル
理由: 自動統計収集は、オプティマイザによる正確な実行計画の生成を可能にし、またパフォーマンスの問題を特定および修正する場合に必要です。STATISTICS_LEVELは、デフォルトでTYPICALに設定されます。STATISTICS_LEVEL初期化パラメータをBASICに設定すると、Oracleデータベースの機能に必要な多くの重要な統計の収集が無効になります。
説明: TIMED_STATISTICS初期化パラメータがFALSEに設定されているかどうかをチェックします。
重大度: クリティカル
理由: TIMED_STATISTICSをFALSEに設定すると、時間関連の統計(各種の内部操作の実行時間など)は収集されません。これらの統計は、診断やパフォーマンス・チューニングに役立ちます。TIMED_STATISTICSをTRUEに設定すると、時間関連の統計を収集できます。また、トレース・ファイルに記録される値も増えることで、長時間の操作についてより正確な統計を生成できます。
Oracleデータベース標準の高度なセキュリティ構成のコンプライアンス・ルールは、次のとおりです。
説明: ALL_SOURCEビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: ALL_SOURCEビューにはデータベースにあるすべてのストアド・パッケージのソースが含まれています。
説明: USER_ROLE_PRIVSビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: 現在のユーザーに付与されたロールがリストされています。データベースのロールの構造に関する情報は、悪質なユーザーによって利用される可能性があります。
説明: PUBLICがUTL_FILEパッケージに対する実行権限を持たないことを確認します。
重大度: クリティカル
理由: PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。UTL_FILE権限を付与すると、悪質なユーザーがシステム内の任意のファイルを読取り/書込みできるようになります。
説明: %_CATALOG_%の付与が制限されていることを確認します。
重大度: クリティカル
理由: %_CATALOG_%ロールには、データベース・オブジェクトに対するクリティカル・アクセスが可能です。このため、データベース・システム内の重要情報が公開される可能性があります。
説明: $ORACLE_HOME/network/admin所有権がOracleソフトウェア・セットおよびDBAグループに制限されていることを確認します。
重大度: 警告
理由: network/adminの所有権をOracleソフトウェア・セットおよびDBAグループに制限しないと、悪質なユーザーにネット構成データが漏れてセキュリティ上の問題が発生する可能性があります。
説明: ORACLE_HOME/binフォルダ内のすべてのファイルに対するパブリックからの書込み権限がないことを確認します。
重大度: 警告
理由: ファイル・アクセス権が適切でないOracleファイルがある場合、セキュリティ上の重要な問題が発生する可能性があります。
説明: Oracle XSQL構成ファイル(XSQLConfig.xml)がOracleソフトウェアの所有者に所有されていることを確認します。
重大度: 警告
理由: Oracle XSQL構成ファイル(XSQLConfig.xml)には、データベース接続の機密情報が含まれています。XSQL構成ファイルがパブリックからアクセス可能な場合、機密データへのアクセスまたはさらなる攻撃に利用可能なデータベース・ユーザー名およびパスワードが漏れる可能性があります。
説明: サーバーのアーカイブ・ログ・ディレクトリが、Oracleソフトウェアの所有者に所有されている有効なディレクトリであることを確認します。
重大度: クリティカル
理由: LOG_ARCHIVE_DUPLEX_DESTパラメータ(init.oraファイル内)で指定されたディレクトリがOracleソフトウェア・インストールの所有者に所有されていないか、このディレクトリに対する権限が他のユーザーに付与されている場合、LogMinerを使用するとデータベース情報をアーカイブ・ログから取得できます。
説明: Oracle AgentのSNMP読取り専用構成ファイル(snmp_ro.ora)がOracleソフトウェアの所有者によって所有されていることを確認します。
重大度: 警告
理由: Oracle AgentのSNMP読取り専用構成ファイル(snmp_ro.ora)には、エージェントのリスニング・アドレス、認識しているSQL*NetリスナーとOracleデータベース・サービスの名前、およびトレース・パラメータが含まれています。SNMP読取り専用構成ファイルがパブリックからアクセス可能な場合、トレース・ディレクトリの場所やdbsnmpアドレスなどの機密データを取得するために使用される可能性があります。
説明: サーバーのアーカイブ・ログにパブリックからアクセスできないことを確認します。
重大度: クリティカル
理由: LOG_ARCHIVE_DESTパラメータ(init.oraファイル内)で指定されたディレクトリがOracleソフトウェア・インストールの所有者に所有されていないか、このディレクトリに対する権限が他のユーザーに付与されている場合、LogMinerを使用するとデータベース情報をアーカイブ・ログから取得できます。
説明: サーバーのアーカイブ・ログにパブリックからアクセスできないことを確認します。
重大度: クリティカル
理由: LOG_ARCHIVE_DUPLEX_DESTパラメータ(init.oraファイル内)で指定されたディレクトリがOracleソフトウェア・インストールの所有者に所有されていないか、このディレクトリに対する権限が他のユーザーに付与されている場合、LogMinerを使用するとデータベース情報をアーカイブ・ログから取得できます。
