SQLserver作業(yè)指導(dǎo)書(shū)

1、SQL Server審計(jì)作業(yè)指導(dǎo)書(shū)SQL Server檢查列表 簽署頁(yè)文件SQL Server檢查列表編制黃俊強(qiáng)簽名：日期：祝宇琳簽名：日期：馬遙簽名：馬遙日期：王洪彬簽名： 日期：王大萌簽名： 王大萌日期：張清江簽名：日期：編輯馬遙簽名：馬遙日期：審核黃俊強(qiáng)簽名：日期：批準(zhǔn)王希忠簽名：日期：更改記錄備注目錄1.數(shù)據(jù)庫(kù)系統(tǒng)應(yīng)用用戶(hù)的身份鑒別42.數(shù)據(jù)庫(kù)系統(tǒng)的失敗處理53.檢查加密設(shè)置54.數(shù)據(jù)庫(kù)系統(tǒng)用戶(hù)的身份標(biāo)識(shí)應(yīng)具有唯一性65.數(shù)據(jù)庫(kù)系統(tǒng)用戶(hù)的身份鑒別方式76.檢查Xp_cmdshell權(quán)限87.檢查跨數(shù)據(jù)庫(kù)所有權(quán)鏈接108.檢查程序文件的權(quán)限109.檢查數(shù)據(jù)文件的權(quán)限1110.數(shù)據(jù)庫(kù)系統(tǒng)s

2、a用戶(hù)的身份鑒別1211.應(yīng)嚴(yán)格限制默認(rèn)用戶(hù)的訪問(wèn)權(quán)限1312.檢查SQL Server調(diào)試賬戶(hù)1413.應(yīng)依據(jù)安全策略控制主體對(duì)客體的訪問(wèn)1514.權(quán)限分離1615.檢查安裝日志文件1716.安全審計(jì)范圍1717.SQL Server數(shù)據(jù)庫(kù)是否安裝最新的補(bǔ)丁1818.系統(tǒng)啟用不需要的服務(wù)1919.特定事件的實(shí)時(shí)報(bào)警2020.重要信息的恢復(fù)2121.系統(tǒng)資源控制2222.表空間的利用率2323.檢查監(jiān)聽(tīng)端口2424.系統(tǒng)重要信息的備份2525.重要業(yè)務(wù)系統(tǒng)級(jí)熱備2626.檢查示例數(shù)據(jù)庫(kù)2627.檢查服務(wù)器屬性2728.檢查SQL Server使用的協(xié)議2829.應(yīng)由授權(quán)主體設(shè)置對(duì)客體訪問(wèn)和操作

3、的權(quán)限2930.檢查服務(wù)器獨(dú)立性31- 30 -1. 數(shù)據(jù)庫(kù)系統(tǒng)應(yīng)用用戶(hù)的身份鑒別審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-01主機(jī)安全：身份鑒別b)   操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶(hù)身份標(biāo)識(shí)應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換審計(jì)項(xiàng)名稱(chēng)數(shù)據(jù)庫(kù)系統(tǒng)應(yīng)用用戶(hù)的身份鑒別審計(jì)項(xiàng)描述數(shù)據(jù)庫(kù)系統(tǒng)用戶(hù)的身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，例如口令長(zhǎng)度、復(fù)雜性和定期更新等。審計(jì)步驟執(zhí)行：在master庫(kù)中，select * from syslogins where password is null,查看有無(wú)空口令用戶(hù)。詢(xún)問(wèn)：數(shù)據(jù)庫(kù)管理員詢(xún)問(wèn)口令的管理要求（口令的長(zhǎng)度，口令復(fù)雜性，口

4、令更新周期）。適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)應(yīng)用用戶(hù)弱口令脆弱性編號(hào)DB-SQL-05脆弱性說(shuō)明應(yīng)用系統(tǒng)訪問(wèn)數(shù)據(jù)庫(kù)的用戶(hù)使用了弱口令,導(dǎo)致攻擊者可能利用此用戶(hù)對(duì)應(yīng)用數(shù)據(jù)執(zhí)行任意操作。嚴(yán)重程度很高加固方法在"開(kāi)始"菜單中，指向"程序"，接著指向"Microsoft SQL Server"，然后單擊"SQL Server 企業(yè)管理器"，“安全性”“登錄”右鍵單擊用戶(hù)名，屬性，更改其密碼。實(shí)施風(fēng)險(xiǎn)如不能及時(shí)通知各用戶(hù)新密碼，可能造成臨時(shí)性的無(wú)法訪問(wèn)。備注2. 數(shù)據(jù)庫(kù)系統(tǒng)的失敗處理審

