SqlServer数据库系统加固规范V02.docx
《SqlServer数据库系统加固规范V02.docx》由会员分享,可在线阅读,更多相关《SqlServer数据库系统加固规范V02.docx(15页珍藏版)》请在冰豆网上搜索。
![SqlServer数据库系统加固规范V02.docx](https://file1.bdocx.com/fileroot1/2022-11/27/424b937f-dd29-45c1-a477-b3416c0e4150/424b937f-dd29-45c1-a477-b3416c0e41501.gif)
SqlServer数据库系统加固规范V02
Mssq数据库系统加固规范
中国移动通信有限公司
管理信息系统部
2020年7月
账号管理、认证授权
1.1.1
1.1.2
1.1.3
1.1.4
1.1.5
1.1.6
SHG-Mssql-01-01-01
SHG-Mssql-01-01-02
SHG-Mssql-01-01-03
SHG-Mssql-01-01-04
SHG-Mssql-01-01-05
SHG-Mssql-01-01-06
日志配置
2.1.1SHG-Mssql-02-01-01
通信协议
3.1.1SHG-Mssql-03-01-01
3.1.2SHG-Mssql-03-01-02
3.1.3SHG-Mssql-03-01-04
设备其他安全要求
4.1.1SHG-Mssql-04-01-01
4.1.2SHG-Mssql-04-01-02
1
2
3
4
5
5
.7
.8
10
11
.11.
...14
1账号管理、认证授权
1.
1.1SHSMSsql-01-01-01
1、参考配置操作
sp_addlogin'user_name_1','password1'
sp_addlogin'user_name_2','password2'
或在企业管理器中直接添加远程登陆用户
户属性中的角色和权限
2、补充操作说明
1、user_name_1和user_name_1是两个不同的账号名
称,可根据不同用户,取不同的名称;
回退方案
删除添加的用户
判断依据
询问管理员是否安装需求分配用户账号
实施风险
高
重要等级
★★★
备注
1.1.2SHSMSsql-01-01-02
编号
SHG-Mssql-01-01-02
名称
删除或锁定无效账号
实施目的
删除或锁定无效的账号,减少系统安全隐患。
问题影响
允许非法利用系统默认账号
系统当前状态
usemaster
Selectname,passwordfromsysloginsorderbyname
记录用户列表
实施步骤
1、参考配置操作
Mssql企业管理器->SQLServer组
->(Local)(WindowsNT)->安全性->登录
在用户上点右键选择删除
回退方案
增加删除的帐户
判断依据
询问管理员,哪些账号是无效账号
实施风险
高
重要等级
★★★
备注
1.1.3SHSMSsql-01-01-03
编号
SHG-Mssql-01-01-03
名称
限制启动账号权限
实施目的
限制账号过咼的用户启动sqlserver
问题影响
启动mssql的账号权限过高,会导致其子进程具有相同权限.
系统当前状态
Mssql企业管理器->SQLServer组
->(Local)(WindowsNT)-属性(右键)-安全性
实施步骤
1、参考配置操作
新建SQLserver服务账号后,建议将其从User组中删除,且不要把该账号提升为Administrators组的成员。
授予以
下windowsSQLRunA账户最少的权限启动SQLServer数据库。
回退方案
替换会原来启动账号
判断依据
判定条件查看启动账号权限.
实施风险
高
重要等级
★★★
备注
1.1.4SHSMSsql-01-01-04
编号
SHG-Mssql-01-01-04
名称
权限最小化
实施目的
在数据库权限配置能力内,根据用户的业务需要,配置其所需的最小权限。
问题影响
账号权限越大,对系统的威胁性越高
系统当前状态
记录用户拥有权限
实施步骤
1、参考配置操作
a)更改数据库属性,取消业务数据库帐号不需要的服务器角色;
b)更改数据库属性,取消业务数据库帐号不需要的“数据库访问许可”和“数据库角色中允许”中不需要的角色。
2、补充操作说明
操作a)用于修改数据库帐号的最小系统角色
操作b)用于修改用户多余数据库访问许可权限和数据库内
角色
回退方案
还原添加或删除的权限
判断依据
业务测试正常
实施风险
高
重要等级
★
备注
1.1.5SHSMSsql-01-01-05
编号
SHG-Mssql-01-01-05
名称
数据库角色
实施目的
使用数据库角色(ROLE来管理对象的权限。
问题影响
账号管理混乱
系统当前状态
记录对应数据库用户角色权限
实施步骤
a)企业管理器-〉数据库-〉对应数据库-〉角色-中创建新角
色;
b)调整角色属性中的权限,赋予角色中拥有对象对应的
SELECT、INSERT、UPDATE、DELETE、EXEC、DRI
权限
回退方案
删除相应的角色
判断依据
对应用户不要赋予不必要的权限
实施风险
高
重要等级
★
备注
1.1.6SHSMSsql-01-01-06
编号
SHG-Mssql-01-01-06
名称
空密码
实施目的
对用户的属性进仃安全检查,包括空密码、密码更新时间等。
修改目前所有账号的口令,确认为强口令。
特别是sa账号,需要设置至少10位的强口令。
问题影响
账号安全性低.
