中国移动MSSQL数据库安全配置规范V10.docx
《中国移动MSSQL数据库安全配置规范V10.docx》由会员分享，可在线阅读，更多相关《中国移动MSSQL数据库安全配置规范V10.docx（14页珍藏版）》请在冰豆网上搜索。
中国移动MSSQL数据库安全配置规范V10
中国移动公司--MSSQLServer数据库
安全配置规范
SpecificationforMSSQLServerDatabaseConfigurationUsedinChinaMobile
中国移动通信集团公司网络部
XXXX-XX-XX实施
XXXX-XX-XX发布
版本：
1.0.0
目录
1概述4
1.1适用范围4
1.2内部适用性说明4
1.3外部引用说明5
1.4术语和定义5
1.5符号和缩略语5
2MSSQLSERVER安全配置要求6
2.1账号6
2.2口令8
2.3日志9
2.4其他10
前言
为了贯彻安全三同步的要求，在设备选型、入网测试、工程验收以及运行维护等环节，明确并落实安全功能和配置要求。
有限公司组织部分省公司编制了中国移动设备安全功能和配置系列规范。
本系列规范可作为编制设备技术规范、设备入网测试规范，工程验收手册，局数据模板等文档的依据。
本规范是该系列规范之一，明确了中国移动各类型设备所需满足的通用安全功能和配置要求，并作为本系列其他规范的编制基础。
本标准起草单位：
中国移动通信有限公司网络部、中国移动通信集团四川分公司。
本标准解释单位：
同提出单位
本标准主要起草人：
刘羿、张岍山、周智、曹一生、陈敏时。
1概述
1.1适用范围
本规范适用于中国移动通信网、业务系统和支撑系统的MSSQLSERVER数据库。
本规范明确了MSSQLSERVER数据库安全配置方面的基本要求。
1.2内部适用性说明
本规范是在《中国移动设备通用设备安全功能和配置规范》（以下简称《通用规范》）各项设备配置要求的基础上，提出的MSSQLSERVER数据库安全配置规范。
以下分项列出本规范对《通用规范》设备配置要求的修订情况。
编号
采纳意见
补充说明
安全要求-设备-通用-配置-1-可选
完全采纳
安全要求-设备-MSSQLSERVER-配置-1
安全要求-设备-通用-配置-2-可选
完全采纳
安全要求-设备-MSSQLSERVER-配置-2-可选
安全要求-设备-通用-配置-3-可选
完全采纳
安全要求-设备-MSSQLSERVER-配置-3
安全要求-设备-通用-配置-4
完全采纳
安全要求-设备-MSSQLSERVER-配置-4-可选
安全要求-设备-通用-配置-5
不采纳
系统不支持
安全要求-设备-通用-配置-6-可选
完全采纳
安全要求-设备-MSSQLSERVER-配置-6-可选
安全要求-设备-通用-配置-7-可选
不采纳
系统不支持
安全要求-设备-通用-配置-8-可选
不采纳
系统不支持
安全要求-设备-通用-配置-9-可选
不采纳
系统不支持
安全要求-设备-通用-配置-10-可选
不采纳
安全要求-设备-MSSQLSERVER-配置-7
安全要求-设备-通用-配置-11-可选
不采纳
系统不支持
安全要求-设备-通用-配置-12-可选
不采纳
系统不支持
安全要求-设备-通用-配置-13-可选
不采纳
安全要求-设备-MSSQLSERVER-配置-9-可选
安全要求-设备-通用-配置-14-可选
不采纳
系统不支持
安全要求-设备-通用-配置-15-可选
完全采纳
安全要求-设备-MSSQLSERVER-配置-10-可选
安全要求-设备-通用-配置-16-可选
完全采纳
安全要求-设备-通用-配置-17-可选
完全采纳
安全要求-设备-通用-配置-18-可选
完全采纳
本规范新增的安全配置要求，如下：
安全要求-设备-MSSQLSERVER-配置-1
安全要求-设备-MSSQLSERVER-配置-2-可选
安全要求-设备-MSSQLSERVER-配置-3
安全要求-设备-MSSQLSERVER-配置-4-可选
安全要求-设备-MSSQLSERVER-配置-5-可选
安全要求-设备-MSSQLSERVER-配置-6-可选
安全要求-设备-MSSQLSERVER-配置-7
安全要求-设备-MSSQLSERVER-配置-8-可选
安全要求-设备-MSSQLSERVER-配置-9-可选
安全要求-设备-MSSQLSERVER-配置-10-可选
1.3外部引用说明
《中国移动通用安全功能和配置规范》
1.4术语和定义
1.5符号和缩略语
简称
英文描述
中文描述
