信息安全加固手册SQLServer

《信息安全加固手册SQLServer》由会员分享，可在线阅读，更多相关《信息安全加固手册SQLServer（11页珍藏版）》请在装配图网上搜索。

1、 .wd.数据库安全加固手册SQL Server目 录一、总则3二、适用范围3三、数据库的安装3四、数据库的加固41.补丁检查42.安装补丁53.服务54.协议55.Windows SQL SERVER帐号66.SQL SERVER登陆组、帐户和角色77.文件和目录88.共享及端口99.加固注册表910.存储过程1011.审计和日志11五、设置应用开发检查及控制措施11六、设置良好的日志管理策略11七、设置良好的数据库备份策略11SQL SERVER安全加固手册一、 总则1 制定SQL Server数据库安全加固维护手册的目的是建设SQL Server安全配置、安全维护标准，并以此标准为指导，

2、配置和审视SQL Server数据库服务器的安全性；降低系统存在的安全风险，确保系统安全可靠的运行。2 本手册既可以作为SQL Server管理员的安全加固维护手册，也可作为进展SQL Server数据库的定期风险评估的评估内容。二、 适用范围1 本手册适用于SQL Server数据库服务器，包括但不限于桌面计算机、笔记本计算机及个人使用的计算机设备等。2 本手册是管理员操作级的手册，SQL Server数据库系统的管理有责任认真遵照手册的规定进展SQL Server数据库系统的加固和日常维护，对于SQL Server数据库系统的个人使用者也有重要的参考作用和意义。3 本手册应当适用于SQL

3、Server数据库系统的管理员。4 本手册忽略大小写，即SELECT与Select以及select一样。三、 数据库的安装1 保证SQL SERVER数据库主机物理安全。2 在安装SQL Server数据之前，应将所在的主机操作系统进展必要的安全加固，特别是操作系统的补丁。参见主机系统安全加固维护手册。3 安装SQL Server之前创立一个可以具有运行SQL Server服务权限的操作系统帐号。而不要用本地系统帐号或者administrator帐号进展数据库的安装。4 不要将SQL Server数据库安装在域控制器服务器上。5 SQL Server数据库系统应当安装在非系统卷的ntfs分区上

4、。6 建议选择定制安装数据库，如非特殊需要，去掉以下不必要的安装选项：upgrade tools、replication support、full text search、books online、development tools、code samples。7 安装时建议选择windows认证模式，除非特殊需要，否则不建议使用SQL Server认证模式。8 如选择混合模式则必须为sa以及所有用户帐号选择强壮的口令。9 删除缺省安装的sample database。四、 数据库的加固1. 补丁检查 用Isql或者SQL查询分析器登录到SQL Server 在ISQL中输入：Select Ve

5、rsion；go 版本补丁情况：i. SQL Server 6.5 Service Pack 5a with the post-5a hotfixii. SQL Server 7.0 Service Pack 4iii. SQL Server 2000 Service Pack 3iv. SQL Server 2000 desktop engine (MSDE 2000) sp3a或使用或从SQL Server补丁对应关系参照：SQL Server 2000补丁对应关系如下： 8.00.194 SQL Server 2000 RTM8.00.384 (SQL Server 2000 SP1)

6、8.00.534 (SQL Server 2000 SP2) 8.00.760 (SQL Server 2000 SP3)8.00.760 (SQL Server 2000 SP3a)8.00.2039 -(SQL Server 2000 SP4)2. 安装补丁 在补丁安装之前建议先对数据库进展备份 停顿SQL SERVER服务 在Microsoft SQL Server Downloads Web site下载补丁进展安装3. 服务 禁用不必要的服务在sql server 缺省安装时， 有MSSQLSERVER、QLSERVERAGENT、SSQLServerADHelper、Microso

7、ft Search这四个服务，除了MSSQLSERVER之外，其他的如不需要，建议禁用。 禁用微软 DTC服务如不需要用到微软的DTC服务提供分布式事务处理，则禁用该服务。4. 协议 限制sql server 使用的协议在Microsoft SQL Server程序组, 运行服务网络实用工具。建议只使用tcp/ip协议，禁用其他协议。 加固tcp/ip协议栈对于tcp/ip协议栈的加固主要是某些注册表键值的修改。主要是以下几个：HKLMSystemCurrentControlSet ServicesTcpip Parameters DisableIPSourceRouting说明：该键值应设为

8、2，以防御源路由欺骗攻击。HKLMSYSTEMCurrentControlSetServices TcpipParameters EnableICMPRedirect说明：该键值应设为0，以ICMP重定向。HKLMSystemCurrentControlSet Services Tcpip Parameters SynAttackProtect说明：该键值应设为2，防御SYN FLOOD攻击。 详细的内容可以参见：5. Windows SQL SERVER帐号 服务帐号对SQL Server服务帐号的授权应当加以限制。新建sql server服务帐号后，建议将其从User组中删除，且不要把该帐

9、号提升为Administrators组的成员。授予如以下windows SQLRunAs帐户最少的权限启动 SQL Server数据库。 删除和禁用无用帐号在SQL Server 2000sp3安装过程中，缺省创立了sql debugger帐号，由于该帐号只用来支持debug，因此可以从production database server中去掉。6. SQL SERVER登陆组、帐户和角色 取消windows 不必要的组和用户登陆，如windows builtinadministrators组，数据库的guest用户帐户等。 使用“仅windows的身份验证”使sa用户帐户所具功能失效。 服务

