LSNR_DIRECT_ADMIN_NAMEPOLICYリスナー直接管理 LSNR_DIRECT_ADMIN_DESCPOLICYリスナー構成の実行時変更が許可されていないことを確認します LSNR_DIRECT_ADMIN_IMPACTPOLICY実行中のリスナーにアクセスできる攻撃者は、lsnrctlプログラムを使用して実行時変更(SET操作など)を実行できます。 LSNR_DIRECT_ADMIN_RECOMMPOLICYすべてのリスナーで直接管理を無効にする必要があります。listener.oraでADMIN_RESTRICTIONS_listener_nameをONに設定してください。 LSNR_HOST_NAME_NAMEPOLICYlistener.oraでのホスト名の使用 LSNR_HOST_NAME_DESCPOLICYlistener.oraでリスナー・ホストをホスト名ではなくIPアドレスとして指定していることを確認します LSNR_HOST_NAME_IMPACTPOLICYセキュアでないドメイン・ネーム・システム(DNS)サーバーは、なりすまし攻撃に利用される可能性があります。ネーム・サーバーで障害が発生すると、リスナーでホストを解決できなくなります。 LSNR_HOST_NAME_RECOMMPOLICYlistener.oraでホストをIPアドレスとして指定する必要があります。 LSNR_LOG_FILE_OWN_NAMEPOLICYリスナー・ログ・ファイルの所有者 LSNR_LOG_FILE_OWN_DESCPOLICYログ・ファイルがOracleソフトウェアの所有者に所有されていることを確認します LSNR_LOG_FILE_OWN_IMPACTPOLICYログ・ファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ファイルがOracleソフトウェアの所有者に所有されていないと、この情報が一般に公開され、セキュリティに影響を与える可能性があります。 LSNR_LOG_FILE_OWN_RECOMMPOLICYリスナー・ログ・ファイルは、Oracleソフトウェアの所有者に所有される必要があります。 ALLOWED_LOGON_VERSION_NAMEPOLICY許可されたログオン・バージョン ALLOWED_LOGON_VERSION_DESCPOLICY一致バージョン以上のクライアントからのログオンのみを、サーバーが許可するようにします ALLOWED_LOGON_VERSION_IMPACTPOLICYsqlnet.oraでSQLNET.ALLOWED_LOGON_VERSIONパラメータをサーバーのバージョンより低く設定すると、比較的セキュアでない認証プロトコルが強制的にサーバーで使用されます。 ALLOWED_LOGON_VERSION_RECOMPOLICYsqlnet.oraでSQLNET.ALLOWED_LOGON_VERSIONパラメータをサーバーのメジャー・バージョンに設定してください。この値を古いバージョンに設定すると認証プロトコルに存在する脆弱性が公開される可能性があります。 CLIENT_LOG_DIR_PERM_NAMEPOLICYOracle Netクライアント・ログ・ディレクトリの権限 CLIENT_LOG_DIR_PERM_NAME_NTPOLICYOracle Netクライアント・ログ・ディレクトリの権限(Windows) CLIENT_LOG_DIR_PERM_DESCPOLICYクライアント・ログ・ディレクトリが、パブリックに権限のないOracleセットに所有された有効なディレクトリであることを確認します CLIENT_LOG_DIR_PERM_IMPACTPOLICYログ・ファイルでは、エラー・スタックに含まれる情報が提供されます。エラー・スタックは、ネットワーク・エラーの結果Oracle通信スタックの各レイヤーによって作成された情報を参照します。ログ・ファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ディレクトリへのアクセスを許可すると、ログ・ファイルが一般に公開される可能性があります。 CLIENT_LOG_DIR_PERM_RECOMMPOLICYクライアント・ログ・ディレクトリは、パブリックに権限のないOracleセットに所有された有効なディレクトリにする必要があります。 CLIENT_LOG_DIR_OWN_NAMEPOLICYOracle Netクライアント・ログ・ディレクトリの所有者 CLIENT_LOG_DIR_OWN_DESCPOLICYクライアント・ログ・ディレクトリが、Oracleセットに所有された有効なディレクトリであることを確認します CLIENT_LOG_DIR_OWN_IMPACTPOLICYログ・ファイルでは、エラー・スタックに含まれる情報が提供されます。