sqlserver等保测评作业指导书
三级测评指导书--等保2.0通用标准
网闸、防火墙、路由器、交换机和无线接入网关设备等提供访问控制功能的设备或相关组件
1)应核查是否采用会话认证等机制为进出数据流提供明确的允许／拒绝访问的能力；2)应测试验证是否为进出数据流提供明确的允许／拒绝访问的能力
入侵防范
应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为
应保证网络各个部分的带宽满足业务高峰期需要
综合网管系统等
1)应核查综合网管系统各通信链路带宽是否满足高峰时段的业务流量需要；2)应测试验证网络带宽是否满足业务高峰期需求
应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址
路由器、交换机、无线接入设备和防火墙等提供网络通信功能的设备或相关组件
测评项
测评对象
测评检查内容
网络架构
应保证网络设备的业务处理能力满足业务高峰期需要
路由器、交换机、无线接入设备和防火墙等提供网络通信功能的设备或相关组件
1)应核查业务高峰时期一段时间内主要网络设备的CPU使用率和内存使用率是否满足需要；2)应核查网络设备是否从未出现过因设备性能问题导致的岩机情况；3)应测试验证设备是否满足业务高峰期需求
1)应核查是否依据重要性、部门等因素划分不同的网络区域；2)应核查相关网络设备配置信息，验证划分的网络区域是否与划分原则一致
应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段
网络拓扑
1)应核查网络拓扑图是否与实际网络运行环境一致；2)应核查重要网络区域是否未部署在网络边界处；3)应核查重要网络区域与其他网络区域之间是否采取可靠的技术隔离手段，如网闸、防火墙和设备访问控制列表(ACL)等
数据库安全评估检查表SQLServer样本
SQL Server安全检查流程
1.
编号规则：设备类型_客户名称_部门名称_数字编号。
设备类型（SV－服务器；PC-终端；FW－防火墙，RO-路由器，SW-互换机）；
客户名称（拼音缩写）；
部门名称（拼音缩写）；
数字编号使用三位数字顺序号。
2.
主机信息表
设备名称
设备编号
设备位置
正式域名/主机名
外部IP地址
内部IP地址
网关
域名服务器
操作系统
版本号
中央解决器
内存
外部存储设备
名称
应用服务及版本状况
其她信息
3.
3.1.
编号：
SQL-01001
名称：
获取版本号与启动方略
阐明：
获取SQL Server版本号与启动方略
检查办法：
开始菜单->程序->Microsoft SQL Server->公司管理器->控制台目录->Microsoft SQL Servers->SQL Server组，在要查看服务器上右键查看“属性”->“常规”
3.3.
编号：
SQL-03001
名称：
获取SQL Server系统中账号
阐明：
获取当前SQL Server系统中所有顾客信息
检查办法：
开始菜单->程序->Microsoft SQL Server->SQL查询分析器，登录后在查询中输入：
use master
Select name,password
from syslogins
检查风险（对系统影响，请详细描述）：
无
检查成果：
SGISLOPSA2910Windows等级保护测评作业指导书(三级)
#*
控制编号：SGISL/OP-SA29-10
信息安全等级保护测评作业指导书Windows主机（三级）
版号：第 2 版
修改次数：第0 次
生效日期：2010年01月06日
中国电力科学研究院信息安全实验室
一、身份鉴别
1．用户身份标识和鉴别
2．账号口令强度
3．检查帐户锁定策略
4．远程管理方式
5．用户名具有唯一性
6．身份鉴别
二、访问控制
1．控制用户对资源的访问
2．用户权限检查
3．用户的权限分离
4．账户权限配置
5．系统是否存在多余帐号
6．资源敏感标记设置检查
7．有敏感标记的资源访问
三、安全审计1．审计内容
2．审计日志分析
3．保护进程
4．系统日志存储
四、剩余信息保护1．鉴别信息保护
2．存储文件剩余信息保护
五、入侵防范
1．操作系统补丁及程序安装原则
2．攻击事件的纪录情况
3．系统完整性及恢复
六、恶意代码防范
1．检查系统防病毒软件部署
2．恶意代码统一管理
3．代码库检查
七、资源控制1．限制终端登录
2．终端超时注销
3．查看用户资源使用限度
4．性能监视情况检查
#*
5．报警设置检查。
等级保护测评实施指导书
等级保护测评实施指导书1.测评准备阶段1.1项目启动1）项目经理负责与被测单位进行沟通。
向被测单位了解被测信息系统基本情况，包括测评范围、系统需要达到的等级、具体测评内容的调整情况，以及其他有关信息系统的情况，明确测评需求和测评范围；项目经理介绍测评工作流程及实施测评工作，并告知被测单位提前做好准备工作。
