访问控制

测评项：a）应对登录的用户分配账户和权限；

1）应核查是否为分配了账户和权限及相关设置情况；

查看所有用户：

SELECT USERNAME FROM DBA_USERS;

查看系统权限：

SELECT * FROM DBA_SYS_PRIVS ORDER BY GRANTEE;  //所有用户
SELECT * FROM DBA_SYS_PRIVS WHERE GRANTEE = 'SYSDBA';   //单个用户

查看对象权限：

SELECT * FROM DBA_TAB_PRIVS ORDER BY GRANTEE;   //所有用户
SELECT * FROM DBA_TAB_PRIVS WHERE GRANTEE='SYSDBA';  //单个用户

注：

系统权限：指用户在整个数据库系统层面上的权限，允许用户执行特定的系统级操作，如：

CREATE SESSION：允许用户连接到数据库。

CREATE TABLE：允许用户创建表。

ALTER USER：允许用户修改其他用户的属性。

DROP ANY TABLE：允许用户删除任何表。

DBA：数据库管理员权限，几乎所有操作都可以执行。

对象权限：指用户对特定数据库对象（如表、视图、序列等）上的权限，如：

SELECT：允许用户查询（选择）数据。

INSERT：允许用户插入数据。

UPDATE：允许用户更新数据。

DELETE：允许用户删除数据。

EXECUTE：允许用户执行存储过程或函数。

REFERENCES：允许用户创建外键引用。

详情可查阅：https://eco.dameng.com/document/dm/zh-cn/pm/discretionary-access-control.html#3.3

2）应核查是否已禁用或限制匿名、默认账户的访问权限。

DM 数据库默认按照三权分立的机制进行权限划分，另外可以通过 SYSSSO 安全员账户设置安全标记限制SYSDBA的访问权限，添加标记后DBA 就不能直接访问添加有安全标记的数据限制，默认无（非安全版本SYSSSO账户无法登录）。

测评项：b）应重命名或删除默认账户，修改默认账户的默认口令；

1）应核查是否已经重命名默认账户或默认账户已被删除；

2）应核查是否已修改默认账户的默认口令。

用户名和密码：DM 数据库会预设数据库管理员账号 SYSDBA、数据库安全员账号 SYSSSO 和数据库审计员账号 SYSAUDITOR，其缺省口令都与用户名一致。若为DM 安全版本提供“四权分立”安全机制，新增数据库对象操作员账户 SYSDBO，其缺省口令为 SYSDBO。

测评项：c）应及时删除或停用多余的、过期的账户，避免共享账户的存在；

1）应核查是否不存在多余或过期账户，管理员用户与账户之间是否一一对应；

2）应测试验证多余的、过期的账户是否被删除或停用。

查看所有账户，访谈管理员：

SELECT USERNAME FROM DBA_USERS;

测评项：d）应授予管理用户所需的最小权限，实现管理用户的权限分离；

1）应核查是否进行角色划分；

2）应核查管理用户的权限是否已进行分离；

3）应核查管理用户权限是否为其工作任务所需的最小权限。

DM 数据库会预设数据库管理员账号 SYSDBA、数据库安全员账号 SYSSSO 和数据库审计员账号 SYSAUDITOR。若为DM 安全版本提供“四权分立”安全机制，新增数据库对象操作员账户 SYSDBO。默认已对账户进行了管理账户的权限分离，如：系统管理员无权限管理安全审计相关配置等。

测评项：e）应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；

1）应核查是否由授权主体（如管理用户）负责配置访问控制策略；

2）应核查授权主体是否依据安全策略配登了主体对客体的访问规则；

3）应测试验证用户是否有可越权访问情形。

访谈管理员是否制定数据库的访问控制策略，并通过专门的管理员账户（授权主体一般为数据库管理员客体为表、库）进行配置访问控制策略。

使用命令查看账号对象权限：

SELECT * FROM DBA_TAB_PRIVS ORDER BY GRANTEE;  //所有用户
SELECT * FROM DBA_TAB_PRIVS WHERE GRANTEE = 'TEST_USER'; //单个用户

测评项：f）访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；

DM 支持对数据库中的表、视图、索引等对象扩展客体标记，一旦一个对象被应用了扩展客体标记，则用户只有在支配相应标记的情况下，才能访问客体。

测评项：g）应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。

1）应核查是否对主体、客体设置了安全标记；

2）应测试验证是否依据主体、客体安全标记控制主体对客体访问的强制访问控制策略。

DM数据库支持自主访问控制以及强制访问控制，在强制访问控制中，系统给主体和客体都分配一个特殊的安全标记，主体的安全标记反映了该主体可信的程度，客体的安全标记则与其包含信息的敏感度一致，且主体不能改变他自己及任何其它客体的安全标记，主体是否可以对客体执行特定的操作取决于主体和客体的安全标记之间的支配关系。

强制访问控制功能仅在 DM 安全版中提供，DM 中与强制访问控制相关的数据字典表，只有具有 SSO 类型的用户才能查询。

详情查阅：https://eco.dameng.com/document/dm/zh-cn/pm/mandatory-access-control.html