【正文】 特性(profile)的用戶將遵從DEFAULT特性( profile)定義的各項(xiàng)限制。（建議的值: 15分鐘）；b) FAILED_LOGIN_ATTEMPTS —— 在用戶帳號鎖定前，允許登錄到用戶帳號的不成功嘗試的次數(shù)。核查用于檢查系統(tǒng)中所有軟件具有有效許可證的流程是否到位。確定Oracle服務(wù)器所使用的版本和產(chǎn)品。這個程序內(nèi)的審計測試，在能用到的地方，是作為審計程序的輸出而被引用的。 在盡力維持審計程序的全面性和可行性的同時，審計師應(yīng)該在執(zhí)行每一個審計測試時，運(yùn)用他們自己的判斷力和創(chuàng)造性。核查Oracle數(shù)據(jù)庫的邏輯數(shù)據(jù)和處理模式是否記錄進(jìn)適當(dāng)?shù)氖謨灾小Ｌ貏e是，LICENSE_MAX_SESSIONS或LICENSE_MAX_USERS應(yīng)該設(shè)置成將連接到數(shù)據(jù)庫的并發(fā)會話/用戶限制在許可證協(xié)議所指定的限額之內(nèi)。（建議值：3）；c) PASSWORD_LIFE_TIME —— 同一密碼可以用于認(rèn)證的天數(shù)，在這之后密碼必須改變。此外，如果明確指定給一個用戶的用戶特性(profile)，忽略了對某些資源的限制，或者將某些限制指定為缺省，那么用戶應(yīng)遵從DEFAULT特性中對那些資源所定義的限制。通過復(fù)審下列視圖：DBA_USERS和DBA_PROFILES，核查是否每個用戶都已被指定了一個唯一的數(shù)據(jù)庫特性(profile)。要優(yōu)先保持SYSTEM表空間干凈，無碎片且使其免受傷害?；诎踩颍_認(rèn)是否已禁用“SYS”和“SYSTEM”帳號。應(yīng)用和Oracle從節(jié)C002獲得的系統(tǒng)視圖文檔（也就是，DBA_USERS, DBA_SYS_PRIVS, DBA_ROLE_PRIVS），建立一個什么系統(tǒng)權(quán)限被賦給每個用戶的表格，并評估每個系統(tǒng)權(quán)限賦予的適當(dāng)性。確定Oracle用戶帳號維護(hù)的標(biāo)準(zhǔn)和流程。只有執(zhí)行過程的權(quán)限的用戶（但沒有權(quán)力去查詢，修改，或刪除表）能執(zhí)行過程，但他們不能用任何別的方式來操作表的數(shù)據(jù)。從在節(jié)C002取得的系統(tǒng)視圖文檔（也就是，DBA_ROLE_PRIVS，DBA_SYS_PRIVS，DBA_TAB_PRIVS和DBA_COL_PRIVS），確定那些已經(jīng)賦給PUBLIC的角色和權(quán)限。C002C003C004C005C013C014Ref. No.Audit TestAudit FindingsTest OK? Y / NCompleted by: InitialsXRef: Work PapersXRef: OraAudit PluginsDD001D002D003D004D005D006操作系統(tǒng)安全審計目標(biāo)確定通過主機(jī)操作系統(tǒng)的數(shù)據(jù)庫訪問路徑是安全的。如果你允許帶OPS$的 帳號從Windows 工作站登錄，你很難確定他們實(shí)際上是誰。這樣，數(shù)據(jù)庫隱含相信任何成功認(rèn)證自己的客戶端。下面的應(yīng)用是Oracle標(biāo)準(zhǔn)的數(shù)據(jù)庫配置和管理的工具：l DBA Studio。核查是否為操作員提供了用戶友好的工具來提交和執(zhí)行日常批次作業(yè)。核查為矯正任何遇到的問題，是否采取了適當(dāng)?shù)母M(jìn)。Ref. No.Audit TestAudit FindingsTest OK? Y / NCompleted by: InitialsXRef: Work PapersXRef: OraAudit PluginsFF001F002F003F004F005F006F007F008系統(tǒng)和對象審計審計目標(biāo)確保在Oracle環(huán)境中系統(tǒng)和對象審計到位的水平，與業(yè)務(wù)要求一致。