エラー・スタックは、ネットワーク・エラーの結果Oracle通信スタックの各レイヤーによって作成された情報を参照します。ログ・ファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ディレクトリへのアクセスを許可すると、ログ・ファイルが一般に公開される可能性があります。 CLIENT_LOG_DIR_OWN_RECOMMPOLICYクライアント・ログ・ディレクトリは、Oracleセットに所有された有効なディレクトリにする必要があります。 SERV_LOG_DIR_PERM_NAMEPOLICYOracle Netサーバー・ログ・ディレクトリの権限 SERV_LOG_DIR_PERM_NAME_NTPOLICYOracle Netサーバー・ログ・ディレクトリの権限(Windows) SERV_LOG_DIR_PERM_DESCPOLICYサーバー・ログ・ディレクトリが、パブリックに権限のないOracleセットに所有された有効なディレクトリであることを確認します SERV_LOG_DIR_PERM_IMPACTPOLICYログ・ファイルでは、エラー・スタックに含まれる情報が提供されます。エラー・スタックは、ネットワーク・エラーの結果Oracle通信スタックの各レイヤーによって作成された情報を参照します。ログ・ファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ディレクトリへのアクセスを許可すると、ログ・ファイルが一般に公開される可能性があります。 SERV_LOG_DIR_PERM_RECOMMPOLICYサーバー・ログ・ディレクトリは、パブリックに権限のないOracleセットに所有された有効なディレクトリにする必要があります。 SERV_LOG_DIR_OWN_NAMEPOLICYOracle Netサーバー・ログ・ディレクトリの所有者 SERV_LOG_DIR_OWN_DESCPOLICYサーバー・ログ・ディレクトリが、Oracleセットに所有された有効なディレクトリであることを確認します SERV_LOG_DIR_OWN_IMPACTPOLICYログ・ファイルでは、エラー・スタックに含まれる情報が提供されます。エラー・スタックは、ネットワーク・エラーの結果Oracle通信スタックの各レイヤーによって作成された情報を参照します。ログ・ファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ディレクトリへのアクセスを許可すると、ログ・ファイルが一般に公開される可能性があります。 SERV_LOG_DIR_OWN_RECOMMPOLICYサーバー・ログ・ディレクトリは、Oracleセットに所有された有効なディレクトリにする必要があります。 CLIENT_TRC_DIR_PERM_NAMEPOLICYOracle Netクライアント・トレース・ディレクトリの権限 CLIENT_TRC_DIR_PERM_NAME_NTPOLICYOracle Netクライアント・トレース・ディレクトリの権限(Windows) CLIENT_TRC_DIR_PERM_DESCPOLICYクライアント・トレース・ディレクトリが、パブリックに権限のないOracleセットに所有された有効なディレクトリであることを確認します CLIENT_TRC_DIR_PERM_IMPACTPOLICYトレースにより、ネットワーク・イベントを実行時に記述する一連の詳細な文が作成されます。操作をトレースすると、Oracle Net Servicesのコンポーネントの内部操作に関して、ログ・ファイルよりも詳しい情報を取得できます。このファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ファイルへのアクセスを許可すると、ログ・ファイルが一般に公開される可能性があります。 CLIENT_TRC_DIR_PERM_RECOMMPOLICYクライアント・トレース・ディレクトリは、パブリックに権限のないOracleセットに所有された有効なディレクトリにする必要があります。 CLIENT_TRC_DIR_OWN_NAMEPOLICYOracle Netクライアント・トレース・ディレクトリの所有者 CLIENT_TRC_DIR_OWN_DESCPOLICYクライアント・トレース・ディレクトリが、Oracleセットに所有された有効なディレクトリであることを確認します CLIENT_TRC_DIR_OWN_IMPACTPOLICYトレースにより、ネットワーク・イベントを実行時に記述する一連の詳細な文が作成されます。