5、計(jì)項(xiàng)編號(hào)DAT-DB-SQL-02主機(jī)安全：身份鑒別c)   應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施審計(jì)項(xiàng)名稱(chēng)數(shù)據(jù)庫(kù)系統(tǒng)的失敗處理審計(jì)項(xiàng)描述應(yīng)具有登錄失敗處理功能，如：結(jié)束會(huì)話、限制非法登錄次數(shù)，當(dāng)?shù)卿涍B接超時(shí)，自動(dòng)退出。審計(jì)步驟執(zhí)行：使用sp_configure查看有無(wú)鑒別失敗和超時(shí)等方面的設(shè)置。詢(xún)問(wèn)：數(shù)據(jù)庫(kù)管理員，是否采取其他措施保證上述安全功能的實(shí)現(xiàn)。適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)缺少數(shù)據(jù)庫(kù)登錄失敗處理脆弱性編號(hào)DB-SQL-08脆弱性說(shuō)明缺少數(shù)據(jù)庫(kù)登錄失敗處理，無(wú)法對(duì)某些登錄嘗試、惡意訪問(wèn)等進(jìn)

6、行相應(yīng)的處理。嚴(yán)重程度高加固方法實(shí)施風(fēng)險(xiǎn)備注3. 檢查加密設(shè)置審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-03主機(jī)安全：身份鑒別d)   當(dāng)對(duì)服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽(tīng)審計(jì)項(xiàng)名稱(chēng)檢查加密設(shè)置審計(jì)項(xiàng)描述檢查并記錄是否安裝證書(shū)以啟用 SSL 連接審計(jì)步驟執(zhí)行：使用 SQLServer 網(wǎng)絡(luò)實(shí)用工具，看是否選中 “強(qiáng)制協(xié)議加密”。適用版本：ALL審計(jì)項(xiàng)結(jié)果“強(qiáng)制協(xié)議加密”已選中。關(guān)聯(lián)脆弱性脆弱性名稱(chēng)沒(méi)有加密網(wǎng)絡(luò)通信脆弱性編號(hào)DB-SQL-29脆弱性說(shuō)明使用了明文方式的協(xié)議傳輸數(shù)據(jù)，在傳輸過(guò)程中不能保證其中的數(shù)據(jù)被竊聽(tīng)乃至修改，因此最好對(duì)傳輸進(jìn)行加

7、密。嚴(yán)重程度低加固方法1.使用 SQLServer 網(wǎng)絡(luò)實(shí)用工具并單擊以選中 強(qiáng)制協(xié)議加密 復(fù)選框。2.停止并重新 MSSQLServer 服務(wù)對(duì)于默認(rèn)實(shí)例或命名實(shí)例。3.使用 SQLServer 錯(cuò)誤日志以驗(yàn)證它啟動(dòng)時(shí)， SQLServer 沒(méi)有報(bào)告任何錯(cuò)誤。實(shí)施風(fēng)險(xiǎn)無(wú)可預(yù)見(jiàn)風(fēng)險(xiǎn)。備注4. 數(shù)據(jù)庫(kù)系統(tǒng)用戶(hù)的身份標(biāo)識(shí)應(yīng)具有唯一性審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-04主機(jī)安全：身份鑒別a)   應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶(hù)進(jìn)行身份標(biāo)識(shí)和鑒別審計(jì)項(xiàng)名稱(chēng)數(shù)據(jù)庫(kù)系統(tǒng)用戶(hù)的身份標(biāo)識(shí)應(yīng)具有唯一性審計(jì)項(xiàng)描述查看數(shù)據(jù)庫(kù)系統(tǒng)用戶(hù)的身份標(biāo)識(shí)應(yīng)具有唯一性。審計(jì)步驟執(zhí)行：1）在SQL查詢(xún)分析器