説明: DISPATCHERSパラメータが設定されていることを確認します。
重大度: クリティカル
理由: これによりデフォルトのポートftp: 2100およびhttp: 8080が無効になります。XDBポートを削除することで、Oracleサーバーの攻撃対象領域が縮小されます。本番で使用する必要がない場合、これらのポートは無効にすることをお薦めします。
説明: すべてのプロファイルでCPU_PER_SESSIONがCPUサイクルの適切な数に設定されていることを確認します。
重大度: クリティカル
理由: 単一のアプリケーションまたはユーザーに過剰なCPUリソースの消費を許すと、Oracleデータベースに対するサービス拒否が生じることになります。
説明: すべてのユーザーに対するアクセスによりEXECUTE ANY PROCEDURE権限が監査されていることを確認します。
重大度: クリティカル
理由: ロールの作成の監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりSELECT ANY DICTIONARY権限が監査されていることを確認します。
重大度: クリティカル
理由: SELECT ANY DICTIONARYの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: USER_TAB_PRIVSビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: ユーザーが所有者、権限付与者または権限受領者のオブジェクトに対する権限がリストされています。データベース内の権限に関する情報は、悪質なユーザーに利用される可能性があります。
説明: SELECT権限がV$シノニムに付与されていないことを確認します。
重大度: クリティカル
理由: V$表にはOracleデータベースに関する機密情報が含まれており、システム管理者しかアクセスできないようにする必要があります。アクセス権を持つユーザーがいないか確認し、可能であれば取り消します。
説明: IFILEパラメータによって参照されるファイルへのアクセスが、Oracleソフトウェア・セットの所有者およびDBAグループに制限されていることを確認します。
重大度: クリティカル
理由: IFILE初期化パラメータを使用すると、他の初期化パラメータ・ファイルの内容を現在の初期化パラメータ・ファイルに埋め込むことができます。初期化パラメータ・ファイルがパブリックからアクセス可能な場合、機密情報に関する初期化パラメータがスキャンされ、データベースのセキュリティ・ポリシーが公開される可能性があります。初期化パラメータ・ファイルを検索してOracleデータベース構成の設定の脆弱性を見つけることもできます。
説明: サーバーのアーカイブ・ログ・ディレクトリが、Oracleソフトウェアの所有者に所有されている有効なディレクトリであることを確認します。
重大度: クリティカル
理由: LOG_ARCHIVE_DESTパラメータ(init.oraファイル内)で指定されたディレクトリがOracleソフトウェア・インストールの所有者に所有されていないか、このディレクトリに対する権限が他のユーザーに付与されている場合、LogMinerを使用するとデータベース情報をアーカイブ・ログから取得できます。
説明: サーバーのアーカイブ・ログにパブリックからアクセスできないことを確認します。
重大度: クリティカル
理由: LOG_ARCHIVE_DESTパラメータ(init.oraファイル内)で指定されたディレクトリがOracleソフトウェア・インストールの所有者に所有されていないか、このディレクトリに対する権限が他のユーザーに付与されている場合、LogMinerを使用するとデータベース情報をアーカイブ・ログから取得できます。
説明: Oracle XSQL構成ファイル(XSQLConfig.xml)の権限がOracleソフトウェア・セットおよびDBAグループに制限されていることを確認します。
重大度: 警告
理由: Oracle XSQL構成ファイル(XSQLConfig.xml)には、データベース接続の機密情報が含まれています。XSQL構成ファイルがパブリックからアクセス可能な場合、機密データへのアクセスまたはさらなる攻撃に利用可能なデータベース・ユーザー名およびパスワードが漏れる可能性があります。
説明: Webcache初期化ファイル(webcache.xml)の権限がOracleソフトウェア・セットおよびDBAグループに制限されていることを確認します。
重大度: 警告
理由: Webcache初期化ファイル(webcache.xml)には機密情報が格納されます。Webcache初期化ファイルがパブリックからアクセス可能な場合、管理者パスワードのハッシュなどの機密データを取得するために使用される可能性があります。
説明: Oracle HTTP Server分散構成ファイルの所有権がOracleソフトウェア・セットおよびDBAグループに制限されていることを確認します。
重大度: 警告
理由: Oracle HTTP Server分散構成ファイル(通常は.htaccess)は、Webフォルダのアクセス制御および認証に使用されます。このファイルを変更して、機密情報を含むページへのアクセス権を取得することができます。
説明: Oracle AgentのSNMP読取り専用構成ファイル(snmp_ro.ora)の権限がOracleソフトウェア・セットおよびDBAグループに制限されていることを確認します。
重大度: 警告
理由: Oracle AgentのSNMP読取り専用構成ファイル(snmp_ro.ora)には、エージェントのリスニング・アドレス、SQL*NetリスナーとOracleデータベース・サービスの名前が含まれています。
説明: パラメータSEC_RETURN_SERVER_RELEASE_BANNERの値がFALSEであることを確認します。