操作をトレースすると、Oracle Net Servicesのコンポーネントの内部操作に関して、ログ・ファイルよりも詳しい情報を取得できます。このファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ファイルへのアクセスを許可すると、ログ・ファイルが一般に公開される可能性があります。 CLIENT_TRC_DIR_OWN_RECOMMPOLICYクライアント・トレース・ディレクトリは、Oracleセットに所有された有効なディレクトリにする必要があります。 SERV_TRC_DIR_PERM_NAMEPOLICYOracle Netサーバー・トレース・ディレクトリの権限 SERV_TRC_DIR_PERM_NAME_NTPOLICYOracle Netサーバー・トレース・ディレクトリの権限(Windows) SERV_TRC_DIR_PERM_DESCPOLICYサーバー・トレース・ディレクトリが、パブリックに権限のないOracleセットに所有された有効なディレクトリであることを確認します SERV_TRC_DIR_PERM_IMPACTPOLICYトレースにより、ネットワーク・イベントを実行時に記述する一連の詳細な文が作成されます。操作をトレースすると、Oracle Net Servicesのコンポーネントの内部操作に関して、ログ・ファイルよりも詳しい情報を取得できます。このファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ファイルへのアクセスを許可すると、ログ・ファイルが一般に公開される可能性があります。 SERV_TRC_DIR_PERM_RECOMMPOLICYサーバー・トレース・ディレクトリは、パブリックに権限のないOracleセットに所有された有効なディレクトリにする必要があります。 SERV_TRC_DIR_OWN_NAMEPOLICYOracle Netサーバー・トレース・ディレクトリの所有者 SERV_TRC_DIR_OWN_DESCPOLICYサーバー・トレース・ディレクトリが、Oracleセットに所有された有効なディレクトリであることを確認します SERV_TRC_DIR_OWN_IMPACTPOLICYトレースにより、ネットワーク・イベントを実行時に記述する一連の詳細な文が作成されます。操作をトレースすると、Oracle Net Servicesのコンポーネントの内部操作に関して、ログ・ファイルよりも詳しい情報を取得できます。このファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ファイルへのアクセスを許可すると、ログ・ファイルが一般に公開される可能性があります。 SERV_TRC_DIR_OWN_RECOMMPOLICYサーバー・トレース・ディレクトリは、Oracleセットに所有された有効なディレクトリにする必要があります。 SQLNET_PERM_NAMEPOLICYsqlnet.ora権限の制限 SQLNET_PERM_NAME_NTPOLICYsqlnet.ora権限の制限(Windows) SQLNET_PERM_DESCPOLICYsqlnet.oraファイルがパブリックからアクセス不可能であることを確認します SQLNET_PERM_IMPACTPOLICYsqlnet.oraが読取り可能な場合、悪質なユーザーが読取りにいき、クライアントおよびサーバーのログやトレースの保存先情報などの機密情報が公開される可能性があります。 SQLNET_PERM_RECOMMPOLICYsqlnet.oraファイルに対する権限をパブリックに付与しないでください。 LSNR_LOG_FILE_PERM_NAMEPOLICYリスナー・ログ・ファイルの権限 LSNR_LOG_FILE_PERM_NAME_NTPOLICYリスナー・ログ・ファイルの権限(Windows) LSNR_LOG_FILE_PERM_DESCPOLICYリスナー・ログ・ファイルはパブリックから読取りまたは書込みが不可能であることを確認します LSNR_LOG_FILE_PERM_IMPACTPOLICYログ・ファイルの情報から、ネットワークおよびデータベース接続に関する重要な詳細情報がわかる場合があります。ログ・ファイルへのアクセスを許可すると、この情報が一般に公開され、セキュリティに影響を与える可能性があります。 LSNR_LOG_FILE_PERM_RECOMMPOLICYリスナー・ログ・ファイルに対して、パブリックからの読取り/書込みを許可しないでください。ファイル権限をOracleソフトウェアの所有者およびDBAグループに制限してください。 