SQL server 基线安全加固操作

目录

账号管理、认证授权  ELK-Mssql-01-01-01

ELK-Mssql-01-01-02

 ELK-Mssql-01-01-03

​​​​​​​ ELK-Mssql-01-01-04

​​​​​​​ ELK-Mssql-01-01-05

​​​​​​​ELK-Mssql-01-01-06

日志配置  ELK-Mssql-02-01-01

通信协议 ELK-Mssql-03-01-01

​​​​​​​ELK-Mssql-03-01-02

​​​​​​​ ELK-Mssql-03-01-04

设备其他安全要求 ELK-Mssql-04-01-01

​​​​​​​ELK-Mssql-04-01-02

  1. 账号管理、认证授权  ELK-Mssql-01-01-01

编号

ELK-Mssql-01-01-01

名称

为不同的管理员分配不同的账号

实施目的

应按照用户分配账号，避免不同用户间共享账号,提高安全性。

问题影响

账号混淆，权限不明确，存在用户越权使用的可能。

系统当前状态

use master

Select name,password from syslogins order by name

记录用户列表

实施步骤
  1. 参考配置操作

sp_addlogin 'user_name_1','password1'

sp_addlogin 'user_name_2','password2'

或在企业管理器中直接添加远程登陆用户

建立角色，并给角色授权，把角色赋给不同的用户或修改用户属性中的角色和权限

  1. 补充操作说明

1、user_name_1和user_name_1是两个不同的账号名称，可根据不同用户，取不同的名称；

回退方案

删除添加的用户

判断依据

询问管理员是否安装需求分配用户账号

实施风险

高

重要等级

★★★

备注

ELK-Mssql-01-01-02

编号

ELK-Mssql-01-01-02

名称

删除或锁定无效账号

实施目的

删除或锁定无效的账号，减少系统安全隐患。

问题影响

允许非法利用系统默认账号

系统当前状态

use master

Select name,password from syslogins order by name

记录用户列表

实施步骤

1、参考配置操作

Mssql企业管理器-> SQL Server组

->(Local)(Windows NT)->安全性->登录

在用户上点右键选择删除

回退方案

增加删除的帐户

判断依据

询问管理员,哪些账号是无效账号

实施风险

高

重要等级

★★★

备注

 ELK-Mssql-01-01-03

编号

ELK-Mssql-01-01-03

名称

限制启动账号权限

实施目的

限制账号过高的用户启动sql server

问题影响

启动mssql的账号权限过高,会导致其子进程具有相同权限.

系统当前状态

Mssql企业管理器-> SQL Server组

->(Local)(Windows NT)-属性(右键)-安全性

实施步骤

1、参考配置操作

新建SQL server服务账号后，建议将其从User组中删除，且不要把该账号提升为Administrators组的成员。授予以下windows SQLRunAs账户最少的权限启动 SQL Server数据库。

回退方案

替换会原来启动账号

判断依据

判定条件

查看启动账号权限.

实施风险

高

重要等级

★★★

备注

​​​​​​​ ELK-Mssql-01-01-04

编号

ELK-Mssql-01-01-04

名称

权限最小化

实施目的

在数据库权限配置能力内，根据用户的业务需要，配置其所需的最小权限。

问题影响

账号权限越大,对系统的威胁性越高

系统当前状态

记录用户拥有权限

实施步骤
  1. 参考配置操作
  1. 更改数据库属性，取消业务数据库帐号不需要的服务器角色；
  2. 更改数据库属性，取消业务数据库帐号不需要的“数据库访问许可”和“数据库角色中允许”中不需要的角色。
  1. 补充操作说明

操作a)用于修改数据库帐号的最小系统角色

操作b)用于修改用户多余数据库访问许可权限和数据库内角色

回退方案

还原添加或删除的权限

判断依据

业务测试正常

实施风险

高

重要等级

★

备注

​​​​​​​ ELK-Mssql-01-01-05

编号

ELK-Mssql-01-01-05

名称

数据库角色

实施目的

使用数据库角色（ROLE）来管理对象的权限。

问题影响

账号管理混乱

系统当前状态

记录对应数据库用户角色权限

实施步骤
  1. 企业管理器-〉数据库-〉对应数据库-〉角色-中创建新角色；
  2. 调整角色属性中的权限，赋予角色中拥有对象对应的SELECT、INSERT、UPDATE、DELETE、EXEC、DRI权限

回退方案

删除相应的角色

判断依据

对应用户不要赋予不必要的权限

实施风险

高

重要等级

★

备注

​​​​​​​ELK-Mssql-01-01-06

编号

ELK-Mssql-01-01-06

名称

空密码

实施目的

对用户的属性进行安全检查，包括空密码、密码更新时间等。修改目前所有账号的口令，确认为强口令。特别是sa 账号，需要设置至少10位的强口令。

问题影响

账号安全性低.