8、或其他工具中執(zhí)行命令：select name from sysxlogins，查看是否有重復(fù)的用戶(hù)名。2）在SQL Server數(shù)據(jù)庫(kù)中創(chuàng)建兩個(gè)相同名稱(chēng)的用戶(hù)，如系統(tǒng)拒絕，則說(shuō)明在SQL Server數(shù)據(jù)庫(kù)中用戶(hù)名是唯一的。詢(xún)問(wèn)：數(shù)據(jù)庫(kù)管理員適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)數(shù)據(jù)庫(kù)系統(tǒng)存在重復(fù)用戶(hù)名脆弱性編號(hào)DB-SQL-03脆弱性說(shuō)明系統(tǒng)中存在重復(fù)用戶(hù)名，可能引發(fā)無(wú)法識(shí)別具體用戶(hù)的事件。嚴(yán)重程度中加固方法實(shí)施風(fēng)險(xiǎn)備注5. 數(shù)據(jù)庫(kù)系統(tǒng)用戶(hù)的身份鑒別方式審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-05主機(jī)安全：身份鑒別b)   操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理

9、用戶(hù)身份標(biāo)識(shí)應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換審計(jì)項(xiàng)名稱(chēng)數(shù)據(jù)庫(kù)系統(tǒng)用戶(hù)的身份鑒別方式審計(jì)項(xiàng)描述應(yīng)對(duì)同一用戶(hù)采用兩種或兩種以上組合的鑒別技術(shù)實(shí)現(xiàn)用戶(hù)身份鑒別。審計(jì)步驟詢(xún)問(wèn)：數(shù)據(jù)庫(kù)管理員詢(xún)問(wèn)數(shù)據(jù)庫(kù)的身份鑒別方式，是否使用其他鑒別技術(shù)。查看：在企業(yè)管理器中點(diǎn)“屬性”-“安全性”，在身份驗(yàn)證中看“SQL Server和Windows”的混合驗(yàn)證模式。適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果記錄采用的身份鑒別方式。關(guān)聯(lián)脆弱性脆弱性名稱(chēng)數(shù)據(jù)庫(kù)身份鑒別方式單一脆弱性編號(hào)DB-SQL-06脆弱性說(shuō)明采用一種身份鑒別方式，可能導(dǎo)致數(shù)據(jù)庫(kù)易于被攻擊。嚴(yán)重程度中加固方法在企業(yè)管理器中設(shè)置

10、“屬性”-“安全性”，在身份驗(yàn)證中選中“SQL Server和Windows”的混合驗(yàn)證模式。實(shí)施風(fēng)險(xiǎn)無(wú)可預(yù)見(jiàn)風(fēng)險(xiǎn)。備注6. 檢查Xp_cmdshell權(quán)限審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-06審計(jì)項(xiàng)名稱(chēng)檢查Xp_cmdshell權(quán)限審計(jì)項(xiàng)描述檢查Xp_cmdshell權(quán)限。審計(jì)步驟執(zhí)行：在企業(yè)管理器-數(shù)據(jù)庫(kù)-擴(kuò)展存儲(chǔ)過(guò)程-右鍵-所有任務(wù)-管理權(quán)限或 在查詢(xún)分析器中 sp_helpextendedproc xp_cmdshell查看：記錄xp_cmdshell的權(quán)限。適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)Xp_cmdshell權(quán)限分配不當(dāng)脆弱性編號(hào)DB-SQL-0

11、9脆弱性說(shuō)明在默認(rèn)情況下，只有 sysadmin 角色的成員能夠執(zhí)行 xp_cmdshell。不要將執(zhí)行 xp_cmdshell 的權(quán)限授予 sysadmin 角色成員以外的用戶(hù)。因?yàn)樵摯鎯?chǔ)過(guò)程允許執(zhí)行操作系統(tǒng)命令。嚴(yán)重程度很高加固方法在企業(yè)管理器-數(shù)據(jù)庫(kù)-擴(kuò)展存儲(chǔ)過(guò)程-右鍵-所有任務(wù)-管理權(quán)限 中設(shè)置Xp_cmdshell的權(quán)限。實(shí)施風(fēng)險(xiǎn)無(wú)可預(yù)見(jiàn)風(fēng)險(xiǎn)。備注7. 檢查跨數(shù)據(jù)庫(kù)所有權(quán)鏈接審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-07審計(jì)項(xiàng)名稱(chēng)檢查跨數(shù)據(jù)庫(kù)所有權(quán)鏈接審計(jì)項(xiàng)描述檢查并記錄是否禁用了跨數(shù)據(jù)庫(kù)所有權(quán)鏈接。在進(jìn)行跨服務(wù)器訪問(wèn)對(duì)象時(shí)，如果開(kāi)啟了“跨數(shù)據(jù)庫(kù)所有權(quán)鏈”，對(duì)于同一個(gè)所有者的對(duì)象，不在被調(diào)用對(duì)