10、器角色用于对登陆授予服务器范围内的安全特权，建议采用最小权限分配，特别要注意sysadmin,serveradmin,securityadmin和dbcreator这四个角色的权限分配。（可以通过sp_helpsrvrole查看服务器角色，从sp_srvrolepermission查看服务器角色特定权限）固定服务器角色 描述sysadmin 执行SQL Server的任何操作serveradmin 配置服务器范围的设置; 关闭服务setupadmin 管理扩展的存储过程securityadmin 管理服务器的登陆processadmin 管理运行在SQL SERVER中的进程dbcreator

11、 创立和更改数据库diskadmin 管理磁盘文件bulkadmin 允许执行大批量插入操作 数据库角色对于数据库角色的分配同样建议采用最小权限分配。（可以从 sp_helpdbfixedrole 获得固定数据库角色的列表，可以从 sp_dbfixedrolepermission 获得每个角色的特定权限）数据库角色 描述db_owner对单一数据库有任何操作的权限db_accessadmin 用来控制对数据库的访问db_securityadmin 用来给予其他用户访问权限db_ddladmin 可以发出 ALL DDL，但不能发出 GRANT、REVOKE 或 DENY 语句。db_backu

12、poperator用于备份数据db_datareader 可以选择数据库内任何用户表中的所有数据。db_datawriter可以更改数据库内任何用户表中的所有数据。db_denydatareader不能选择数据库内任何用户表中的任何数据。db_denydatawriter 不能更改数据库内任何用户表中的任何数据。数据库中的每个用户都属于 public 数据库角色。如果想让数据库中的每个用户都能有某个特定的权限，则将该权限指派给 public 角色。如果没有给用户专门授予对某个对象的权限，他们就使用指派给 public 角色的权限。建议不要授予权限给public数据库角色。7. 文件和目录 没有

13、特殊需要建议不要安装SDKs以及调试工具等 按照下表设置sql server安装目录下文件的属性：LocationPermissions for SQL Service AccountInstall location(Program FilesMicrosoft SQL ServerMSSQL)Read and ExecuteList Folder ContentsReadDatabase file directory (.mdf, .ndf, .ldf files)(Program FilesMicrosoft SQL ServerMSSQLData)Full ControlError lo

14、g file directory(Program FilesMicrosoft SQL ServerMSSQLLOG)Full ControlBackup file directory(Program FilesMicrosoft SQL ServerMSSQLBackup)Full ControlJob temporary file output directory(Program FilesMicrosoft SQL ServerMSSQLJobs)Full Control8. 共享及端口 限制和减少不必要的共享。 Sql server使用到的端口是tcp 1433和upd 1434，在防

15、火墙上或主机上设置对数据库端口的访问限制。9. 加固注册表 使用regedt32设置sql server以下相关注册表的属性为：Administrators: Full ControlSQL Server service account: Full Controli. HKEY_LOCAL_MACHINESOFTWAREMICROSOFTMSSQLSERVERii. HKEY_LOCAL_MACHINESOFTWAREMICROSOFTMICROSOFT SQL SERVERINSTANCENAMEiii. HKEY_LOCAL_MACHINESYSTEMCurrentControlSetSe

16、rvicesMSSQLSERVER10. 存储过程 删除测试或不必要的存储过程，一般情况下建议删除的存储过程有：sp_OACreate sp_OADestroy sp_OAGetErrorInfo sp_OAGetProperty sp_OAMethod sp_OASetProperty sp_OAStop sp_regaddmultistring xp_regdeletekey xp_regdeletevalue xp_regenumvalues xp_regremovemultistring 除非应用程序需要否则以下存储过程也建议删除：xp_perfend xp_perfmonitor x

17、p_perfsample xp_perfstart xp_readerrorlog xp_readmail xp_revokelogin xp_runwebtask xp_schedulersignal xp_sendmail xp_servicecontrol xp_snmp_getstate xp_snmp_raisetrap xp_sprintf xp_sqlinventory xp_sqlregister xp_sqltrace xp_sscanf xp_startmail xp_stopmail xp_subdirs xp_unc_to_drive xp_dirtree sp_sdi

18、debug xp_availablemedia xp_cmdshell xp_deletemail xp_dirtree xp_dropwebtask xp_dsninfo xp_enumdsn xp_enumerrorlogs xp_enumgroups xp_enumqueuedtasks xp_eventlog xp_findnextmsg xp_fixeddrives xp_getfiledetails xp_getnetname xp_grantlogin xp_logevent xp_loginconfig xp_logininfo xp_makewebtask xp_msver 11. 审计和日志 启用sql server登录审计 注：审计的启用可能会带来性能上的开销五、 设置应用开发检查及控制措施 不要在程序中使用授予sysadmin、db_owner角色的帐号连接数据库 使用应用角色 使用应用proxy 对输入数据进展验证、检查或过滤 使用SSL对传输数据加密六、 设置良好的日志管理策略 数据库事务日志 数据库审计日志 系统日志、应用日志和安全日志七、 设置良好的数据库备份策略 根据业务需求以及重要性进展设置。