中国联通内网SQL数据库安全基线配置指南.doc

中国联通内网SQL数据库安全配置指南(试行)目 录前 言III1范围12定义与缩略语12.1定义12.2缩略语13安全配置要求13.1操作系统安全13.2互联网访问安全13.3服务器应用安全23.4测试开发环境安全23.5SQL Server服务帐户安全23.6磁盘分区安全23.7目录安全33.8SQL Server补丁33.9SQL Server端口33.10范例数据库33.11停用SQL Server的命名管道43.12删除扩展的存储过程43.13SQL Server属性配置常规选项43.14SQL Server属性配置连接选项43.15SQL Server属性配置数据库设置选项53.16SQL 登录帐号53.17审计信息检查53.18审计启用53.19审计日志63.20数据库备份64评审与修订6前 言为确保中国联通信息系统的网络支撑和内网信息安全，指导各省级分公司做好SQL数据库的安全维护相关工作，在研究国际先进企业最佳实践的基础上，结合中国联通内网信息安全现状和实际需求，特制定本配置指南。本文档由中国联合网络通信有限公司管理信息系统部提出并归口管理。本文档起草单位：中国联合网络通信有限公司、系统集成公司。本文档主要起草人：钮吉安，安莹。本文档解释单位：中国联合网络通信有限公司管理信息系统部。1 范围本文档规定了中国联通范围内安装有SQL数据库的主机应当遵循的安全性设置标准，本文档旨在指导系统管理人员进行SQL数据库的安全配置。本文档适用版本：SQL数据库本文档的适用范围为中国联通集团总部、各直属单位、各省级分公司。2 定义与缩略语2.1 缩略语下列符号和缩略语适用于本标准：术语及缩写英文中文SQLStructured Query Language结构化查询语言3 安全配置要求3.1 操作系统安全配置项名称 操作系统安全项目描述确认SQL Server所安装在的服务器的安全性。此服务器需要经过安全评估与加固，详细内容参阅中国联通内网Windows 2003 Server安全配置指南、中国联通内网Windows NT/2000 Server安全配置指南。操作步骤安全建议建议SQL Server所安装在的服务器要经过安全评估与加固备注3.2 互联网访问安全配置项名称 互联网访问安全项目描述如果数据库需要接受来自互联网的访问，则需要确认其安全性。操作步骤安全建议如果数据库服务器需要接受来自互联网的访问，建议把数据库服务器放置在DMZ区，并使用两级不同种类的防火墙来保护数据库。备注3.3 服务器应用安全配置项名称 服务器应用安全项目描述确保安装了数据库服务的服务器不提供其他的服务，例如WEB、Mail等，其他服务的漏洞可能会导致数据库服务的不安全。操作步骤安全建议建议确保安装了数据库服务的服务器不提供其他的服务备注3.4 测试开发环境安全配置项名称 测试开发环境安全项目描述确保测试开发环境数据库与真实的生产环境数据库不在同一个网段内。操作步骤安全建议确保测试开发环境数据库与真实的生产环境数据库不在同一个网段内。备注3.5 SQL Server服务帐户安全配置项名称 SQL Server服务帐户安全项目描述应该尽量减少SQL Server服务帐号的权限。操作步骤工作组环境：开始-管理工具-本地安全策略-用户权限分配-拒绝本地登录，添加SQL Server服务帐户或组。安全建议拒绝此服务帐号本地登陆的权限。如果此服务的帐号为域帐号，确保此帐号只能登陆数据库服务器。备注在域环境应该在组策略中设置。3.6 磁盘分区安全配置项名称 磁盘分区安全项目描述检查数据库所在的磁盘是否为NTFS格式。操作步骤我的电脑-数据库所在的磁盘右键属性-常规，文件系统安全建议数据库所在的磁盘的分区格式为NTFS格式。设置命令：在cmd命令行下运行：convert volume /FS:NTFS备注Volume为数据库所在的磁盘，且转换是单向的。3.7 目录安全配置项名称 目录安全项目描述检查数据库所在目录的访问权限。操作步骤检查数据库所在目录右键属性-安全。安全建议保证只有授权的用户和管理员组和系统能够完全控制数据库目录。删除所有用户，只添加授权的用户备注3.8 SQL Server补丁配置项名称 SQL Server补丁项目描述审核SQL Server补丁是否为最新。