系统当前状态

select * from sysusers

Select name,Password from syslogins where password is null order by name # 查看口令为空的用户

实施步骤

Use master

exec sp_password ‘旧口令’，‘新口令’,用户名

回退方案

恢复用户密码到原来状态

判断依据

Select name,Password from syslogins where password is null order by name

查看是否有账号为密码

实施风险

高

重要等级

★

备注

日志配置  ELK-Mssql-02-01-01

编号

ELK-Mssql-02-01-01

名称

启用日志记录功能

实施目的

数据库应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号、登录是否成功、登录时间以及远程登录时用户使用的IP地址。

问题影响

无法对用户的登陆进行日志记录

系统当前状态

打开数据库属性,查看安全属性

实施步骤

打开数据库属性，选择安全性，将安全性中的审计级别调整为“全部”，身份验证调整为“SQL Server 和Windows”

回退方案

设置安全属性到原先状态

判断依据

判定条件

登录测试，检查相关信息是否被记录

实施风险

低

重要等级

★★★

备注

通信协议 ELK-Mssql-03-01-01

编号

ELK-Mssql-03-01-01

名称

网络协议

实施目的

除去不必要的服务

问题影响

增加数据库安全隐患

系统当前状态

在Microsoft SQL Server程序组, 运行服务网络实用工具,查看协议列表

实施步骤

参考配置操作

在Microsoft SQL Server程序组, 运行服务网络实用工具。建议只使用TCP/IP协议，禁用其他协议。

回退方案

添加删除的协议 

判断依据

判定条件

在Microsoft SQL Server程序组, 运行服务网络实用工具,查看协议列表,查看是否有多余协议.

实施风险

高

重要等级

★★

备注

​​​​​​​ELK-Mssql-03-01-02

编号

ELK-Mssql-03-01-02

名称

加固TCP/IP协议栈

实施目的

加固TCP/IP协议栈,加强系统防御网络攻击能力.

问题影响

网络防御能力弱.

系统当前状态

查看

HKLM\System\CurrentControlSet\Services\

Tcpip\Parameters\ DisableIPSourceRouting

HKLM\SYSTEM\CurrentControlSet\Services\

Tcpip\Parameters\ EnableICMPRedirect

HKLM\System\CurrentControlSet\Services\

Tcpip\Parameters\SynAttackProtect

注册表键值

实施步骤

参考配置操作

对于TCP/IP协议栈的加固主要是某些注册表键值的修改。主要是以下几个：

HKLM\System\CurrentControlSet\Services\Tcpip\

Parameters\DisableIPSourceRouting

说明：该键值应设为2，以防御源路由欺骗攻击。

HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\

Parameters\EnableICMPRedirect

说明：该键值应设为0，以ICMP重定向。

HKLM\System\CurrentControlSet\Services\Tcpip\

Parameters\SynAttackProtect

说明：该键值应设为2，防御SYN FLOOD攻击。

回退方案

还原注册表更改键值

判断依据

判定条件

读取

HKLM\System\CurrentControlSet\Services\Tcpip\

Parameters\ DisableIPSourceRouting

HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\

Parameters\ EnableICMPRedirect

HKLM\System\CurrentControlSet\Services\Tcpip\

Parameters\SynAttackProtect

键值.