12、象的數(shù)據(jù)庫(kù)中檢查調(diào)用者的權(quán)限?。ㄖ辉谡{(diào)用對(duì)象的數(shù)據(jù)庫(kù)中檢查調(diào)用者對(duì)該對(duì)象的權(quán)限）。審計(jì)步驟執(zhí)行： SQL Server 右鍵屬性=>安全選項(xiàng)中的“所有權(quán)鏈接：”“允許跨數(shù)據(jù)庫(kù)所有權(quán)鏈接”適用版本：審計(jì)項(xiàng)結(jié)果應(yīng)禁用“允許跨數(shù)據(jù)庫(kù)所有權(quán)鏈接”關(guān)聯(lián)脆弱性脆弱性名稱(chēng)啟用了跨數(shù)據(jù)庫(kù)所有權(quán)鏈接脆弱性編號(hào)DB-SQL-17脆弱性說(shuō)明如果不需要，盡可能避免使用跨數(shù)據(jù)庫(kù)所有權(quán)鏈接，否則將導(dǎo)致權(quán)限管理的復(fù)雜。嚴(yán)重程度中加固方法右 < 服務(wù)器 >，單擊以選擇“屬性”單擊“安全性”，在“允許跨數(shù)據(jù)庫(kù)所有權(quán)鏈接 所有權(quán)鏈接”中的對(duì)號(hào)去掉，單擊“確定”。實(shí)施風(fēng)險(xiǎn)可能需要重新啟動(dòng)Sql Server服務(wù)。

13、備注8. 檢查程序文件的權(quán)限審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-08主機(jī)安全：訪問(wèn)控制a)   應(yīng)啟用訪問(wèn)控制功能，依據(jù)安全策略控制用戶(hù)對(duì)資源的訪問(wèn)審計(jì)項(xiàng)名稱(chēng)檢查程序文件的權(quán)限審計(jì)項(xiàng)描述檢查程序文件的權(quán)限審計(jì)步驟執(zhí)行：在Program FilesMicrosoft SQL ServerMssqlBinn文件夾中右鍵，屬性查看權(quán)限。詢(xún)問(wèn)：數(shù)據(jù)庫(kù)管理員對(duì)程序文件的權(quán)限設(shè)置。適用版本：ALL審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)程序文件權(quán)限設(shè)置不當(dāng)脆弱性編號(hào)DB-SQL-18脆弱性說(shuō)明sql server在操作系統(tǒng)中的程序文件權(quán)限設(shè)置不當(dāng)，有可能被惡意利用，存在一定安全風(fēng)險(xiǎn)。嚴(yán)重程度中加固方

14、法在Program FilesMicrosoft SQL ServerMssqlBinn文件夾中，右鍵，屬性，修改權(quán)限。實(shí)施風(fēng)險(xiǎn)無(wú)可預(yù)見(jiàn)風(fēng)險(xiǎn)。備注9. 檢查數(shù)據(jù)文件的權(quán)限審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-09主機(jī)安全：訪問(wèn)控制a)   應(yīng)啟用訪問(wèn)控制功能，依據(jù)安全策略控制用戶(hù)對(duì)資源的訪問(wèn)審計(jì)項(xiàng)名稱(chēng)檢查數(shù)據(jù)文件的權(quán)限審計(jì)項(xiàng)描述檢查數(shù)據(jù)文件的權(quán)限審計(jì)步驟執(zhí)行：在Program FilesMicrosoft SQL ServerMssqlData文件夾中右鍵，屬性查看權(quán)限。詢(xún)問(wèn)：數(shù)據(jù)庫(kù)管理員對(duì)數(shù)據(jù)文件的權(quán)限設(shè)置。適用版本：ALL審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)數(shù)據(jù)文件權(quán)限設(shè)置不當(dāng)脆弱

15、性編號(hào)DB-SQL-19脆弱性說(shuō)明sql server在操作系統(tǒng)中的程序文件權(quán)限設(shè)置不當(dāng)，有可能被惡意利用，存在一定安全風(fēng)險(xiǎn)。嚴(yán)重程度中加固方法在Program FilesMicrosoft SQL ServerMssqlData文件夾中，右鍵，屬性，修改權(quán)限。實(shí)施風(fēng)險(xiǎn)無(wú)可預(yù)見(jiàn)風(fēng)險(xiǎn)。備注10. 數(shù)據(jù)庫(kù)系統(tǒng)sa用戶(hù)的身份鑒別審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-10審計(jì)項(xiàng)名稱(chēng)數(shù)據(jù)庫(kù)系統(tǒng)sa用戶(hù)的身份鑒別審計(jì)項(xiàng)描述數(shù)據(jù)庫(kù)系統(tǒng)用戶(hù)的身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，例如口令長(zhǎng)度、復(fù)雜性和定期更新等。審計(jì)步驟執(zhí)行：在master庫(kù)中，select * from syslogins where passwo

