Mssql数据库系统加固规范V02.doc

MssqlMssql 数据库系统加固规范数据库系统加固规范 20202020 年年 2 2 月月 目目 录录 1 1账号管理 认证授权账号管理 认证授权 1 1 1 1SHG Mssql 01 01 01 1 1 1 2SHG Mssql 01 01 02 2 1 1 3SHG Mssql 01 01 03 3 1 1 4SHG Mssql 01 01 04 4 1 1 5SHG Mssql 01 01 05 5 1 1 6SHG Mssql 01 01 06 5 2 2日志配置日志配置 7 2 1 1SHG Mssql 02 01 01 7 3 3通信协议通信协议 8 3 1 1SHG Mssql 03 01 01 8 3 1 2SHG Mssql 03 01 02 8 3 1 3SHG Mssql 03 01 04 10 4 4设备其他安全要求设备其他安全要求 11 4 1 1SHG Mssql 04 01 01 11 4 1 2SHG Mssql 04 01 02 14 1 1 1 1 账号管理 认证授权账号管理 认证授权账号管理 认证授权账号管理 认证授权 1 1 11 1 11 1 11 1 1 SHG Mssql 01 01 01SHG Mssql 01 01 01SHG Mssql 01 01 01SHG Mssql 01 01 01 编号 SHG Mssql 01 01 01 名称为不同的管理员分配不同的账号 实施目的 应按照用户分配账号 避免不同用户间共享账号 提高安全性 问题影响 账号混淆 权限不明确 存在用户越权使用的可能 系统当前状态 use master Select name password from syslogins order by name 记录用户列表 实施步骤 1 参考配置操作参考配置操作 sp addlogin user name 1 password1 sp addlogin user name 2 password2 或在企业管理器中直接添加远程登陆用户 建立角色 并给角色授权 把角色赋给不同的用户或修改 用户属性中的角色和权限 2 补充操作说明补充操作说明 1 user name 1 和 user name 1 是两个不同的账号 名称 可根据不同用户 取不同的名称 回退方案删除添加的用户 判断依据询问管理员是否安装需求分配用户账号 实施风险高 重要等级 备注 1 1 21 1 21 1 21 1 2 SHG Mssql 01 01 02SHG Mssql 01 01 02SHG Mssql 01 01 02SHG Mssql 01 01 02 编号 SHG Mssql 01 01 02 名称删除或锁定无效账号 实施目的删除或锁定无效的账号 减少系统安全隐患 问题影响允许非法利用系统默认账号 系统当前状态 use master Select name password from syslogins order by name 记录用户列表 实施步骤 1 1 参考配置操作 参考配置操作 Mssql 企业管理器 SQL Server 组 Local Windows NT 安全性 登录 在用户上点右键选择删除 回退方案增加删除的帐户 判断依据询问管理员 哪些账号是无效账号 实施风险高 重要等级 备注 1 1 31 1 31 1 31 1 3 SHG Mssql 01 01 03SHG Mssql 01 01 03SHG Mssql 01 01 03SHG Mssql 01 01 03 编号 SHG Mssql 01 01 03 名称限制启动账号权限 实施目的限制账号过高的用户启动 sql server 问题影响 启动 mssql 的账号权限过高 会导致其子进程具有 相同权限 系统当前状态 Mssql 企业管理器 SQL Server 组 Local Windows NT 属性 右键 安全性 实施步骤 1 1 参考配置操作 参考配置操作 新建 SQL server 服务账号后 建议将其从 User 组中删除 且不要把该账号提升为 Administrators 组的成员 授予以 下 windows SQLRunAs 账户最少的权限启动 SQL Server 数 据库 回退方案替换会原来启动账号 判断依据 判定条件判定条件 查看启动账号权限 实施风险高 重要等级 备注 1 1 41 1 41 1 41 1 4 SHG Mssql 01 01 04SHG Mssql 01 01 04SHG Mssql 01 01 04SHG Mssql 01 01 04 编号 SHG Mssql 01 01 04 名称权限最小化 实施目的 在数据库权限配置能力内 根据用户的业务需要 配置其所需的最小权限 问题影响账号权限越大 对系统的威胁性越高 系统当前状态记录用户拥有权限 实施步骤 1 参考配置操作参考配置操作 a 更改数据库属性 取消业务数据库帐号不需要的服务器 角色 b 更改数据库属性 取消业务数据库帐号不需要的 数据 库访问许可 和 数据库角色中允许 中不需要的角色 2 补充操作说明补充操作说明 操作 a 用于修改数据库帐号的最小系统角色 操作 b 用于修改用户多余数据库访问许可权限和数据库内 角色 回退方案还原添加或删除的权限 判断依据业务测试正常 实施风险高 重要等级 备注 1 1 51 1 51 1 51 1 5 SHG Mssql 01 01 05SHG