LSNR_DIRECT_ADMIN_NAMEPOLICYDirekte Listener-Verwaltung LSNR_DIRECT_ADMIN_DESCPOLICYStellt sicher, dass keine Laufzeitänderungen an der Listener-Konfiguration zulässig sind. LSNR_DIRECT_ADMIN_IMPACTPOLICYEin Angreifer, der Zugriff zu einem gestarteten Listener hat, kann Laufzeitänderungen (z.B. SET-Vorgänge) mit dem lsnrctl-Programm vornehmen. LSNR_DIRECT_ADMIN_RECOMMPOLICYFür alle Listener muss die direkte Verwaltung deaktiviert sien. Legen Sie ADMIN_RESTRICTIONS_listener_name auf ON in listener.ora fest. LSNR_HOST_NAME_NAMEPOLICYBenutzung des Host-Namens in Listener.ora LSNR_HOST_NAME_DESCPOLICYStellt sicher, dass der Listener-Port als IP-Adresse und nicht als Host-Name in der Datei listener.ora angegeben wird. LSNR_HOST_NAME_IMPACTPOLICYEin unsicherer Domain Name System-(DNS-)Server kann für eine Spoofing-Attacke benutzt werden. Ein Name-Server-Fehler kann dazu führen, dass der Listener den Host nicht auflösen kann. LSNR_HOST_NAME_RECOMMPOLICYHost muss als IP-Adresse in listener.ora benutzt werden. LSNR_LOG_FILE_OWN_NAMEPOLICYEigentümer von Listener Log-Datei LSNR_LOG_FILE_OWN_DESCPOLICYStellt sicher, dass der Eigentümer der Listener Log-Datei der Oracle-Software-Eigentümer ist LSNR_LOG_FILE_OWN_IMPACTPOLICYDie Informationen in der Log-Datei können wichtige Details zu der Netzwerk- und Datenbankanmeldung enthalten. Wenn der Eigentümer einer Log-Datei nicht der Oracle-Software-Eigentümer ist, kann sie öffentlich zugänglich werden und birgt somit ein Sicherheitsrisiko. LSNR_LOG_FILE_OWN_RECOMMPOLICYDer Eigentümer der Listener Log-Datei muss der Oracle-Software-Eigentümer sein. ALLOWED_LOGON_VERSION_NAMEPOLICYZulässige Anmeldeversion ALLOWED_LOGON_VERSION_DESCPOLICYStellt sicher, dass der Server nur Anmeldungen von Clients mit einer übereinstimmenden oder höheren Version zulässt. ALLOWED_LOGON_VERSION_IMPACTPOLICYWenn der Parameter SQLNET.ALLOWED_LOGON_VERSION in sqlnet.ora auf eine niedrigere Version als die Server-Version festgelegt wird, wird der Server gezwungen, ein weniger sicheres Authentifizierungsprotokoll zu benutzen. ALLOWED_LOGON_VERSION_RECOMPOLICYLegen Sie den Parameter SQLNET.ALLOWED_LOGON_VERSION in sqlnet.ora auf die Major-Version des Servers fest. Wenn dieser Wert auf ältere Versionen festgelegt wird, können Schwächen aus den früheren Authentifizierungsprotokollen auftreten. CLIENT_LOG_DIR_PERM_NAMEPOLICYOracle Net Client Log-Verzeichnisberechtigung CLIENT_LOG_DIR_PERM_NAME_NTPOLICYOracle Net Client Log-Verzeichnisberechtigung (Windows) CLIENT_LOG_DIR_PERM_DESCPOLICYStellt sicher, dass das Client-Log-Verzeichnis ein gültiges Verzeichnis ist, dessen Eigentümer Oracle ist, ohne Berechtigungen für Public CLIENT_LOG_DIR_PERM_IMPACTPOLICYLog-Dateien stellen Informationen bereit, die in einem Fehler-Stack enthalten sind. Ein Fehler-Stack bezieht sich auf die Informationen, die von jeder Ebene in einem Oracle Kommunikations-Stack als Folge eines Netzwerkfehlers erzeugt werden. Die Informationen in den Log-Dateien