16、rd is null,查看有無(wú)空口令用戶(hù)。詢(xún)問(wèn)：數(shù)據(jù)庫(kù)管理員1）詢(xún)問(wèn)是否在安裝時(shí)立刻修改sa口令。2）詢(xún)問(wèn)口令的管理要求（口令的長(zhǎng)度，口令復(fù)雜性，口令更新周期）。適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)SA弱口令脆弱性編號(hào)DB-SQL-04脆弱性說(shuō)明sql server數(shù)據(jù)庫(kù)系統(tǒng)安裝后，自動(dòng)創(chuàng)建一個(gè)叫做SA的數(shù)據(jù)庫(kù)管理員用戶(hù)，當(dāng)具有全部系統(tǒng)權(quán)限，一旦該用戶(hù)使用空口令或弱口令，任何人都可以通過(guò)該用戶(hù)完全操作數(shù)據(jù)庫(kù)系統(tǒng)。嚴(yán)重程度很高加固方法在"開(kāi)始"菜單中，指向"程序"，接著指向"Microsoft SQL Serve

17、r"，然后單擊"SQL Server 企業(yè)管理器"，“安全性”“登錄”點(diǎn)sa屬性，更改sa密碼。實(shí)施風(fēng)險(xiǎn)如不能及時(shí)通知管理員新密碼，可能造成臨時(shí)無(wú)法管理數(shù)據(jù)庫(kù)。備注11. 應(yīng)嚴(yán)格限制默認(rèn)用戶(hù)的訪問(wèn)權(quán)限審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-11主機(jī)安全：訪問(wèn)控制c)   應(yīng)限制默認(rèn)帳戶(hù)的訪問(wèn)權(quán)限，重命名系統(tǒng)默認(rèn)帳戶(hù)，修改這些帳戶(hù)的默認(rèn)口令審計(jì)項(xiàng)名稱(chēng)應(yīng)嚴(yán)格限制默認(rèn)用戶(hù)的訪問(wèn)權(quán)限。審計(jì)項(xiàng)描述應(yīng)嚴(yán)格限制默認(rèn)用戶(hù)的訪問(wèn)權(quán)限。審計(jì)步驟查看：1）查看是否對(duì)sa帳戶(hù)的權(quán)限進(jìn)行了限制，是否加強(qiáng)了sa的口令強(qiáng)度。2）查看其它用戶(hù)的口令強(qiáng)度，是否存在弱口令。2）查看pub

18、lic的權(quán)限，是否嚴(yán)格限制public的權(quán)限。EXEC sp_helpuser public' 3）查看是否有g(shù)uest帳戶(hù)，是否嚴(yán)格限制guest的權(quán)限。適用版本：ALL審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)SA弱口令脆弱性編號(hào)DB-SQL-04脆弱性說(shuō)明sql server數(shù)據(jù)庫(kù)系統(tǒng)安裝后，自動(dòng)創(chuàng)建一個(gè)叫做SA的數(shù)據(jù)庫(kù)管理員用戶(hù)，當(dāng)具有全部系統(tǒng)權(quán)限，一旦該用戶(hù)使用空口令或弱口令，任何人都可以通過(guò)該用戶(hù)完全操作數(shù)據(jù)庫(kù)系統(tǒng)。嚴(yán)重程度很高加固方法在"開(kāi)始"菜單中，指向"程序"，接著指向"Microsoft SQL Server"，然后單

19、擊"SQL Server 企業(yè)管理器"，“安全性”“登錄”點(diǎn)sa屬性，更改sa密碼。實(shí)施風(fēng)險(xiǎn)如不能及時(shí)通知管理員新密碼，可能造成臨時(shí)無(wú)法管理數(shù)據(jù)庫(kù)。備注關(guān)聯(lián)脆弱性脆弱性名稱(chēng)PUBLIC角色不適當(dāng)權(quán)限脆弱性編號(hào)DB-SQL-15脆弱性說(shuō)明PUBLIC是一個(gè)公用角色，它的權(quán)限過(guò)大將導(dǎo)致數(shù)據(jù)庫(kù)所有用戶(hù)授權(quán)過(guò)大，有可能出現(xiàn)安全問(wèn)題。嚴(yán)重程度高加固方法在"開(kāi)始"菜單中，指向"程序"，接著指向"Microsoft SQL Server"，然后單擊"SQL Server 企業(yè)管理器"，“安全性”“服務(wù)器角色”

