数据库安全配置手册草案 _v1.0

数据库安全配置手册

MSN China R&D

目录

1概述 (3)

1.1文档目的 (3)

1.2预期读者 (3)

1.3术语和缩写 (3)

1.4参考资料 (3)

1.5申明 (3)

2安全策略 (3)

2.1MS SQL Server启动账号 (3)

2.2生产数据库的安全部署策略 (4)

2.3禁用linked server (6)

2.4禁用xp_cmdshell (6)

2.5扩展存储过程权限管理 (7)

2.6自动存储过程的管理 (12)

2.7数据库用户密码设定及管理策略 (13)

2.8Lock page in memory权限的设定 (13)

2.9开启AWE (14)

2.10采用Windows授权的认证模式 (15)

2.11限制system administrators (15)

2.12审计登录 (15)

2.13安装64位版本SQL (15)

2.14安装的SQL Server组件 (16)

2.15数据库用户的命名规则 (16)

2.16禁用sa账号 (16)

2.17关闭remote access (18)

2.18安装之后的配置选项和设置(SQL Server 2008) (19)

2.19关闭除TCP/IP之外的其他通信协议 (20)

2.20为命名实例指定静态通信端口 (20)

2.21应用程序account的管理 (21)

2.22Service Pack和安全修补程序 (22)

2.23禁止分布式查询 (22)

2.24处理代码异常 (22)

2.25及时安装补丁 (23)

2.26生产数据库的访问策略 (23)

2.27应用程序权限的授予 (23)

2.28备份的集中管理 (23)

2.29测试及开发数据库的备份 (23)

2.30SQL代码中的安全 (23)

2.31动态 SQL的使用 (24)

2.32防止SQL注入 (24)

2.33防止数据外泄 (24)

3附件A. DTS和JOB管理权限变更 (25)

1 概述

1.1文档目的

本文档描述了为加强MS SQL Server数据库安全而需要做的设置

1.2预期读者

MS SQL Server启动账号必须不是域管理员

2.2生产数据库的安全部署策略

不允许SQL与IIS同处同一台计算机

生产数据库，必须部署在局域网内部，不允许直接连接到Internet，也不允许能够直接从Internet访问得到

不允许将SQL安装在域控制器(Domain Controller)上

必须禁用windows guest账号

SQL Guest账号只能在master数据库和tempdb数据库中出现：

默认情况下,guest账号在master和tempdb中是启动的：

默认情况下,guest账号在msdb中是启动的,这个需要确

认，并禁用：

默认情况下,guest账号在model中是禁用的,但任然需要确认确实

禁用了

确认所有用户数据库中，guest账号是禁用的

使用下面脚本禁用guest账号：

Use [msdb]

Go

revokeconnectfrom guest；

所有的SQL 文件，包括SQL本身的文件以及数据库文件，必须被放在NTFS格式的分区上

Public角色不能是securityadmin服务器角色的成员：

确保在各个数据库的db_secutiryadmin角色中没有包括public角色：

2.3禁止使用linked server

2.4禁止使用xp_cmdshell

禁用扩展存储过程xp_cmdshell：

该存储过程安装后默认是禁止的，使用如下命令确认其当前状态：sp_configure'show advanced options', 1;

GO

RECONFIGURE;

GO

sp_configure'xp_cmdshell'

GO

RECONFIGURE;

GO

为了安全起见，请确保下图configure_value和run_value均为0：

2.5扩展存储过程权限管理

确保system administrator是对以下过程唯一具有执行权限的账号： xp_regread

xp_regwrite

xp_regaddmultistring

xp_regdeleteke

xp_regdeletevalue

xp_regremovemultistring

xp_regenumvalues

xp_regenumkeys

sp_sdidebug

xp_availablemedia

xp_deletemail

xp_dirtree

xp_dropwebtask

xp_dsninfo

xp_enumdsn

xp_enumerrorlogs

xp_enumgroups

xp_enumqueuedtasks

xp_eventlog

xp_findnextmsg

xp_fixeddrives

xp_getfiledetails

xp_getnetname

xp_grantlogin

xp_logevent

xp_loginconfig

xp_logininfo

xp_makewebtask

xp_msver

xp_perfend

xp_perfmonitor

xp_perfsample

xp_perfstart

xp_readerrorlog

xp_readmail

xp_revokelogin

xp_runwebtask

xp_schedulersignal

xp_sendmail

xp_servicecontrol

xp_snmp_getstate

xp_snmp_raisetrap

xp_sprintf

xp_sqlinventory

xp_sqlregister

xp_sqltrace

xp_sscanf

xp_startmail

xp_stopmail

xp_subdirs

xp_unc_to_drive

xp_dirtree

使用下面SQL脚本检查：

select https://www.360docs.net/doc/b0480596.html, username,https://www.360docs.net/doc/b0480596.html, objectname,case [action] when 224 then'EXECUTE'