können wichtige Details zu Netzwerk- und Datenbankanmeldung enthalten. Der Zugriff zu dem Log-Verzeichnis kann Sicherheitsprobleme für die Log-Dateien aufwerfen. CLIENT_LOG_DIR_PERM_RECOMMPOLICYDas Client-Log-Verzeichnis muss ein gültiges Verzeichnis sein, dessen Eigentümer Oracle ist, ohne Berechtigungen für Public. CLIENT_LOG_DIR_OWN_NAMEPOLICYOracle Net Client Log-Verzeichniseigentümer CLIENT_LOG_DIR_OWN_DESCPOLICYStellt sicher, dass das Client-Log-Verzeichnis ein gültiges Verzeichnis ist, dessen Eigentümer Oracle ist CLIENT_LOG_DIR_OWN_IMPACTPOLICYLog-Dateien stellen Informationen bereit, die in einem Fehler-Stack enthalten sind. Ein Fehler-Stack bezieht sich auf die Informationen, die von jeder Ebene in einem Oracle Kommunikations-Stack als Folge eines Netzwerkfehlers erzeugt werden. Die Informationen in den Log-Dateien können wichtige Details zu Netzwerk- und Datenbankanmeldung enthalten. Der Zugriff zu dem Log-Verzeichnis kann Sicherheitsprobleme für die Log-Dateien aufwerfen. CLIENT_LOG_DIR_OWN_RECOMMPOLICYDas Client-Log-Verzeichnis muss ein gültiges Verzeichnis sein, dessen Eigentümer Oracle ist. SERV_LOG_DIR_PERM_NAMEPOLICYOracle Net Server Log-Verzeichnisberechtigung SERV_LOG_DIR_PERM_NAME_NTPOLICYOracle Net Server Log-Verzeichnisberechtigung (Windows) SERV_LOG_DIR_PERM_DESCPOLICYStellt sicher, dass das Server-Log-Verzeichnis ein gültiges Verzeichnis ist, dessen Eigentümer Oracle ist, ohne Berechtigungen für Public SERV_LOG_DIR_PERM_IMPACTPOLICYLog-Dateien stellen Informationen bereit, die in einem Fehler-Stack enthalten sind. Ein Fehler-Stack bezieht sich auf die Informationen, die von jeder Ebene in einem Oracle Kommunikations-Stack als Folge eines Netzwerkfehlers erzeugt werden. Die Informationen in den Log-Dateien können wichtige Details zu Netzwerk- und Datenbankanmeldung enthalten. Der Zugriff zu dem Log-Verzeichnis kann Sicherheitsprobleme für die Log-Dateien aufwerfen. SERV_LOG_DIR_PERM_RECOMMPOLICYDas Server-Log-Verzeichnis mus ein gültiges Verzeichnis sein, dessen Eigentümer Oracle ist, ohne Berechtigungen für Public. SERV_LOG_DIR_OWN_NAMEPOLICYOracle Net Server Log-Verzeichniseigentümer SERV_LOG_DIR_OWN_DESCPOLICYStellt sicher, dass das Server-Log-Verzeichnis ein gültiges Verzeichnis ist, dessen Eigentümer Oracle ist SERV_LOG_DIR_OWN_IMPACTPOLICYLog-Dateien stellen Informationen bereit, die in einem Fehler-Stack enthalten sind. Ein Fehler-Stack bezieht sich auf die Informationen, die von jeder Ebene in einem Oracle Kommunikations-Stack als Folge eines Netzwerkfehlers erzeugt werden. Die Informationen in den Log-Dateien können wichtige Details zu Netzwerk- und Datenbankanmeldung enthalten. Der Zugriff zu dem Log-Verzeichnis kann Sicherheitsprobleme für die Log-Dateien aufwerfen. SERV_LOG_DIR_OWN_RECOMMPOLICYDas Server-Log-Verzeichnis muss ein gültiges Verzeichnis sein, dessen Eigentümer Oracle ist. CLIENT_TRC_DIR_PERM_NAMEPOLICYOracle Net Client Trace-Verzeichnisberechtigung CLIENT_TRC_DIR_PERM_NAME_NTPOLICYOracle