重大度: クリティカル
理由: パラメータSEC_RETURN_SERVER_RELEASE_BANNERがTRUEの場合、Oracleデータベースから完全なデータベース・バージョン情報がクライアントに返されます。正確なパッチ・セットが攻撃側に知られると利用される可能性があります。
説明: すべてのプロファイルでSESSIONS_PER_USERが適切な数に設定されていることを確認します。
重大度: クリティカル
理由: 1ユーザー当たりのセッション数を無制限に許すと、Oracleリソースが消費され、サービス拒否が生じる可能性があります。個々のユーザーのセッション数を制限してください。
説明: すべてのユーザーに対するアクセスによりDROP ANY ROLE権限が監査されていることを確認します。
重大度: クリティカル
理由: ロールの作成の監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: 外部で識別されたユーザーが接続中にドメインを指定していることを確認します。
重大度: クリティカル
理由: この設定は、Windowsシステムにのみ適用されます。アカウントを外部で識別する必要がある場合、レジストリでOSAUTH_PREFIX_DOMAINをTRUEに設定すると、アカウントにドメインの指定を義務付けます。このため、異なるドメインまたはローカル・システムからのユーザー・アクセスのなりすましを防ぐことができます。
説明: ドメイン・サーバーのローカルのUsersグループにDomain Usersグループが含まれていないことを確認します。
重大度: 警告
理由: ドメイン・サーバーのローカルのUsersグループにDomain Usersグループが含まれていると、重大なセキュリティ上の問題が発生する可能性があります。
説明: tkprof実行可能ファイルがOracleソフトウェアの所有者によって所有されていることを確認します。
重大度: 警告
理由: TKPROF所有権をOracleソフトウェア・セットおよびDBAグループに制限しないと、情報漏れが発生する可能性があります。
説明: DBMS_LOBパッケージに対するEXECUTE権限がPUBLICグループに付与されていないことを確認します。
重大度: クリティカル
理由: DBMS_LOBパッケージを使用すると、Oracleソフトウェア・インストールの所有者としてシステム上のファイルにアクセスできます。
説明: PUBLICがSYS.DBMS_RANDOMパッケージに対する実行権限を持たないことを確認します。
重大度: クリティカル
理由: PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。DBMS_RANDOMにより、SQLインジェクションが許可されます。このため、悪質なユーザーが利用できるようになります。
説明: Oracle HTTP Serverのmod_plsql構成ファイル(wdbsvr.app)がOracleソフトウェアの所有者に所有されていることを確認します。
重大度: 警告
理由: Oracle AgentのSNMP読取り/書込み構成ファイル(snmp_rw.ora)には、認識しているエージェントのリスニング・アドレス、SQL*Netリスナーの名前およびOracleデータベース・サービスと、トレース・パラメータが含まれています。SNMP読取り-書込み構成ファイルがパブリックからアクセス可能な場合、トレース・ディレクトリの場所やdbsnmpアドレスなどの機密データを取得するために使用される可能性があります。
説明: Oracle AgentのSNMP読取り-書込み構成ファイル(snmp_rw.ora)の権限がOracleソフトウェア・セットおよびDBAグループに制限されていることを確認します。
重大度: 警告
理由: Oracle AgentのSNMP読取り-書込み構成ファイル(snmp_ro.ora)には、認識しているエージェントのリスニング・アドレス、SQL*Netリスナーの名前およびOracleデータベース・サービスと、トレース・パラメータが含まれています。SNMP読取り-書込み構成ファイルがパブリックからアクセス可能な場合、トレース・ディレクトリの場所やdbsnmpアドレスなどの機密データを取得するために使用される可能性があります。
説明: SQL92セキュリティ機能の使用状況を確認します。
重大度: 警告
理由: SQL92セキュリティ機能を無効にすると、表に対するSELECT権限がなくても、ユーザーがWHERE句を使用してUPDATE文またはDELETE文を実行できる可能性があります。
説明: 特権ユーザーがオペレーティング・システムによって認証されます。つまり、パスワード・ファイルが無視されます。
重大度: マイナー警告
理由: REMOTE_LOGIN_PASSWORDFILEパラメータでは、Oracleがパスワード・ファイルをチェックするかどうかを指定します。パスワード・ファイルにはSYSを含むユーザーのパスワードが含まれているため、攻撃者が総当たりのパスワード関連攻撃を通じて接続することを防ぐ最も安全な方法は、特権ユーザーにオペレーティング・システムによる認証を要求することです。
説明: Oracleによって作成されたすべてのLOBファイルが、SecureFileとして作成されていることを確認します。
重大度: クリティカル
理由: LOBをSecureFileとして処理するには、COMPATIBILE初期化パラメータを11.1以上に設定します。2つのパーティション(ASSMが有効な表領域があるパーティションおよびASSMが無効な表領域があるパーティション)を持つLOB列がある場合、ASSMが有効な表領域を持つパーティションのLOBはSecureFileとして処理され、その他のパーティションのLOBはBasicFile LOBとして処理されます。db_securefileをALWAYSに設定すると、作成されたLOBファイルは必ずセキュア・ファイルになります。