end opmethod ,

case protecttype

when 204 then'GRANT_W_GRANT'

when 205 then'GRANT'

when 206 then'REVOKE'

end protecttype from sys.system_objects a,sys.sysprotects b,sys.sysusers c

where https://www.360docs.net/doc/b0480596.html, in(

'xp_regread',

'xp_regwrite',

'xp_regaddmultistring',

'xp_regdeleteke',

'xp_regdeletevalue',

'xp_regremovemultistring',

'xp_regenumvalues',

'xp_regenumkeys',

'sp_sdidebug',

'xp_availablemedia',

'xp_deletemail',

'xp_dirtree',

'xp_dropwebtask',

'xp_dsninfo',

'xp_enumdsn',

'xp_enumerrorlogs',

'xp_enumgroups',

'xp_enumqueuedtasks',

'xp_eventlog',

'xp_findnextmsg',

'xp_fixeddrives',

'xp_getfiledetails',

'xp_getnetname',

'xp_grantlogin',

'xp_logevent',

'xp_loginconfig',

'xp_logininfo',

'xp_makewebtask',

'xp_msver',

'xp_perfend',

'xp_perfmonitor',

'xp_perfsample',

'xp_perfstart',

'xp_readerrorlog',

'xp_readmail',

'xp_revokelogin',

'xp_runwebtask',

'xp_schedulersignal',

'xp_sendmail',

'xp_servicecontrol',

'xp_snmp_getstate',

'xp_snmp_raisetrap',

'xp_sprintf',

'xp_sqlinventory',

'xp_sqlregister',

'xp_sqltrace',

'xp_sscanf',

'xp_startmail',

'xp_stopmail',

'xp_subdirs',

'xp_unc_to_drive',

'xp_dirtree'

)

and a.object_id=b.id and b.uid=c.uid 结果如下:

这里的每一行都是违规的，表示该object的execute被赋予了某用户，比如，这里的xp_regread的execute被授予了phil这个用户，是违规的，使用下面的SQL收回权限：

revokeexecuteon xp_regread from phil

revokeexecuteon xp_regread frompublic

revokeexecuteon xp_sprintf frompublic

revokeexecuteon xp_grantlogin frompublic

revokeexecuteon xp_revokelogin frompublic

revokeexecuteon xp_sscanf frompublic

revokeexecuteon xp_fixeddrives frompublic

revokeexecuteon xp_msver frompublic

revokeexecuteon xp_dirtree frompublic

revokeexecuteon xp_getnetname frompublic

再次运行：

select https://www.360docs.net/doc/b0480596.html, username,https://www.360docs.net/doc/b0480596.html, objectname,case [action] when 224 then'EXECUTE'

end opmethod ,

case protecttype

when 204 then'GRANT_W_GRANT'

when 205 then'GRANT'

when 206 then'REVOKE'

end protecttype from sys.system_objects a,sys.sysprotects b,sys.sysusers c

where https://www.360docs.net/doc/b0480596.html, in(

'xp_regread',

'xp_regwrite',

'xp_regaddmultistring',

'xp_regdeleteke',

'xp_regdeletevalue',

'xp_regremovemultistring', 'xp_regenumvalues',

'xp_regenumkeys',

'sp_sdidebug',

'xp_availablemedia',

'xp_deletemail',

'xp_dirtree',

'xp_dropwebtask',

'xp_dsninfo',

'xp_enumdsn',

'xp_enumerrorlogs',

'xp_enumgroups',

'xp_enumqueuedtasks',

'xp_eventlog',

'xp_findnextmsg',

'xp_fixeddrives',

'xp_getfiledetails',

'xp_getnetname',

'xp_grantlogin',

'xp_logevent',

'xp_loginconfig',

'xp_logininfo',

'xp_makewebtask',

'xp_msver',

'xp_perfend',

'xp_perfmonitor',

'xp_perfsample',

'xp_perfstart',

'xp_readerrorlog',

'xp_readmail',

'xp_revokelogin',

'xp_runwebtask',

'xp_schedulersignal',

'xp_sendmail',

'xp_servicecontrol',

'xp_snmp_getstate',

'xp_snmp_raisetrap',

'xp_sprintf',

'xp_sqlinventory',

'xp_sqlregister',

'xp_sqltrace',

'xp_sscanf',

'xp_startmail',

'xp_stopmail',

'xp_subdirs',

'xp_unc_to_drive',

'xp_dirtree'

