| 控制点 | 安全要求 | 要求解读 | 测评方法 | 预期结果或主要证据 |
| 身份鉴别 | a)应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换 | 应检查Oracle数据库的口令策略配置，查看其身份鉴别信息是否具有不易被冒用的特点，例如，口令足够长，口今复杂(如规定字符应混有大,小写字母数字和特殊字符)，口令定期更新，新旧口令的替换要求 | 1)访谈数据库管理员系统用户是否已设置密码，并查看登录过程中系统账户是否使用了密码进行验证登录 2)查看是否启用口令复杂度函数: select limit from dba_profiles where profile= ‘ DEFAULT’ and resource_name=’ PASSWORD_VERIFY_FUNCTION’ 3)检查utlpwdmg.sql 中“– Check for the minimum length of the password“部分中“length(password)<“后的值 4) PASSWORD_LIFE_TIME(口令过期时限) | 1)需要登录密码 2)dba_profiles 策略中PASSWORD_VERIFY_FUNCTION’的值不为UNLLIMITED 3)utlpwdmg.sql 中“– Check for the minimum length of the password“部分中“length(password)<“后的值为8或以上 4）dba_profiles策略中 PASSWORD_LIFE_TIME不为UNLIMITED |
| b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施 | 应检查数据库系统，查看是否已配置了鉴别失败处理功能，并设置了非法登录次数的限制值，对超过限制值的登录终止其鉴别会话或临时封闭帐号。查看是否设置网络登录连接超时，并自动退出 | 1)查看是否启用登录失败限制策略，执行: select
limit from dba_profiles where profile= ‘ DEFAULT’ and resource name=’
FAILED_LOGIN_ATTEMPTS 2)查看是否启用登录失败锁定策略，执行: select limit from dba_profiles where profile= ‘DEFAULT’ and resource_ name= PASSWORD_ LOCK_TIME” 3)查看是否启用登录超时退出策略，执行：select limit from dba_profiles= ‘DEFAULT and resource name= ‘IDLE_ TIME’ | 1)dba_pofiles策略中
FAILED_LOGIN_ATTEMPTS不为UNLIMITED 2)dba_pofiles策略中 PASSWORD_LOCK_TIME不为UNLIMITED 3)dba_pofiles策略中IDLE_ TIME不为UNLIMITED | |
| c)当进行远程管理时，应采取必要措施、防止鉴别信息在网络传输过程中被窃听 | 为了防止包括鉴别信息在内的敏感信息在网络传输过程中被窃听，应限制从远程管理数据，如果业务模式需要从远程进行管理，则应提供包括SSH在内的方式对传输数据进行加密 | 1)查看initsSID.ora
(%ORAClE_HOME\db_1\NETWORK\ADMIN)中REMOTE_0S _AUTHENT的赋值 2)查看listene.ora (%ORAClE_HOME\db_1\NETWORK\ADMIN)文件中的”LISTENER”-“DESCRIPTION “-“ADDRESS_LIST”-“ADDRESS”- “PROTOCOL”项目的 赋值 3)执行show parameter remote_login_passwordfile | 1)符合，且本项为false,
则符合(为true,远程操作系统认证。 2)应存在以下项目: PROTOCOL=TCPS (实际为TCP) 3)结果应为NONE,远程无法登录，Exclusive (唯 一的数据库密码文件登录 | |
| d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现 | Oracle不能集成其他身份鉴别措施，应通过对操作系统层面实现双因素，强化数据库安全 | 查看和询问系统管理员在登录数据库的过程中使用了哪些身份鉴别方法，是否采用了两种或两种以上组合的鉴别技术，如口令、数字证书Ukey. 令牌、指纹等，是否有一种鉴别方法使用密码技术 | 除口令之外，采用了另外一种鉴别机制，此机制采用了密码技术，如调用了密码机或采取SM1-SM4等算法 |
算分实例
| 25 | 安全通信网络 | 网络架构 | a) 应保证网络设备的业务处理能力满足业务高峰期需要； | 0.7 | 容易或一般 | 符合 | 1 | 0.7 |
| 26 | b) 应保证网络各个部分的带宽满足业务高峰期需要； | 0.7 | 容易或一般 | 符合 | 1 | 0.7 | ||
| 27 | c) 应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址； | 1 | 容易或一般 | 符合 | 1 | 1 | ||
| 28 | d) 应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段； | 1 | 容易或一般 | 符合 | 1 | 1 | ||
| 29 | e) 应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性。 | 1 | 容易或一般 | 符合 | 1 | 1 | ||
| 30 | ||||||||
| 31 | 通信传输 | a) 应采用校验技术或密码技术保证通信过程中数据的完整性； | 0.7 | 一般 | 不符合 | 0 | 0 | |
| 32 | b) 应采用密码技术保证通信过程中数据的保密性。 | 1 | 一般 | 符合 | 1 | 1 | ||
| 33 | ||||||||
| 34 | ||||||||
| 35 | 可信验证 | 可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 | 0.4 | 大 | 不符合 | 0 | 0 | |
| 36 | 安全区域边界 | 边界防护 | a) 应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信； | 1 | 一般 | 符合 | 1 | 1 |
| 37 | b) 应能够对非授权设备私自联到内部网络的行为进行检查或限制； | 1 | 一般 | 符合 | 1 | 1 | ||
| 38 | c) 应能够对内部用户非授权联到外部网络的行为进行检查或限制； | 1 | 一般 | 部分符合 | 0.5 | 0.5 | ||
| 39 | d) 应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络。 | 1 | 一般 | 符合 | 1 | 1 | ||
| 40 | ||||||||
| 41 | ||||||||
| 42 | 访问控制 | a) 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信； | 1 | 一般 | 符合 | 1 | 1 | |
| 43 | b) 应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化； | 0.7 | 一般 | 符合 | 1 | 0.7 | ||
| 44 | c) 应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出； | 0.7 | 一般 | 符合 | 1 | 0.7 | ||
| 45 | d) 应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力； | 0.7 | 一般 | 符合 | 1 | 0.7 | ||
| e) 应对进出网络的数据流实现基于应用协议和应用内容的访问控制。 | 1 | 一般 | 符合 | 1 | 1 | |||
| 46 | ||||||||
| 47 | 入侵防范 | a) 应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为； | 1 | 一般 | 符合 | 1 | 1 | |