説明: すべてのプロファイルでPASSWORD_REUSE_TIMEが適切な日数に設定されていることを確認します。
重大度: クリティカル
理由: PASSWORD_REUSE_TIMEパラメータの値が低いと、ユーザーが旧パスワードを何度も使用できるため、データベースのセキュリティ上の重大な問題が発生する可能性があります。
説明: ユーザーのPRIVATE_SGAプロファイルの設定が、特定のデータベースおよびアプリケーションに対して適切な値に設定されていることを確認します。
重大度: クリティカル
理由: 単一のアプリケーションまたはユーザーに過剰なシステム・グローバル領域の消費を許すと、Oracleデータベースに対するサービス拒否が生じることになります。
説明: すべてのユーザーに対するアクセスによりSELECT ANY DICTIONARY権限が監査されていることを確認します。
重大度: クリティカル
理由: SELECT ANY DICTIONARYの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりAUD$が監査されていることを確認します。
重大度: クリティカル
理由: AUD$の監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりCREATE USER権限が監査されていることを確認します。
重大度: クリティカル
理由: CREATE USERの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりDROP ANY TABLE権限が監査されていることを確認します。
重大度: クリティカル
理由: DROP ANY TABLEの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: Windowsで、インストール済Oracleホームのドライブが、Everyoneグループにアクセスできないことを確認します。
重大度: 警告
理由: Oracleがインストールされているドライブの権限をEveryoneに付与すると、重大なセキュリティ上の問題が発生する可能性があります。
説明: OracleサービスにWindowsツールの権限がないことを確認します。
重大度: 警告
理由: OracleサービスにWindowsツールの権限を付与すると、重大なセキュリティ上の問題が発生する可能性があります。
説明: tkprof実行可能ファイルの権限がグループに対する読取りおよび実行権限に制限されていることと、パブリックにはアクセスできないことを確認します。
重大度: 警告
理由: TKPROFの権限が大きすぎると、内部の情報が保護されなくなります。
説明: SYS.LINK$表へのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: 知識のある悪質なユーザーが、SYS.LINK$表からユーザー・パスワードにアクセスできる可能性があります。
説明: Oracle AgentのSNMP読取り-書込み構成ファイル(snmp_rw.ora)がOracleソフトウェアの所有者に所有されていることを確認します。
重大度: 警告
理由: Oracle AgentのSNMP読取り-書込み構成ファイル(snmp_ro.ora)には、認識しているエージェントのリスニング・アドレス、SQL*Netリスナーの名前およびOracleデータベース・サービスと、トレース・パラメータが含まれています。SNMP読取り-書込み構成ファイルがパブリックからアクセス可能な場合、トレース・ディレクトリの場所やdbsnmpアドレスなどの機密データを取得するために使用される可能性があります。
説明: REDOログのアーカイブが自動的に行われ、REDOログが一杯になった場合にインスタンス操作を一時停止しないことを確認します。データベースがARCHIVELOGモードの場合にのみ適用されます。
重大度: クリティカル
理由: LOG_ARCHIVE_START初期化パラメータをTRUEに設定すると、REDOログのアーカイブが自動的に行われ、REDOログが一杯になってもインスタンス操作が一時停止しません。この機能は、データベースがARCHIVELOGモードの場合にのみ適用されます。
説明: Webcache初期化ファイル(webcache.xml)の権限がOracleソフトウェア・セットおよびDBAグループに制限されていることを確認します。
重大度: 警告
理由: Webcache初期化ファイル(webcache.xml)には機密情報が格納されます。Webキャッシュ初期化ファイルがパブリックからアクセス可能な場合、機密データを取得するために使用される可能性があります。
説明: Oracle HTTP Serverのmod_plsql構成ファイル(wdbsvr.app)の権限がOracleソフトウェア・セットおよびDBAグループに制限されていることを確認します。
重大度: 警告
理由: Oracle HTTP Serverのmod_plsql構成ファイル(wdbsvr.app)には、認証に使用するデータベース・アクセス記述子が含まれています。mod_plsql構成ファイルがパブリックからアクセス可能な場合、悪質なユーザーがそれを利用し、データベース・アクセス記述子の設定を変更してPL/SQLアプリケーションにアクセスしたり、DoS攻撃を実行したりする可能性があります。
説明: すべてのユーザーに対するアクセスによりCREATE ANY LIBRARY権限が監査されていることを確認します。
重大度: クリティカル
理由: CREATE ANY LIBRARYの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: Oracleがドメイン・コントローラにインストールされていないことを確認します。
重大度: 警告
