2022年Mssql数据库系统加固规范V. .pdf

Mssql 数据库系统加固规范2019 年 12 月名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 1 页，共 17 页 - - - - - - - - - 目录1账号管理、认证授权 .11.1.1SHG-Mssql-01-01-01.11.1.2SHG-Mssql-01-01-02.21.1.3SHG-Mssql-01-01-03.31.1.4SHG-Mssql-01-01-04.41.1.5SHG-Mssql-01-01-05.51.1.6SHG-Mssql-01-01-06.52日志配置 .72.1.1SHG-Mssql-02-01-01.73通信协议 .83.1.1SHG-Mssql-03-01-01.83.1.2SHG-Mssql-03-01-02.83.1.3SHG-Mssql-03-01-04.104设备其他安全要求 .114.1.1SHG-Mssql-04-01-01.114.1.2SHG-Mssql-04-01-02.14名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 2 页，共 17 页 - - - - - - - - - 1账号管理、认证授权1.1.1SHG-Mssql-01-01-01编号SHG-Mssql-01-01-01名称为不同的管理员分配不同的账号实施目的应按照用户分配账号，避免不同用户间共享账号,提高安全性。问题影响账号混淆，权限不明确，存在用户越权使用的可能。系统当前状态use masterSelect name,password from syslogins order by name记录用户列表实施步骤1、参考配置操作sp_addlogin user_name_1,password1sp_addlogin user_name_2,password2或在企业管理器中直接添加远程登陆用户建立角色，并给角色授权，把角色赋给不同的用户或修改用户属性中的角色和权限2、补充操作说明1、user_name_1和 user_name_1是两个不同的账号名称，可根据不同用户，取不同的名称；回退方案删除添加的用户名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 3 页，共 17 页 - - - - - - - - - 判断依据询问管理员是否安装需求分配用户账号实施风险高重要等级备注1.1.2SHG-Mssql-01-01-02编号SHG-Mssql-01-01-02名称删除或锁定无效账号实施目的删除或锁定无效的账号，减少系统安全隐患。问题影响允许非法利用系统默认账号系统当前状态use masterSelect name,password from syslogins order by name记录用户列表实施步骤1、参考配置操作Mssql 企业管理器 - SQL Server 组-(Local)(Windows NT)-安全性 -登录在用户上点右键选择删除回退方案增加删除的帐户判断依据询问管理员 , 哪些账号是无效账号实施风险高重要等级名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 4 页，共 17 页 - - - - - - - - - 备注1.1.3SHG-Mssql-01-01-03编号SHG-Mssql-01-01-03名称限制启动账号权限实施目的限制账号过高的用户启动sql server问题影响启动 mssql 的账号权限过高 , 会导致其子进程具有相同权限 .系统当前状态Mssql 企业管理器 - SQL Server 组-(Local)(Windows NT)-属性( 右键)- 安全性实施步骤1、参考配置操作新建 SQL server 服务账号后，建议将其从User 组中删除，且不要把该账号提升为Administrators组的成员。授予以下 windows SQLRunAs 账户最少的权限启动SQL Server 数据库。回退方案替换会原来启动账号判断依据判定条件查看启动账号权限 .实施风险高重要等级备注名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 5 页，共 17 页 - - - - - - - - - 1.1.4SHG-Mssql-01-01-04编号SHG-Mssql-01-01-04名称权限最小化实施目的在数据库权限配置能力内，根据用户的业务需要，配置其所需的最小权限。问题影响账号权限越大 , 对系统的威胁性越高系统当前状态记录用户拥有权限实施步骤1、参考配置操作a)更改数据库属性，取消业务数据库帐号不需要的服务器角色；b)更改数据库属性，取消业务数据库帐号不需要的“数据库访问许可 ”和“数据库角色中允许 ”中不需要的角色。2、补充操作说明操作 a)用于修改数据库帐号的最小系统角色操作 b)用于修改用户多余数据库访问许可权限和数据库内角色回退方案还原添加或删除的权限判断依据业务测试正常实施风险高重要等级备注名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 6 页，共 17 页 - - - - - - - - - 1.1.5SHG-Mssql-01-01-05编号SHG-Mssql-01-01-05名称数据库角色实施目的使用数据库角色（ ROLE ）来管理对象的权限。