实施风险

高

重要等级

★★

备注

​​​​​​​ ELK-Mssql-03-01-04

编号

ELK-Mssql-03-01-04

名称

通讯协议加密

实施目的

使用通讯协议加密

问题影响

数据库的不安全性增加

系统当前状态

启动服务器网络配置工具，查看“常规”设置

实施步骤

参考配置操作

启动服务器网络配置工具，更改“常规”设置为“强制协议加密”。

回退方案

恢复“强制协议加密”到原状态

判断依据

启动服务器网络配置工具，查看“常规”设置

实施风险

高

重要等级

★

备注

设备其他安全要求 ELK-Mssql-04-01-01

编号

ELK-Mssql-04-01-01

名称

停用不必要的存储过程

实施目的

停用sql server中存在的危险存储过程

问题影响

数据库的不安全性增加

系统当前状态

查看存储过程列表

实施步骤

参考配置操作

use master
exec sp_dropextendedproc 'xp_cmdshell'
exec sp_dropextendedproc 'xp_dirtree'
exec sp_dropextendedproc 'xp_enumgroups'
exec sp_dropextendedproc 'xp_fixeddrives'
exec sp_dropextendedproc 'xp_loginconfig'
exec sp_dropextendedproc 'xp_enumerrorlogs'
exec sp_dropextendedproc 'xp_getfiledetails'
exec sp_dropextendedproc 'Sp_OACreate'
exec sp_dropextendedproc 'Sp_OADestroy'
exec sp_dropextendedproc 'Sp_OAGetErrorInfo'
exec sp_dropextendedproc 'Sp_OAGetProperty'
exec sp_dropextendedproc 'Sp_OAMethod'
exec sp_dropextendedproc 'Sp_OASetProperty'
exec sp_dropextendedproc 'Sp_OAStop'
exec sp_dropextendedproc 'Xp_regaddmultistring'
exec sp_dropextendedproc 'Xp_regdeletekey'
exec sp_dropextendedproc 'Xp_regdeletevalue'
exec sp_dropextendedproc 'Xp_regenumvalues'
exec sp_dropextendedproc 'Xp_regread'
exec sp_dropextendedproc 'Xp_regremovemultistring'
exec sp_dropextendedproc 'Xp_regwrite'
drop procedure sp_makewebtask

Go

删除测试或不必要的存储过程，一般情况下建议删除的存储过程有：

sp_OACreate

sp_OADestroy

sp_OAGetErrorInfo

sp_OAGetProperty

sp_OAMethod

sp_OASetProperty

sp_OAStop

sp_regaddmultistring

xp_regdeletekey

xp_regdeletevalue

xp_regenumvalues

xp_regremovemultistring

除非应用程序需要否则以下存储过程也建议删除：

xp_perfend

xp_perfmonitor

xp_perfsample

xp_perfstart

xp_readerrorlog

xp_readmail

xp_revokelogin

xp_runwebtask

xp_schedulersignal

xp_sendmail

xp_servicecontrol

xp_snmp_getstate

xp_snmp_raisetrap

xp_sprintf

xp_sqlinventory

xp_sqlregister

xp_sqltrace

xp_sscanf

xp_startmail

xp_stopmail

xp_subdirs

xp_unc_to_drive

xp_dirtree

sp_sdidebug

xp_availablemedia

xp_cmdshell

xp_deletemail

xp_dirtree

xp_dropwebtask

xp_dsninfo

xp_enumdsn

xp_enumerrorlogs

xp_enumgroups

xp_enumqueuedtasks

xp_eventlog

xp_findnextmsg

xp_fixeddrives

xp_getfiledetails

xp_getnetname

xp_grantlogin

xp_logevent

xp_loginconfig

xp_logininfo

xp_makewebtask

xp_msver

回退方案

新建存储过程将删除的手工建立或恢复备份的数据库

判断依据

调用存储过程，检查是否存在

Exec 存储过程(参数1，参数2)

实施风险

高

重要等级

★

备注

​​​​​​​ELK-Mssql-04-01-02

编号

ELK-Mssql-04-01-02

名称

安装补丁

实施目的

为系统打最新的补丁包。

问题影响

数据库的不安全性增加

系统当前状态

select @@version

实施步骤

参考配置操作

select @@version

确保SQL Server的补丁为最新的。下载并安装最新的补丁

SQL Server2000的版本和补丁号对应关系如下：

8.00.194 －------SQL Server 2000 RTM

8.00.384 －------(SP1)

8.00.534 －------(SP2)

8.00.760 －------(SP3)

8.00.2039－------(SP4)

回退方案

无

判断依据

微软自动升级工具查看未安装补丁

实施风险

高

重要等级

★

备注

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/211415.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