企业管理器
SQLServerEnterpriseManager
SQlServer数据库管理器
查询分析器
SQLServerAnalyzer
SQlServer数据查询分析器
2MSSQLSERVER安全配置要求
本规范所指的设备为MSSQLSERVER数据库。
本规范提出的安全配置要求，在未特别说明的情况下，均适用于MSSQLSERVER数据库。
本规范从MSSQLSERVER数据库的认证授权功能、安全日志功能，和其他自身安全配置功能提出安全要求。
2.1账号
MSSQLSERVER应提供账号管理及认证授权功能，并应满足以下各项要求。
编号：
安全要求-设备-MSSQLSERVER-配置-1
要求内容
应按照用户分配账号，避免不同用户间共享账号。
操作指南
1、参考配置操作
sp_addlogin'user_name_1','password1'
sp_addlogin'user_name_2','password2'
或在企业管理器中直接添加远程登陆用户
建立角色，并给角色授权，把角色赋给不同的用户或修改用户属性中的角色和权限
2、补充操作说明
1、user_name_1和user_name_1是两个不同的账号名称，可根据不同用户，取不同的名称；
检测方法
3、判定条件
不同名称的用户可以连接数据库
4、检测操作
在查询分析器中用user_name_1/password1连接数据库成功
5、补充说明
编号：
安全要求-设备-MSSQLSERVER-配置-2-可选
要求内容
应删除与数据库运行、维护等工作无关的账号。
操作指南
1、参考配置操作
SQLSERVER企业管理器-〉安全性-〉登陆中删除无关帐号；
SQLSERVER企业管理器-〉数据库-〉对应数据库-〉用户中删除无关帐号；
2、补充操作说明
检测方法
3、判定条件
首先删除不需要的用户，已删除数据库部能登陆使用
4、检测操作
在MSSQLSERVER查询分析器的登陆界面中使用已删除帐号登陆
5、补充说明
编号：
安全要求-设备-MSSQLSERVER-配置-3
要求内容
在数据库权限配置能力内，根据用户的业务需要，配置其所需的最小权限。
操作指南
1、参考配置操作
a）更改数据库属性，取消业务数据库帐号不需要的服务器角色；
b）更改数据库属性，取消业务数据库帐号不需要的“数据库访问许可”和“数据库角色中允许”中不需要的角色。
2、补充操作说明
操作a）用于修改数据库帐号的最小系统角色
操作b）用于修改用户多余数据库访问许可权限和数据库内角色
检测方法
3、判定条件
调整业务帐号权限后业务测试正常
4、检测操作
对业务系统数据库交互部分进行功能测试
5、补充说明
编号：
安全要求-设备-MSSQLSERVER-配置-4-可选
要求内容
使用数据库角色来管理对象的权限。
操作指南
1、参考配置操作
a）企业管理器-〉数据库-〉对应数据库-〉角色-中创建新角色；
b）调整角色属性中的权限，赋予角色中拥有对象对应的SELECT、INSERT、UPDATE、DELETE、EXEC、DRI权限
2、补充操作说明
检测方法
3、判定条件
a）对应角色属性中的权限是否拥有不必要的对象权限；
b）对象属性的权限列表中是否存在不必须的数据库帐号或角色访问；
4、检测操作
a）在数据库的角色中查看对应角色的权限，检查是否包含不需要访问的对象。
b）在数据库中查看表、存储过程等对象属性中的权限、检查是否存在不必须的帐号或角色访问该对象。
5、补充说明
2.2口令
编号：
安全要求-设备-MSSQLSERVER-配置-5-可选
要求内容
对用户的属性进行安全检查，包括空密码、密码更新时间等。
修改目前所有账号的口令，确认为强口令。
特别是sa账号，需要设置至少10位的强口令。
操作指南
1、参考配置操作
查看用户状态
运行查询分析器，执行
select*fromsysusers
Selectname,Passwordfromsysloginswherepasswordisnullorderbyname#查看口令为空的用户
2、补充操作说明
检测方法
3、判定条件
1.createdate、updatedate时间为确认时间。
2.password字段不为null。
4、检测操作
1.检查createdate、updatedate时间。
2.检查password字段是否为null。
5、补充说明
更改口令：
Usemaster
execsp_password‘旧口令’，‘新口令’,用户名
2.3日志
编号：
