知识大全 SQL Server安全列表

Posted 2022-07-14 密码

篇首语：黄沙百战穿金甲，不破楼兰终不还。本文由小常识网(cha138.com)小编为大家整理，主要介绍了知识大全 SQL Server安全列表相关的知识，希望对你有一定的参考价值。

数据库人员手边系列：SQL Server安全列表 以下文字资料是由(全榜网网www.cha138.com)小编为大家搜集整理后发布的内容，让我们赶快一起来看一下吧！

　　确认已经安装了NT/ 和SQL Server的最新补丁程序不用说大家应该已经安装好了但是我觉得最好还是在这里提醒一下　　　　评估并且选择一个考虑到最大的安全性但是同时又不影响功能的网络协议多协议是明智的选择但是它有时不能在异种的环境中使用　　　　给 sa 和 probe 帐户设定强壮的密码来加强其安全性设定一个强壮的密码并将其保存在一个安全的地方注意: probe帐户被用来进行性能分析和分发传输当在标准的安全模态中用的时候给这个帐户设定高强度的密码能影响某些功能的使用　　　　使用一个低特权用户作为 SQL 服务器服务的查询操作账户不要用 LocalSystem 或sa 这个帐户应该有最小的权利 ( 注意作为一个服务运行的权利是必须的)和应该包含( 但不停止)在妥协的情况下对服务器的攻击注意当使用企业管理器做以上设置时文件注册表和使用者权利上的 ACLs同时被处理　　　　确定所有的 SQL 服务器数据而且系统文件是装置在 NTFS 分区且appropraite ACLs 被应用如果万一某人得到对系统的存取操作权限该层权限可以阻止入侵者破坏数据避免造成一场大灾难　　　　如果不使用Xp_cmdshell就关掉如果使用 SQL 至少使用Server Options中的SQLExecutieCmdExec 账户操作限制非sa用户使用XP_cmdshell 　　　　在任何的 isql/ osql 窗口中( 或查询分析器):　　　　use master　　　　exec sp_dropextendedproc xp_cmdshell 　　　　对 SQLExecutiveCmdExec 的详细情况请查看下列文章:　　　　　　　　如果你不需要 xp_cmdshell 那请停用它请记住一个系统系统管理员如果需要的话总是能把它增加回来这也好也不好一个侵入者可能发现它不在只需要把他加回来考虑也除去在下面的 dll但是移除之前必须测试因为有些dll同时被一些程序所用要找到其他的程序是否使用相同的 dll:　　　　首先得到该 dll 　　　　select o name c text from dbo sysments c dbo sysobjects o where c id=o id and o name= xp_cmdshell 　　　　其次使用相同的 dll发现其他的扩展储存操作是否使用该dll 　　　　select o name c text from dbo sysments c dbo sysobjects o where c id=o id and c text= xplog dll 　　　　用户可以用同样的办法处理下面步骤中其他你想去掉的进程　　　　如不需要就停用对象连接与嵌入自动化储存程序 ( 警告当这些储存程序被停用的时候一些企业管理器功能可能丢失) 这些包括:　　　　Sp_OACreate　　　　Sp_OADestroy　　　　Sp_OAGetErrorInfo　　　　Sp_OAGetProperty　　　　Sp_OAMethod　　　　Sp_OASetProperty　　　　Sp_OAStop　　　　如果你决定停用该进程那么请给他们写一个脚本这样在以后你用到他们的时候你能够把他们重新添加回来记住我们在这里正在做的是锁定一个应用程序的功能你的开发平台应该放到其他机器上　　　　禁用你不需要的注册表存取程序 (同上面的警告)这些包括:　　　　Xp_regaddmultistring　　　　Xp_regdeletekey　　　　Xp_regdeletevalue　　　　Xp_regenumvalues　　　　Xp_regremovemultistring　　　　注意 :我过去一直在这里列出 xp_regread/ xp_regwrite但是这些程序的移除影响一些主要功能包括日志和SP的安装所以他们的移除不被推荐　　　　移除其他你认为会造成威胁的系统储存进程这种进程是相当多的而且他们也会浪费一些cpu时间小心不要首先在一个配置好的服务器上这样做首先在开发的机器上测试确认这样不会影响到任何的系统功能在下面是我们所推荐的有待你评估的一些列表:　　　　sp_sdidebug　　　　xp_availablemedia　　　　xp_cmdshell　　　　xp_deletemail　　　　xp_dirtree　　　　xp_dropwebtask　　　　xp_dsninfo　　　　xp_enumdsn　　　　xp_enumerrorlogs　　　　xp_enumgroups　　　　xp_enumqueuedtasks　　　　xp_eventlog　　　　xp_findnextmsg　　　　xp_fixeddrives　　　　xp_getfiledetails　　　　xp_getnetname　　　　xp_grantlogin　　　　xp_logevent　　　　xp_loginconfig　　　　