LSNR_TRACE_DIR_PERM_NAMEPOLICYリスナー・トレース・ディレクトリの権限 LSNR_TRACE_DIR_PERM_NAME_NTPOLICYリスナー・トレース・ディレクトリの権限(Windows) LSNR_TRACE_DIR_PERM_DESCPOLICYリスナー・トレース・ディレクトリに対するパブリックからの読取り/書込み権限がないことを確認します LSNR_TRACE_DIR_PERM_IMPACTPOLICYトレース・ディレクトリへのアクセスを許可すると、この情報が一般に公開され、セキュリティに影響を与える可能性があります。 LSNR_TRACE_DIR_PERM_RECOMMPOLICYリスナー・トレース・ディレクトリに対して、パブリックからの読取り/書込みを許可しないでください。ディレクトリ権限をOracleソフトウェアの所有者およびDBAグループに制限してください。 LSNR_TRACE_DIR_OWN_NAMEPOLICYリスナー・トレース・ディレクトリの所有者 LSNR_TRACE_DIR_OWN_DESCPOLICYリスナー・トレース・ディレクトリが、Oracleソフトウェアの所有者に所有されている有効なディレクトリであることを確認します LSNR_TRACE_DIR_OWN_IMPACTPOLICYトレース・ディレクトリがOracleソフトウェアの所有者に所有されていないと、このトレース・ファイルが一般に公開され、セキュリティに影響を与える可能性があります。 LSNR_TRACE_DIR_OWN_RECOMMPOLICYリスナー・トレース・ディレクトリは、Oracleソフトウェアの所有者に所有される必要があります。 LSNR_TRACE_FILE_OWN_NAMEPOLICYリスナー・トレース・ファイルの所有者 LSNR_TRACE_FILE_OWN_DESCPOLICYリスナー・トレース・ディレクトリが、Oracleソフトウェアの所有者に所有されている有効なディレクトリであることを確認します LSNR_TRACE_FILE_OWN_IMPACTPOLICYトレース・ディレクトリがOracleソフトウェアの所有者に所有されていないと、このトレース・ファイルが一般に公開され、セキュリティに影響を与える可能性があります。 LSNR_TRACE_FILE_OWN_RECOMMPOLICYリスナー・トレース・ディレクトリは、Oracleソフトウェアの所有者に所有される必要があります。 LSNR_TRACE_FILE_PERM_NAMEPOLICYリスナー・トレース・ファイルの権限 LSNR_TRACE_FILE_PERM_NAME_NTPOLICYリスナー・トレース・ファイルの権限(Windows) LSNR_TRACE_FILE_PERM_DESCPOLICYリスナー・トレース・ファイルがパブリックからアクセス不可能であることを確認します LSNR_TRACE_FILE_PERM_IMPACTPOLICYトレース・ファイルへのアクセスを許可すると、このファイルが一般に公開され、セキュリティに影響を与える可能性があります。 LSNR_TRACE_FILE_PERM_RECOMMPOLICYリスナー・トレース・ファイルに対して、パブリックからの読取り/書込みを許可しないでください。ファイル権限をOracleソフトウェアの所有者およびDBAグループに制限してください。 LSNR_PASSWD_NAMEPOLICYリスナー・パスワード LSNR_PASSWD_DESCPOLICYリスナーへのアクセスがパスワード保護されていることを確認します LSNR_PASSWD_IMPACTPOLICYパスワード保護を使用していない場合、ユーザーはリスナーへのアクセスが可能です。リスナーにアクセスできると、リスナーの停止やパスワードの設定が可能になります。また、他のユーザーによるリスナーの管理を不可能にすることもできます。 LSNR_PASSWD_RECOMMPOLICYすべてのリスナーはCHANGE_PASSWORDコマンドを使用してパスワード保護する必要があります。 LSNR_LOG_STATUS_NAMEPOLICYリスナーのロギング・ステータス LSNR_LOG_STATUS_DESCPOLICYリスナー・ロギングが有効であることを確認します。 LSNR_LOG_STATUS_IMPACTPOLICYリスナー・ロギングを使用しない場合、リスナーが攻撃される可能性があります。 LSNR_LOG_STATUS_RECOMMPOLICYLOG_STATUSパラメータをONに設定して、リスナー・ロギングを有効にしてください。 LSNR_DFLT_NAME_NAMEPOLICYリスナーのデフォルト名 LSNR_DFLT_NAME_DESCPOLICYリスナーのデフォルト名が使用されていないことを確認します LSNR_DFLT_NAME_IMPACTPOLICYリスナーにデフォルト名を設定すると、不正アクセスやDoS攻撃の危険性が増加します。 