20、點(diǎn)相應(yīng)的角色，屬性，修改權(quán)限。實(shí)施風(fēng)險(xiǎn)如不能及時(shí)通知新密碼，可能造成臨時(shí)無(wú)法是用數(shù)據(jù)庫(kù)。備注12. 檢查SQL Server調(diào)試賬戶(hù)審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-12主機(jī)安全：訪問(wèn)控制d)   應(yīng)及時(shí)刪除多余的、過(guò)期的帳戶(hù)，避免共享帳戶(hù)的存在審計(jì)項(xiàng)名稱(chēng)檢查SQL Server調(diào)試賬戶(hù)審計(jì)項(xiàng)描述檢查并記錄操作系統(tǒng)中是否存在SQL Server調(diào)試賬戶(hù)。審計(jì)步驟執(zhí)行：在開(kāi)始-控制面板-管理工具-計(jì)算機(jī)管理-本地用戶(hù)管理-組-Users查看：是否存在sql debugger帳戶(hù)。適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果不存在sql debugger。關(guān)聯(lián)脆弱性脆弱性名

21、稱(chēng)未刪除調(diào)試賬號(hào)脆弱性編號(hào)DB-SQL-07脆弱性說(shuō)明在SQL Server 2000sp3安裝過(guò)程中，缺省創(chuàng)建了sql debugger帳號(hào)，該默認(rèn)帳號(hào)可能被惡意利用，存在安全隱患。嚴(yán)重程度低加固方法在開(kāi)始-控制面板-管理工具-計(jì)算機(jī)管理-本地用戶(hù)管理-組-Users，刪除sql debugger。實(shí)施風(fēng)險(xiǎn)無(wú)可預(yù)見(jiàn)風(fēng)險(xiǎn)。備注13. 應(yīng)依據(jù)安全策略控制主體對(duì)客體的訪問(wèn)審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-13主機(jī)安全：訪問(wèn)控制e)   應(yīng)根據(jù)管理用戶(hù)的角色分配權(quán)限，實(shí)現(xiàn)管理用戶(hù)的權(quán)限分離，僅授予管理用戶(hù)所需的最小權(quán)限審計(jì)項(xiàng)名稱(chēng)應(yīng)依據(jù)安全策略控制主體對(duì)客體的訪問(wèn)審計(jì)項(xiàng)描述應(yīng)依據(jù)安全

22、策略控制主體對(duì)客體的訪問(wèn)。審計(jì)步驟詢(xún)問(wèn)：數(shù)據(jù)庫(kù)管理員詢(xún)問(wèn)數(shù)據(jù)庫(kù)的身份鑒別方式，是否使用其他鑒別技術(shù)。執(zhí)行：SQL Server Enterprise Manager-安全性管理查看：查看系統(tǒng)管理員是否為每個(gè)登錄用戶(hù)分配并限制了服務(wù)器角色、數(shù)據(jù)庫(kù)訪問(wèn)權(quán)限和數(shù)據(jù)庫(kù)角色。是否禁止訪問(wèn)系統(tǒng)表syscomments。適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果記錄角色設(shè)置情況。關(guān)聯(lián)脆弱性脆弱性名稱(chēng)用戶(hù)沒(méi)有分組脆弱性編號(hào)DB-SQL-10脆弱性說(shuō)明沒(méi)有將用戶(hù)匯集到 SQL Server 角色或 Windows 組中，導(dǎo)致權(quán)限管理復(fù)雜，可能造成不恰當(dāng)授權(quán)。嚴(yán)重程度低加固方法SQL Server Ent

