《Mssql数据库系统加固规范V0.2》由会员分享，可在线阅读，更多相关《Mssql数据库系统加固规范V0.2（17页珍藏版）》请在金锄头文库上搜索。
1、MssqlMssql 数据库系统加固规范数据库系统加固规范 20192019 年年 6 6 月月 目目 录录 1 1账号管理、认证授权账号管理、认证授权.1 1.1.1SHG-Mssql-01-01-011 1.1.2SHG-Mssql-01-01-022 1.1.3SHG-Mssql-01-01-033 1.1.4SHG-Mssql-01-01-044 1.1.5SHG-Mssql-01-01-055 1.1.6SHG-Mssql-01-01-065 2 2日志配置日志配置.7 2.1.1SHG-Mssql-02-01-017 3 3通信协议通信协议.8 3.1.1SHG-Mssql-03-
2、01-018 3.1.2SHG-Mssql-03-01-028 3.1.3SHG-Mssql-03-01-0410 4 4设备其他安全要求设备其他安全要求.11 4.1.1SHG-Mssql-04-01-0111 4.1.2SHG-Mssql-04-01-0214 1 1 1 1 账号管理、认证授权账号管理、认证授权账号管理、认证授权账号管理、认证授权 1.1.11.1.11.1.11.1.1 SHG-Mssql-01-01-01SHG-Mssql-01-01-01SHG-Mssql-01-01-01SHG-Mssql-01-01-01 编号 SHG-Mssql-01-01-01 名称为不同的
3、管理员分配不同的账号 实施目的 应按照用户分配账号，避免不同用户间共享账号, 提高安全性。 问题影响 账号混淆，权限不明确，存在用户越权使用的可能。 系统当前状态 use master Select name,password from syslogins order by name 记录用户列表 实施步骤 1、参考配置操作参考配置操作 sp_addlogin user_name_1,password1 sp_addlogin user_name_2,password2 或在企业管理器中直接添加远程登陆用户 建立角色，并给角色授权，把角色赋给不同的用户或修改 用户属性中的角色和权限 2、补充操
4、作说明补充操作说明 1、user_name_1 和 user_name_1 是两个不同的账号 名称，可根据不同用户，取不同的名称； 回退方案删除添加的用户 判断依据询问管理员是否安装需求分配用户账号 实施风险高 重要等级 备注 1.1.21.1.21.1.21.1.2 SHG-Mssql-01-01-02SHG-Mssql-01-01-02SHG-Mssql-01-01-02SHG-Mssql-01-01-02 编号 SHG-Mssql-01-01-02 名称删除或锁定无效账号 实施目的删除或锁定无效的账号，减少系统安全隐患。 问题影响允许非法利用系统默认账号 系统当前状态 use maste
5、r Select name,password from syslogins order by name 记录用户列表 实施步骤 1 1、参考配置操作、参考配置操作 Mssql 企业管理器- SQL Server 组 -(Local)(Windows NT)-安全性-登录 在用户上点右键选择删除 回退方案增加删除的帐户 判断依据询问管理员,哪些账号是无效账号 实施风险高 重要等级 备注 1.1.31.1.31.1.31.1.3 SHG-Mssql-01-01-03SHG-Mssql-01-01-03SHG-Mssql-01-01-03SHG-Mssql-01-01-03 编号 SHG-Mssql
6、-01-01-03 名称限制启动账号权限 实施目的限制账号过高的用户启动 sql server 问题影响 启动 mssql 的账号权限过高,会导致其子进程具有 相同权限. 系统当前状态 Mssql 企业管理器- SQL Server 组 -(Local)(Windows NT)-属性(右键)-安全性 实施步骤 1 1、参考配置操作、参考配置操作 新建 SQL server 服务账号后，建议将其从 User 组中删除， 且不要把该账号提升为 Administrators 组的成员。授予以 下 windows SQLRunAs 账户最少的权限启动 SQL Server 数 据库。 回退方案替换会原
7、来启动账号 判断依据 判定条件判定条件 查看启动账号权限. 实施风险高 重要等级 备注 1.1.41.1.41.1.41.1.4 SHG-Mssql-01-01-04SHG-Mssql-01-01-04SHG-Mssql-01-01-04SHG-Mssql-01-01-04 编号 SHG-Mssql-01-01-04 名称权限最小化 实施目的 在数据库权限配置能力内，根据用户的业务需要， 配置其所需的最小权限。 问题影响账号权限越大,对系统的威胁性越高 系统当前状态记录用户拥有权限 实施步骤 1、参考配置操作参考配置操作 a)更改数据库属性，取消业务数据库帐号不需要的服务器 角色； b)更改数
8、据库属性，取消业务数据库帐号不需要的“数据 库访问许可”和“数据库角色中允许”中不需要的角色。 2、补充操作说明补充操作说明 操作 a)用于修改数据库帐号的最小系统角色 操作 b)用于修改用户多余数据库访问许可权限和数据库内 角色 回退方案还原添加或删除的权限 判断依据业务测试正常 实施风险高 重要等级 备注 1.1.51.1.51.1.51.1.5 SHG-Mssql-01-01-05SHG-Mssql-01-01-05SHG-Mssql-01-01-05SHG-Mssql-01-01-05 编号 SHG-Mssql-01-01-05 名称数据库角色 实施目的使用数据库角色（ROLE）来管理
