【正文】 策略報(bào)告中包括 根據(jù)客戶端 IP 行為追蹤、 OS 用戶行為追蹤、 告警、阻斷及 無效 SQL 報(bào)告。 AVDF 安裝及配置文檔 61 以 PCI 報(bào)告為例： 1） 將受保護(hù)目標(biāo)加入 PCI 組中： 在受保護(hù)目標(biāo) /管理 /組中，選擇 PCI: 2） 選中受保護(hù)目標(biāo)，點(diǎn)擊 添加成員 ，然后點(diǎn)擊 保存 ： AVDF 安裝及配置文檔 62 這樣受保護(hù)目標(biāo)就可以生成 PCI 合規(guī)報(bào)表了。右邊的三排按鈕的功能分別是：瀏覽生成的報(bào)告、查看報(bào)告數(shù)據(jù)、 Schedule報(bào)告。 （以管理賬戶 avadmin登陸 Audit Vault Server，在受保護(hù)目標(biāo) Tab 頁面中，選擇強(qiáng)制點(diǎn) /ORCLEP，啟用數(shù)據(jù)庫響應(yīng)） 9） 點(diǎn)擊右上角的 發(fā)布 ， 新創(chuàng)建的策略就可以用于 DBFW 的監(jiān)控了： 10） 應(yīng)用新創(chuàng)建的策略進(jìn)行 DBFW 監(jiān)控：在受保護(hù)目標(biāo) Tab 頁面中，選擇目標(biāo) orcl，選擇防火墻策略，點(diǎn)擊更改： AVDF 安裝及配置文檔 54 選 擇新創(chuàng)建的策略 ，點(diǎn)擊保存： DBFW 應(yīng)用新的策略 test 進(jìn)行監(jiān)控： 3. AVDF 報(bào)表測(cè)試 下面主要 看 AVDF 的幾 類內(nèi)置 報(bào)表： 審計(jì)報(bào)告、相容性報(bào)告、及專用報(bào)告。 6） 可以在搜索框中輸入過濾條件，比如 SQL 語句包含 DUAL，點(diǎn)擊開始進(jìn)行搜索 : AVDF 安裝及配置文檔 50 顯示只包含 DUAL 的 SQL: 選中這些 SQL， 設(shè)置策略控制： 7）設(shè)置默認(rèn)規(guī)則： 點(diǎn)擊 Default Rule AVDF 安裝及配置文檔 51 編輯默認(rèn)策略，點(diǎn)擊 應(yīng)用更改 ： 7） 添加新規(guī)則： 所有未見過的有關(guān)于 BONUS， EMP,EMPLOYEES 的 DDL,DCL,DML 語句都進(jìn)行告警、每次都記錄，威脅嚴(yán)重性為主要。 5） 查看審計(jì)線索狀態(tài)： AVDF 安裝及配置文檔 42 配置審計(jì)策略 1） 使用審計(jì)賬戶 avauditor 登錄 Audit Vault Server 2） 在策略 Tab 頁面中，選擇 審計(jì)設(shè)置 ，選中受保護(hù)目標(biāo) orcl，點(diǎn)擊 檢索審計(jì)設(shè)置 ： 3） 在設(shè)置 Tab 頁面中， 選擇系統(tǒng) /作業(yè)，可以看到檢索審計(jì)設(shè)置是否完成： AVDF 安裝及配置文檔 43 4） 在策略 Tab 頁面中，選擇審計(jì)設(shè)置，可以看到當(dāng)前的審計(jì)設(shè)置狀態(tài)： 4） 點(diǎn)擊 orcl，查看具體的 審計(jì)設(shè)置： AVDF 安裝及配置文檔 44 5） 點(diǎn)擊 Object， 可以看到正在使用的 Object 審計(jì)設(shè)置： 點(diǎn)擊右上角的 創(chuàng)建 ： 選擇對(duì)象類型為 TABLE， 對(duì)象 (TABLE)， 對(duì)象執(zhí)行條件：兩者（成功或失敗）， AVDF 安裝及配置文檔 45 DML 審計(jì)粒度：訪問， 語句審計(jì)類型： ALTER,DELETE,INSERT,SELECT,UPDATE， 點(diǎn)擊 保存 。 配置 審計(jì)線索 1） 使用管理員賬戶 avadmin 登錄 Audit Vault Server 2） 在受保護(hù)目標(biāo) Tab 頁面中，選擇 審計(jì)線索 ，點(diǎn)擊 添加 ： AVDF 安裝及配置文檔 41 3） 選擇收集主機(jī)，受保護(hù)目標(biāo)名稱，審計(jì)線索類型為 TABLE，線索位置為 $，點(diǎn)擊保存。 SQL shutdown immediate。 (為 avaudituser 賦予管理審計(jì)策略、從非 Redo日志中收集數(shù)據(jù)的權(quán)限 ) B) sqlplus / as sysdba avaudituser REDO_COLL (為 avaudituser 賦予從Redo 日志中收集數(shù)據(jù)的權(quán)限 ) C) sqlplus / as sysdba avaudituser SPA (SPA 權(quán)限 ) D) sqlplus / as sysdba avaudituser ENTITLEMENT (URA 權(quán)限 ) 4） 在受保護(hù)目標(biāo) Tab 頁面中，添加數(shù)據(jù)庫用戶名 avaudituser 及密碼等信息 ，點(diǎn)擊保存 ： （ 這步非常有必要，否則會(huì)導(dǎo)致后面的審計(jì)線索啟動(dòng)不了 ） AVDF 安裝及配置文檔 40 在受保護(hù)目標(biāo)數(shù)據(jù)庫上開啟審計(jì)設(shè)置 1） 使用 oracle 用戶登錄 （ ORCLDB） 2） 查看數(shù)據(jù)庫的 audit 參數(shù)： sqlplus / as sysdba show parameter audit 4） 如果 audit_sys_operations 為 Fasle or audit_trail 不為 DB, EXTENDED，則： SQL alter system set audit_sys_operations=true scope=spfile。 1） 使用 oracle 賬戶，進(jìn)入受保護(hù)主機(jī)的avagent/av/plugins/ cd /u01/app/oracle/product/avagent/av/plugins/2） 創(chuàng)建數(shù)據(jù)庫賬戶 avaudituser sqlplus / as sysdba SQL create user avaudituser identified by oracle。 添加受保護(hù)目標(biāo) 1） 使用管理員賬戶 avadmin， 登陸 Audit Vault Server Web 控制臺(tái) : 2） 在受保護(hù)目標(biāo) Tab 頁面中，點(diǎn)擊 目標(biāo) /注冊(cè) 3） 添加相應(yīng)的信息，注冊(cè)受保護(hù)目標(biāo)： 參數(shù)說明： 新受保護(hù)目標(biāo)名稱： 輸入受保護(hù)目標(biāo)的名稱 受保護(hù)目標(biāo)位置： JDBC 連接串，例如 jdbc:oracle:thin://:1521/orcl AVDF 安裝及配置文檔 34 受保護(hù)目標(biāo)類型： 選擇 Oracle Database 用戶名： 輸入用于 URA,SPA 審計(jì)的 用戶名 添加受保護(hù)目標(biāo)地址： 輸入 IP 地址 、 端口號(hào) 、 服務(wù)名 之后，點(diǎn)擊 添加 最后點(diǎn)擊 保存 (不加 服務(wù)名 !!!) 創(chuàng)建強(qiáng)制點(diǎn) (Enforcement Point) 1） 使用管理員賬戶 avadmin， 登陸 Audit Vault Server Web 控制臺(tái) : 2） 在受保護(hù)目標(biāo) Tab 頁面中，選擇 監(jiān)視 /強(qiáng)制點(diǎn) ，點(diǎn)擊 創(chuàng)建 ： AVDF 安裝及配置文檔 35 3） 輸入強(qiáng)制點(diǎn)名稱、選擇監(jiān)視模式、要監(jiān)控的受 保護(hù)目標(biāo)、選擇 防火墻 及通信端口 ，點(diǎn)擊保存： 4） 啟動(dòng)強(qiáng)制點(diǎn)：選擇 ORCLEP，點(diǎn)擊啟動(dòng) 更改防火墻策略 1） 使用 審計(jì) 賬戶 avauditor，登陸 Audit Vault Server Web 控制臺(tái) : 2） 在受保護(hù)目標(biāo) Tab 頁面中，點(diǎn)擊 orcl: AVDF 安裝及配置文檔 36 3） 點(diǎn)擊防火墻策略，點(diǎn)擊更改： 4）選擇相應(yīng)的防火墻策略，例如 Log all，點(diǎn)擊保存。 網(wǎng)絡(luò)配置，添加代理端口 1) 登陸 DBFW Web 控制臺(tái) : 2) 在 System 頁面中，點(diǎn)擊 網(wǎng)絡(luò) ： 3) 點(diǎn)擊 右下角的 更改 ，在代理端口中輸入 11521，選中 已啟用 ，點(diǎn)擊 添加 ： AVDF 安裝及配置文檔