《Mssql数据库系统加固规范V0.2》由会员分享,可在线阅读,更多相关《Mssql数据库系统加固规范V0.2(17页珍藏版)》请在金锄头文库上搜索。
1、MssqlMssql 数据库系统加固规范数据库系统加固规范 20192019 年年 6 6 月月 目目 录录 1 1账号管理、认证授权账号管理、认证授权.1 1.1.1SHG-Mssql-01-01-011 1.1.2SHG-Mssql-01-01-022 1.1.3SHG-Mssql-01-01-033 1.1.4SHG-Mssql-01-01-044 1.1.5SHG-Mssql-01-01-055 1.1.6SHG-Mssql-01-01-065 2 2日志配置日志配置.7 2.1.1SHG-Mssql-02-01-017 3 3通信协议通信协议.8 3.1.1SHG-Mssql-03-
2、01-018 3.1.2SHG-Mssql-03-01-028 3.1.3SHG-Mssql-03-01-0410 4 4设备其他安全要求设备其他安全要求.11 4.1.1SHG-Mssql-04-01-0111 4.1.2SHG-Mssql-04-01-0214 1 1 1 1 账号管理、认证授权账号管理、认证授权账号管理、认证授权账号管理、认证授权 1.1.11.1.11.1.11.1.1 SHG-Mssql-01-01-01SHG-Mssql-01-01-01SHG-Mssql-01-01-01SHG-Mssql-01-01-01 编号 SHG-Mssql-01-01-01 名称为不同的
3、管理员分配不同的账号 实施目的 应按照用户分配账号,避免不同用户间共享账号, 提高安全性。 问题影响 账号混淆,权限不明确,存在用户越权使用的可能。 系统当前状态 use master Select name,password from syslogins order by name 记录用户列表 实施步骤 1、参考配置操作参考配置操作 sp_addlogin user_name_1,password1 sp_addlogin user_name_2,password2 或在企业管理器中直接添加远程登陆用户 建立角色,并给角色授权,把角色赋给不同的用户或修改 用户属性中的角色和权限 2、补充操
4、作说明补充操作说明 1、user_name_1 和 user_name_1 是两个不同的账号 名称,可根据不同用户,取不同的名称; 回退方案删除添加的用户 判断依据询问管理员是否安装需求分配用户账号 实施风险高 重要等级 备注 1.1.21.1.21.1.21.1.2 SHG-Mssql-01-01-02SHG-Mssql-01-01-02SHG-Mssql-01-01-02SHG-Mssql-01-01-02 编号 SHG-Mssql-01-01-02 名称删除或锁定无效账号 实施目的删除或锁定无效的账号,减少系统安全隐患。 问题影响允许非法利用系统默认账号 系统当前状态 use maste
5、r Select name,password from syslogins order by name 记录用户列表 实施步骤 1 1、参考配置操作、参考配置操作 Mssql 企业管理器- SQL Server 组 -(Local)(Windows NT)-安全性-登录 在用户上点右键选择删除 回退方案增加删除的帐户 判断依据询问管理员,哪些账号是无效账号 实施风险高 重要等级 备注 1.1.31.1.31.1.31.1.3 SHG-Mssql-01-01-03SHG-Mssql-01-01-03SHG-Mssql-01-01-03SHG-Mssql-01-01-03 编号 SHG-Mssql
6、-01-01-03 名称限制启动账号权限 实施目的限制账号过高的用户启动 sql server 问题影响 启动 mssql 的账号权限过高,会导致其子进程具有 相同权限. 系统当前状态 Mssql 企业管理器- SQL Server 组 -(Local)(Windows NT)-属性(右键)-安全性 实施步骤 1 1、参考配置操作、参考配置操作 新建 SQL server 服务账号后,建议将其从 User 组中删除, 且不要把该账号提升为 Administrators 组的成员。授予以 下 windows SQLRunAs 账户最少的权限启动 SQL Server 数 据库。 回退方案替换会原
7、来启动账号 判断依据 判定条件判定条件 查看启动账号权限. 实施风险高 重要等级 备注 1.1.41.1.41.1.41.1.4 SHG-Mssql-01-01-04SHG-Mssql-01-01-04SHG-Mssql-01-01-04SHG-Mssql-01-01-04 编号 SHG-Mssql-01-01-04 名称权限最小化 实施目的 在数据库权限配置能力内,根据用户的业务需要, 配置其所需的最小权限。 问题影响账号权限越大,对系统的威胁性越高 系统当前状态记录用户拥有权限 实施步骤 1、参考配置操作参考配置操作 a)更改数据库属性,取消业务数据库帐号不需要的服务器 角色; b)更改数
8、据库属性,取消业务数据库帐号不需要的“数据 库访问许可”和“数据库角色中允许”中不需要的角色。 2、补充操作说明补充操作说明 操作 a)用于修改数据库帐号的最小系统角色 操作 b)用于修改用户多余数据库访问许可权限和数据库内 角色 回退方案还原添加或删除的权限 判断依据业务测试正常 实施风险高 重要等级 备注 1.1.51.1.51.1.51.1.5 SHG-Mssql-01-01-05SHG-Mssql-01-01-05SHG-Mssql-01-01-05SHG-Mssql-01-01-05 编号 SHG-Mssql-01-01-05 名称数据库角色 实施目的使用数据库角色(ROLE)来管理
