Oracle DISA STIG要求甲骨文提供的账户

嗨，汤姆，
第一次参与提问。我已经使用并喜欢您的门户网站，以获取有关Oracle知识库旁边的任何Oracle主题的信息。目前，我正在努力确保我的Oracle数据库符合DISA STIG要求。要实施STIG的2020年4月第17版出版物，我有几个问题需要您的专家建议:

1) 从Oracle提供的模式 (如下面的查询结果所示) 中，我可以安全地删除/删除哪些模式而不影响我的oracle实例和数据库操作？

SQL> -- 查询以识别拥有已安装组件的其他架构
设置行200页500
a25的col模式
a35的col COMP_NAME
适用于a25的SQL> col版本
a15的col状态
col other_schema for a35
从DBA_REGISTRY中选择other_schema，COMP_NAME，版本，状态; SQL>

其他schema COMP_NAME版本状态
-
Oracle数据库目录视图12.2.0.1.0有效
APPQOSSYS、AUDSYS、DBSFWUSER、DBSNMP、D Oracle数据库包和类型12.2.0.1.0有效
知识产权，GGSYS，gsmadmin _ 内部，GSMCATUS
呃，GSMUSER，ORACLE_OCM，OUTLN，REMOTE _
调度 _ 代理，系统 $ UMF，系统备份，S
YSDG，SYSKM，SYSRAC，系统

OJVMSYS JServer java虚拟机12.2.0.1.0有效
Oracle XDK 12.2.0.1.0有效
Oracle数据库Java包12.2.0.1.0有效
OLAP分析工作区12.2.0.1.0有效
Oracle Real Application Clusters 12.2.0.1.0有效
匿名，XS $ NULL Oracle XML数据库12.2.0.1.0有效
Oracle工作区管理器12.2.0.1.0有效
Oracle文本12.2.0.1.0有效
ORDDATA，ORDPLUGINS，SI_INFORMTN_SCHE Oracle多媒体12.2.0.1.0有效
马

MDDATA，MDSYS，SPATIAL_CSW_ADMIN_USR空间12.2.0.1.0有效
Oracle OLAP API 12.2.0.1.0有效
Oracle标签安全12.2.0.1.0有效
APEX_INSTANCE_ADMIN_USER，APEX_PUBLI Oracle应用程序Express 19.1.0.00.15有效
用户，流程文件

DVF Oracle数据库保险库12.2.0.1.0有效

选择16行。


SQL>
SQL>
SQL> -- 查询以识别拥有已安装组件的架构
设置行200页500
a25的col模式
a35的col COMP_NAME
a25的col版本
a15的col状态
col other_schema for a35
SELECT SCHE马,COMP_NAME,VERSION,STATUS FROM DBA_REGISTRY;
SQL>
SCHE马 COMP_NAME VERSION STATUS
-
SYS Oracle数据库目录视图12.2.0.1.0有效
SYS Oracle数据库包和类型12.2.0.1.0有效
SYS JServer java虚拟机12.2.0.1.0有效
系统Oracle XDK 12.2.0.1.0有效
SYS Oracle数据库Java包12.2.0.1.0有效
SYS OLAP分析工作区12.2.0.1.0有效
SYS Oracle Real Application Clusters 12.2.0.1.0有效
XDB Oracle XML数据库12.2.0.1.0有效
MDSYS空间12.2.0.1.0有效
WMSYS Oracle工作区管理器12.2.0.1.0有效
CTXSYS Oracle文本12.2.0.1.0有效
ORDSYS甲骨文多媒体12.2.0.1.0有效
DVSYS Oracle数据库保险库12.2.0.1.0有效
OLAPSYS Oracle OLAP API 12.2.0.1.0有效
LBACSYS甲骨文标签安全12.2.0.1.0有效
APEX_190100甲骨文应用快递19.1.0.00.15有效

选择16行。

SQL>
SQL>
SQL>

2) 您是否建议将系统架构设置为过期？为什么或为什么不？

3) 在12cR2及后一个版本中是否需要在 $ ORACLE_HOME/network/admin/sqlnet.ora文件中设置有效的节点检查参数作为安全措施？

tcp.validnode_checking = 是
tcp.invited_nodes = (x.x | 名称，x.x | 名称)
tcp.excluded_nodes =( x.x | 名称，x.x | 名称)

4) 在12cR2中是否仍然需要速率限制参数以防止拒绝服务 (DOS) 攻击？

连接速率监听 = 10

监听器 =
(地址列表 =
(地址 = (协议 = tcp)(主机 =)(端口 = 1521)(RATE_LIMIT = 是))
(地址 = (协议 = tcp)(主机 =)(端口 = 1522)(RATE_LIMIT = 是))
(地址 = (协议 = tcp)(主机 =)(端口 = 1526))
)
监听器 =
(地址列表 =
(地址 = (协议 = tcp)(主机 =)(端口 = 1521)(RATE_LIMIT = 8))
(地址 = (协议 = tcp)(主机 =)(端口 = 1522)(RATE_LIMIT = 12))
(地址 = (协议 = tcp)(主机 =)(端口 = 1526))
)

谢谢。
V/R

1) 这完全取决于您使用的功能和设施。但你不只是 “放弃” 模式。每个设施通常都有一个您需要运行的删除脚本。迈克·迪特里希在这里发表了一系列关于这方面的帖子

https://mikedietrichde.com/2017/07/26/remove-clean-components-oracle-11-2-12-2/

2) 应定期检查和锁定您不需要的任何特权帐户。

3) 是

4) 是的，但是通常这更多的是关于登录风暴，因为您希望堆栈中的DoS预防比数据库高得多。