【i.MX6ULL】linux驱动bh1750模块

【i.MX6ULL】linux驱动bh1750模块

I2C-BH1750 1、设备地址 引脚说明 VCC5VGNDGNDSCLPB6SDAPB7ADDRVCC/GND bh1750设备的地址由引脚 ADDR 来决定 ADDR接GND 当ADDR引脚接地时设备bh1750的地址为：0x23(7bit) ADDR接VCC 当ADDR引脚接地时设备bh1750的地址为：0x5c(7bit) 2、工作模式 …
阅读更多...
基于深度学习CRNN的水表读数识别系统

基于深度学习CRNN的水表读数识别系统

1.研究背景与意义 项目参考AAAI Association for the Advancement of Artificial Intelligence 研究背景与意义 随着科技的不断发展，深度学习技术在各个领域都取得了显著的成果。其中，基于深度学习的图像识别技术在计算机视觉领域具有重要的应用价值。…
阅读更多...
Linux 多线程(C语言) 备查

Linux 多线程(C语言) 备查

基础 1）线程在运行态和就绪态不停的切换。 2）每个线程都有自己的栈区和寄存器 1）进程是资源分配的最小单位，线程是操作系统调度执行的最小单位 2）线程的上下文切换的速度比进程快得多 3）从应用程序A中启用应…
阅读更多...
制作一个RISC-V的操作系统四-嵌入式开发介绍

制作一个RISC-V的操作系统四-嵌入式开发介绍

文章目录 什么是嵌入式开发交叉编译查看一些GCC文件夹 调试器GDB相关语法命令 模拟器QEMUQEMU的安装和使用项目构造工具MakeMakeFile的构成make的运行 练习4-1练习4-2练习4-3 什么是嵌入式开发 程序跑到开发板上，或者说运行到硬件上 交叉编译 简单理解交叉编译来说…
阅读更多...
API自动化测试：如何构建高效的测试流程

API自动化测试：如何构建高效的测试流程

一、引言 在当前的软件开发环境中，API（Application Programming Interface）扮演了极为重要的角色，连接着应用的各个部分。对API进行自动化测试能够提高测试效率，降低错误，确保软件产品的质量。本文将通过实…
阅读更多...
LeetCode 每日一题 Day 5【Hard】

LeetCode 每日一题 Day 5【Hard】

2646. 最小化旅行的价格总和 现有一棵无向、无根的树，树中有 n 个节点，按从 0 到 n - 1 编号。给你一个整数 n 和一个长度为 n - 1 的二维整数数组 edges ，其中 edges[i] [ai, bi] 表示树中节点 ai 和 b~i ~之间存在一条边。 每个节点都关…
阅读更多...
OpenResty入门与实践：下载安装、环境变量、常用命令及案例解析

OpenResty入门与实践：下载安装、环境变量、常用命令及案例解析

文章目录 一、Openresty下载安装二、设置环境变量三、常用命令四、入门案例五、实践案例1、lua-nginx-module1）入门案例2）获取Nginx uri中的单一变量3）获取Nginx uri中的所有变量 2、Nginx缓存1）Nginx全局共享内存缓存2&#xff0…
阅读更多...
使用 MITRE ATTCK® 框架缓解网络安全威胁

使用 MITRE ATTCK® 框架缓解网络安全威胁

什么是MITRE ATT&CK框架 MITRE Adversarial Tactics， Techniques， and Common Knowledge（ATT&CK）是一个威胁建模框架，用于对攻击者用来入侵企业、云和工业控制系统（ICS）并发起网络攻击…
阅读更多...
《PFL》论文阅读笔记

《PFL》论文阅读笔记

一、概要 随着联邦学习的发展，简单的聚合算法已经不在有效。但复杂的聚合算法使得联邦学习训练时间出现新的瓶颈。本文提出了并行联邦学习（parallel federated learning，PFL），通过调换中心节点聚合和广播的顺序。本文…
阅读更多...
OpenHarmony亮相MTSC 2023 | 质量效率共进，赋能应用生态发展

OpenHarmony亮相MTSC 2023 | 质量效率共进，赋能应用生态发展

11月25日，MTSC 2023第十二届中国互联网测试开发大会在深圳登喜路国际大酒店圆满举行。大会以“软件质量保障体系和测试研发技术交流”为主要目的，旨在为行业搭建一个深入探讨和交流的桥梁和平台。OpenAtom OpenHarmony（简称“OpenHarmony”&a…
阅读更多...
Spring Boot与Mybatis基础配置(手动写增删改查)