9、对象的权限。 问题影响账号管理混乱 系统当前状态记录对应数据库用户角色权限 实施步骤 a)企业管理器-数据库-对应数据库-角色-中创建新 角色; b)调整角色属性中的权限,赋予角色中拥有对象对应的 SELECT、INSERT、UPDATE、DELETE、EXEC、DR I 权限 回退方案删除相应的角色 判断依据对应用户不要赋予不必要的权限 实施风险高 重要等级 备注 1.1.61.1.61.1.61.1.6 SHG-Mssql-01-01-06SHG-Mssql-01-01-06SHG-Mssql-01-01-06SHG-Mssql-01-01-06 编号 SHG-Mssql-01-01-06
10、 名称空密码 实施目的 对用户的属性进行安全检查,包括空密码、密码更新时间 等。修改目前所有账号的口令,确认为强口令。特别是 sa 账号,需要设置至少 10 位的强口令。 问题影响账号安全性低. 系统当前状态 select * from sysusers Select name,Password from syslogins where password is null order by name # 查看口令为空的用户 实施步骤 Use master exec sp_password 旧口令 , 新口令,用户名 回退方案恢复用户密码到原来状态 判断依据 Select name,Passwor
11、d from syslogins where password is null order by name 查看是否有账号为密码 实施风险高 重要等级 备注 2 2 2 2 日志配置日志配置日志配置日志配置 2.1.12.1.12.1.12.1.1 SHG-Mssql-02-01-01SHG-Mssql-02-01-01SHG-Mssql-02-01-01SHG-Mssql-02-01-01 编号 SHG-Mssql-02-01-01 名称启用日志记录功能 实施目的 数据库应配置日志功能,对用户登录进行记录,记 录内容包括用户登录使用的账号、登录是否成功、 登录时间以及远程登录时用户使用的 I
12、P 地址。 问题影响无法对用户的登陆进行日志记录 系统当前状态打开数据库属性,查看安全属性 实施步骤 打开数据库属性,选择安全性,将安全性中的审计级别调 整为“全部” ,身份验证调整为“SQL Server 和 Windows” 回退方案 设置安全属性到原先状态 判断依据 判定条件判定条件 登录测试,检查相关信息是否被记录 实施风险低 重要等级 备注 3 3 3 3 通信协议通信协议通信协议通信协议 3.1.13.1.13.1.13.1.1 SHG-Mssql-03-01-01SHG-Mssql-03-01-01SHG-Mssql-03-01-01SHG-Mssql-03-01-01 编号 S
13、HG-Mssql-03-01-01 名称网络协议 实施目的除去不必要的服务 问题影响增加数据库安全隐患 系统当前状态 在 Microsoft SQL Server 程序组, 运行服务网络实用工具,查 看协议列表 实施步骤 参考配置操作参考配置操作 在 Microsoft SQL Server 程序组, 运行服务网络实用工具。 建议只使用 TCP/IP 协议,禁用其他协议。 回退方案 添加删除的协议 判断依据 判定条件判定条件 在 Microsoft SQL Server 程序组, 运行服务网络实用工具,查 看协议列表,查看是否有多余协议. 实施风险高 重要等级 备注 3.1.23.1.23.1
14、.23.1.2 SHG-Mssql-03-01-02SHG-Mssql-03-01-02SHG-Mssql-03-01-02SHG-Mssql-03-01-02 编号 SHG-Mssql-03-01-02 名称加固 TCP/IP 协议栈 实施目的加固 TCP/IP 协议栈,加强系统防御网络攻击能力. 问题影响网络防御能力弱. 系统当前状态 查看 HKLMSystemCurrentControlSetServices TcpipParameters DisableIPSourceRouting HKLMSYSTEMCurrentControlSetServices TcpipParameters
15、 EnableICMPRedirect HKLMSystemCurrentControlSetServices TcpipParametersSynAttackProtect 注册表键值 实施步骤 参考配置操作参考配置操作 对于 TCP/IP 协议栈的加固主要是某些注册表键值的 修改。主要是以下几个: HKLMSystemCurrentControlSetServicesTcpip ParametersDisableIPSourceRouting 说明:该键值应设为 2,以防御源路由欺骗攻击。 HKLMSYSTEMCurrentControlSetServicesTcpip Parameter
16、sEnableICMPRedirect 说明:该键值应设为 0,以 ICMP 重定向。 HKLMSystemCurrentControlSetServicesTcpip ParametersSynAttackProtect 说明:该键值应设为 2,防御 SYN FLOOD 攻击。 回退方案 还原注册表更改键值 判断依据 判定条件判定条件 读取读取 HKLMSystemCurrentControlSetServicesTcpip Parameters DisableIPSourceRouting HKLMSYSTEMCurrentControlSetServicesTcpip Parameters EnableICMPRedirect HKLMSystemCurrentControlSetServicesTcpip ParametersSynAttackProtect 键值.