SqlServer数据库基线检查

判定依据:
系统中不存在口令为空的登录账号则合规,否则不合规.
检查点
检查是否存在空口令账号
结果
截图
并说明符合/不符合，不符合的需整改为符合
加固方案
参考步骤:
(1).打开SQL Server Management Studio，连接相应的数据库实例.
(2).依次展开“安全性”、“登录名”节点，打开相应的帐户的属性，选择“常规”选项卡,设置密码并确认密码.
(4). 单击“更改范围”.
(5). 指定要为其阻止此端口的一系列计算机，然后单击“确定”.
如果修改了SQL Sever监听端口,请在自定义参数配置页面,修改端口参数.
Sqlserver-9
禁止SA账户远程登录
判定依据
检测步骤:
使用查询分析器,使用SA账号不能连接SQL server
判定依据:
sa登录账号不能登录数据库则合规,否则不合规.
检查点
检查SQL Server用户账号个数
结果
截图
并说明符合/不符合，不符合的需整改为符合
加固方案
参考步骤:
(1).打开SQL Server Management Studio(在SQL Server 2000下打开企业管理器),登入相应的数据库实例.
(2).依次展开“安全性”、“登录名”(在SQL Server 2000下为“登录”)节点,创建多个账户.按照实际情况赋予账户相应的角色.
判定依据
检测步骤:
执行以下命令查看LoginMode的值:
#reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft SQL Server\MSSQL.1\MSSQLServer" /v LoginMode #注意注册表路径不固定,请依据实际情况确定
判定依据:
LoginMode的值为0x2则合规,否则不合规.
检查点
检查 “服务器身份验证”模式
结果
截图
并说明符合/不符合，不符合的需整改为符合
加固方案
参考步骤:
(1).打开SQL Server Management Studio(在SQL Server 2000下打开企业管理器)，连接相应的数据库实例.
判定依据
检测步骤:
使用以下命令检查系统是否将如下扩展存储过程的执行权限赋予public角色
#select name from sysobjects where id in(select major_id from sys.database_permissionswhere grantee_principal_id=DATABASE_PRINCIPAL_ID('public') and permission_name='EXECUTE' and state_desc != 'DENY' and major_id in (select id from sysobjects where name in( 'xp_cmdshell','sp_OACreate','sp_OADestroy','sp_OAGetErrorInfo','sp_OAGetProperty','sp_OAMethod','sp_OASetProperty','sp_OAStop','xp_regaddmultistring','xp_regdeletekey','xp_regdeletevalue','xp_regenumvalues','xp_regremovemultistring','xp_sdidebug','xp_availablemedia','xp_cmdshell','xp_deletemail','xp_dirtree','xp_dropwebtask','xp_dsninfo','xp_enumdsn','xp_enumerrorlogs','xp_enumgroups','xp_enumqueuedtasks','xp_eventlog','xp_findnextmsg','xp_fixeddrives','xp_getfiledetails','xp_getnetname','xp_logevent','xp_loginconfig','xp_logininfo','xp_makewebtask','xp_msver xp_perfend','xp_perfmonitor','xp_perfsample','xp_perfstart','xp_readerrorlog','xp_readmail','xp_run ebtask','xp_schedulersignal','xp_sendmail','xp_servicecontrol','xp_snmp_getstate','xp_snmp_raisetrap','xp_sprintf ','xp_sqlinventory','xp_sqlregister','xp_sqltrace','xp_sscanf','xp_startmail' ,'xp_stopmail' ,'xp_subdirs' ,'xp_unc_to_drive')));
判定依据:
ForceEncryption的值为0x1则合规,否则不合规.
检查点
检查是否使用通讯协议加密
结果
截图
并说明符合/不符合，不符合的需整改为符合
加固方案
参考配置操作
(1).单击"开始",在 Microsoft SQL Server 程序组中,指向"配置工具",再单击"SQL Server Configuration Manager"。
加固方案
参考步骤:
(1).打开SQL Server Management Studio，连接相应的数据库实例.
(2).依次展开“安全性”、“登录名”节点，打开相应的帐户的属性，选择“常规”选项卡，勾选“强制实施密码策略”；在SQL Server 2000中，请手动检查.
Sqlserver-7
检查是否强制密码过期
(3)在"身份验证"下,只选择"Windows ".
(4) 重新启动SQL Server服务.
说明(加固该项之前请慎重):
1)此项仅在使用“使用 Windows 身份验证”的模式下适用.
2)做了此项限制,只能使用Windows账号本地登录数据库,需要赋予相应权限.
3.
Sqlserver-10
检查身份验证设置是否安全
Sqlserver-3
检查是否存在空口令登录名
判定依据
检测步骤:
执行以下命令查看系统中是否存在口令为空的登录账号:
#select * from syslogins where sid in(select sid from sysusers where issqluser=1) and password is null;
(2).依次展开“安全性”、“登录名”(在SQL Server 2000下为“登录”)节点,删除“BUILTIN\Administrators”用户.
Sqlserver-5
查看sa登录名是否被修改
判定er,登录失败.
判定依据:
重命名sa登录名名称则合规,否则不合规
(2).在数据库名称上点击右键，打开其属性对话框，选择“安全性”选项卡，将“登录审核”（在SQL Server 2000下为“审核级别”）更改为“失败和成功的登录”(在SQL Server 2000下为“全部”).
(3).重启数据库使之生效。
4.
Sqlserver-12
使用通讯协议加密
判定依据
检查步骤:
#select name from sys.sql_logins where is_policy_checked = 0 and name not like '##%';
判定依据:
系统不存在未强制实施密码策略的用户
检查点
检查是否强制实施密码策略(密码复杂度)
结果
截图
并说明符合/不符合，不符合的需整改为符合
判定依据:
AuditLevel的值为0x3则合规,否则不合规.
检查点
检查 “登录审核”级别
结果
截图
并说明符合/不符合，不符合的需整改为符合
加固方案
参考步骤:
(1).打开SQL Server Management Studio（在SQL Server 2000下打开企业管理器），连接相应的数据库实例.
1.
Sqlserver-1
检查是否按照用户分配帐号
判定依据
检测步骤:
执行以下命令查看SQL Server用户账号个数
#select count(name) from master..syslogins where isntname=0 and name not like '##%'