Mssql 01 01 05SHG Mssql 01 01 05SHG Mssql 01 01 05 编号 SHG Mssql 01 01 05 名称数据库角色 实施目的使用数据库角色 ROLE 来管理对象的权限 问题影响账号管理混乱 系统当前状态记录对应数据库用户角色权限 实施步骤 a 企业管理器 数据库 对应数据库 角色 中创建新 角色 b 调整角色属性中的权限 赋予角色中拥有对象对应的 SELECT INSERT UPDATE DELETE EXEC DR I 权限 回退方案删除相应的角色 判断依据对应用户不要赋予不必要的权限 实施风险高 重要等级 备注 1 1 61 1 61 1 61 1 6 SHG Mssql 01 01 06SHG Mssql 01 01 06SHG Mssql 01 01 06SHG Mssql 01 01 06 编号 SHG Mssql 01 01 06 名称空密码 实施目的 对用户的属性进行安全检查 包括空密码 密码更新时间 等 修改目前所有账号的口令 确认为强口令 特别是 sa 账号 需要设置至少 10 位的强口令 问题影响账号安全性低 系统当前状态 select from sysusers Select name Password from syslogins where password is null order by name 查看口令为空的用户 实施步骤 Use master exec sp password 旧口令 新口令 用户名 回退方案恢复用户密码到原来状态 判断依据 Select name Password from syslogins where password is null order by name 查看是否有账号为密码 实施风险高 重要等级 备注 2 2 2 2 日志配置日志配置日志配置日志配置 2 1 12 1 12 1 12 1 1 SHG Mssql 02 01 01SHG Mssql 02 01 01SHG Mssql 02 01 01SHG Mssql 02 01 01 编号 SHG Mssql 02 01 01 名称启用日志记录功能 实施目的 数据库应配置日志功能 对用户登录进行记录 记 录内容包括用户登录使用的账号 登录是否成功 登录时间以及远程登录时用户使用的 IP 地址 问题影响无法对用户的登陆进行日志记录 系统当前状态打开数据库属性 查看安全属性 实施步骤 打开数据库属性 选择安全性 将安全性中的审计级别调 整为 全部 身份验证调整为 SQL Server 和 Windows 回退方案 设置安全属性到原先状态 判断依据 判定条件判定条件 登录测试 检查相关信息是否被记录 实施风险低 重要等级 备注 3 3 3 3 通信协议通信协议通信协议通信协议 3 1 13 1 13 1 13 1 1 SHG Mssql 03 01 01SHG Mssql 03 01 01SHG Mssql 03 01 01SHG Mssql 03 01 01 编号 SHG Mssql 03 01 01 名称网络协议 实施目的除去不必要的服务 问题影响增加数据库安全隐患 系统当前状态 在 Microsoft SQL Server 程序组 运行服务网络实用工具 查 看协议列表 实施步骤 参考配置操作参考配置操作 在 Microsoft SQL Server 程序组 运行服务网络实用工具 建议只使用 TCP IP 协议 禁用其他协议 回退方案 添加删除的协议 判断依据 判定条件判定条件 在 Microsoft SQL Server 程序组 运行服务网络实用工具 查 看协议列表 查看是否有多余协议 实施风险高 重要等级 备注 3 1 23 1 23 1 23 1 2 SHG Mssql 03 01 02SHG Mssql 03 01 02SHG Mssql 03 01 02SHG Mssql 03 01 02 编号 SHG Mssql 03 01 02 名称加固 TCP IP 协议栈 实施目的加固 TCP IP 协议栈 加强系统防御网络攻击能力 问题影响网络防御能力弱 系统当前状态 查看 HKLM System CurrentControlSet Services Tcpip Parameters DisableIPSourceRouting HKLM SYSTEM CurrentControlSet Services Tcpip Parameters EnableICMPRedirect HKLM System CurrentControlSet Services Tcpip Parameters SynAttackProtect 注册表键值 实施步骤 参考配置操作参考配置操作 对于 TCP IP 协议栈的加固主要是某些注册表键值的 修改 主要是以下几个 HKLM System CurrentControlSet Services Tcpip Parameters DisableIPSourceRouting 说明 该键值应设为 2 以防御源路由欺骗攻击 HKLM SYSTEM CurrentControlSet Services Tcpip Parameters EnableICMPRedirect 说明 该键值应设为 0 以 ICMP 重定向 HKLM System CurrentControlSet Services Tcpip Parameters SynAttackProtect 