Net Client Trace-Verzeichnisberechtigung (Windows) CLIENT_TRC_DIR_PERM_DESCPOLICYStellt sicher, dass das Client-Trace-Verzeichnis ein gültiges Verzeichnis ist, dessen Eigentümer Oracle ist, ohne Berechtigungen für Public CLIENT_TRC_DIR_PERM_IMPACTPOLICYDas Tracing erzeugt eine detaillierte Folge von Anweisungen, die Netzwerkereignisse während deren Ausführung beschreiben. Mit dem Tracing eines Vorgangs können Sie mehr Informationen über interne Vorgänge der Komponenten von Oracle Net Services erhalten als in der Log-Datei. Die Informationen in dieser Datei können wichtige Details zu Netzwerk- und Datenbankanmeldung enthalten. Der Zugriff zu dem Log-Verzeichnis kann Sicherheitsprobleme für die Log-Dateien aufwerfen. CLIENT_TRC_DIR_PERM_RECOMMPOLICYDas Client-Trace-Verzeichnis muss ein gültiges Verzeichnis sein, dessen Eigentümer Oracle ist, ohne Berechtigungen für Public. CLIENT_TRC_DIR_OWN_NAMEPOLICYOracle Net Client Trace-Verzeichniseigentümer CLIENT_TRC_DIR_OWN_DESCPOLICYStellt sicher, dass das Client-Trace-Verzeichnis ein gültiges Verzeichnis ist, dessen Eigentümer Oracle ist CLIENT_TRC_DIR_OWN_IMPACTPOLICYDas Tracing erzeugt eine detaillierte Folge von Anweisungen, die Netzwerkereignisse während deren Ausführung beschreiben. Mit dem Tracing eines Vorgangs können Sie mehr Informationen über interne Vorgänge der Komponenten von Oracle Net Services erhalten als in der Log-Datei. Die Informationen in dieser Datei können wichtige Details zu Netzwerk- und Datenbankanmeldung enthalten. Der Zugriff zu dem Log-Verzeichnis kann Sicherheitsprobleme für die Log-Dateien aufwerfen. CLIENT_TRC_DIR_OWN_RECOMMPOLICYDas Client-Trace-Verzeichnis muss ein gültiges Verzeichnis sein, dessen Eigentümer Oracle ist. SERV_TRC_DIR_PERM_NAMEPOLICYOracle Net Server Trace-Verzeichnisberechtigung SERV_TRC_DIR_PERM_NAME_NTPOLICYOracle Net Server Trace-Verzeichnisberechtigung (Windows) SERV_TRC_DIR_PERM_DESCPOLICYStellt sicher, dass das Server-Trace-Verzeichnis ein gültiges Verzeichnis ist, dessen Eigentümer Oracle ist, ohne Berechtigungen für Public SERV_TRC_DIR_PERM_IMPACTPOLICYDas Tracing erzeugt eine detaillierte Folge von Anweisungen, die Netzwerkereignisse während deren Ausführung beschreiben. Mit dem Tracing eines Vorgangs können Sie mehr Informationen über interne Vorgänge der Komponenten von Oracle Net Services erhalten als in der Log-Datei. Die Informationen in dieser Datei können wichtige Details zu Netzwerk- und Datenbankanmeldung enthalten. Der Zugriff zu dem Log-Verzeichnis kann Sicherheitsprobleme für die Log-Dateien aufwerfen. SERV_TRC_DIR_PERM_RECOMMPOLICYDas Server-Trace-Verzeichnis muss ein gültiges Verzeichnis sein, dessen Eigentümer Oracle ist, ohne Berechtigungen für Public SERV_TRC_DIR_OWN_NAMEPOLICYOracle Net Server Trace-Verzeichniseigentümer SERV_TRC_DIR_OWN_DESCPOLICYStellt sicher, dass das Server-Trace-Verzeichnis ein gültiges Verzeichnis ist, dessen Eigentümer Oracle ist SERV_TRC_DIR_OWN_IMPACTPOLICYDas Tracing erzeugt