十招搞定SQL2K安全

十招搞定SQL2K安全

本文详述提高SQL Server 2K安装的安全性实施的十个注意事项：

1.安装最新的服务包

为了提高服务器安全性，最有效的一个方法就是升级到 SQL Server 2000 Service Pack 3a (SP3a)。要下载 SP3a，请访问SQL Server 2000 SP3a 页面。

另外，您还应该安装所有已发布的安全更新。要订阅新安全更新的通知，请访问产品安全通知页面。

2.使用 Microsoft 基线安全性分析器（MBSA）来评估服务器的安全性

MBSA 是一个扫描多种 Microsoft 产品的不安全配置的工具，包括 SQL Server 和 Microsoft SQL Server 2000 Desktop Engine (MSDE 2000)。它可以在本地运行，也可以通过网络运行。该工具针对下面问题对 SQL Server 安装进行检测：

过多的sysadmin固定服务器角色成员。

授予sysadmin以外的其他角色创建 CmdExec 作业的权利。

空的或简单的密码。

脆弱的身份验证模式。

授予管理员组过多的权利。

SQL Server数据目录中不正确的访问控制表(ACL)。

安装文件中使用纯文本的sa密码。

授予guest帐户过多的权利。

在同时是域控制器的系统中运行SQL Server。

所有人（Everyone）组的不正确配置，提供对特定注册表键的访问。

SQL Server 服务帐户的不正确配置。

没有安装必要的服务包和安全更新。

3.使用 Windows 身份验证模式

在任何可能的时候，您都应该对指向 SQL Server 的连接要求 Windows 身份验证模式。它通过限制对Microsoft Windows®用户和域用户帐户的连接，保护 SQL Server 免受大部分 Internet 的工具的侵害，。而且，您的服务器也将从 Windows 安全增强机制中获益，例如更强的身份验证协议以及强制的密码复杂性和过期时间。另外，凭证委派（在多台服务器间桥接凭证的能力）也只能在 Windows 身份验证模式中使用。在客户端，Windows 身份验证模式不再需要存储密码。存储密码是使用标准 SQL Server 登录的应用程序的主要漏洞之一。

要在 SQL Server 的 Enterprise Manager 安装 Windows 身份验证模式，请按下列步骤操作：

展开服务器组。

右键点击服务器，然后点击属性。

在安全性选项卡的身份验证中，点击仅限 Windows。

4.隔离您的服务器，并定期备份

物理和逻辑上的隔离组成了SQL Server 安全性的基础。驻留数据库的机器应该处于一个从物理形式上受到保护的地方，最好是一个上锁的机房，配备有洪水检测以及火灾检测/消防系统。数据库应该安装在企业内部网的安全区域中，不要直接连接到 Internet。定期备份所有数据，并将副本保存在安全的站点外地点。有关备份过程和其他操作性最佳实践的指南，请参阅SQL Server 2000操作指南。

5.分配一个强健的sa密码

sa帐户应该总拥有一个强健的密码，即使在配置为要求 Windows 身份验证的服务器上也该如此。这将保证在以后服务器被重新配置为混合模式身份验证时，不会出现空白或脆弱的sa。

要分配sa密码，请按下列步骤操作：

展开服务器组，然后展开服务器。

展开安全性，然后点击登录。

在细节窗格中，右键点击SA，然后点击属性。

在密码方框中，输入新的密码。

6.限制 SQL Server服务的权限

SQL Server 2000 和 SQL Server Agent 是作为 Windows 服务运行的。每个服务必须与一个 Windows 帐户相关联，并从这个帐户中衍生出安全性上下文。SQL Server允许sa 登录的用户（有时也包括其他用户）来访问操作系统特性。这些操作系统调用是由拥有服务器进程的帐户的安全性上下文来创建的。如果服务器被攻破了，那么这些操作系统调用可能被利用来向其他资源进行***，只要所拥有的过程（SQL Server服务帐户）可以对其进行访问。因此，为 SQL Server 服务仅授予必要的权限是十分重要的。

我们推荐您采用下列设置：

SQL Server Engine/MSSQLServer

如果拥有指定实例，那么它们应该被命名为MSSQL$InstanceName。作为具有一般用户权限的 Windows 域用户帐户运行。不要作为本地系统、本地管理员或域管理员帐户来运行。

SQL Server Agent Service/SQLServerAgent

如果您的环境中不需要，请禁用该服务；否则请作为具有一般用户权限的Windows域用户帐户运行。不要作为本地系统、本地管理员或域管理员帐户来运行。

重点：如果下列条件之一成立，那么 SQL Server Agent 将需要本地 Windows管理员权限：

SQL Server Agent 使用标准的 SQL Server 身份验证连接到SQL Server（不推荐）。

SQL Server Agent 使用多服务器管理主服务器（MSX）帐户，而该帐户使用标准 SQL Server 身份验证进行连接。

SQL Server Agent 运行非sysadmin固定服务器角色成员所拥有的 Microsoft ActiveX®脚本或 CmdExec 作业。

如果您需要更改与 SQL Serve r服务相关联的帐户，请使用 SQL Server Enterprise Manager。Enterprise Manager 将为 SQL Server 所使用的文件和注册表键设置合适的权限。不要使用 Microsoft 管理控制台的"服务"（在控制面板中）来更改这些帐户，因为这样需要手动地调制大量的注册表键和NTFS文件系统权限以及Micorsoft Windows用户权限。

帐户信息的更改将在下一次服务启动时生效。如果您需要更改与 SQL Server 以及 SQL Server Agent 相关联的帐户，那么您必须使用 Enterprise Manager 分别对两个服务进行更改。

