32-SGISLOP-SA49-10MSSQLserver等级保护测评作业指导书二级

word格式整理版控制编号：SGISL/OP-SA49-10信息安全等级保护测评作业指导书MSSQL（二级）第1第1版第0次2010 05月25日范文范例学习指导word格式整理版中国电力科学研究院信息安全实验室范文范例学习指导word格式整理版范文范例学习指导word格式整理版修改页修订号控制编号版号/章节号修改人修订原因批准人批准日期备注1SGISL/OP-SA49-10树期按公安部要求修订詹雄2010.3.8测评项编号ADT-DB-MSSQL-01对应要求操作系统应遵循最小安装的原则仅安装需要的组件和应用程序并通过设置升级范文范例学习指导

word格式整理版服务器等方式保持系统补丁及时得到新。测评项名称补丁升级测评分项：检查系统补丁安装情况操作步骤执：1)查看SQLServer版本信息selectserverproperty('Edition')selectserverproperty('ProductLevel')2)查看SQLServer是否打补丁，及补丁的版本Select@@Version或者SELECTSERVERPROPERTY('ProductVersion')查看：版本及补丁信息询问：数据库管员适用版本所有Sqlserver版本数据库实施风险无符合性判定数据库系统是最新的版本，判定结果为符合；数据库系统是最新的版本，判定结果为符合。备注测评项编号ADT-DB-MSSQL-02对应要求数据库系统中应使用默认的监听端口。范文范例学习指导

word格式整理版测评项名称监听端口测评分项：检查监所端口操作步骤执行：1、在"开始"菜单中，指向"程序”，接着指向"MicrosoftSQLServer"，然后单击"SQLServer网络实用工具"。2、在查询分析器中执行下列语句：UsemasterGoXp_readerrorlog查看：使用的端口“SQLServer正在监所IP:端口，IP:端口。适用版本所有Sqlserver版本数据库实施风险无符合性判定不存在默认的1433端口，判定结果为符合；存在默认的1433端口，判定结果为不符合。备注测评项编号ADT-DB-MSSQL-03对应要求应对登录操作系统和数据库系统的用户进行身份标识和鉴别。测评项名称检查WindowsSQLServer账户测评分项：操作步骤执行：1）在SQL查询分析器或其他工具中执行命令：范文范例学习指导

word格式整理版selectnamefromsyslogins，查看用户名。适用版本Windows2000、WindowsXP、Windows2003实施风险无符合性判定存在多余帐户，判定结果为符合；存在多余帐户，判定结果为符合。备注测评项编号ADT-DB-MSSQL-04对应要求应启用访问控制功能依据安全策控制用户对资嫄的访问。测评项名称程序文件权限测评分项：检查程序文件的权限分配操作步骤执：在\ProgramFiles\MicrosoftSQLServer\Mssql\Binn文件夹中右键，属性查看权限。询问：数据库管员对程序文件的权限设置。适用版本Windows2000系统中的所有Sqlserver版本数据库实施风险无符合性判定完全控制、修改、读取及运筹权限设置为允许，判定结果为符合；完全控制、修改、读取及运筹权限设置为拒绝，判定结果为符合。备注范文范例学习指导

word格式整理版测评项编号ADT-DB-MSSQL-05对应要求应启用访问控制功能依据安全策控制用户对资嫄的访问。测评项名称数据文件权限测评分项：检查SQLServer数据文件的权限分配操作步骤执：在\ProgramFiles\MicrosoftSQLServer\Mssql\Data文件夹中右键，属性查看权限。询问：数据库管员对数据文件的权限设置。适用版本任何版本实施风险无符合性判定完全控制、修改、读取及运筹权限设置为允许，判定结果为符合；完全控制、修改、读取及运筹权限设置为拒绝，判定结果为符合。备注测评项编号ADT-DB-MSSQL-06对应要求应严格限制默认帐户的访问权限重命名系统默认帐户，修改这些帐户的默认口。测评项名称Sa用户测评分项：检查Sa用户操作步骤执：在master库中，select*fromsysloginswherepasswordisnull,查看有无空口用户。询问：1）询问数据库管员是否在安装时刻修改 sa口。范文范例学习指导

word格式整理版2）询问口的管要求 （口的长，口复杂性，口新周期）。适用版本任何版本实施风险如能及时通知管员新密码，可能造成临时无法管数据库。符合性判定sa用户存在空口或弱口，判定结果为符合；sa用户存在空口或弱口，判定结果为符合。备注测评项编号ADT-DB-MSSQL-07对应要求应能够对重要程序的完整性进检测，并在检测到完整性受到破坏后具有恢复的措施。测评项名称示数据库测评分项：检查示数据库操作步骤查看：在企业管器中，检查并记录是否删除数据库安装时生成的示数据库pubs和northwind°适用版本所有Sqlserver版本数据库实施风险无符合性判定已删除示数据库，判定结果为符合；未删除示数据库，判定结果为符合。范文范例学习指导

word格式整理版备注测评项编号ADT-DB-MSSQL-08对应要求应启用访问控制功能依据安全策控制用户对资嫄的访问。测评项名称Xp_cmdshell权限测评分项：检查Xp_cmdshell权限操作步骤执：在企业管器--数据库--扩展存储过程--右键--所有任务--管权限或在查询分析器中sp_helpextendedprocxp_cmdshell查看：记录xp_cmdshell的权限。适用版本所有Sqlserver版本数据库实施风险无符合性判定只将Xp_cmdshell权限授予sysadmin角色的成员，判定结果为符合；将Xp_cmdshell权限授予sysadmin角色以外的用户判定结果为符台。备注测评项编号ADT-DB-MSSQL-09对应要求当对服务器进远程管时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。测评项名称检查加密设置范文范例学习指导

word格式整理版测评分项：检查并记