)

and a.object_id=b.id and b.uid=c.uid

确保返回的结果集合为空

2.6自动存储过程的管理

丢弃以下自动存储过程：

sp_OACreate

sp_OADestroy

sp_OAGetErrorInfo

sp_OAGetProperty

sp_OAMethod

sp_OASetProperty

sp_OAStop

这些存储过程安装后默认是禁止的，使用如下命令确认其当前状态：

USEmaster;

GO

EXEC sp_configure'show advanced option','1';

go

exec sp_configure'Ole Automation Procedures'

go

为了安全起见，请确保下图configure_value和run_value均为0：

2.7数据库用户密码设定及管理策略

操作员（包括普通用户和数据库管理员）访问数据库的密码，实际就是域账号密码，由操作员自己保存，不得透露给任何人，密码要求每3个月修改一次。

应用程序用户密码由安全管理员设置和保管，不能告知任何人

密码长度要求大于等于13位，必须包含数字和字母，大小写，特殊字符。Web应用程序和普通应用程序登录数据库的密码必须加密后保存在配置文件中。

数据库系统管理员的密码（也就是SQL Server启动账号密码）长度要求大于等于13位，必须包含数字和字母，大小写，特殊字符。2.8Lock page in memory权限的设定

SQL启动账号须被授予Lock page in memory权限：

Start->Run…->gpedit.msc

2.9开启AWE

为SQL开启AWE

2.10采用Windows授权的认证模式

数据库服务器的访问，采用Windows授权的认证模式：

2.11限制system administrators

限制system administrators (NT or SQL)，所有加入Chn/dbadmin组的成员，都具有windows和SQL的管理员权限，因此需要严格控制其成员

2.12审计登录

审计登录失败的日志：

2.13安装64位版本SQL

非特殊情况，所有MS SQL Server均应安装64位版本；

内存在4GB及以下，且可预见不会添加内存的服务器建议安装32位Windows与SQL

2.14安装的SQL Server组件

SQL Server2005/2008及后续版本数据库服务器只需要基本安装（包括数据库引擎和客户端管理工具，其中全文索引服务，开发工具和工具包不需要装），SSIS，SSRS,SSAS根据应用需要进行选择安装

2.15数据库用户的命名规则

数据库访问采用Windows授权的认证模式方式访问。

为了方便管理，我们采用域账号访问数据库。

Web Server上须要用network service，在数据库端配置用ssip，只允许用域的 Web的机器帐号访问。

2.16禁用sa账号

针对已经安装且使用Mixed认证模式的SQL实例，禁用sa：

注：为避免不必要的麻烦，请先将SQL Server启动账号加入到SQL Server的sysadmin组，然后再禁用sa

在安装时，如果选在Windows授权认证，则自动会禁用sa账号，下图显示了安装过程中选则windows认证模式且将windows启动账号加入到了SQL Server administrators（sysadmin）组中的UI:

设置JOB的Owner为SQL启动账号：

所有JOB的Owner都设置成SQL启动账号，可以使用下面代码

查询各个作业的Owner:

select https://www.360docs.net/doc/b0480596.html, NameOfJob,https://www.360docs.net/doc/b0480596.html, NameOfJobOwner from msdb.dbo.sysjobs

a ,sys.syslogins

b where a.owner_sid=b.sid

对于Owner不是SQL启动账号的，请在相应JOB的Properties里去修改：

2.17关闭remote access

USEmaster;

GO

EXEC sp_configure'show advanced option','1';

go

exec sp_configure'remote access'

go

请确保红色框中的config_vaule和run_value的值都是0：

如果不是0，则执行如下代码：

USEmaster;

GO

EXEC sp_configure'remote access','0';

RECONFIGUREWITHOVERRIDE;

然后重启SQL实例，并再次确认：

USEmaster;

GO

EXEC sp_configure'show advanced option','1';

go

exec sp_configure'remote access'

go

2.18安装之后的配置选项和设置(SQL Server 2008)

禁用SQL Server VSS Writer服务

从生产服务器中删除示例数据库。

修正Public用户对DTS和JOB管理权限。（参见附件D的运行指令） JOB的最大记录数调整为50000，单个JOB的最大日志数为2000。

对sysadmin操作、固定角色成员身份更改、所有与登录相关的活动以及密码更改启用安全审核（只适用关键服务器，订单，用户，财

务，开发）。

禁用SQL邮件功能