问题影响账号管理混乱系统当前状态记录对应数据库用户角色权限实施步骤a)企业管理器 -数据库 -对应数据库 -角色 -中创建新角色；b)调整角色属性中的权限，赋予角色中拥有对象对应的SELECT、INSERT、UPDATE、DELETE、EXEC、DRI 权限回退方案删除相应的角色判断依据对应用户不要赋予不必要的权限实施风险高重要等级备注名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 7 页，共 17 页 - - - - - - - - - 1.1.6SHG-Mssql-01-01-06编号SHG-Mssql-01-01-06名称空密码实施目的对用户的属性进行安全检查，包括空密码、密码更新时间等。修改目前所有账号的口令，确认为强口令。特别是sa 账号，需要设置至少10位的强口令。问题影响账号安全性低 . 系统当前状态select * from sysusersSelect name,Password from syslogins where password is null order by name # 查看口令为空的用户实施步骤Use masterexec sp_password 旧口令 ， 新口令,用户名回退方案恢复用户密码到原来状态判断依据Select name,Password from syslogins where password is null order by name查看是否有账号为密码实施风险高重要等级备注名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 8 页，共 17 页 - - - - - - - - - 2日志配置2.1.1SHG-Mssql-02-01-01编号SHG-Mssql-02-01-01名称启用日志记录功能实施目的数据库应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号、登录是否成功、登录时间以及远程登录时用户使用的IP 地址。问题影响无法对用户的登陆进行日志记录系统当前状态打开数据库属性 ,查看安全属性实施步骤打开数据库属性，选择安全性，将安全性中的审计级别调整为“全部” ，身份验证调整为 “SQL Server 和 Windows”回退方案设置安全属性到原先状态判断依据判定条件登录测试，检查相关信息是否被记录实施风险低重要等级备注名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 9 页，共 17 页 - - - - - - - - - 3通信协议3.1.1SHG-Mssql-03-01-01编号SHG-Mssql-03-01-01名称网络协议实施目的除去不必要的服务问题影响增加数据库安全隐患系统当前状态在 Microsoft SQL Server 程序组 , 运行服务网络实用工具 , 查看协议列表实施步骤参考配置操作在 Microsoft SQL Server 程序组 , 运行服务网络实用工具。建议只使用 TCP/IP 协议，禁用其他协议。回退方案添加删除的协议判断依据判定条件在 Microsoft SQL Server 程序组 , 运行服务网络实用工具 , 查看协议列表 , 查看是否有多余协议 .实施风险高重要等级备注3.1.2SHG-Mssql-03-01-02编号SHG-Mssql-03-01-02名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 10 页，共 17 页 - - - - - - - - - 名称加固 TCP/IP 协议栈实施目的加固 TCP/IP 协议栈 , 加强系统防御网络攻击能力.问题影响网络防御能力弱 .系统当前状态查看TcpipParameters DisableIPSourceRoutingTcpipParameters EnableICMPRedirectTcpipParametersSynAttackProtect注册表键值实施步骤参考配置操作对于 TCP/IP 协议栈的加固主要是某些注册表键值的修改。主要是以下几个：ParametersDisableIPSourceRouting说明：该键值应设为2，以防御源路由欺骗攻击。ParametersEnableICMPRedirect说明：该键值应设为0，以 ICMP重定向。ParametersSynAttackProtect说明：该键值应设为2，防御 SYN FLOOD 攻击。回退方案还原注册表更改键值判断依据判定条件读取Parameters DisableIPSourceRouting名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 11 页，共 17 页 - - - - - - - - - Parameters EnableICMPRedirectParametersSynAttackProtect键值.实施风险高重要等级备注3.1.3SHG-Mssql-03-01-04编号SHG-Mssql-03-01-04名称通讯协议加密实施目的使用通讯协议加密问题影响数据库的不安全性增加系统当前状态启动服务器网络配置工具，查看“常规”设置实施步骤参考配置操作启动服务器网络配置工具，更改“常规”设置为 “强制协议加密” 。