说明 该键值应设为 2 防御 SYN FLOOD 攻击 回退方案 还原注册表更改键值 判断依据 判定条件判定条件 读取读取 HKLM System CurrentControlSet Services Tcpip Parameters DisableIPSourceRouting HKLM SYSTEM CurrentControlSet Services Tcpip Parameters EnableICMPRedirect HKLM System CurrentControlSet Services Tcpip Parameters SynAttackProtect 键值 实施风险高 重要等级 备注 3 1 33 1 33 1 33 1 3 SHG Mssql 03 01 04SHG Mssql 03 01 04SHG Mssql 03 01 04SHG Mssql 03 01 04 编号 SHG Mssql 03 01 04 名称通讯协议加密 实施目的使用通讯协议加密 问题影响数据库的不安全性增加 系统当前状态启动服务器网络配置工具 查看 常规 设置 实施步骤 参考配置操作参考配置操作 启动服务器网络配置工具 更改 常规 设置为 强制协 议加密 回退方案 恢复 强制协议加密 到原状态 判断依据启动服务器网络配置工具 查看 常规 设置 实施风险高 重要等级 备注 4 4 4 4 设备其他安全要求设备其他安全要求设备其他安全要求设备其他安全要求 4 1 14 1 14 1 14 1 1 SHG Mssql 04 01 0SHG Mssql 04 01 0SHG Mssql 04 01 0SHG Mssql 04 01 01 1 1 1 编号 SHG Mssql 04 01 01 名称停用不必要的存储过程 实施目的停用 sql server 中存在的危险存储过程 问题影响数据库的不安全性增加 系统当前状态 查看存储过程列表 实施步骤 参考配置操作参考配置操作 use master exec sp dropextendedproc xp cmdshell exec sp dropextendedproc xp dirtree exec sp dropextendedproc xp enumgroups exec sp dropextendedproc xp fixeddrives exec sp dropextendedproc xp loginconfig exec sp dropextendedproc xp enumerrorlogs exec sp dropextendedproc xp getfiledetails exec sp dropextendedproc Sp OACreate exec sp dropextendedproc Sp OADestroy exec sp dropextendedproc Sp OAGetErrorInfo exec sp dropextendedproc Sp OAGetProperty exec sp dropextendedproc Sp OAMethod exec sp dropextendedproc Sp OASetProperty exec sp dropextendedproc Sp OAStop exec sp dropextendedproc Xp regaddmultistring exec sp dropextendedproc Xp regdeletekey exec sp dropextendedproc Xp regdeletevalue exec sp dropextendedproc Xp regenumvalues exec sp dropextendedproc Xp regread exec sp dropextendedproc Xp regremovemultistring exec sp dropextendedproc Xp regwrite drop procedure sp makewebtask Go 删除测试或不必要的存储过程 一般情况下建议删除的存 储过程有 sp OACreate sp OADestroy sp OAGetErrorInfo sp OAGetProperty sp OAMethod sp OASetProperty sp OAStop sp regaddmultistring xp regdeletekey xp regdeletevalue xp regenumvalues xp regremovemultistring 除非应用程序需要否则以下存储过程也建议删除 xp perfend xp perfmonitor xp perfsample xp perfstart xp readerrorlog xp readmail xp revokelogin xp runwebtask xp schedulersignal xp sendmail xp servicecontrol xp snmp getstate xp snmp raisetrap xp sprintf xp sqlinventory xp sqlregister xp sqltrace xp sscanf xp startmail xp stopmail xp subdirs xp unc to drive xp dirtree sp sdidebug