理由: Oracleをドメイン・コントローラにインストールすると、重大なセキュリティ上の問題が発生する可能性があります。
説明: データベース・ユーザーに対する表領域の割当てが制限されていることを確認します。
重大度: 警告
理由: 表領域を無制限に割り当てると、割当て済ディスク領域がすべて使用される可能性があります。また、これによってデータベースが応答しなくなる可能性があります。
説明: PUBLICがSYS.DBMS_EXPORT_EXTENSIONパッケージに対する実行権限を持たないことを確認します。
重大度: クリティカル
理由: PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。DBMS_EXPORT_EXTENSIONにより、SQLインジェクションが許可されます。このため、悪質なユーザーが利用できるようになります。
説明: SQL*Plus実行可能ファイルの権限がOracleソフトウェア・セットおよびDBAグループに制限されていることを確認します。
重大度: 警告
理由: ユーザーがSQL*Plusを使用すると、データベース上ですべてのSQLを実行できます。SQL*PlusにPUBLIC EXECUTE権限があると、悪質なユーザーに機密データが漏れてセキュリティ上の問題が発生する可能性があります。
説明: Webcache初期化ファイル(webcache.xml)がOracleソフトウェアの所有者によって所有されていることを確認します。
重大度: 警告
理由: Webcache初期化ファイル(webcache.xml)には機密情報が格納されます。Webcache初期化ファイルがパブリックからアクセス可能な場合、管理者パスワードのハッシュなどの機密データを取得するために使用される可能性があります。
説明: Oracle AgentのSNMP読取り専用構成ファイル(snmp_ro.ora)の権限がOracleソフトウェア・セットおよびDBAグループに制限されていることを確認します。
重大度: 警告
理由: Oracle AgentのSNMP読取り専用構成ファイル(snmp_ro.ora)には、エージェントのリスニング・アドレス、認識しているSQL*NetリスナーとOracleデータベース・サービスの名前、およびトレース・パラメータが含まれています。SNMP読取り専用構成ファイルがパブリックからアクセス可能な場合、トレース・ディレクトリの場所やdbsnmpアドレスなどの機密データを取得するために使用される可能性があります。
説明: サーバーのアーカイブ・ログにパブリックからアクセスできないことを確認します。
重大度: クリティカル
理由: LOG_ARCHIVE_DUPLEX_DESTパラメータ(init.oraファイル内)で指定されたディレクトリがOracleソフトウェア・インストールの所有者に所有されていないか、このディレクトリに対する権限が他のユーザーに付与されている場合、LogMinerを使用するとデータベース情報をアーカイブ・ログから取得できます。
説明: $ORACLE_HOME/network/admin内のファイルの所有権がOracleソフトウェア・セットに制限され、グループがDBAグループに制限され、パブリックが書込み権限を持っていないことを確認します。
重大度: 警告
理由: network/adminの所有権をOracleソフトウェア・セットおよびDBAグループに制限しないと、悪質なユーザーにネット構成データが漏れてセキュリティ上の問題が発生する可能性があります。
説明: すべてのユーザーに対するアクセスによりCREATE ROLE権限が監査されていることを確認します。
重大度: クリティカル
理由: ロールの作成の監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりCREATE LIBRARY権限が監査されていることを確認します。
重大度: クリティカル
理由: CREATE LIBRARYの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: プロキシ・アカウントの権限が制限されていることを確認します。
重大度: 警告
理由: プロキシ・ユーザーが必要なのはデータベースへの接続だけです。接続した後は、代理で接続している元のユーザーの権限を使用します。CREATE SESSION権限以外の権限をプロキシ・ユーザーに付与することは、不要であり誤用を招くおそれがあります。
説明: PUBLICにSYSTEM権限が付与されていないことを確認します。
重大度: クリティカル
理由: PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。すべてのユーザーにSYSTEM権限が付与されることになるため、セキュリティ上のリスクがあります。
説明: UTL_FILE_DIR初期化パラメータがOracle9iリリース1以上で使用されていないことを確認します。
重大度: クリティカル
理由: UTL_FILEパッケージがアクセス可能なディレクトリを指定します。パラメータをアスタリスク(*)、ピリオド(.)または機密情報ディレクトリに設定すると、UTL_FILEパッケージに対する実行権限のあるすべてのユーザーに機密情報が公開される可能性があります。
説明: IFILEパラメータによって参照されるファイルへのアクセスが、Oracleソフトウェア・セットの所有者およびDBAグループに制限されていることを確認します。
重大度: クリティカル
理由: IFILE初期化パラメータを使用すると、他の初期化パラメータ・ファイルの内容を現在の初期化パラメータ・ファイルに埋め込むことができます。初期化パラメータ・ファイルがパブリックからアクセス可能な場合、機密情報に関する初期化パラメータがスキャンされ、データベースのセキュリティ・ポリシーが公開される可能性があります。初期化パラメータ・ファイルを検索してOracleデータベース構成の設定の脆弱性を見つけることもできます。