eine detaillierte Folge von Anweisungen, die Netzwerkereignisse während deren Ausführung beschreiben. Mit dem Tracing eines Vorgangs können Sie mehr Informationen über interne Vorgänge der Komponenten von Oracle Net Services erhalten als in der Log-Datei. Die Informationen in dieser Datei können wichtige Details zu Netzwerk- und Datenbankanmeldung enthalten. Der Zugriff zu dem Log-Verzeichnis kann Sicherheitsprobleme für die Log-Dateien aufwerfen. SERV_TRC_DIR_OWN_RECOMMPOLICYDas Server-Trace-Verzeichnis muss ein gültiges Verzeichnis sein, dessen Eigentümer Oracle ist. SQLNET_PERM_NAMEPOLICYSqlnet.ora-Berechtigung beschränken SQLNET_PERM_NAME_NTPOLICYSqlnet.ora-Berechtigung beschränken (Windows) SQLNET_PERM_DESCPOLICYStellt sicher, dass die sqlnet.ora-Datei nicht für Public zugänglich ist SQLNET_PERM_IMPACTPOLICYWenn sqlnet.ora von Public gelesen werden kann, kann ein böswilliger Benutzer versuchen, die Datei zu lesen. Dies kann dazu führen, dass vertrauliche Informationen zugänglich werden, z.B. Log- und Trace-Zielinformationen von Client und Server. SQLNET_PERM_RECOMMPOLICYPublic darf keine Berechtigung für die sqlnet.ora-Datei erhalten. LSNR_LOG_FILE_PERM_NAMEPOLICYListener Log-Dateiberechtigung LSNR_LOG_FILE_PERM_NAME_NTPOLICYListener Log-Dateiberechtigung (Windows) LSNR_LOG_FILE_PERM_DESCPOLICYStellt sicher, dass die Listener Log-Datei nicht von Public gelesen oder geschrieben werden kann LSNR_LOG_FILE_PERM_IMPACTPOLICYDie Informationen in der Log-Datei können wichtige Details zu der Netzwerk- und Datenbankanmeldung enthalten. Durch den Zugriff auf die Log-Datei kann sie öffentlich zugänglich werden und birgt somit ein Sicherheitsrisiko. LSNR_LOG_FILE_PERM_RECOMMPOLICYPublic darf keinen Lese-/Schreibzugriff zu der Listener Log-Datei haben. Beschränken Sie die Dateiberechtigung auf den Oracle-Software-Eigentümer und die DBA-Gruppe. LSNR_TRACE_DIR_PERM_NAMEPOLICYListener Trace-Verzeichnisberechtigung LSNR_TRACE_DIR_PERM_NAME_NTPOLICYListener Trace-Verzeichnisberechtigung (Windows) LSNR_TRACE_DIR_PERM_DESCPOLICYStellt sicher, dass Public für das Listener Trace-Verzeichnis keine Lese-/Schreibberechtigung hat. LSNR_TRACE_DIR_PERM_IMPACTPOLICYWenn auf das Trace-Verzeichnis zugegriffen werden kann, kann es öffentlich zugänglich werden und birgt somit ein Sicherheitsrisiko. LSNR_TRACE_DIR_PERM_RECOMMPOLICYPublic darf keinen Lese-/Schreibzugriff zu dem Listener Trace-Verzeichnis haben. Beschränken Sie die Verzeichnisberechtigung auf den Oracle-Software-Eigentümer und die DBA-Gruppe. LSNR_TRACE_DIR_OWN_NAMEPOLICYListener Trace-Verzeichniseigentümer LSNR_TRACE_DIR_OWN_DESCPOLICYStellt sicher, dass das Listener Trace-Verzeichnis ein gültiges Verzeichnis ist, dessen Eigentümer der Oracle-Software-Eigentümer ist. LSNR_TRACE_DIR_OWN_IMPACTPOLICYWenn ein Trace-Verzeichnis einen anderen Eigentümer als den Oracle-Software-Eigentümer hat, kann es öffentlich zugänglich werden und birgt somit ein Sicherheitsrisiko. LSNR_TRACE_DIR_OWN_RECOMMPOLICYEigentümer