本核对清单检查针对 SQL Server 数据库引擎 的关键安全配置选项。使用此核对清单可以定期审核您的数据库引擎环境。应该基于您的安全和业务需要对这些建议的设置进行调整。
物理安全性
.gif "布尔字段图标") |
- 承载数据库引擎的计算机是否位于具有受限访问权限的安全数据中心中？
提示 有关详细信息，请参阅 Sample Security Plan: Adventure Works（示例安全计划：Adventure Works）。
|
|
- 备份是否存储于安全位置？
提示 有关详细信息，请参阅备份和还原的安全注意事项。
|
|
- 对数据库引擎文件（.mdf、.ndf、.ldf 文件）的访问是否受到文件系统权限的限制？
提示 获取对数据库文件访问权限的恶意用户可能会将这些文件附加到数据库引擎的其他实例。有关详细信息，请参阅保护数据和日志文件的安全。
|
|
- 对数据库引擎二进制文件（binn 文件夹中的 sqlservr.exe）的访问权限是否受到文件系统权限的限制？
提示：有权访问 SQL Server 二进制文件的恶意用户可能会造成损害和拒绝服务。
|
|
- 对审核文件的访问是否受到文件系统权限的限制？
提示 在高度安全的环境中，Windows 安全日志是用于写入记录对象访问的事件的适当位置。其他审核位置也受支持，但是更易被篡改。有关详细信息，请参阅如何将服务器审核事件写入安全日志。
|
|
- 公钥和私钥的备份是否存储于安全位置中？
提示 如果加密密钥备份到可移动介质（CD、闪存驱动器），则应该在安全位置（例如对访问进行控制的安全位置）存储密钥备份。如果备份到其他硬盘驱动器，则计算机必须受到充分地保护。
|
|
- 如果您在使用可扩展密钥管理 (EKM)，硬件安全模块 (HSM) 是否得到了充分的保护？
提示 请向您的 HSM 供应商咨询以便得到有关建议。
|
操作系统配置
|
- SQL Server 计算机是否受到仅具有必需的例外的防火墙的保护？
提示 使用 wf.msc（或 firewall.cpl）可以配置 Windows 防火墙。有关详细信息，请参阅配置 Windows 防火墙以允许 SQL Server 访问。
|
|
- 服务器和客户端操作系统是否配置为使用身份验证的扩展保护？
提示 有关详细信息，请参阅使用扩展保护连接到数据库引擎和身份验证的扩展保护。
|
|
- 操作系统是否配置为只要可能就允许自动更新？
提示 生产环境通常要求在应用更新前进行测试。更新应该进行测试并且定期应用。如果未执行测试，则自动安装更新可能是最佳选择。
|
数据库实例配置
|
- 数据库引擎是否配置为基于具有业务需要所必需的最低权限的帐户运行？
提示 有关详细信息，请参阅设置 Windows 服务帐户。
|
|
- SQL Server 身份验证是否只有在业务需要时才启用？
提示 请参阅选择身份验证模式。
|
|
- 如果启用 SQL Server 身份验证，则是否已禁用 SA 帐户？
提示 SA 帐户是一个广为人知的帐户，并且经常成为恶意用户的攻击目标。通过使用 ALTER LOGIN 语句可以禁用该帐户。将 sysadmin 固定服务器角色的成员身份限制为使用 Windows 身份验证的登录名。
|
|
- 如果启用 SQL Server 身份验证，则 SA 帐户是否已重命名？
提示 SA 帐户是一个广为人知的帐户，并且经常成为恶意用户的攻击目标。通过使用 ALTER LOGIN 语句重命名该帐户可帮助保护该帐户。
|
|
- SA 帐户是否具有强密码？
提示 SA 帐户密码是在 SQL Server 安装过程中指定的。不过，可以使用 ALTER LOGIN 语句更改该密码。
|
|
- 如果启用 SQL Server 身份验证，SQL Server 是否要求强密码？
提示 除非被明确免除，否则，SQL Server 登录名将继承计算机的密码策略。有关详细信息，请参阅 CREATE LOGIN 和 ALTER LOGIN 的 CHECK_POLICY 选项。
|
|
- 是否禁用了不需要的 SQL Server 功能？
提示 使用基于策略的管理的外围应用配置方面。有关详细信息，请参阅了解外围应用配置器。
|
|
- 除非绝对需要，否则是否禁用了 xp_cmdshell？
提示 有关详细信息，请参阅 xp_cmdshell (Transact-SQL)。
|
|
- 除非多个数据库作为单个单元部署，否则，跨数据库所有权链接是否设置为 OFF？
提示 有关详细信息，请参阅cross db ownership chaining 选项。
|
|
- 是否定期对 SQL Server 运行最佳实践分析工具 (BPA)？
提示 使用 Microsoft SQL Server 2008 R2 最佳实践分析工具或 SQL Server 2005 最佳实践分析工具（2008 年 8 月）。
|
|
- 数据库引擎是否应用了最新的 Service Pack？
提示 生产环境通常要求在应用 Service Pack 前进行测试。如果未执行测试，则自动安装 Service Pack 可能是最佳选择。
|
|
- 是否已确认示例数据库（例如 AdventureWorks2008R2）未安装在生产数据库上？
提示 使用 SQL Server Management Studio 可以检查是否存在示例数据库。
|