访问控制
测评项：a) 应对登录的用户分配账户和权限。应对登录的用户分配账户和权限。
测评方法测评项：b) 应重命名或删除默认账户，修改默认账户的默认口令。
（1）执行“select user,host FROM mysql.user”命令，核查是否为网络管理员、安全管理员、系统管理员创建了不同的账户。
（2）执行“show grants for ‘XXX’@’localhost’”命令，核查网络管理员、安全管理员、系统管理员用户账户的权限是否分离并相互制约。
操作步骤&预期结果
（1）创建了不同的账户，并为其分配了相应的权限。
（2）已禁用匿名用户、默认账户的权限。
测评项：b) 应重命名或删除默认账户，修改默认账户的默认口令。
测评方法
（1）执行“select user,host FROM mysql.user”命令，在输出结果中查看root账户是否已被重命名或删除。
（2）若root账户未被删除，则核查其默认口令是否已修改，以及是否已避免空口令或弱口令。
操作步骤&预期结果
（1）数据库管理员系统中的默认账户已被删除。
（2）数据库管理系统中的默认账户root虽未被删除，但其口令复杂度已经增强，不存在空口令、弱口令。
测评项：c) 应及时删除或停用多余的、过期的账户，避免共享账户的存在。
测评方法测评项：d) 应授予管理用户所需的最小权限，实现管理用户的权限分离。
（1）在sql*plus中执行“select username,account_status from dba_users”命令。
（2）执行“select * from mysql.user where user=‘ ’”、“select user,host FROM mysql.user”命令，依次核查列出的账户中是否存在无关账户（应为不存在）。
（3）访谈网络管理员、安全管理员、系统管理员，了解不同的用户是否使用不同的账户登录系统。
操作步骤&预期结果
（1）不存在示例账户。
（2）数据库管理系统用户表中不存在无关账户。
（3）不存在多人共享账户的情况。
测评项：d) 应授予管理用户所需的最小权限，实现管理用户的权限分离。
测评方法
（1）核查是否对用户进行了角色划分，是否仅授予账户所需的最小权限。例如，除root用户外，任何用户不应具有mysql库user表的存取权限。再如，禁止将file、process、super权限授予管理员以外的用户。
（2）查看权限表，验证用户是否具有除自身角色外其他用户的权限（应为否）。
操作步骤&预期结果
（1）管理用户的权限分配情况均被记录下来。分配了网络管理员、安全员、审计员账号。使用root用户身份需向数据库管理员申请。
测评项：e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则。
测评方法
（1）询问管理员，了解是否制定了访问控制策略。
（2）执行如下语句，核查输出的权限是否与管理员制定的访问控制策略及队则一致。
|
|
|
|
|
|
|
|
（3）以不同的用户身份登录，验证是否存在越权访问的情形。
操作步骤&预期结果
（1）已制定数据库访问控制策略，由专门的安全员负责访问控制权限的授权工作。
（2）各账户权限配置均是基于安全员的安全策略配置进行访问控制的。
① 检查用户权限列
② 检查数据库权限列
③ 检查用户表权限列
④ 检查列权限列管理员
（3）不存在越权访问的情形。
测评项：f) 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级。
测评方法
（1）执行下列语句。
|
|
|
|
（2）访谈管理员，核查访问控制粒度的主体是否为用户级，客体是否为数据库表级。
操作步骤&预期结果
（1）有专门的安全员负责访问控制权限的授权工作，授权主体为用户，客体为数据库表。
① 检查用户权限列
② 检查数据库权限
测评项：g) 应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。
测评方法
（1）访谈管理员，了解是否已采用其他技术手段对主体的客体设置安全标记并控制主体对有安全标记的信息资源的访问。
操作步骤&预期结果
MySQL不提供此项功能。此功能主要在操作系统层面实现。