系统当前状态
select*fromsysusers
Selectname,Passwordfromsysloginswherepasswordis
nullorderbyname#查看口令为空的用户
实施步骤
Usemaster
execsp_password'旧口令’,’新口令’,用户名
回退方案
恢复用户密码到原来状态
判断依据
Selectname,Passwordfromsysloginswherepasswordisnullorderbyname
查看是否有账号为密码
实施风险
高
重要等级
★
备注
2日志配置
2.1.1SHSMSsql-02-01-01
名称
启用日志记录功能
实施目的
数据库应配置日志功能,对用户登录进行记录,记录内容包括用户登录使用的账号、登录是否成功、登录时间以及远程登录时用户使用的IP地址。
问题影响
无法对用户的登陆进行日志记录
系统当前状态
打开数据库属性,查看安全属性
实施步骤
打开数据库属性,选择安全性,将安全性中的审计级别调整
为“全部”,身份验证调整为“SQLServer和Windows”
回退方案
设置安全属性到原先状态
判断依据
判定条件
登录测试,检查相关信息是否被记录
实施风险
低
重要等级
★★★
备注
3通信协议
3.1.1SHSMSsql-03-01-01
编号
SHG-Mssql-03-01-01
名称
网络协议
实施目的
除去不必要的服务
问题影响
增加数据库安全隐患
系统当前状态
在MicrosoftSQLServer程序组,运行服务网络实用工具,查看
协议列表
实施步骤
参考配置操作
在MicrosoftSQLServer程序组,运行服务网络实用工具。
建议只使用TCP/IP协议,禁用其他协议。
回退方案
添加删除的协议
判断依据
判定条件
在MicrosoftSQLServer程序组,运行服务网络实用工具,查看协议列表,查看是否有多余协议.
实施风险
高
重要等级
★★
备注
3.1.2SHSMSsql-03-01-02
编号
SHG-Mssql-03-01-02
名称
加固TCP/IP协议栈
实施目的
加固TCP/IP协议栈,加强系统防御网络攻击能力.
问题影响
网络防御能力弱.
系统当前状态
查看
HKLM\System\CurrentControlSet\Services\Tcpip\Parameters\DisableIPSourceRouting
实施步骤
回退方案
判断依据
HKLM\SYSTEM'CurrentControlSet\Services\Tcpip'Parameters\EnablelCMPRedirectHKLM\System\CurrentControlSet\Services\Tcpip'Parameters\SynAttackProtect注册表键值参考配置操作对于TCP/IP协议栈的加固主要是某些注册表键值的修改。
主要是以下几个:
HKLM\System\CurrentControlSet\Services\Tcpip\
Parameters'DisableIPSourceRouting
说明:
该键值应设为2,以防御源路由欺骗攻击。
HKLM'SYSTEM'CurrentControlSet\Services\Tcpip\Parameters'EnablelCMPRedirect
说明:
该键值应设为0,以ICMP重定向。
HKLM\System\CurrentControlSet\Services\Tcpip\
Parameters'SynAttackProtect
说明:
该键值应设为2,防御SYNFLOP攻击。
还原注册表更改键值
判定条件
读取
HKLM\System\CurrentControlSet\Services\Tcpip\Parameters\DisableIPSourceRouting
HKLM\SYSTEM'CurrentControlSet\Services\Tcpip\Parameters'EnablelCMPRedirect
HKLM\System\CurrentControlSet\Services\Tcpip\
Parameters'SynAttackProtect
实施风险
键值.