LSNR_DFLT_NAME_RECOMPOLICYリスナーにデフォルト名(LISTENER)を設定しないでください。 LSNR_ORA_PERM_NAMEPOLICYlistener.oraの権限 LSNR_ORA_PERM_NAME_NTPOLICYlistener.oraの権限(Windows) LSNR_ORA_PERM_DESCPOLICYlistener.oraに対するファイル権限がOracleソフトウェアの所有者に制限されていることを確認します LSNR_ORA_PERM_IMPACTPOLICYlistener.oraファイルがパブリックから読取り可能な場合、このファイルからパスワードが取得される可能性があります。このため、リスナー、データベースおよびアプリケーション構成に関する詳細情報が公開される可能性があります。また、パブリックからの書込み権限がある場合、悪質なユーザーがリスナーに設定されたパスワードを削除してしまう可能性があります。 LSNR_ORA_PERM_RECOMMPOLICYlistener.oraに対する権限は、Oracleソフトウェア・インストールの所有者およびDBAグループに制限する必要があります。 Sqlnetora_Inbound_Connect_Timeout_NAMEPOLICYOracle Netインバウンド接続タイムアウト Sqlnetora_Inbound_Connect_Timeout_IMPACTPOLICYこのパラメータが設定されていなかったり割り当てられた値が低すぎると、データベース・サーバーへのクライアント接続が無期限に、または一定の期間、認証が不要なオープン状態になる可能性があります。認証を行わない接続は、DoS攻撃(悪意ある第三者がリソースを大量消費する接続リクエストによってデータベース・サーバーに負荷をかける攻撃)を招くおそれがあります。 Sqlnetora_Inbound_Connect_Timeout_DESCPOLICYOracle Netへのすべての不完全なインバウンド接続で存続期間が制限されていることを確認します Sqlnetora_Inbound_Connect_Timeout_RECOMMPOLICYsqlnet.oraのSQLNET.INBOUND_CONNECT_TIMEOUTパラメータに下限値を設定します。このパラメータの値は、listener.oraファイルのINBOUND_CONNECT_TIMEOUT_listener_nameパラメータよりも必ず高い値にします。 Lsnrora_Inbound_Connect_Timeout_NAMEPOLICYリスナー・インバウンド接続タイムアウト Lsnrora_Inbound_Connect_Timeout_IMPACTPOLICYこの制限によって、不完全なクライアント接続リクエストに対してリスナーがリソースを消費したり保持したりすることを回避します。悪意ある第三者がこれを利用して大量のリクエストをリスナーに送り、結果として正規のユーザーへのサービスが不可能になる可能性があるからです。 Lsnrora_Inbound_Connect_Timeout_DESCPOLICYOracleリスナーへのすべての不完全なインバウンド接続で存続期間が制限されていることを確認します Lsnrora_Inbound_Connect_Timeout_RECOMMPOLICYlistener.oraのINBOUND_CONNECT_TIMEOUT_listener_nameパラメータに下限値を設定します。このパラメータの値は、sqlnet.oraファイルのSQLNET.INBOUND_CONNECT_TIMEOUTパラメータよりも必ず低い値にします。 Ssl_Server_DN_Match_NAMEPOLICYOracle Net SSL_SERVER_DN_MATCH Ssl_Server_DN_Match_IMPACTPOLICYssl_server_dn_matchパラメータが無効の場合はSSLがチェックを実行しますが、一致結果の有無にかかわらず接続は許可されます。一致を強制しないことで、サーバーが場合によってはアイデンティティを偽装することを可能にします。 Ssl_Server_DN_Match_DESCPOLICYssl_server_dn_matchがsqlnet.oraで有効であり、その結果としてSSLではサーバーからの証明書が使用されることを確認します Ssl_Server_DN_Match_RECOMMPOLICYsqlnet.oraファイルでssl_server_dn_matchパラメータを有効にします。