説明: SQL*Plus実行可能ファイルの権限がOracleソフトウェア・セットおよびDBAグループに制限されていることを確認します。
重大度: 警告
理由: ユーザーがSQL*Plusを使用すると、データベース上ですべてのSQLを実行できます。SQL*PlusにPUBLIC EXECUTE権限があると、悪質なユーザーに機密データが漏れてセキュリティ上の問題が発生する可能性があります。
説明: Oracle XSQL構成ファイル(XSQLConfig.xml)の権限がOracleソフトウェア・セットおよびDBAグループに制限されていることを確認します。
重大度: 警告
理由: Oracle XSQL構成ファイル(XSQLConfig.xml)には、データベース接続の機密情報が含まれています。XSQL構成ファイルがパブリックからアクセス可能な場合、機密データへのアクセスまたはさらなる攻撃に利用可能なデータベース・ユーザー名およびパスワードが漏れる可能性があります。
説明: ロールがDBMSの外部ファイル以外のデータベースに保存され、管理および保護されます。
重大度: 警告
理由: ロールがOSによって管理されている場合、セキュリティ上の重大な問題が発生する可能性があります。
説明: すべてのプロファイルでPASSWORD_REUSE_MAXが適切な回数に設定されていることを確認します。
重大度: 警告
理由: 現在のパスワードを推測する場合、旧パスワードが通常最も多く使用されます。PASSWORD_REUSE_MAXパラメータの値が低いと、ユーザーが旧パスワードを何度も使用できるため、データベースのセキュリティ上の重大な問題が発生する可能性があります。
説明: すべてのユーザーに対するアクセスによりALTER USER権限が監査されていることを確認します。
重大度: クリティカル
理由: ALTER USERの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりGRANT ANY PRIVILEGE権限が監査されていることを確認します。
重大度: クリティカル
理由: GRANT ANY PRIVILEGEの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: tkprof実行可能ファイルの権限がグループに対する読取りおよび実行権限に制限されていることと、パブリックにはアクセスできないことを確認します。
重大度: 警告
理由: TKPROFの権限が大きすぎると、内部の情報が保護されなくなります。
説明: SELECT権限がどのDBA_ビューにも付与されていないことを確認します。
重大度: 警告
理由: DBA_*ビューを使用すると、データベースの権限およびポリシーの設定にアクセスできます。DBA_*ビューの一部では、セキュリティ・ポリシーを理解するために使用できる重要なPL/SQLコードを表示することもできます。
説明: ROLE_ROLE_PRIVSビューへのアクセスが制限されていることを確認します。
重大度: マイナー警告
理由: 他のロールに付与されたロールがリストされています。データベースのロールの構造に関する情報は、悪質なユーザーによって利用される可能性があります。
説明: SELECT ANY PRIVILEGEがどのユーザーまたはロールにも付与されていないことを確認します。
重大度: 警告
理由: SELECT ANY TABLE権限は、ユーザーまたはロール自身が所有していない表のデータを表示できるようにするために使用できます。この権限を持つユーザー・アカウントへのアクセス権を持つ悪質なユーザーは、これを利用して機密データにアクセスできます。
説明: SELECT権限がどのV$ビューにも付与されていないことを確認します。
重大度: クリティカル
理由: V$表にはOracleデータベースに関する機密情報が含まれており、システム管理者しかアクセスできないようにする必要があります。アクセス権を持つユーザーがいないか確認し、可能であれば取り消します。
説明: $ORACLE_HOME/network/admin内のファイルの所有権がOracleソフトウェア・セットに制限され、グループがDBAグループに制限され、パブリックが書込み権限を持っていないことを確認します。
重大度: 警告
理由: network/adminの所有権をOracleソフトウェア・セットおよびDBAグループに制限しないと、悪質なユーザーにネット構成データが漏れてセキュリティ上の問題が発生する可能性があります。
説明: Oracle HTTP Serverのmod_plsql構成ファイル(wdbsvr.app)の権限がOracleソフトウェア・セットおよびDBAグループに制限されていることを確認します。
重大度: 警告
理由: Oracle AgentのSNMP読取り/書込み構成ファイル(snmp_rw.ora)には、認識しているエージェントのリスニング・アドレス、SQL*Netリスナーの名前およびOracleデータベース・サービスと、トレース・パラメータが含まれています。SNMP読取り-書込み構成ファイルがパブリックからアクセス可能な場合、トレース・ディレクトリの場所やdbsnmpアドレスなどの機密データを取得するために使用される可能性があります。
説明: Oracle AgentのSNMP読取り-書込み構成ファイル(snmp_rw.ora)の権限がOracleソフトウェア・セットおよびDBAグループに制限されていることを確認します。
重大度: 警告
理由: Oracle AgentのSNMP読取り-書込み構成ファイル(snmp_ro.ora)には、エージェントのリスニング・アドレス、SQL*NetリスナーとOracleデータベース・サービスの名前が含まれています。
説明: sec_case_sensitive_logonパラメータがTRUEに設定されていることを確認します。
重大度: クリティカル
