信息安全加固手册SQLServer

1、数据库安全加固手册SQL Server目 录一、总则3二、适用范围3三、数据库的安装3四、数据库的加固41.补丁检查42.安装补丁53.服务54.协议55.Windows SQL SERVER帐号66.SQL SERVER登陆组、帐户和角色77.文件和目录88.共享及端口99.加固注册表910.存储过程1011.审计和日志11五、设置应用开发检查及控制措施11六、设置良好的日志管理策略11七、设置良好的数据库备份策略11SQL SERVER安全加固手册一、 总则1 制定SQL Server数据库安全加固维护手册的目的是建立SQL Server安全配置、安全维护标准，并以此标准为指导，配置和审视

2、SQL Server数据库服务器的安全性；降低系统存在的安全风险，确保系统安全可靠的运行。2 本手册既可以作为SQL Server管理员的安全加固维护手册，也可作为进行SQL Server数据库的定期风险评估的评估内容。二、 适用范围1 本手册适用于SQL Server数据库服务器，包括但不限于桌面计算机、笔记本计算机及个人使用的计算机设备等。2 本手册是管理员操作级的手册，SQL Server数据库系统的管理有责任认真遵照手册的规定进行SQL Server数据库系统的加固和日常维护，对于SQL Server数据库系统的个人使用者也有重要的参考作用和意义。3 本手册应当适用于SQL Serve

3、r数据库系统的管理员。4 本手册忽略大小写，即SELECT与Select以及select相同。三、 数据库的安装1 保证SQL SERVER数据库主机物理安全。2 在安装SQL Server数据之前，应将所在的主机操作系统进行必要的安全加固，特别是操作系统的补丁。参见主机系统安全加固维护手册。3 安装SQL Server之前创建一个可以具有运行SQL Server服务权限的操作系统帐号。而不要用本地系统帐号或者administrator帐号进行数据库的安装。4 不要将SQL Server数据库安装在域控制器服务器上。5 SQL Server数据库系统应当安装在非系统卷的ntfs分区上。6 建议

4、选择定制安装数据库，如非特殊需要，去掉以下不必要的安装选项：upgrade tools、replication support、full text search、books online、development tools、code samples。7 安装时建议选择windows认证模式，除非特殊需要，否则不建议使用SQL Server认证模式。8 如选择混合模式则必须为sa以及所有用户帐号选择强壮的口令。9 删除缺省安装的sample database。四、 数据库的加固1. 补丁检查Ø 用Isql或者SQL查询分析器登录到SQL ServerØ 在ISQL中输入：Se

5、lect Version；goØ 版本补丁情况：i. SQL Server 6.5 Service Pack 5a with the post-5a hotfixii. SQL Server 7.0 Service Pack 4iii. SQL Server 2000 Service Pack 3iv. SQL Server 2000 desktop engine (MSDE 2000) sp3a或使用查看数据库补丁发布情况或从下载Windows补丁检查工具mbsa，查看数据库补丁安装情况SQL Server补丁对应关系参照：SQL Server 2000补丁对应关系如下： 8.00

6、.194 SQL Server 2000 RTM8.00.384 (SQL Server 2000 SP1) 8.00.534 (SQL Server 2000 SP2) 8.00.760 (SQL Server 2000 SP3)8.00.760 (SQL Server 2000 SP3a) -(SQL Server 2000 SP4)2. 安装补丁Ø 在补丁安装之前建议先对数据库进行备份Ø 停止SQL SERVER服务Ø 在Microsoft SQL Server Downloads Web site下载补丁进行安装3. 服务Ø 禁用不必要的服务在s

7、ql server 缺省安装时， 有MSSQLSERVER、QLSERVERAGENT、SSQLServerADHelper、Microsoft Search这四个服务，除了MSSQLSERVER之外，其他的如不需要，建议禁用。Ø 禁用微软 DTC服务如不需要用到微软的DTC服务提供分布式事务处理，则禁用该服务。4. 协议Ø 限制sql server 使用的协议在Microsoft SQL Server程序组, 运行服务网络实用工具。建议只使用tcp/ip协议，禁用其他协议。Ø 加固tcp/ip协议栈对于tcp/ip协议栈的加固主要是某些注册表键值的修改。主要是以

8、下几个：HKLMSystemCurrentControlSet ServicesTcpip Parameters DisableIPSourceRouting说明：该键值应设为2，以防御源路由欺骗攻击。HKLMSYSTEMCurrentControlSetServices TcpipParameters EnableICMPRedirect说明：该键值应设为0，以ICMP重定向。HKLMSystemCurrentControlSet Services Tcpip Parameters SynAttackProtect说明：该键值应设为2，防御SYN FLOOD攻击。Ø 详细的内容可以

9、参见：5. Windows SQL SERVER帐号Ø 服务帐号对SQL Server服务帐号的授权应当加以限制。新建sql server服务帐号后，建议将其从User组中删除，且不要把该帐号提升为Administrators组的成员。授予如以下windows SQLRunAs帐户最少的权限启动 SQL Server数据库。Ø 删除和禁用无用帐号在SQL Server 2000sp3安装过程中，缺省创建了sql debugger帐号，由于该帐号只用来支持debug，因此可以从production database server中去掉。6. SQL SERVER登陆组、帐户和