与被测单位就具体的测评合同和保密协议内容进行洽商。
协助客户主管与被测单位签署测评合同和保密协议。
2）双方签署测评合同和保密协议后，被测单位提交相关材料和附件，项目经理负责对提交的文档进行完整性审查，审核文档是否满足实施测评工作的要求。
如果文档不够详细完备，则与被测单位沟通，要求被测单位进一步完善文档材料。
1.2信息收集和分析1）项目经理协助客户填写（LD-CS-29《信息系统基本情况调查表》）。
2）项目经理收回填写完成的调查表格，各测评项目小组分析调查结果，了解和熟悉被测系统的实际情况。
分析的内容包括被测系统的基本信息、物理位置、行业特征、管理框架、管理策略、网络及设备部署、软硬件重要性及部署情况、范围及边界、业务种类及重要性、业务流程、业务数据及重要性、业务安全保护等级、用户范围、用户类型、被测系统所处的运行环境及面临的威胁等。
这些信息可以重用自查或上次等级测评报告中的可信结果。
3）如果调查表格填写不准确或不完善或存在相互矛盾的地方较多，测评机构应安排现场调查，与被测系统相关人员进行面对面的沟通和了解。
1.3工具和表单准备测评项目组成员在进行现场测评之前，应熟悉与被测系统相关的各种组件、调试测评工具、准备各种表单等。
1）测评人员调试本次测评过程中将用到的测评工具，包括漏洞扫描工具、渗透性测试工具、性能测试工具和协议分析工具等。
2）测评人员模拟被测系统搭建测评环境。
3）准备和打印表单，主要包括：测评流程单（LD-CS-18《测评流程单》）、文档交接单（LD-CS-19《接收/归还样品清单》）、会议记录表单（LD-GL-09《会议记录》）、会议签到表单（LD-GL-10《会议签到表》）等。
sqlserver等保测评作业指导书
sqlserver等保测评作业指导书SQL Server等保测评作业指导书任务目标：评估SQL Server数据库的安全性，发现潜在的安全风险并提出改进建议。
背景信息：SQL Server是一种常见的关系型数据库管理系统，广泛应用于企业的数据存储和管理。
为确保数据库的安全性，评估SQL Server的等保能力非常重要。
作业步骤：1. 收集信息：收集与目标数据库相关的信息，包括数据库版本、服务器配置、网络连接情况等。
2. 安全策略分析：分析目标数据库的安全策略，包括密码策略、用户访问控制策略、审计策略等。
评估这些策略是否符合最佳实践，并提出改进建议。
3. 数据库访问权限评估：评估数据库用户的访问权限，包括读取、写入和修改数据的权限。
检查是否存在过多或不必要的权限，并建议进行权限管理和控制。
4. 数据库加密评估：评估数据库中存储的敏感数据是否进行了适当的加密。
检查加密算法、密钥管理和访问控制机制，并提出改进建议。
5. 异常检测与防护评估：评估数据库是否具备异常检测和防护能力。
检查是否有日志记录、报警机制和入侵检测系统，并建议进行必要的配置和改进。
6. 数据备份与恢复评估：评估数据库的备份和恢复策略，包括备份频率、备份介质和备份恢复测试。
检查备份策略是否满足业务需求，并建议进行改进。
7. 补丁和升级评估：评估数据库的补丁和升级情况，确保数据库的安全补丁及时安装，并检查升级过程中是否存在风险和影响。
提供补丁管理和升级规划的建议。
8. 安全审计评估：评估数据库的安全审计功能，包括审计日志记录、审计策略和审计数据保护。
检查审计功能是否开启并满足合规需求，并提供改进建议。
9. 建立评估报告：根据上述评估结果，编写评估报告，包括潜在安全风险的描述、建议改进措施和优先级排序。
报告应具备清晰的结构，并使用易于理解的语言描述。
注意事项：- 在评估过程中，需保证对数据库的正常运行不造成任何损害。
- 评估过程中应注重保密，仅与评估的相关人员共享评估结果。
SQL-server作业指导书
SQL Server审计作业指导书目录1。
数据库系统应用用户的身份鉴别 (4)2.数据库系统的失败处理 (5)3.检查加密设置 (6)4。
数据库系统用户的身份标识应具有唯一性 (7)5。
数据库系统用户的身份鉴别方式 (9)6。
检查Xp_cmdshell权限 (10)7.检查跨数据库所有权链接 (12)8.检查程序文件的权限 (13)9。
检查数据文件的权限 (14)10。
数据库系统sa用户的身份鉴别 (15)11.应严格限制默认用户的访问权限 (17)12.检查SQL Server调试账户 (19)13.应依据安全策略控制主体对客体的访问 (20)14。
权限分离 (21)15。
检查安装日志文件 (22)16.安全审计范围 (23)17.SQL Server数据库是否安装最新的补丁 (24)18。
系统启用不需要的服务 (26)19。
特定事件的实时报警 (27)20.重要信息的恢复 (28)21.系统资源控制 (29)22。
表空间的利用率 (31)23.检查监听端口 (32)24。
系统重要信息的备份 (33)25。