確保由用戶執(zhí)行的針對對象的關(guān)鍵命令(create, alter, drop, delete, update,insert)都記錄進(jìn)日志并有人復(fù)審。在Oracle中，$的表內(nèi)。如數(shù)據(jù)導(dǎo)出(data export)。與此相反的是，在非歸檔模式，將無法利用歸檔重做日志從介質(zhì)失敗中恢復(fù)。控制文件對數(shù)據(jù)庫運(yùn)作來說最至關(guān)重要，因此，它謹(jǐn)慎地在分開的地方存儲控制文件。取得一份描繪數(shù)據(jù)庫服務(wù)器以及它們與網(wǎng)絡(luò)的其他部分的邏輯和物理連接的網(wǎng)絡(luò)拓?fù)鋱D：a) 確定有高速，高帶寬的傳輸介質(zhì)用于支持非常頻繁使用的SQL網(wǎng)絡(luò)的網(wǎng)絡(luò)組件之間的通信（例如，數(shù)據(jù)庫服務(wù)器和應(yīng)用服務(wù)器之間）；b) 確保采用了冗余鏈路（例如，接口，網(wǎng)絡(luò)集線器和路由器等）來滿足系統(tǒng)可用性的需求；c) 確定有單獨(dú)的維護(hù)端口（網(wǎng)絡(luò)接口）用于管理和維護(hù)訪問，以便在網(wǎng)絡(luò)層次限制對管理功能的訪問。確保每一個列示的系統(tǒng)是一個認(rèn)證的且已授權(quán)的遠(yuǎn)程數(shù)據(jù)庫服務(wù)器。這些步驟減少了數(shù)據(jù)冗余和數(shù)據(jù)不一致的機(jī)會。一個完全標(biāo)準(zhǔn)化的數(shù)據(jù)庫會展示卓越的性能，因?yàn)?1) 查詢簡短且簡單；(2) 表的記錄更少，因?yàn)橥ㄟ^標(biāo)準(zhǔn)化去掉了重復(fù)的信息；（3）索引更有效，因?yàn)槊總€表只包含了有限的非冗余的信息。在一個很好地標(biāo)準(zhǔn)化的數(shù)據(jù)庫，查詢幾乎總是命中群集索引。標(biāo)準(zhǔn)化的首要好處是數(shù)據(jù)完整性。Ref. No.Audit TestAudit FindingsTest OK? Y / NCompleted by: InitialsXRef: Work PapersXRef: OraAudit PluginsII001I002I003I004完整性和性能審計目標(biāo)確保維護(hù)整個Oracle處理環(huán)境的完整性和性能?！癝QL 射入”攻擊是利用現(xiàn)有安全訪問控制的弱點(diǎn)和失敗，通過應(yīng)用/Web服務(wù)器向數(shù)據(jù)庫服務(wù)器發(fā)送SQL命令來實(shí)現(xiàn)的。l 線程檢查點(diǎn)的進(jìn)展；l 表空間和數(shù)據(jù)文件記錄（文件名，數(shù)據(jù)文件檢查點(diǎn)，讀/寫狀態(tài)，脫機(jī)范圍）；l 重做線程（目前的聯(lián)機(jī)重做日志）；l 日志記錄（序列號，每個日志的SCN范圍）；l RMAN備份和拷貝記錄；l 壞塊信息；l 控制文件中的狀態(tài)信息，如數(shù)據(jù)庫檢查點(diǎn)，目前聯(lián)機(jī)重做日志文件，用于在崩潰、實(shí)例或介質(zhì)恢復(fù)期間指引數(shù)據(jù)庫，的數(shù)據(jù)文件頭檢查點(diǎn)。確保重做日志(redo log)和控制文件(control files)已經(jīng)掛在分開的磁盤上，而且這些磁盤用兩個分開的磁盤做好鏡像。核查備份恢復(fù)策略已經(jīng)測試過，以保證啟用時是有效的。安全官員負(fù)責(zé)控制這個表的大小并監(jiān)控審計軌跡的增長：a) $表的大小，以及管理這個表的流程；b) 實(shí)施自動控制，以及時監(jiān)控表的大小