des Listener Trace-Verzeichnisses muss der Oracle-Software-Eigentümer sein. LSNR_TRACE_FILE_OWN_NAMEPOLICYEigentümer der Listener Trace-Datei LSNR_TRACE_FILE_OWN_DESCPOLICYStellt sicher, dass das Listener Trace-Verzeichnis ein gültiges Verzeichnis ist, dessen Eigentümer der Oracle-Software-Eigentümer ist. LSNR_TRACE_FILE_OWN_IMPACTPOLICYWenn ein Trace-Verzeichnis einen anderen Eigentümer als den Oracle-Software-Eigentümer hat, kann es öffentlich zugänglich werden und birgt somit ein Sicherheitsrisiko. LSNR_TRACE_FILE_OWN_RECOMMPOLICYEigentümer des Listener Trace-Verzeichnisses muss der Oracle-Software-Eigentümer sein. LSNR_TRACE_FILE_PERM_NAMEPOLICYListener Trace-Dateiberechtigung LSNR_TRACE_FILE_PERM_NAME_NTPOLICYListener Trace-Dateiberechtigung (Windows) LSNR_TRACE_FILE_PERM_DESCPOLICYStellt sicher, dass die Listener Trace-Datei nicht für Public zugänglich ist LSNR_TRACE_FILE_PERM_IMPACTPOLICYWenn der Zugriff auf Trace-Dateien zugelassen wird, können sie öffentlich zugänglich werden und somit ein Sicherheitsrisiko darstellen. LSNR_TRACE_FILE_PERM_RECOMMPOLICYPublic darf keine Lese-/Schreibberechtigung für die Listener Trace-Datei haben. Beschränken Sie die Dateiberechtigung auf den Oracle-Software-Eigentümer und die DBA-Gruppe. LSNR_PASSWD_NAMEPOLICYListener-Kennwort LSNR_PASSWD_DESCPOLICYStellt sicher, dass der Zugriff auf den Listener kennwortgeschützt ist. LSNR_PASSWD_IMPACTPOLICYOhne Kennwortschutz kann ein Benutzer auf den Listener zugreifen. Sobald ein Benutzer Zugriff zu dem Listener hat, kann er den Listener stoppen. Außerdem kann er ein Kennwort festlegen und verhindern, dass andere den Listener verwalten. LSNR_PASSWD_RECOMMPOLICYAlle Listener sollten mit dem Befehl CHANGE_PASSWORD durch ein schwierig zu ermittelndes Kennwort geschützt werden. LSNR_LOG_STATUS_NAMEPOLICYListener Logging-Status LSNR_LOG_STATUS_DESCPOLICYStellt sicher, dass das Listener Logging aktiviert ist. LSNR_LOG_STATUS_IMPACTPOLICYOhne Listener Logging können Attacken auf den Listener möglicherweise nicht bemerkt werden. LSNR_LOG_STATUS_RECOMMPOLICYAktivieren Sie das Listener Logging, indem Sie den LOG_STATUS-Parameter auf ON festlegen. LSNR_DFLT_NAME_NAMEPOLICYListener-Standardname LSNR_DFLT_NAME_DESCPOLICYStellt sicher, dass der Standardname des Listeners nicht benutzt wird. LSNR_DFLT_NAME_IMPACTPOLICYWenn ein Listener den Standardnamen hat, besteht die Gefahr eines nicht berechtigten Zugriffs und die Gefahr von Denial of Service-Attacken. LSNR_DFLT_NAME_RECOMPOLICYVermeiden Sie, dass ein Listener den Standardnamen (LISTENER) hat. LSNR_ORA_PERM_NAMEPOLICYListener.ora-Berechtigung LSNR_ORA_PERM_NAME_NTPOLICYListener.ora-Berechtigung (Windows) LSNR_ORA_PERM_DESCPOLICYStellt sicher, dass die Dateiberechtigungen für listener.ora auf den Eigentümer der Oracle-Software beschränkt werden LSNR_ORA_PERM_IMPACTPOLICYWenn die Datei listener.ora von Public gelesen werden kann, können Kennwörter aus dieser Datei extrahiert werden. Dadurch