重要业务系统级热备 (35)26.检查示例数据库 (36)27.检查服务器属性 (37)28.检查SQL Server使用的协议 (38)29.应由授权主体设置对客体访问和操作的权限 (39)30.检查服务器独立性 (41)1.数据库系统应用用户的身份鉴别审计项编号DAT—DB-SQL—01主机安全:身份鉴别b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点,口令应有复杂度要求并定期更换审计项名称数据库系统应用用户的身份鉴别审计项描述数据库系统用户的身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期更新等。
审计步骤执行:在master库中,select ＊from syslogins where password is null，查看有无空口令用户。
询问：数据库管理员询问口令的管理要求（口令的长度,口令复杂性，口令更新周期)。
三级等保SQL数据库指导书(三级)
控制点控制项核查内容核查方法推荐值结果判定备注身份鉴别a)应对登录数据库系统的用户进行身份标识和鉴别检查数据字典useruse mysql;select user from user;右击服务器-属性-安全性-身份验证显示所有能登录数据库的用户信息选：“sql server 和windows”全部不符合：0分全部符合：5分身份鉴别b)数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换询问管理员使用的口令（如默认帐号root）是否复杂度，并且是否定期进行更换询问口令长度8位定期更换口令全部不符合：0分全部符合：5分口令复杂度3定期更换2身份鉴别c)应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施查看my.ini文件中max_connect_errors参数的值查看安装目录下my.ini配置文件的max_connect_errors参数max_connect_errors = 5全部不符合：0分全部符合：5分登录失败次数2自动退出1口令锁定2身份鉴别d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听询问管理员通过何种方式管理数据库询问使用的管理工具应能对网络传输的数据进行加密全部不符合：0分全部符合：5分配置sql server保证传输加密身份鉴别e)应为数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性询问数据库管理员是否存在多个用户使用同一帐号的情况询问不使用同一帐号进行管理全部不符合：0分全部符合：5分几个人使用数据库，存在几个账户访问控制a)应启用访问控制功能，依据安全策略控制用户对资源的访问1、查看mysql库中的user、db表2、查看是否进行了访问控制1、use mysql;select * from user;select * from db;2、询问管理员是否能提供用户权限对照表，设置的用户是否与权限表一致3、注意查看user、db表中的host字段值，是否进行了远程访问控制use mysql;select host,user，password from user；1、制定了用户权限表，并根据权限表进行分配用户2、对于远程访问的帐号进行IP限制，建议不要设置为%host值说明：% ：在任意IP地址均可使用该用户帐号远程访问数据库localhost ：该帐号只能本机登录IP地址：该帐号只有在该IP地址上才能登录全部不符合：0分全部符合：5分用户权限表3远程访问限制2访问控制b)应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限查看mysql库中的user、db表1、use mysql;select * from user;select * from db;2、询问管理员是否能提供用户权限对照表，设置的用户是否与权限表一致3、注意查看user表中File_priv、shutdown_priv、grant_priv权限1、授予各帐号用户所需的最小权限2、尽可能不要用user权限表进行授权，该表的权限都是全局级的。
7SQLServer2022年测评指导书三级S3A3G3
序号类别测评项测评实施1〕开放效劳器组，编辑SQL Server 注册属性，查看身份认证方式；预期结果说明1）选中“使用SQL Server身份认证”，a)应对登录操作系统和数据库系统的用户进展身份标识和鉴别；或者2）直接登录SQL Server 企业治理器，试图连接数据库，查看系统是否消灭用户和密码的输入框。
1〕询问是否在安装时马上修改sa 口令，用该用户和常见密码试图登录数据库系统，查看是否成功。
并且选中“总是提示输入用户名和密应避开操作系统治理员对数码”。
据库系统进展直接治理。