7.在防火墙上禁用 SQL Server 端口

SQL Server 的默认安装将监视 TCP 端口 1433 以及UDP端口 1434。配置您的防火墙来过滤掉到达这些端口的数据包。而且，还应该在防火墙上阻止与指定实例相关联的其他端口。

8.使用最安全的文件系统

NTFS 是最适合安装 SQL Server 的文件系统。它比 FAT 文件系统更稳定且更容易恢复。而且它还包括一些安全选项，例如文件和目录 ACL 以及文件加密（EFS）。在安装过程中，如果侦测到 NTFS，SQL Server 将在注册表键和文件上设置合适的 ACL。不应该去更改这些权限。

通过 EFS，数据库文件将在运行 SQL Server 的帐户身份下进行加密。只有这个帐户才能解密这些文件。如果您需要更改运行 SQL Server 的帐户，那么您必须首先在旧帐户下解密这些文件，然后在新帐户下重新进行加密。

9.删除或保护旧的安装文件

SQL Server 安装文件可能包含由纯文本或简单加密的凭证和其他在安装过程中记录的敏感配置信息。这些日志文件的保存位置取决于所安装的SQL Server版本。在 SQL Server 2000 中，下列文件可能受到影响：默认安装时:/Program Files/Microsoft SQL Server/MSSQL/Install文件夹中，以及指定实例的:/Program Files/Microsoft SQL Server/ MSSQL$/Install文件夹中的sqlstp.log, sqlsp.log和setup.iss

如果当前的系统是从 SQL Server 7.0 安装升级而来的，那么还应该检查下列文件：%Windir% 文件夹中的setup.iss以及Windows Temp文件夹中的sqlsp.log。

Microsoft发布了一个免费的实用工具 Killpwd，它将从您的系统中找到并删除这些密码。

10.审核指向 SQL Server 的连接

SQL Server 可以记录事件信息，用于系统管理员的审查。至少您应该记录失败的 SQL Server 连接尝试，并定期地查看这个日志。在可能的情况下，不要将这些日志和数据文件保存在同一个硬盘上。

要在 SQL Server 的 Enterprise Manager 中审核失败连接，请按下列步骤操作：

展开服务器组。

右键点击服务器，然后点击属性。

在安全性选项卡的审核等级中，点击失败。

要使这个设置生效，您必须停止并重新启动服务器。

=========================================

本文完！

转载于:https://blog.51cto.com/redking/18943

十招搞定SQL2K安全相关推荐

mysql大规模读写性能_十招搞定 MySQL 大规模数据库的性能和伸缩性优化
点击图片报名参加广州&珠海源创会在需要支持移动/平板电脑应用及普通桌面浏览器访问的时代,网站的普及率和有效性很大程度上取决于其可用性和性能.一个访问缓慢的网站会使得访问者或潜在的客户流失,并 ...
十招搞定 MySQL 大规模数据库的性能和伸缩性优化
在需要支持移动/平板电脑应用及普通桌面浏览器访问的时代,网站的普及率和有效性很大程度上取决于其可用性和性能.一个访问缓慢的网站会使得访问者或潜在的客户流失,并导致商业的失败.一个访问速度相当快的网站将 ...
六招搞定你爱的坏男人
"坏"男人肖像就像猛兽才能独处,"坏"男人都是多少有些嚣张和跋扈,常常让你感觉到非怎么样不可也就是毋庸置疑的人,坏男人如猛虎.如鹰隼.如箭猪.如雄马.如烈酒, ...
一招搞定高等数学！ | 今日最佳
世界只有3.14 % 的人关注了青少年数学之旅 @瓜皮儿十三妹 @没品图一张图让你们看看鲨鱼的血液循环系统到底有多复杂 @普外科曾医生小猪佩奇其实是"巨猪佩奇" 小猪佩奇真 ...
JeecgBoot 单体升级微服务快速方案（十分钟搞定）
JeecgBoot 单体升级微服务方案(十分钟搞定) 当前系统分为system.demo 等模块,现有需求把每个模块单独启动作为微服务应用,故而推出新版boot[20200812beta],支持快速切 ...
简单一招搞定公司牛人转自潘文富
简单一招搞定公司牛人潘文富所谓公司牛人,就是在老板之下,众员工之上的人物.公司牛人,有的是凭借资历,有的是身居高位的职业经理人,有的是凭借自己在某方面的专业水平和经验,总之,有牛的资本. 这些牛人 ...
逗号后面统一加空格_十分钟搞定字幕，教你做加字幕的“快手菜”
平台上许多同学有疑问:做视频是否有加字幕的必要呢? 其实除了外语需要翻译.语速过快加字幕方便理解.普通话不标准等情况之外,还是建议有余力的同学可以加上字幕,提升用户的观看体验. 那么问题来了,存在以下 ...
企业成本费用空缺如何解决？享受核定政策一招搞定！
本文作者:财税小喇叭成本费用是一个公司账务板块中非常重要的部分之一,成本费用空缺通常会出现以下两种税负问题: 1·缺少普通的成本费用发票会导致企业利润虚高:所得税税负压力较大: 2·专票进项空缺的情 ...
怎么复制网页上不能复制的文字（付费文档免费复制），一招搞定
好多小伙伴上网查资料的时候,想要复制网页内容,但是提示付费复制或者不允许复制,遇到这种情况怎么办呢?下面就是小编分享的一招搞定无法复制网页内容文字的方法. 怎么复制网页上不能复制的文字借助360安全 ...

十招搞定SQL2K安全

十招搞定SQL2K安全相关推荐

最新文章

热门文章