操作步骤执行命令Select version 或 企业管理器-SQL Server-属性查看或打开查询分析器-帮助-关于。安全建议确保SQL Server的补丁为最新的。下载并安装最新的补丁备注SQL Server2000的版本和补丁号对应关系如下： 8.00.194 -SQL Server 2000 RTM 8.00.384 -(SP1) 8.00.534 -(SP2) 8.00.760 -(SP3)8.00.2039-(SP4)SQL Server2005的版本和补丁号对应关系如下：9.00.2047- SQL Server2005 SP19.00.3042-SQL Server2005 SP29.00.3043- SQL Server2005 SP29.00.4035- SQL Server2005 SP33.9 SQL Server端口配置项名称 SQL Server端口项目描述审核SQL Server的服务端口。操作步骤服务器网络实用工具-常规-选中TCP/IP点属性安全建议避免使用默认的1433和1434端口。备注3.10 范例数据库配置项名称 范例数据库项目描述检查范例数据库。操作步骤从企业管理器中查看安全建议删除范例数据库，如Northwind，Pubs。 use master drop database Northwind，Pubs或从企业管理器中删除备注3.11 停用SQL Server的命名管道配置项名称 SQL Server的命名管道项目描述停用SQL Server的命名管道操作步骤服务器网络实用工具-常规。 安全建议建议停用SQL Server的命名管道备注3.12 删除扩展的存储过程配置项名称 扩展的存储过程项目描述删除扩展存储过程。操作步骤从企业管理器打开master数据库的扩展存储过程安全建议扩展存储过程给系统带来很大风险，建议删除，必要时再恢复 。将master数据库的扩展存储过程删除备注3.13 SQL Server属性配置常规选项配置项名称 SQL Server属性配置常规选项设置项目描述修改SQL Server属性配置常规选项的默认配置操作步骤打开SQL Server属性配置常规选项，检查自动启动MSDTC的设置。安全建议建议修改SQL Server属性配置常规选项的默认配置；自动启动MSDTC设为off备注3.14 SQL Server属性配置连接选项配置项名称 SQL Server属性配置连接选项设置项目描述修改SQL Server属性配置连接选项的默认配置操作步骤打开SQL Server属性配置连接选项安全建议修改SQL Server属性配置连接选项的默认配置；将允许其他SQL Server使用RPC远程连接到本SQL Server设为off备注3.15 SQL Server属性配置数据库设置选项配置项名称 SQL Server属性配置数据库设置选项设置项目描述修改SQL Server属性配置数据库设置选项的默认配置操作步骤打开SQL Server属性配置数据库设置选项安全建议建议修改SQL Server属性配置数据库设置选项的默认配置，超时期限隔5分钟重试；默认的备份媒体保持期为1天。备注3.16 SQL 登录帐号配置项名称 SQL登录帐号项目描述查看SQL登录帐号的密码复杂性操作步骤Use master Select name,Password from syslogins where password is null。安全建议确认不存在空密码的帐号，及密码要符合复杂性要求。设置满足复杂度要求的密码备注3.17 审计信息检查配置项名称 审计信息检查项目描述审核是否会定期的检查审计信息操作步骤与数据库管理员沟通，询问是否有人或其他手段会定期的检查审计信息。安全建议建议定期的检查审计信息备注3.18 审计启用配置项名称 审计启用项目描述审核是否启用了审计功能操作步骤企业管理器SQL Server属性（配置）-安全性-审核级别安全建议启用对数据库登陆的审计。审核级别选择失败备注3.19 审计日志配置项名称 审计日志项目描述审核是否会定期的导出审计日志操作步骤与数据库管理员沟通，询问是否有人或其他手段会定期的导出审计日志。安全建议建议定期的导出审计日志，以备查询备注3.20 数据库备份