können auch detaillierte Informationen über die Listener-, Datenbank- und Anwendungskonfiguration zugänglich werden. Wenn Public eine Schreibberechtigung hat, kann ein böswilliger Benutzer das Kennwort entfernen, das auf dem Listener festgelegt wurde. LSNR_ORA_PERM_RECOMMPOLICYBerechtigungen zu listener.ora sollten auf den Eigentümer der Oracle-Software-Installation und die DBA-Gruppe beschränkt sein. Sqlnetora_Inbound_Connect_Timeout_NAMEPOLICYOracle Net Inbound Zeit bis Verbindungsabbruch Sqlnetora_Inbound_Connect_Timeout_IMPACTPOLICYWenn dieser Parameter nicht vorhanden ist oder mit einem höheren Wert zugewiesen wird, kann eine Client-Verbindung zu dem Datenbank-Server endlos oder während der angegebenen Dauer ohne Authentifizierung geöffnet bleiben. Bei Verbindungen ohne Authentifizierung sind Denial-of-Service-Attacken möglich, bei denen böswillige Clients Datenbank-Server mit Verbindungsanforderungen überfluten, die Ressourcen belegen. Sqlnetora_Inbound_Connect_Timeout_DESCPOLICYStellt sicher, dass alle unvollständigen eingehenden Verbindungen bei Oracle Net eine begrenzte Gültigkeitsdauer haben Sqlnetora_Inbound_Connect_Timeout_RECOMMPOLICYLegen Sie den niedrigst möglichen Wert für den Parameter SQLNET.INBOUND_CONNECT_TIMEOUT in sqlnet.ora fest. Stellen Sie sicher, dass der Wert dieses Parameters höher ist als der Wert des Parameters INBOUND_CONNECT_TIMEOUT_listener_name in der Datei listener.ora. Lsnrora_Inbound_Connect_Timeout_NAMEPOLICYListener Inbound Zeit bis Verbindungsabbruch Lsnrora_Inbound_Connect_Timeout_IMPACTPOLICYDieser Grenzwert verhindert, dass der Listener Ressourcen für Client-Verbindungsanforderungen konsumiert und hält, die nicht abgeschlossen werden. Ein böswilliger Benutzer könnte den Listener in diesem Fall mit Anforderungen überfluten, die zu einem Denial-of-Service für autorisierte Benutzer führen. Lsnrora_Inbound_Connect_Timeout_DESCPOLICYStellt sicher, dass alle unvollständigen eingehenden Verbindungen bei Oracle Listener eine begrenzte Gültigkeitsdauer haben Lsnrora_Inbound_Connect_Timeout_RECOMMPOLICYLegen Sie den niedrigst möglichen Wert für den Parameter INBOUND_CONNECT_TIMEOUT_listener_name in listener.ora fest. Stellen Sie sicher, dass der Wert dieses Parameters niedriger ist als der Wert des Parameters SQLNET.INBOUND_CONNECT_TIMEOUT in der Datei sqlnet.ora. Ssl_Server_DN_Match_NAMEPOLICYOracle Net SSL_SERVER_DN_MATCH Ssl_Server_DN_Match_IMPACTPOLICYWenn der Parameter ssl_server_dn_match deaktiviert ist, führt SSL die Prüfung durch, lässt jedoch die Verbindung zu, unabhängig davon, ob eine Übereinstimmung vorhanden ist. Wenn die Übereinstimmung nicht erzwungen wird, kann der Server seine Identität potenziell fälschen. Ssl_Server_DN_Match_DESCPOLICYStellt sicher, dass ssl_server_dn_match in sqlnet.ora aktiviert ist, und dass SSL wiederum sicherstellt, dass das Zertifikat vom Server stammt Ssl_Server_DN_Match_RECOMMPOLICYAktivieren Sie den Parameter ssl_server_dn_match in der Datei sqlnet.ora.