重要等级
★★
备注
3.1.3SHSMSsql-03-01-04
编号
SHG-Mssql-03-01-04
名称
通讯协议加密
实施目的
使用通讯协议加密
问题影响
数据库的不安全性增加
系统当前状态
启动服务器网络配置工具,查看“常规”设置
实施步骤
参考配置操作
启动服务器网络配置工具,更改“常规”设置为“强制协议
加密”0
回退方案
恢复“强制协议加密”到原状态
判断依据
启动服务器网络配置工具,查看“常规”设置
实施风险
高
重要等级
★
备注
4设备其他安全要求
4.
1.1SHSMfesql-04-01-01
查看存储过程列表
;■MLtovtJi*ElilEtuf3Mjfhrij日・[fi|i|o也UJhKuowMSQL芬昭V占aS匕r^痢朗石
y世M吉am丁具①e-岂mIA因屛訂g11皆4即帀g宓
参考配置操作
usemaster
execsp_dropextendedproc'xp_cmdshell'
execsp_dropextendedproc'xp_dirtree'
实施步骤
execsp_dropextendedproc'xp_enumgroups'
execsp_dropextendedproc'xp_fixeddrives'
execsp_dropextendedproc'xp_loginconfig'
execsp_dropextendedproc'xp_enumerrorlogs'
execsp_dropextendedproc'xp_getfiledetails'
execsp_dropextendedproc'Sp_OACreate'execspdropextendedproc'SpOADestroy'
execsp_dropextendedproc'Sp_OAGetErrorlnfo'
execsp_dropextendedproc'Sp_OAGetProperty'
execsp_dropextendedproc'Sp_OAMethod'
execsp_dropextendedproc'Sp_OASetProperty'
execsp_dropextendedproc'Sp_OAStop'
execsp_dropextendedproc'Xp_regaddmultistnng'
execsp_dropextendedproc'Xp_regdeletekey'
execsp_dropextendedproc'Xp_regdeletevalue'
execsp_dropextendedproc'Xp_regenumvalues'
execsp_dropextendedproc'Xp_regread'
execsp_dropextendedproc'Xp_regremovemultistring'
execsp_dropextendedproc'Xp_regwrite'
dropproceduresp_makewebtask
Go
删除测试或不必要的存储过程,一般情况下建议删除的存储过程有:
sp_OACreate
sp_OADestroy
sp_OAGetErrorInfo
sp_OAGetProperty
sp_OAMethod
sp_OASetProperty
sp_OAStop
sp_regaddmultistring
xp_regdeletekey
xp_regdeletevalue
xp_regenumvalues
xp_regremovemultistring
除非应用程序需要否则以下存储过程也建议删除:
xp_perfend
xp_perfmonitor
xp_perfsample
xp_perfstart
xp_readerrorlog
xp_readmail
xp_revokelogin
xp_runwebtask
xp_schedulersignal
xp_sendmail
xp_servicecontrol
xp_snmp_getstate
xp_snmp_raisetrap
xp_sprintf
xp_sqlinventory
xp_sqlregister
xp_sqltrace
xp_sscanf
xp_startmail
xp_stopmail
xp_subdirs
xp_unc_to_drive
xp_dirtree
sp_sdidebug
xp_availablemedia
xp_cmdshell
xp_deletemail
xp_dirtree
xp_dropwebtask
xp_dsninfo
xp_enumdsn
xp_enumerrorlogs
xp_enumgroups
xp_enumqueuedtasks
xp_eventlog
xp_findnextmsg
xp_fixeddrives
xp_getfiledetails
xp_getnetname
xp_grantlogin
xp_logevent
xp_loginconfig
xp_logininfo
xp_makewebtask
xp_msver
回退方案
新建存储过程将删除的手工建立或恢复备份的数据库
判断依据
调用存储过程,检查是否存在
Exec存储过程(参数1,参数2)
实施风险
高
重要等级
★
备注
4.1.2SHSMSsql-04-01-02
编号
SHG-Mssql-04-01-02
名称
安装补丁
实施目的
为系统打最新的补丁包。
问题影响
数据库的不安全性增加
系统当前状态
select@@version
实施步骤
参考配置操作
select@@version
确保SQLServer的补丁为最新的。
下载并安装最新的补丁
SQLServer2000的版本和补丁号对应关系如下:
8.00.194——SQLServer2000RTM
8.00.384——(SP1)
8.00.534——(SP2)
8.00.760——(SP3)
8.00.2039——(SP4)
回退方案
无
判断依据
微软自动升级工具查看未安装补丁
实施风险
高
重要等级
★
备注