安全策略SQL Server标准检查表全套.docxVIP

安全策略SQLServer标准检查表

SQL-Server标准检查表

分类

测评项

预期结果

评估操作示例

整改建议

身份鉴别

SQLServer用户身份验证方式

SQLServer和Windows结合验证

企业管理器右键单击服务器属性安全性服务器身份验证

选择SQLserver和Windows结合的验证方式

查看是否存在空口令用户

不存在空口令用户

新建查询：

usemaster；

selectname,passwordfromsysloginswherepasswordisnull；

在企业管理器安全性找到登录名右键属性SQLserver身份验证中设置新的密码

sa账户口令强度

口令长度至少10位以上，包含数字，字母（大小写），特殊字符三种形式

询问管理员口令的强度

在企业管理器安全性登录名sa账户右键属性修改密码符合要求

SQLserver账户口令强度

口令长度至少10位以上，包含数字，字母（大小写），特殊字符三种形式

询问管理员口令的强度

在企业管理器安全性找到登录名右键属性修改密码符合要求

远程超时设置

远程登录超时时间一般为20分钟

在企业管理器右键服务器属性高级远程登录超时值

在企业管理器右键服务器属性高级远程登录超时值，直接修改保存

远程查询超时设置

远程查询超时设置为300秒

在企业管理器右键服务器属性连接远程查询超时值

在企业管理器右键服务器属性连接远程查询超时值，直接修改后保存

数据库身份鉴别方式是否采用除用户名/密码外其他鉴别方式

采用了除用户名/密码之外的第二种方式

可以询问管理员或在登录时查看

对于等保三级系统必须采用两种或两种以上的身份鉴别方式；

对于非等保三级的系统我们只是建议采用多种身份鉴别方式，也可以加强密码强度

访问控制

应启用访问控制功能，依据安全策略控制用户的访问权限

明确了各账户的权限

在企业管理器安全性登录名每个用户的属性中，我们可以看到该用户的服务器角色和拥有的权限，如：db_securityadmin,db_owner(全部权限)

根据实际需求，对每个用户的访问权限进行限制，对敏感的文件夹限制访问用户的权限

每个登录用户的角色和权限应该是该用户所需的最小权限

每个用户都只有该用户功能所需的权限，没有其他特殊权限

访谈管理员，了解每个用户的作用、权限，并在企业管理器中对每个用户的权限进行查看：企业管理器安全性登录名右键用户属性用户映射，查看每个用户的权限

给予账户所需最小权限，避免出现特权用户

应实现操作系统和数据库系统特权用户由不同用户担任

操作系统和数据库的特权用户的权限必须分离，避免一些特权用户拥有过大的权限，减少人为误操作

询问管理员，操作系统管理员和数据库管理员是否分离

分离数据库和操作系统的特权用户，不能使一个用户权限过大

应及时删除多余的、过期的账户

不存在多余、过期和共享账户

在企业管理器中新建查询，输入：selectnamefromsyslogins

查所有的用户名

删除多余、过期无用的账户

安全审计

数据库审核级别

数据库登录审核全部开启

企业管理器右键单击服务器属性安全性登录审核

企业管理器右键单击服务器属性安全性登录审核选择：成功和失败得登录都审核

SQL日志记录是否包括重要用户行为（如登录系统、增加/删除用户等）、系统资源异常和重要系统命令的使用（如xp_cmdshell存储过程）的日志记录

审计功能已开启，包括：登录系统、增加/删除用户等）、系统资源异常和重要系统命令的使用（如xp_cmdshell存储过程）

企业管理器管理SQLserver日志

对每个命令的操作都要进行记录，可以在安全性审核，新建审核来对系统的操作进行记录

审计记录应包括事件的日期、触发事件的主体与客体标识、事件类型、事件结果

审计记录信息中应包括日期、时间、事件类型、主体标识（如用户名等）、客体标识（如数据库表、字段戒记录等）和事件操作结果等内容

管理SQLserver日志选择当前日期的日志打开

若未开启日志记录则开启

资源控制

是否在防火墙或其他网络设备/安全设备上限制终端登录，防止数据库被非授权访问

数据库的访问受到限制

询问管理员是否在防火墙等安全设备上对数据库的访问做了限制

建议在安全设备上对数据库的访问做限制

数据库是否设置登录终端操作超时锁定时间

查询结果remotelogintimeout的run_value有最大时间的限制

sp_configureremotelogintimeout(s)

在企业管理器右键服务器属性连接使用查询调控器防止查询长时间运行，直接修改后保存