安全要求-设备-MSSQLSERVER-配置-6-可选
要求内容
数据库应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号、登录是否成功、登录时间。
操作指南
1、参考配置操作
打开数据库属性，选择安全性，将安全性中的审计级别调整为“全部”，身份验证调整为“SQLServer和Windows”
2、补充操作说明
检测方法
2、判定条件
登录成功和失败测试，检查相关信息是否被记录
4、检测操作
5、补充说明
编号：
安全要求-设备-MSSQLSERVER-配置-7
要求内容
数据库应配置日志功能，记录对与数据库相关的安全事件。
操作指南
1、参考配置操作
数据库默认开启日志记录
2、补充操作说明
增加帐号登陆审计：
打开数据库属性，选择安全性，将安全性中的审计级别调整为“全部”，身份验证调整为“SQLServer和Windows”
检测方法
3、判定条件
SQLServer日志中是否存在数据库相关事件日志信息
4、检测操作
打开企业管理器，查看数据库“管理”中的“SQLServer日志”，查看当前的日志记录和存档的日志记录是否包含相关数据库安全事件
6、补充说明
2.4其他
编号：
安全要求-设备-MSSQLSERVER-配置-8-可选
要求内容
停用不必要的存储过程。
操作指南
1、参考配置操作
首先确认下面的扩展存储过程不会被使用，然后删除下面的这些存储过程。
去掉xp_cmdshell扩展存储过程，使用：
usemaster
sp_dropextendedproc'xp_cmdshell'
同上类似语句，删除以下的扩展存储过程：
Sp_OACreate
Sp_OADestroy
Sp_OAGetErrorInfo
Sp_OAGetProperty
Sp_OAMethod
Sp_OASetProperty
Sp_OAStop
Xp_regaddmultistring
Xp_regdeletekey
Xp_regdeletevalue
Xp_regenumvalues
Xp_regremovemultistring
xp_sdidebug
xp_availablemedia
xp_cmdshell
xp_deletemail
xp_dirtree
xp_dropwebtask
xp_dsninfo
xp_enumdsn
xp_enumerrorlogs
xp_enumgroups
xp_enumqueuedtasks
xp_eventlog
xp_findnextmsg
xp_fixeddrives
xp_getfiledetails
xp_getnetname
xp_grantlogin
xp_logevent
xp_loginconfig
xp_logininfo
xp_makewebtask
xp_msverxp_perfend
xp_perfmonitor
xp_perfsample
xp_perfstart
xp_readerrorlog
xp_readmail
xp_revokelogin
xp_runwebtask
xp_schedulersignal
xp_sendmail
xp_servicecontrol
xp_snmp_getstate
xp_snmp_raisetrap
xp_sprintf
xp_sqlinventory
xp_sqlregister
xp_sqltrace
xp_sscanf
xp_startmail
xp_stopmail
xp_subdirs
xp_unc_to_drive
xp_dirtree
2、补充操作说明
检测方法
3、判定条件
调用存储过程，检查是否存在
4、检测操作
Exec存储过程（参数1，参数2）
5、补充说明
编号：
安全要求-设备-MSSQLSERVER-配置-9-可选
要求内容
使用通讯协议加密。
操作指南
1、参考配置操作
启动服务器网络配置工具，在“常规”中选择“强制协议加密”
2、补充操作说明
更改通讯协议加密后需要重新启动SQLServer数据库
检测方法
3、判定条件
4、检测操作
5、补充说明
编号：
安全要求-设备-MSSQLSERVER-配置-10-可选
要求内容
为系统打最新的补丁包。
操作指南
1、参考配置操作
检查当前所有已安装的数据库产品的版本信息，运行SQL查询分析器，执行：
select@@version
安装补丁详细操作请参照其中的readme文件
2、补充操作说明
检测方法
3、判定条件
4、检测操作
5、补充说明
升级会员 