理由: これでパスワードがより複雑になり、総当りのパスワード攻撃に対する防衛に役立ちます。
説明: ユーザー・プロファイル設定LOGICAL_READS_ PER_SESSIONが、特定のデータベースおよびアプリケーションに対して適切な値に設定されていることを確認します。
重大度: クリティカル
理由: 単一のアプリケーションまたはユーザーにディスクに対する過剰な読取りの実行を許すと、Oracleデータベースに対するサービス拒否が生じることになります。
説明: すべてのユーザーに対するアクセスによりALTER ANY TABLE権限が監査されていることを確認します。
重大度: クリティカル
理由: ALTER ANY TABLEの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: すべてのユーザーに対するアクセスによりCREATE SESSION権限が監査されていることを確認します。
重大度: クリティカル
理由: CREATE SESSIONの監査により、アカウント管理権限が適切に使用されていることを確認するレコードが提供されます。この情報は、特定のセキュリティ・イベントの調査の際にも役立ちます。
説明: データベース・アカウントはOS認証に依存しないことを確認します。
重大度: クリティカル
理由: ホスト・オペレーティング・システムのデータベース・アカウントに、パスワードがEXTERNALに設定されている必須ユーザーIDが存在する場合、資格証明の確認はこれ以上実行されません。ホストが認証を行っていることを前提としているため、ユーザーの確認を行わずデータベースへのアクセスを許可します。
説明: OTRACEで収集されたデータによって引き起こされる、データベース・パフォーマンスとディスク領域使用量への悪影響を回避します。
重大度: 警告
理由: データ収集によるパフォーマンスとリソースの使用は、データベース・パフォーマンスとディスク領域使用量に悪影響を与える可能性があります。
説明: トレース・ファイル・ディレクトリへのアクセスがOracleソフトウェア・セットの所有者とDBAグループに制限されていることを確認します。
重大度: クリティカル
理由: ログ・ライター・プロセスやデータベース・ライター・プロセスなどのバックグラウンド・プロセスは、データベース操作の状態変化および例外やエラーの記録にトレース・ファイルを使用します。トレース・ファイルは、BACKGROUND_DUMP_DEST初期化パラメータで指定されたディレクトリに保存されます。このディレクトリに対するパブリック読取り権限を付与すると、データベースおよびアプリケーションに関する内部の重要な機密情報の詳細が公開される可能性があります。
説明: SQL*Plus所有権がOracleソフトウェア・セットおよびDBAグループに制限されていることを確認します。
重大度: 警告
理由: ユーザーがSQL*Plusを使用すると、データベース上ですべてのSQLを実行できます。SQL*Plusの所有権をOracleソフトウェア・セットおよびDBAグループに制限しないと、悪質なユーザーに機密データが漏れてセキュリティ上の問題が発生する可能性があります。
説明: Oracle HTTP Server分散構成ファイルの権限がOracleソフトウェア・セットおよびDBAグループに制限されていることを確認します。
重大度: 警告
理由: Oracle HTTP Server分散構成ファイル(通常は.htaccess)は、Webフォルダのアクセス制御および認証に使用されます。このファイルを変更して、機密情報を含むページへのアクセス権を取得することができます。
説明: ORACLE_HOME/binフォルダ内のすべてのファイルに対するパブリックからの書込み権限がないことを確認します。
重大度: 警告
理由: ファイル・アクセス権が適切でないOracleファイルがある場合、セキュリティ上の重要な問題が発生する可能性があります。
説明: データベース・リンクの名前が、リモート・データベース名と同じであることを確認します。
重大度: 警告
理由: データベース・リンク名が接続するデータベースのグローバル名と一致しない場合、テスト・サーバーまたは開発サーバーから本番サーバーへのアクセスを管理者が誤って許可してしまう可能性があります。この情報は、悪質なユーザーがターゲット・データベースにアクセスする際に使用されます。
説明: UNIXシステムでOSレベルの監査が有効な場合、AUDIT_SYSLOG_LEVELがデフォルト以外の値に設定されていることを確認します。
重大度: 警告
理由: AUDIT_SYSLOG_LEVEL初期化パラメータをデフォルト値(NONE)に設定すると、DBAがOS監査レコードにアクセスできるようになります。
説明: ユーザー・プロファイル設定CONNECT_TIMEが、特定のデータベースおよびアプリケーションに対して適切な値に設定されていることを確認します。
重大度: クリティカル
理由: 複数のセッションがオープンのままになっている期間が長すぎると、システム・リソースが消費され、Oracleデータベースの他のユーザーに対するサービス拒否が生じる可能性があります。CONNECT_TIMEパラメータでは、セッションをオープン状態にしておける期間の上限を制限します。このパラメータは、分単位で指定します。接続時間を超過したセッションは中断され、ロールバックされます。
Oracleデータベース標準のパッチ適用可能な構成のコンプライアンス・ルールは、次のとおりです。
Oracleデータベース標準の記憶域のベスト・プラクティスのコンプライアンス・ルールは、次のとおりです。
説明: 手動セグメント領域管理を使用しているローカル管理表領域をチェックします。
重大度: マイナー警告
