中国联通内网SQL数据库安全基线配置指南.docx

资源描述

中国联通内网SQL数据库安全配置指南 (试行) 目录前言 III 1 范围 1 2 定义与缩略语 1 2.1 定义 1 2.2 缩略语 1 3 安全配置要求 1 3.1 操作系统安全 1 3.2 互联网访问安全 1 3.3 服务器应用安全 2 3.4 测试开发环境安全 2 3.5 SQL Server服务帐户安全 2 3.6 磁盘分区安全 2 3.7 目录安全 3 3.8 SQL Server补丁 3 3.9 SQL Server端口 3 3.10 范例数据库 3 3.11 停用SQL Server的命名管道 4 3.12 删除扩展的存储过程 4 3.13 SQL Server属性配置常规选项 4 3.14 SQL Server属性配置连接选项 4 3.15 SQL Server属性配置数据库设置选项 5 3.16 SQL 登录帐号 5 3.17 审计信息检查 5 3.18 审计启用 5 3.19 审计日志 6 3.20 数据库备份 6 4 评审与修订 6 前言为确保中国联通信息系统的网络支撑和内网信息安全，指导各省级分公司做好SQL数据库的安全维护相关工作，在研究国际先进企业最佳实践的基础上，结合中国联通内网信息安全现状和实际需求，特制定本配置指南。本文档由中国联合网络通信有限公司管理信息系统部提出并归口管理。本文档起草单位：中国联合网络通信有限公司、系统集成公司。本文档主要起草人：钮吉安，安莹。本文档解释单位：中国联合网络通信有限公司管理信息系统部。 1 范围本文档规定了中国联通范围内安装有SQL数据库的主机应当遵循的安全性设置标准，本文档旨在指导系统管理人员进行SQL数据库的安全配置。本文档适用版本：SQL数据库本文档的适用范围为中国联通集团总部、各直属单位、各省级分公司。 2 定义与缩略语 2.1 缩略语下列符号和缩略语适用于本标准：术语及缩写英文中文 SQL Structured Query Language 结构化查询语言 3 安全配置要求 3.1 操作系统安全配置项名称操作系统安全项目描述确认SQL Server所安装在的服务器的安全性。此服务器需要经过安全评估与加固，详细内容参阅《中国联通内网Windows 2003 Server安全配置指南》、《中国联通内网Windows NT/2000 Server安全配置指南》。操作步骤安全建议建议SQL Server所安装在的服务器要经过安全评估与加固备注 3.2 互联网访问安全配置项名称互联网访问安全项目描述如果数据库需要接受来自互联网的访问，则需要确认其安全性。操作步骤安全建议如果数据库服务器需要接受来自互联网的访问，建议把数据库服务器放置在DMZ区，并使用两级不同种类的防火墙来保护数据库。备注 3.3 服务器应用安全配置项名称服务器应用安全项目描述确保安装了数据库服务的服务器不提供其他的服务，例如WEB、Mail等，其他服务的漏洞可能会导致数据库服务的不安全。操作步骤安全建议建议确保安装了数据库服务的服务器不提供其他的服务备注 3.4 测试开发环境安全配置项名称测试开发环境安全项目描述确保测试开发环境数据库与真实的生产环境数据库不在同一个网段内。操作步骤安全建议确保测试开发环境数据库与真实的生产环境数据库不在同一个网段内。备注 3.5 SQL Server服务帐户安全配置项名称 SQL Server服务帐户安全项目描述应该尽量减少SQL Server服务帐号的权限。操作步骤工作组环境：开始->管理工具->本地安全策略->用户权限分配->拒绝本地登录，添加SQL Server服务帐户或组。安全建议拒绝此服务帐号本地登陆的权限。如果此服务的帐号为域帐号，确保此帐号只能登陆数据库服务器。备注在域环境应该在组策略中设置。 3.6 磁盘分区安全配置项名称磁盘分区安全项目描述检查数据库所在的磁盘是否为NTFS格式。操作步骤我的电脑->数据库所在的磁盘右键属性->常规，文件系统安全建议数据库所在的磁盘的分区格式为NTFS格式。设置命令：在cmd命令行下运行：convert volume /FS:NTFS 备注 Volume为数据库所在的磁盘，且转换是单向的。 3.7 目录安全配置项名称目录安全项目描述检查数据库所在目录的访问权限。操作步骤检查数据库所在目录右键属性->安全。安全建议保证只有授权的用户和管理员组和系统能够完全控制数据库目录。删除所有用户，只添加授权的用户备注 3.8 SQL Server补丁配置项名称 SQL Server补丁项目描述审核SQL Server补丁是否为最新。操作步骤执行命令Select @@version 或企业管理器->SQL Server->属性查看或打开查询分析器->帮助->关于。