2）提示用户输入密码。
b)操作系统和数据库系统管身理用户身份标识应具有不易1鉴被冒用的特点，口令应有复别杂度要求并定期更换；2）在SQL 查询分析器中执行命令：use masterselect * from syslogins where password isnull查看是否有空口令用户。
3）询问口令的治理要求，如口令的长度、口令简单性和口令更周期等方面的治理要求。
1）sa 用户的口令不是常见口令。
2）无空口令用户。
3）口令治理制度规定口令设置的复杂度要求，至少包括：字符数字混合、长度不低于8 位。
SQL Server2022 未供给技术手段来强制要求口令的简单性，因此，只能通过治理手段来进展强化用户口令的简单性。
c)应启用登录失败处理功能，可实行完毕会话、限制非法1〕访谈系统治理员，了解是否实行第三登录次数和自动退出等措方工具实现该功能。
施；1）〕假设没有承受第三方工具或对SQL Server2022 安全功能进展增加，则该项要求为不符合。
SQL Server2022 默认没有供给登录失败处理功能。
份第页共8 页第 页 共 8 页问序号类别 测评项测评实施 预期结果 说明d)当对效劳器进展远程治理时，应实行必要措施，防止鉴别信息在网络传输过程中被窃听；1） 询问是否能对数据库进展远程治理； 假设能够对数据库进展远程治理，则 2） 在效劳器网络有用工具中查看是否启 应选中“强制协议加密(C)”，并对其用“强制协议加密(C)”。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
SQL Server等保测评作业指导书
1. 任务背景
随着信息化建设的不断推进，数据库的安全性和稳定性变得越来越重要。
SQL Server是一种常用的关系型数据库管理系统，为了保障其安全性，需要进行等保
测评。
等保测评是指对信息系统进行一系列安全性评估的过程，旨在评估系统的安全性能和安全等级，并提出相应的安全措施和建议，以确保系统在运行过程中的安全性。
本作业指导书将介绍SQL Server等保测评的步骤和要求，并提供相应的操作指南。
2. 测评步骤
SQL Server等保测评主要包括以下步骤：
2.1. 需求分析
在进行等保测评之前，需要明确测评的目标和需求。
根据具体的系统情况和安全等级要求，确定测评的内容和范围。
2.2. 系统资产识别
对SQL Server系统进行资产识别，包括识别系统的硬件、软件、网络设备等。
同时，还需要识别系统的数据资产，包括数据库、表、视图、存储过程等。
2.3. 安全策略评估
评估系统的安全策略，包括访问控制、身份认证、密码策略、审计策略等。
检查系统是否有良好的安全策略，并对其进行评估。
2.4. 安全配置评估
评估系统的安全配置，包括数据库的安全配置、网络的安全配置等。
检查系统是否按照最佳实践进行配置，并对其进行评估。
2.5. 安全漏洞评估
评估系统的安全漏洞，包括漏洞扫描、漏洞利用等。
检查系统是否存在已知的安全漏洞，并对其进行评估。
2.6. 安全事件响应评估
评估系统的安全事件响应能力，包括事件监测、事件响应等。
检查系统是否具备及时发现和响应安全事件的能力，并对其进行评估。
2.7. 安全管理评估
评估系统的安全管理措施，包括安全培训、安全管理制度等。
检查系统的安全管理是否合规，并对其进行评估。
2.8. 编写测评报告
根据测评的结果，编写测评报告，包括系统的安全性评估、安全等级评定、存在的安全问题和建议的安全措施等。
3. 操作指南
以下是SQL Server等保测评的操作指南：
3.1. 需求分析
明确测评的目标和需求，根据具体情况确定测评的内容和范围。
3.2. 系统资产识别
使用SQL Server Management Studio等工具，识别系统的硬件、软件、网络设备
等资产。
3.3. 安全策略评估
检查系统的访问控制、身份认证、密码策略、审计策略等安全策略，评估其合规性和有效性。
3.4. 安全配置评估
检查系统的数据库安全配置、网络安全配置等，评估其是否按照最佳实践进行配置。
3.5. 安全漏洞评估
使用漏洞扫描工具，对系统进行漏洞扫描，评估系统是否存在已知的安全漏洞。
3.6. 安全事件响应评估
检查系统的事件监测、事件响应等能力，评估其及时发现和响应安全事件的能力。
3.7. 安全管理评估
检查系统的安全培训、安全管理制度等，评估其安全管理是否合规。
3.8. 编写测评报告
根据测评的结果，编写测评报告，包括系统的安全性评估、安全等级评定、存在的安全问题和建议的安全措施等。
4. 结论
SQL Server等保测评是保障系统安全性的重要手段，通过对系统的安全性进行评估，可以发现存在的安全问题，并提出相应的安全措施和建议。
通过本作业指导书，你可以了解SQL Server等保测评的步骤和要求，并掌握相应的操作指南。
希望本
指导书对你进行SQL Server等保测评提供帮助。