Spring Boot与Mybatis基础配置(手动写增删改查)

一、 配置 1.新建项目 1.项目基础配置 解释：记得把这个改成start.aliyun.com要不没有java8也就是jdk1.8 2.项目依赖配置 2.配置maven 配置前： 配置后： 3.创建子项目并配置父子项目pom.xml 配置父pom.xml 声明当前项目不是要打成jar包的…
阅读更多...
反序列化漏洞详解(二)

反序列化漏洞详解(二)

目录 pop链前置知识，魔术方法触发规则 pop构造链解释（开始烧脑了） 字符串逃逸基础 字符减少 字符串逃逸基础 字符增加 实例获取flag 字符串增多逃逸 字符串减少逃逸 延续反序列化漏洞(一)的内容 pop链前置知识，魔术方法触…
阅读更多...
学习UnitTest框架，轻松打造无懈可击的代码！

学习UnitTest框架，轻松打造无懈可击的代码！

一、什么是UnitTest？ 1、介绍 unittest是Python自带的一个单元测试框架，它可以做单元测试，也能用于编写和运行重复的测试工作。 它给自动化测试用例开发和执行提供了丰富的断言方法，判断测试用例是否通过，并最终生成…
阅读更多...
纯js实现录屏并保存视频到本地的尝试

纯js实现录屏并保存视频到本地的尝试

前言：先了解下：navigator.mediaDevices，mediaDevices 是 Navigator 只读属性，返回一个 MediaDevices 对象，该对象可提供对相机和麦克风等媒体输入设备的连接访问，也包括屏幕共享。 const media navigator…
阅读更多...
python爬虫-某公开数据网站实例小记

python爬虫-某公开数据网站实例小记

注意！！！！某XX网站逆向实例仅作为学习案例，禁止其他个人以及团体做谋利用途！！！ 第一步：分析页面和请求方式 此网站没有技巧的加密，仅是需要携带cookie和请求…
阅读更多...
万界星空科技灯具行业MES介绍

万界星空科技灯具行业MES介绍

中国是LED照明产品最大的生产制造国，如今，我国初步形成了包括LED外延片的生产、LED芯片的制备、LED芯片的封装以及LED产品应用在内的较为完超为产业链，随着LED照明市场渗诱率的快速警升，LED下游应用市场将会越来越广阔。这也将推动…
阅读更多...
智能优化算法应用：基于寄生捕食算法无线传感器网络(WSN)覆盖优化 - 附代码

智能优化算法应用：基于寄生捕食算法无线传感器网络(WSN)覆盖优化 - 附代码

智能优化算法应用：基于寄生捕食算法无线传感器网络(WSN)覆盖优化 - 附代码 文章目录 智能优化算法应用：基于寄生捕食算法无线传感器网络(WSN)覆盖优化 - 附代码1.无线传感网络节点模型2.覆盖数学模型及分析3.寄生捕食算法4.实验参数设定5.算法结果6.参考…
阅读更多...
3 测试驱动的Spring Boot应用程序开发数据层示例

3 测试驱动的Spring Boot应用程序开发数据层示例

文章目录 用户故事数据模型选择数据库SQL与NoSQLH2、Hibernate和JPA Spring Boot Data JPA依赖关系和自动配置Spring Data JPA技术栈数据源（自动）配置 实体存储库存储User和ChallengeAttempt显示最近的ChallengeAttempt服务层控制器层用户界面 小结 文章…
阅读更多...
【JS】检索树结构，并返回结果节点的路径与子节点

【JS】检索树结构，并返回结果节点的路径与子节点

【JS】检索树结构，并返回结果节点的路径与子节点 需求代码效果展示 需求 一个树结构，需要添加条件检索功能，检索结果依然是一个树结构，包含所有的符合要求的节点，以及他们到根节点的路径，与他们的子节点 …
阅读更多...
vue项目运行时，报错：ValidationError: webpack Dev Server Invalid Options

vue项目运行时，报错：ValidationError: webpack Dev Server Invalid Options

在运行vue项目中，遇到报错：ValidationError: webpack Dev Server Invalid Options，如下图截图： 主要由于vue.config.js配置文件错误导致的，具体定位到proxy配置代理不能为空，导致运行项目报错，需…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023