安全建议确保SQL Server的补丁为最新的。下载并安装最新的补丁备注 SQL Server2000的版本和补丁号对应关系如下： 8.00.194 －------SQL Server 2000 RTM 8.00.384 －------(SP1) 8.00.534 －------(SP2) 8.00.760 －------(SP3) 8.00.2039－------(SP4) SQL Server2005的版本和补丁号对应关系如下： 9.00.2047－------ SQL Server2005 SP1 9.00.3042－------SQL Server2005 SP2 9.00.3043－------ SQL Server2005 SP2 9.00.4035－------ SQL Server2005 SP3 3.9 SQL Server端口配置项名称 SQL Server端口项目描述审核SQL Server的服务端口。操作步骤服务器网络实用工具->常规->选中TCP/IP点属性安全建议避免使用默认的1433和1434端口。备注 3.10 范例数据库配置项名称范例数据库项目描述检查范例数据库。操作步骤从企业管理器中查看安全建议删除范例数据库，如Northwind，Pubs。 use master drop database Northwind，Pubs 或从企业管理器中删除备注 3.11 停用SQL Server的命名管道配置项名称 SQL Server的命名管道项目描述停用SQL Server的命名管道操作步骤服务器网络实用工具->常规。安全建议建议停用SQL Server的命名管道备注 3.12 删除扩展的存储过程配置项名称扩展的存储过程项目描述删除扩展存储过程。操作步骤从企业管理器打开master数据库的扩展存储过程安全建议扩展存储过程给系统带来很大风险，建议删除，必要时再恢复。将master数据库的扩展存储过程删除备注 3.13 SQL Server属性配置常规选项配置项名称 SQL Server属性配置常规选项设置项目描述修改SQL Server属性配置常规选项的默认配置操作步骤打开SQL Server属性配置常规选项，检查自动启动MSDTC的设置。安全建议建议修改SQL Server属性配置常规选项的默认配置；自动启动MSDTC设为off 备注 3.14 SQL Server属性配置连接选项配置项名称 SQL Server属性配置连接选项设置项目描述修改SQL Server属性配置连接选项的默认配置操作步骤打开SQL Server属性配置连接选项安全建议修改SQL Server属性配置连接选项的默认配置；将允许其他SQL Server使用RPC远程连接到本SQL Server设为off 备注 3.15 SQL Server属性配置数据库设置选项配置项名称 SQL Server属性配置数据库设置选项设置项目描述修改SQL Server属性配置数据库设置选项的默认配置操作步骤打开SQL Server属性配置数据库设置选项安全建议建议修改SQL Server属性配置数据库设置选项的默认配置，超时期限隔5分钟重试；默认的备份媒体保持期为1天。备注 3.16 SQL 登录帐号配置项名称 SQL登录帐号项目描述查看SQL登录帐号的密码复杂性操作步骤 Use master Select name,Password from syslogins where password is null。安全建议确认不存在空密码的帐号，及密码要符合复杂性要求。设置满足复杂度要求的密码备注 3.17 审计信息检查配置项名称审计信息检查项目描述审核是否会定期的检查审计信息操作步骤与数据库管理员沟通，询问是否有人或其他手段会定期的检查审计信息。安全建议建议定期的检查审计信息备注 3.18 审计启用配置项名称审计启用项目描述审核是否启用了审计功能操作步骤企业管理器SQL Server属性（配置）->安全性->审核级别安全建议启用对数据库登陆的审计。审核级别选择失败备注 3.19 审计日志配置项名称审计日志项目描述审核是否会定期的导出审计日志操作步骤与数据库管理员沟通，询问是否有人或其他手段会定期的导出审计日志。安全建议建议定期的导出审计日志，以备查询备注 3.20 数据库备份配置项名称数据库备份项目描述审核是否存在定期备份数据库的手段。操作步骤与数据库管理员沟通，询问是否有人或其他手段会定期备份数据库。安全建议建议定期备份数据库，并且确认在故障发生时，可以有效的恢复。备注 4 评审与修订本指南由中国联通集团管理信息系统部每年审查一次，并根据需要进行修订；如遇国家相关法律法规发生变化或中国联通企业信息安全策略发生重大变更等情况时，本指南将适时修订。

展开阅读全文