9、对象的权限。 问题影响账号管理混乱 系统当前状态记录对应数据库用户角色权限 实施步骤 a)企业管理器-数据库-对应数据库-角色-中创建新 角色； b)调整角色属性中的权限，赋予角色中拥有对象对应的 SELECT、INSERT、UPDATE、DELETE、EXEC、DR I 权限 回退方案删除相应的角色 判断依据对应用户不要赋予不必要的权限 实施风险高 重要等级 备注 1.1.61.1.61.1.61.1.6 SHG-Mssql-01-01-06SHG-Mssql-01-01-06SHG-Mssql-01-01-06SHG-Mssql-01-01-06 编号 SHG-Mssql-01-01-06
10、 名称空密码 实施目的 对用户的属性进行安全检查，包括空密码、密码更新时间 等。修改目前所有账号的口令，确认为强口令。特别是 sa 账号，需要设置至少 10 位的强口令。 问题影响账号安全性低. 系统当前状态 select * from sysusers Select name,Password from syslogins where password is null order by name # 查看口令为空的用户 实施步骤 Use master exec sp_password 旧口令 ， 新口令,用户名 回退方案恢复用户密码到原来状态 判断依据 Select name,Passwor
11、d from syslogins where password is null order by name 查看是否有账号为密码 实施风险高 重要等级 备注 2 2 2 2 日志配置日志配置日志配置日志配置 2.1.12.1.12.1.12.1.1 SHG-Mssql-02-01-01SHG-Mssql-02-01-01SHG-Mssql-02-01-01SHG-Mssql-02-01-01 编号 SHG-Mssql-02-01-01 名称启用日志记录功能 实施目的 数据库应配置日志功能，对用户登录进行记录，记 录内容包括用户登录使用的账号、登录是否成功、 登录时间以及远程登录时用户使用的 I
12、P 地址。 问题影响无法对用户的登陆进行日志记录 系统当前状态打开数据库属性,查看安全属性 实施步骤 打开数据库属性，选择安全性，将安全性中的审计级别调 整为“全部” ，身份验证调整为“SQL Server 和 Windows” 回退方案 设置安全属性到原先状态 判断依据 判定条件判定条件 登录测试，检查相关信息是否被记录 实施风险低 重要等级 备注 3 3 3 3 通信协议通信协议通信协议通信协议 3.1.13.1.13.1.13.1.1 SHG-Mssql-03-01-01SHG-Mssql-03-01-01SHG-Mssql-03-01-01SHG-Mssql-03-01-01 编号 S
13、HG-Mssql-03-01-01 名称网络协议 实施目的除去不必要的服务 问题影响增加数据库安全隐患 系统当前状态 在 Microsoft SQL Server 程序组, 运行服务网络实用工具,查 看协议列表 实施步骤 参考配置操作参考配置操作 在 Microsoft SQL Server 程序组, 运行服务网络实用工具。 建议只使用 TCP/IP 协议，禁用其他协议。 回退方案 添加删除的协议 判断依据 判定条件判定条件 在 Microsoft SQL Server 程序组, 运行服务网络实用工具,查 看协议列表,查看是否有多余协议. 实施风险高 重要等级 备注 3.1.23.1.23.1
14、.23.1.2 SHG-Mssql-03-01-02SHG-Mssql-03-01-02SHG-Mssql-03-01-02SHG-Mssql-03-01-02 编号 SHG-Mssql-03-01-02 名称加固 TCP/IP 协议栈 实施目的加固 TCP/IP 协议栈,加强系统防御网络攻击能力. 问题影响网络防御能力弱. 系统当前状态 查看 HKLMSystemCurrentControlSetServices TcpipParameters DisableIPSourceRouting HKLMSYSTEMCurrentControlSetServices TcpipParameters
15、 EnableICMPRedirect HKLMSystemCurrentControlSetServices TcpipParametersSynAttackProtect 注册表键值 实施步骤 参考配置操作参考配置操作 对于 TCP/IP 协议栈的加固主要是某些注册表键值的 修改。主要是以下几个： HKLMSystemCurrentControlSetServicesTcpip ParametersDisableIPSourceRouting 说明：该键值应设为 2，以防御源路由欺骗攻击。 HKLMSYSTEMCurrentControlSetServicesTcpip Parameter
16、sEnableICMPRedirect 说明：该键值应设为 0，以 ICMP 重定向。 HKLMSystemCurrentControlSetServicesTcpip ParametersSynAttackProtect 说明：该键值应设为 2，防御 SYN FLOOD 攻击。 回退方案 还原注册表更改键值 判断依据 判定条件判定条件 读取读取 HKLMSystemCurrentControlSetServicesTcpip Parameters DisableIPSourceRouting HKLMSYSTEMCurrentControlSetServicesTcpip Parameters EnableICMPRedirect HKLMSystemCurrentControlSetServicesTcpip ParametersSynAttackProtect 键值.