回退方案恢复“强制协议加密 ”到原状态判断依据启动服务器网络配置工具，查看“常规”设置实施风险高重要等级备注名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 12 页，共 17 页 - - - - - - - - - 4设备其他安全要求4.1.1SHG-Mssql-04-01-0 1编号SHG-Mssql-04-01-01名称停用不必要的存储过程实施目的停用 sql server中存在的危险存储过程问题影响数据库的不安全性增加系统当前状态查看存储过程列表实施步骤参考配置操作use master exec sp_dropextendedproc xp_cmdshell exec sp_dropextendedproc xp_dirtreeexec sp_dropextendedproc xp_enumgroupsexec sp_dropextendedproc xp_fixeddrivesexec sp_dropextendedproc xp_loginconfigexec sp_dropextendedproc xp_enumerrorlogsexec sp_dropextendedproc xp_getfiledetailsexec sp_dropextendedproc Sp_OACreate exec sp_dropextendedproc Sp_OADestroy 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 13 页，共 17 页 - - - - - - - - - exec sp_dropextendedproc Sp_OAGetErrorInfo exec sp_dropextendedproc Sp_OAGetProperty exec sp_dropextendedproc Sp_OAMethod exec sp_dropextendedproc Sp_OASetProperty exec sp_dropextendedproc Sp_OAStop exec sp_dropextendedproc Xp_regaddmultistring exec sp_dropextendedproc Xp_regdeletekey exec sp_dropextendedproc Xp_regdeletevalue exec sp_dropextendedproc Xp_regenumvalues exec sp_dropextendedproc Xp_regread exec sp_dropextendedproc Xp_regremovemultistring exec sp_dropextendedproc Xp_regwrite drop procedure sp_makewebtaskGo删除测试或不必要的存储过程，一般情况下建议删除的存储过程有：sp_OACreate sp_OADestroy sp_OAGetErrorInfo sp_OAGetProperty sp_OAMethod sp_OASetProperty sp_OAStop sp_regaddmultistring xp_regdeletekey xp_regdeletevalue xp_regenumvalues xp_regremovemultistring 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 14 页，共 17 页 - - - - - - - - - 除非应用程序需要否则以下存储过程也建议删除：xp_perfend xp_perfmonitor xp_perfsample xp_perfstart xp_readerrorlog xp_readmail xp_revokelogin xp_runwebtask xp_schedulersignal xp_sendmail xp_servicecontrol xp_snmp_getstate xp_snmp_raisetrap xp_sprintf xp_sqlinventory xp_sqlregister xp_sqltrace xp_sscanf xp_startmail xp_stopmail xp_subdirs xp_unc_to_drive xp_dirtree sp_sdidebug xp_availablemedia xp_cmdshell xp_deletemail xp_dirtree xp_dropwebtask xp_dsninfo xp_enumdsn xp_enumerrorlogs xp_enumgroups xp_enumqueuedtasks xp_eventlog xp_findnextmsg xp_fixeddrives xp_getfiledetails xp_getnetname xp_grantlogin xp_logevent xp_loginconfig xp_logininfo xp_makewebtask xp_msver 回退方案新建存储过程将删除的手工建立或恢复备份的数据库判断依据调用存储过程，检查是否存在Exec 存储过程 ( 参数 1，参数 2)名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 15 页，共 17 页 - - - - - - - - - 实施风险高重要等级备注4.1.2SHG-Mssql-04-01-02编号SHG-Mssql-04-01-02名称安装补丁实施目的为系统打最新的补丁包。问题影响数据库的不安全性增加系统当前状态select version实施步骤参考配置操作select version确保 SQL Server的补丁为最新的。下载并安装最新的补丁SQL Server2000的版本和补丁号对应关系如下：8.00.194 -SQL Server 2000 RTM 8.00.384 -(SP1) 8.00.534 -(SP2) 8.00.760 -(SP3)8.00.2039-(SP4)回退方案无判断依据微软自动升级工具查看未安装补丁实施风险高重要等级名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 16 页，共 17 页 - - - - - - - - - 备注名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 17 页，共 17 页 - - - - - - - - -