主机等级测评指导书(三级)-SQL.doc

SQL等级测评指导书2010年10月项目编号：测评等级：三级测评指导书适用范围:SQL2003以上 版本版本：Ver 1.0一、 测评对象名称型号对象分类说明Oracle 数据库Oracle 10g主机二、测评指标类别主机安全：身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范、资源控制三、测评实施测评指标测评项操作步骤预期结果说明身份鉴别a、应对登录操作系统和数据库系统的用户进行身份标识和鉴别1)展开服务器组，右键单击服务器-在弹出的右键菜单中单击“属性”，在“安全性”选项卡中查看“身份验证”认证方式是否为“SQL Server 和 Windows”。2）以企业管理器的方式登录SQL Server数据库，查看是否提示输入用户密码。确认“安全性”选项卡中查看“身份验证”认证方式为“SQL Server 和 Windows”b、操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换1）询问是否在安装时立刻修改sa口令，并保证sa账户的口令具有足够的强度。2）让数据库管理员以sa账户的身份登录数据库，查看口令强度与管理员回答是否一致。3）在master库中，执行命令：select * from syslogins where password is null，查看是否存在空口令用户。4）询问数据库管理员，SQL Server数据库的口令管理要求（口令的长度，口令复杂性，口令更新周期）。sa账户的口令具有足够的强度，口令强度与管理员回答一致，不存在空口令用户，口令应有复杂度要求并定期更换c、应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施1）使用sp_configure查看有无鉴别失败和超时等方面的设置。2）询问数据库管理员是否采取其他措施保证上述安全功能的实现。具有登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施d、当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听1）询问数据库管理员，是否配置了SQL Server，保证远程管理数据加密传输。2）在服务器网络实用工具中查看是否启用了“强制协议密码”。当对服务器进行远程管理时，有对应措施防止鉴别信息在网络传输过程中被窃听e、应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性询问数据库管理员，是否为不同的用户分配不同的账户。操作系统和数据库系统的不同用户具有不同的用户名，用户名具有唯一性f、应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别1）询问数据库的身份鉴别方式，是否采用除用户名/密码外其他鉴别技术。2）如果使用其他技术，则查看该技术的实现情况。采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别，身份鉴别信息至少有一种是不可伪造的访问控制a、应启用访问控制功能，依据安全策略控制用户对资源的访问1）在SQL Server Enterprise Manager的安全管理器中查看系统管理员是否为每个登录用户分配了服务器角色。2）查看SQL Server数据库是否问角色限定了权限，权限的覆盖范围是否包括与信息安全直接相关的主体和客体及他们之间的操作。启用访问控制功能，依据安全策略控制用户对资源的访问b、应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限在“企业管理器”-“安全性”中，选中每个登录用户，在右键菜单中选择“属性”，查看每个登录用户的角色和权限，查看是否是该用户所需的最小权限。管理用户具有权限分离，仅授予管理用户所需的最小权限c、应实现操作系统和数据库系统特权用户的权限分离1）询问是否由不同员工分别担任操作系统管理员与数据库管理员。2）登录操作系统，查看是否能对数据库系统进行操作。操作系统和数据库系统特权用户具有权限分离d、应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令1）询问数据库管理员，是否加强了sa的口令强度，并让管理员登录数据库系统进行口令验证。2）查看public的权限，是否严格限制public的权限。3）查看是否有guest账户，是否严格限制guest的权限。严格限制默认帐户的访问权限，限制重命名系统默认帐户，限制修改这些帐户的默认口令e、应及时删除多余的、过期的帐户，避免共享帐户的存在在SQL查询分析器中执行命令：select name from syslogins，询问每个账户的用途，查看是否存在多余的、过期的账户。删除多余的、过期的帐户f、应对重要信息资源设置敏感标记询问系统管理员，是否实现了上述功能，具体措施是什么。重要信息资源具有敏感标记g、应依据安全策略严格控制用户对有敏感标记重要信息资源的操作询问系统管理员，是否实现了该功能，具体措施是什么。安全审计a、审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户1）在“企业管理器”-右键单击注册名称-单击“属性”-“安全性”，查看每个注册的“审核级别”是否为“全部”。2）询问数据库管理员，是否采取第三方工具或其他措施增强SQL Server的日志功能。3）用不同的用户登录数据库系统并进行不同的操作，在SQL Server数据库中查看日志记录。审计范围覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户b、审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件1）在“企业管理器”-右键单击注册名称-单击“属性”-“安全性”，查看每个注册的“审核级别”是否为“全部”。2）询问数据库管理员，是否采取第三方工具或其他措施增强SQL Server的日志功能。3）在SQL Server数据库中的日志记录，是否包括重要用户行为（如登录系、增加/删除用户等）、系统资源异常和重要系统命令的使用（如xp_cmdshell存储过程）的日志记录审计内容包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件c、审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等1）在“企业管理器”-管理-SQL Server日志中，查看日志记录是否包括日期和时间、类型、主题标识、客体标识、事件的结果等。2）询问数据库管理员，是否采取第三方工具或其他措施增强SQL Server的日志功能，如果有则查看这些工具记录的审计记录是否包括日期和时间、时间、类型、主题标识、客体标识、事件的结果等。审计记录包括日期和时间、类型、主体标识、客体标识、事件的结果等d、应能够根据记录数据进行分析，并生成审计报表1）询问数据库系统管理员并检查数据库系统，是否提供对记录数据库进行分析并生成审计报表的功能。2）询问数据库管理员，是否采取第三方工具或其他方式增强SQL Server的日志功能，实现“根据记录数据进行分析，并生成审计报表”的功能，如果提供，则检查并验证其功能是否正确。能够根据记录数据进行分析 e、应保护审计进程，避免受到未预期的中断1）以非授权用户（没有审计权限）登录数据库系统，试图改变审计配置选项，查看是否成功。2）如果成功，进行一些操纵，查看日志中是否有上述操作的记录。审计进程受到保护f、应保护审计记录，避免受到未预期的删除、修改或覆盖等1）以普通用户进入SQL Server数据库系统，查看能否对日志进行非授权操作。2）询问系统管理员，对SQL Server的日志记录文件采取的保护措施，并登陆系统进行验证。保护审计记录，避免受到未预期的删除、修改或覆盖等剩余信息保护a、应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中b、应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除入侵防范a、应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源ip、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警此项无要求b、应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施此项无要求c、操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新此项无要求恶意代码防范a、应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库此项无要求b、主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库此项无要求c、应支持防恶意代码的统一管理此项无要求资源控制设备a、应通过设定终端接入方式、网络地址范围等条件限制终端登录1）询问数据库系统管理员是否有保证上述安全功能的措施。2）如果无法在SQL Server数据库系统上进行相关的配置，则询问是否在防火墙或者其他网路设备（包括安全设备）上进行了相关的配置。设定终端接入方式、网络地址范围等条件限制终端登录b应根据安全策略设置登录终端的操作超时锁定1）询问数据库系统管理员是否有保证上述安全措施。2）在查询分析器中执行命令sp_configure remote login timeout（s），查看是否设置了超时时间。设置