23、erprise Manager-安全性，登錄，在右邊設(shè)置相應(yīng)角色。實(shí)施風(fēng)險(xiǎn)如果角色設(shè)置不當(dāng)，可能造成某些用戶(hù)無(wú)法訪問(wèn)其數(shù)據(jù)庫(kù)。備注14. 權(quán)限分離審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-14主機(jī)安全：訪問(wèn)控制e)   應(yīng)根據(jù)管理用戶(hù)的角色分配權(quán)限，實(shí)現(xiàn)管理用戶(hù)的權(quán)限分離，僅授予管理用戶(hù)所需的最小權(quán)限審計(jì)項(xiàng)名稱(chēng)權(quán)限分離審計(jì)項(xiàng)描述權(quán)限分離應(yīng)采用最小授權(quán)原則，分別授予不同用戶(hù)各自為完成自己承擔(dān)任務(wù)所需的最小權(quán)限，并在他們之間形成相互制約的關(guān)系。審計(jì)步驟詢(xún)問(wèn)：詢(xún)問(wèn)系統(tǒng)管理員數(shù)據(jù)庫(kù)系統(tǒng)是否有系統(tǒng)管理員、安全管理員、安全審計(jì)員，如果有，則可查看這些用戶(hù)的權(quán)限。適用版本：ALL審計(jì)項(xiàng)結(jié)果分別具有

24、系統(tǒng)管理員、安全管理員、安全審計(jì)員。關(guān)聯(lián)脆弱性脆弱性名稱(chēng)未采用最小權(quán)限分離策略脆弱性編號(hào)DB-SQL-14脆弱性說(shuō)明沒(méi)有采用最小授權(quán)原則，可能造成對(duì)信息系統(tǒng)安全管理的職責(zé)權(quán)限不明確，或不能形成相互制約關(guān)系。嚴(yán)重程度中加固方法實(shí)施風(fēng)險(xiǎn)備注15. 檢查安裝日志文件審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-15審計(jì)項(xiàng)名稱(chēng)檢查安裝日志文件審計(jì)項(xiàng)描述檢查并記錄是否刪除了數(shù)據(jù)庫(kù)安裝時(shí)生成的日志文件sqlstp.log、sqlsp.log和setup.iss。審計(jì)步驟執(zhí)行：對(duì)于默認(rèn)安裝，查看 :Program FilesMicrosoft SQL ServerMSSQLInstall文件夾中；命名實(shí)例查看:

25、Program FilesMicrosoft SQL Server MSSQL$<實(shí)例名稱(chēng)>Install 文件夾。適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果已刪除日志文件。關(guān)聯(lián)脆弱性脆弱性名稱(chēng)沒(méi)有刪除安裝日志文件脆弱性編號(hào)DB-SQL-23脆弱性說(shuō)明數(shù)據(jù)庫(kù)安裝時(shí)，默認(rèn)生成了安裝日志文件，包含敏感信息，可能被攻擊者獲取并利用。嚴(yán)重程度中加固方法在:Program FilesMicrosoft SQL ServerMSSQLInstall文件夾中或:Program FilesMicrosoft SQL

26、60;Server MSSQL$<實(shí)例名稱(chēng)>Install 文件夾中刪除sqlstp.log、sqlsp.log和setup.iss。實(shí)施風(fēng)險(xiǎn)無(wú)可預(yù)見(jiàn)風(fēng)險(xiǎn)。備注16. 安全審計(jì)范圍審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-16主機(jī)安全：安全審計(jì)a)   審計(jì)范圍應(yīng)覆蓋到服務(wù)器上的每個(gè)操作系統(tǒng)用戶(hù)和數(shù)據(jù)庫(kù)用戶(hù)審計(jì)項(xiàng)名稱(chēng)安全審計(jì)范圍審計(jì)項(xiàng)描述安全審計(jì)應(yīng)覆蓋到服務(wù)器和客戶(hù)端上的每個(gè)操作系統(tǒng)用戶(hù)和數(shù)據(jù)庫(kù)用戶(hù)。審計(jì)步驟查看：1）查看每個(gè)注冊(cè)的“審核級(jí)別”是否為“全部”。數(shù)據(jù)庫(kù)右鍵-安全性-審計(jì)級(jí)別2）用不同的用戶(hù)登錄數(shù)據(jù)庫(kù)系統(tǒng)并進(jìn)行不同的操作，在SQL Server數(shù)據(jù)庫(kù)