| 48 | b) 应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为； | 1 | 一般 | 符合 | 1 | 1 | ||
| 49 | c) 应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析； | 1 | 一般 | 不符合 | 0 | 0 | ||
| 50 | d) 当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目标、攻击时间，在发生严重入侵事件时应提供报警。 | 1 | 一般 | 符合 | 1 | 1 | ||
| 51 | 恶意代码和垃圾邮件防范 | a) 应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新； | 1 | 一般 | 部分符合 | 0.5 | 0.5 | |
| 52 | b) 应在关键网络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新。 | 1 | 一般 | 部分符合 | 0.5 | 0.5 | ||
| 53 | 安全审计 | a) 应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计； | 0.7 | 一般 | 符合 | 1 | 0.7 | |
| 54 | b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； | 0.7 | 一般 | 符合 | 1 | 0.7 | ||
| c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等； | 0.7 | 一般 | 符合 | 1 | 0.7 | |||
| 55 | d) 应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析。 | 1 | 一般 | 符合 | 1 | 1 | ||
| 56 | 可信验证 | 可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 | 0.4 | 大 | 不符合 | 0 | 0 |
下载地址：
| 25 | 安全通信网络 | 网络架构 | a) 应保证网络设备的业务处理能力满足业务高峰期需要； | 0.7 | 容易或一般 | 符合 | 1 | 0.7 |
| 26 | b) 应保证网络各个部分的带宽满足业务高峰期需要； | 0.7 | 容易或一般 | 符合 | 1 | 0.7 | ||
| 27 | c) 应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址； | 1 | 容易或一般 | 符合 | 1 | 1 | ||
| 28 | d) 应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段； | 1 | 容易或一般 | 符合 | 1 | 1 | ||
| 29 | e) 应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性。 | 1 | 容易或一般 | 符合 | 1 | 1 | ||
| 30 | ||||||||
| 31 | 通信传输 | a) 应采用校验技术或密码技术保证通信过程中数据的完整性； | 0.7 | 一般 | 不符合 | 0 | 0 | |
| 32 | b) 应采用密码技术保证通信过程中数据的保密性。 | 1 | 一般 | 符合 | 1 | 1 | ||
| 33 | ||||||||
| 34 | ||||||||
| 35 | 可信验证 | 可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 | 0.4 | 大 | 不符合 | 0 | 0 | |
| 36 | 安全区域边界 | 边界防护 | a) 应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信； | 1 | 一般 | 符合 | 1 | 1 |
| 37 | b) 应能够对非授权设备私自联到内部网络的行为进行检查或限制； | 1 | 一般 | 符合 | 1 | 1 | ||
| 38 | c) 应能够对内部用户非授权联到外部网络的行为进行检查或限制； | 1 | 一般 | 部分符合 | 0.5 | 0.5 | ||
| 39 | d) 应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络。 | 1 | 一般 | 符合 | 1 | 1 | ||
| 40 | ||||||||
| 41 | ||||||||
| 42 | 访问控制 | a) 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信； | 1 | 一般 | 符合 | 1 | 1 | |
| 43 | b) 应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化； | 0.7 | 一般 | 符合 | 1 | 0.7 | ||
| 44 | c) 应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出； | 0.7 | 一般 | 符合 | 1 | 0.7 | ||
| 45 | d) 应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力； | 0.7 | 一般 | 符合 | 1 | 0.7 | ||
| e) 应对进出网络的数据流实现基于应用协议和应用内容的访问控制。 | 1 | 一般 | 符合 | 1 | 1 | |||
| 46 | ||||||||
| 47 | 入侵防范 | a) 应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为； | 1 | 一般 | 符合 | 1 | 1 | |
| 48 | b) 应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为； | 1 | 一般 | 符合 | 1 | 1 | ||
| 49 | c) 应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析； | 1 | 一般 | 不符合 | 0 | 0 | ||
| 50 | d) 当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目标、攻击时间，在发生严重入侵事件时应提供报警。 | 1 | 一般 | 符合 | 1 | 1 | ||
| 51 | 恶意代码和垃圾邮件防范 | a) 应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新； | 1 | 一般 | 部分符合 | 0.5 | 0.5 | |
| 52 | b) 应在关键网络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新。 | 1 | 一般 | 部分符合 | 0.5 | 0.5 | ||
| 53 | 安全审计 | a) 应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计； | 0.7 | 一般 | 符合 | 1 | 0.7 | |
| 54 | b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； | 0.7 | 一般 | 符合 | 1 | 0.7 | ||
| c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等； | 0.7 | 一般 | 符合 | 1 | 0.7 | |||
| 55 | d) 应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析。 | 1 | 一般 | 符合 | 1 | 1 | ||
| 56 | 可信验证 | 可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 | 0.4 | 大 | 不符合 | 0 | 0 |