10、角色Ø 取消windows 不必要的组和用户登陆，如windows builtinadministrators组，数据库的guest用户帐户等。Ø 使用“仅windows的身份验证”使sa用户帐户所具功能失效。Ø 服务器角色用于对登陆授予服务器范围内的安全特权，建议采用最小权限分配，特别要注意sysadmin,serveradmin,securityadmin和dbcreator这四个角色的权限分配。（可以通过sp_helpsrvrole查看服务器角色，从sp_srvrolepermission查看服务器角色特定权限）固定服务器角色 描述sysadmin 执行SQ

11、L Server的任何操作serveradmin 配置服务器范围的设置; 关闭服务setupadmin 管理扩展的存储过程securityadmin 管理服务器的登陆processadmin 管理运行在SQL SERVER中的进程dbcreator 创建和更改数据库diskadmin 管理磁盘文件bulkadmin 允许执行大批量插入操作Ø 数据库角色对于数据库角色的分配同样建议采用最小权限分配。（可以从 sp_helpdbfixedrole 获得固定数据库角色的列表，可以从 sp_dbfixedrolepermission 获得每个角色的特定权限）数据库角色 描述db_owner对

12、单一数据库有任何操作的权限db_accessadmin 用来控制对数据库的访问db_securityadmin 用来给予其他用户访问权限db_ddladmin 可以发出 ALL DDL，但不能发出 GRANT、REVOKE 或 DENY 语句。db_backupoperator用于备份数据db_datareader 可以选择数据库内任何用户表中的所有数据。db_datawriter可以更改数据库内任何用户表中的所有数据。db_denydatareader不能选择数据库内任何用户表中的任何数据。db_denydatawriter 不能更改数据库内任何用户表中的任何数据。数据库中的每个用户都属于

13、public 数据库角色。如果想让数据库中的每个用户都能有某个特定的权限，则将该权限指派给 public 角色。如果没有给用户专门授予对某个对象的权限，他们就使用指派给 public 角色的权限。建议不要授予权限给public数据库角色。7. 文件和目录Ø 没有特殊需要建议不要安装SDKs以及调试工具等Ø 按照下表设置sql server安装目录下文件的属性：LocationPermissions for SQL Service AccountInstall location(Program FilesMicrosoft SQL ServerMSSQL)Read and E

14、xecuteList Folder ContentsReadDatabase file directory (.mdf, .ndf, .ldf files)(Program FilesMicrosoft SQL ServerMSSQLData)Full ControlError log file directory(Program FilesMicrosoft SQL ServerMSSQLLOG)Full ControlBackup file directory(Program FilesMicrosoft SQL ServerMSSQLBackup)Full ControlJob temp

15、orary file output directory(Program FilesMicrosoft SQL ServerMSSQLJobs)Full Control8. 共享及端口Ø 限制和减少不必要的共享。Ø Sql server使用到的端口是tcp 1433和upd 1434，在防火墙上或主机上设置对数据库端口的访问限制。9. 加固注册表Ø 使用regedt32设置sql server以下相关注册表的属性为：Administrators: Full ControlSQL Server service account: Full Controli. HKEY_

16、LOCAL_MACHINESOFTWAREMICROSOFTMSSQLSERVERii. HKEY_LOCAL_MACHINESOFTWAREMICROSOFTMICROSOFT SQL SERVERINSTANCENAMEiii. HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMSSQLSERVER10. 存储过程Ø 删除测试或不必要的存储过程，一般情况下建议删除的存储过程有：sp_OACreate sp_OADestroy sp_OAGetErrorInfo sp_OAGetProperty sp_OAMethod sp_OAS

17、etProperty sp_OAStop sp_regaddmultistring xp_regdeletekey xp_regdeletevalue xp_regenumvalues xp_regremovemultistring Ø 除非应用程序需要否则以下存储过程也建议删除：xp_perfend xp_perfmonitor xp_perfsample xp_perfstart xp_readerrorlog xp_readmail xp_revokelogin xp_runwebtask xp_schedulersignal xp_sendmail xp_servicecon

18、trol xp_snmp_getstate xp_snmp_raisetrap xp_sprintf xp_sqlinventory xp_sqlregister xp_sqltrace xp_sscanf xp_startmail xp_stopmail xp_subdirs xp_unc_to_drive xp_dirtree sp_sdidebug xp_availablemedia xp_cmdshell xp_deletemail xp_dirtree xp_dropwebtask xp_dsninfo xp_enumdsn xp_enumerrorlogs xp_enumgroups xp_enumqueuedtasks xp_eventlog xp_findnextmsg xp_fixeddrives xp_getfiledetails xp_getnetname xp_grantlogin xp_logevent xp_loginconfig xp_logininfo xp_makewebtask xp_msver &