理由: 自動セグメント領域管理は、セグメント内の領域を管理する、より簡単で効率的な方法です。表領域に作成されるスキーマ・オブジェクトの記憶域パラメータPCTUSED、FREELISTSおよびFREELIST GROUPSの指定やチューニングを行う必要はまったくありません。RAC環境では、空きリスト・グループを使用する場合の領域の難しいパーティション化を回避できるという利点もあります。
説明: ディクショナリ管理表領域をチェックします。
重大度: マイナー警告
理由: これらの表領域はディクショナリ管理されています。パフォーマンスの向上および領域管理の簡略化のために、自動セグメント領域管理を使用して、ローカル管理表領域を使用することをお薦めします。
説明: デフォルト・エクステント・サイズが不均一なディクショナリ管理表領域または移行されたローカル管理表領域がないかどうかをチェックします。
重大度: マイナー警告
理由: 均一でないデフォルト・エクステント・サイズを使用しているディクショナリ管理表領域または移行されたローカル管理表領域が見つかりました。1つの表領域内に様々なサイズのエクステントが存在すると、フラグメンテーションが発生し、領域が適切に使用されず、パフォーマンスの低下を招きます。
説明: エクステント・サイズが不適切であるか、または増加率が0以外に設定されている(あるいはその両方の)ディクショナリ管理表領域または移行されたローカル管理表領域のセグメントをチェックします。
重大度: マイナー警告
理由: これらのセグメントには、サイズが初期エクステントの倍数ではない、または増加率がゼロ以外に設定されているエクステントが含まれています。この状態では領域が適切に再利用されず、フラグメンテーションの問題が発生することがあります。
説明: SYSTEMまたはSYSAUXをデフォルト表領域として使用しているシステム以外のユーザーをチェックします。
重大度: マイナー警告
理由: これらのシステム以外のユーザーが、システム表領域をデフォルト表領域として使用しています。この違反状態では、システム以外のデータ・セグメントがシステム表領域に追加されるため、これらのデータ・セグメントの管理がより困難になり、システム表領域のパフォーマンス低下の原因となります。これはセキュリティ上の問題でもあります。システム表領域内のすべての使用可能な領域が消費されるため、データベースが停止する可能性があります。
説明: DEFAULT_TEMP_TABLESPACEデータベース・プロパティがシステム表領域に設定されているかどうかをチェックします。
重大度: 警告
理由: 明示的に指定されていない場合、DEFAULT_TEMP_TABLESPACEはデフォルトでシステム表領域になります。この設定は、お薦めしません。この設定の場合、一時表領域が明示的に割り当てられていないすべてのユーザーは、システム表領域を一時表領域として使用します。一時データの格納にシステム表領域を使用することはお薦めしません。これはセキュリティ上の問題でもあります。システム以外のユーザーがシステム表領域にデータを格納して、システム表領域の使用可能なすべての領域を消費するため、データベースが停止する可能性があります。
説明: DEFAULT_PERMANENT_TABLESPACEデータベース・プロパティがシステム表領域に設定されているかどうかをチェックします。
重大度: 警告
理由: 明示的に指定されていない場合、DEFAULT_PERMANENT_TABLESPACEはデフォルトでシステム表領域になります。これは推奨の設定ではありません。この設定の場合、永続表領域が明示的に割り当てられていないすべてのユーザーは、システム表領域を使用します。このように使用すると、データベースのパフォーマンスが低下する可能性があります。これはセキュリティ上の問題でもあります。システム以外のユーザーがシステム表領域にデータを格納して、システム表領域の使用可能なすべての領域を消費するため、データベースが停止する可能性があります。
説明: ロールバック・セグメントとデータ・セグメントの両方を含む表領域がないかどうかをチェックします。
重大度: マイナー警告
理由: これらの表領域には、ロールバック・セグメントとデータ・セグメントの両方が含まれています。このようにタイプの異なるセグメントを混在させると、領域管理がより困難になり、表領域のパフォーマンスが低下することもあります。ロールバック・セグメント専用の表領域を使用すれば、可用性とパフォーマンスが向上します。
説明: 使用しているREDOログが2つ以下でないかをチェックします。
重大度: 警告
理由: オンラインREDOログ・ファイルは、データベースにおける変更を記録するために使用されます。アーカイブが有効な場合、オンラインREDOログを再利用する前にアーカイブする必要があります。各データベースでは、最低でも2つのオンラインREDOログ・グループが実行中である必要があります。オンラインREDOログのサイズと数が不足すると、LGWRはログを上書きする前に、ARCHがアーカイブ済ログ保存先への書込みを完了するのを待ちます。このような動作は、アクティビティがピークに達する期間には著しくパフォーマンスを低下させる原因となります。
説明: 表領域SYSTEMおよびSYSAUX内にあって、システム以外のユーザーが所有しているデータ・セグメントをチェックします。
重大度: マイナー警告
理由: システム・ユーザー以外に属するこれらのセグメントは、システム表領域(SYSTEMまたはSYSAUX)に格納されています。この違反状態では、これらのデータ・セグメントの管理がより困難になり、システム表領域のパフォーマンス低下の原因となる場合があります。これはセキュリティ上の問題でもあります。システム以外のユーザーがシステム表領域にデータを格納している場合、システム表領域内のすべての使用可能な領域が消費されるため、データベースが停止する可能性があります。
説明: REDOログ・ファイルが1MB未満でないかをチェックします。
重大度: クリティカル
理由: REDOログのサイズが小さいと、システム・チェックポイントでバッファ・キャッシュとI/Oシステムに継続的に高負荷がかかります。