xp_logininfo　　　　xp_makewebtask　　　　xp_msver xp_perfend　　　　xp_perfmonitor　　　　xp_perfsample　　　　xp_perfstart　　　　xp_readerrorlog　　　　xp_readmail　　　　xp_revokelogin　　　　xp_runwebtask　　　　xp_schedulersignal　　　　xp_sendmail　　　　xp_servicecontrol　　　　xp_snmp_getstate　　　　xp_snmp_raisetrap　　　　xp_sprintf　　　　xp_sqlinventory　　　　xp_sqlregister　　　　xp_sqltrace　　　　xp_sscanf　　　　xp_startmail　　　　xp_stopmail　　　　xp_subdirs　　　　xp_unc_to_drive　　　　xp_dirtree　　　　在企业管理器中安全选项之下禁用默认登录 (只有SQL ) 当使用整合的安全时候这使未经认可的不在 syslogins 表中使用者无权登陆一个有效的数据库服务器　　　　除去数据库的guest账户把未经认可的使用者据之在外例外情况是master和 tempdb 数据库因为对他们guest帐户是必需的　　　　若非必须请完全地禁用SQL邮件功能它的存在使潜在的攻击者递送潜在的 trojans 病毒或是简单实现一个DOS攻击成为可能　　　　检查master Sp_helpstartup看有无可疑的木马进程确定没有人已经在这里放置秘密的后门程序使用 Sp_unmakestartup 移除任何可疑进程　　　　检查master Sp_password看有无trojan代码比较你的产品scripts和一个新安装的系统的默认scripts而且方便的保存　　　　记录所有的用户存取访问情况从企业管理器做这些设定或通过以sa登陆进入查询分析器的下列各项:　　　　xp_instance_regwrite N HKEY_LOCAL_MACHINE N SOFARE\\ Microsoft\\MSSQLServer\\MSSQLServer N AuditLevel REG_DWORD 　　　　重写应用程序使用更多用户定义的储存和察看进程所以一般的对表的访问可以被禁用在这里你也应该看到由于不必经常进行查询计划操作而带来的性能提升　　　　除去不需要的网络协议　　　　注意SQL 服务器的物理安全把它锁在固定的房间里并且注意钥匙的安全只要有机会到服务器面前就总是会找到一个方法进入　　　　建立一个计划的任务运行:　　　　findstr/C: Login Failed \\mssql \\log\\* * 　　　　然后再重定向输出到一个文本文件或电子邮件因此你监测失败的登录尝试这也为系统管理员提供一个好的记录攻击的方法也有很多用来分析NT日志事件的第三者工具注意: 你可能需要将路径换成你安装SQL的路径　　　　设定非法访问和登陆失败日志警报到企业管理器中的 Manager SQL Server Messages 搜寻任何有关无权访问的消息 ( 从查找 login failed 和 denied 开始) 确定你所有感兴趣的信息被记录到事件日志然后在这些信息上设定警报发送一个电子邮件或信息到一个能够对问题及时响应的操作员　　　　确定在服务器和数据库层次上的角色都只被授给了需要的用户当 SQL Server 安全模型有许多增强的时候它也增加额外的许可层我们必须监控该层确定没有人被授予了超过必需的权限　　　　经常检查组或角色全体会员并且确定用组分配权限这样你的审计工作能够简化确定当你在的时候公众的组不能从系统表执行选择操作　　　　花些时间审计用空密码登陆的请求使用下面的代码进行空密码检查:　　　　使用主体　　　　选择名字　　　　password　　　　from syslogins　　　　where password is null　　　　order by name　　　　如果可能在你的组织中利用整合的安全策略通过使用整合的安全策略你能够依赖系统的安全最大简化管理工作从维护二个分开的安全模型中分离开来这也不让密码接近连接字串　　　　检查所有非sa用户的存取进程和扩充存储进程的权限使用下面的查询定期的查询哪一个进程有公众存储权限 (在SQL Server中使用 type 而不是 xtype ):　　　　Use master　　　　select sysobjects name　　　　from sysobjects sysprotects　　　　where sysprotects uid= 　　　　AND xtype 在 ( X P )　　　　AND sysobjects id=sysprotects id　　　　Order by name　　　　当时用企业管理器的时候使用整合的安全策略过去企业管理器被发现在标准的安全模态中储存 sa 密码在注册表的 plaintext 中注意: 即使你改变模态密码也会留在注册表中使用 regedit 而且检查键:　　　　HKEY_CURRENT_USER\\SOFARE\\Microsoft　　MSSQLServer\\SQLEW\\ Regedi　　SQL 　　　　现在数 cha138/Article/program/SQLServer/201311/22160