27、中查看日志記錄。適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)沒(méi)有開(kāi)啟審計(jì)脆弱性編號(hào)DB-SQL-21脆弱性說(shuō)明sql server可以設(shè)置對(duì)不同級(jí)別事件的審計(jì)功能，未啟用事件審計(jì)將無(wú)法記錄安全事件。嚴(yán)重程度高加固方法數(shù)據(jù)庫(kù)右鍵-安全性-審計(jì)級(jí)別-選“全部”。實(shí)施風(fēng)險(xiǎn)無(wú)可預(yù)見(jiàn)風(fēng)險(xiǎn)。備注17. SQL Server數(shù)據(jù)庫(kù)是否安裝最新的補(bǔ)丁審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-17主機(jī)安全：入侵防范a）操作系統(tǒng)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，并通過(guò)設(shè)置升級(jí)服務(wù)器等方式保持系統(tǒng)補(bǔ)丁及時(shí)得到更新審計(jì)項(xiàng)名稱(chēng)SQL Server數(shù)據(jù)庫(kù)是否安裝最新的補(bǔ)丁審計(jì)項(xiàng)描述檢查SQ

28、L Server數(shù)據(jù)庫(kù)是否安裝最新的補(bǔ)丁。審計(jì)步驟執(zhí)行：1）查看SQL Server版本信息select serverproperty('Edition')select serverproperty('ProductLevel')2）查看SQL Server是否打補(bǔ)丁，及補(bǔ)丁的版本Select Version或者SELECT SERVERPROPERTY('ProductVersion')查看：版本及補(bǔ)丁信息詢(xún)問(wèn)：數(shù)據(jù)庫(kù)管理員適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)未安裝最新補(bǔ)丁脆弱性編號(hào)DB-SQL-01脆弱性說(shuō)明

29、數(shù)據(jù)庫(kù)沒(méi)有更新最新的安全補(bǔ)丁，存在許多已知安全漏洞,可能被攻擊者利用,危害數(shù)據(jù)庫(kù)及其存儲(chǔ)數(shù)據(jù)的安全。嚴(yán)重程度高加固方法查看實(shí)施風(fēng)險(xiǎn)更新安全補(bǔ)丁可能影響數(shù)據(jù)庫(kù)系統(tǒng)的運(yùn)行情況，使得數(shù)據(jù)丟失，或者影響數(shù)據(jù)庫(kù)系統(tǒng)的穩(wěn)定運(yùn)行，建議在安裝安全補(bǔ)丁之前，對(duì)數(shù)據(jù)庫(kù)系統(tǒng)的數(shù)據(jù)及配置文件進(jìn)行完全備份，然后安裝安全補(bǔ)丁或者升級(jí)數(shù)據(jù)庫(kù)系統(tǒng)版本。備注18. 系統(tǒng)啟用不需要的服務(wù) 審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-18審計(jì)項(xiàng)名稱(chēng)系統(tǒng)啟用不需要的服務(wù)審計(jì)項(xiàng)描述檢查并記錄SQL Server開(kāi)啟的相關(guān)輔助服務(wù)。審計(jì)步驟執(zhí)行：開(kāi)始-控制面板-管理工具-服務(wù)查看：查看MSSQL$ISSDB、MSSQLSERVER、MSSQLSer

30、verADHelper、 SQLAgent$ISSDB、SQLSERVERAGENT是否開(kāi)啟。詢(xún)問(wèn)：數(shù)據(jù)庫(kù)管理員，正常啟動(dòng)時(shí)開(kāi)啟哪些服務(wù)。適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)系統(tǒng)啟用不需要的服務(wù)脆弱性編號(hào)DB-SQL-02脆弱性說(shuō)明數(shù)據(jù)庫(kù)中存在若干非必要服務(wù)，開(kāi)啟后有可能被惡意利用，存在一定安全風(fēng)險(xiǎn)。嚴(yán)重程度中加固方法在開(kāi)始-控制面板-管理工具-服務(wù)，關(guān)閉不必要的服務(wù)。實(shí)施風(fēng)險(xiǎn)無(wú)可預(yù)見(jiàn)風(fēng)險(xiǎn)。備注19. 特定事件的實(shí)時(shí)報(bào)警審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-19主機(jī)安全：資源控制e)   應(yīng)能夠?qū)ο到y(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測(cè)和報(bào)警

31、審計(jì)項(xiàng)名稱(chēng)特定事件的實(shí)時(shí)報(bào)警審計(jì)項(xiàng)描述安全審計(jì)應(yīng)可以對(duì)特定事件，提供指定方式的實(shí)時(shí)報(bào)警。審計(jì)步驟執(zhí)行：企業(yè)管理器-數(shù)據(jù)庫(kù)名稱(chēng)管理警報(bào)查看：對(duì)警報(bào)的設(shè)置情況適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)缺少實(shí)時(shí)報(bào)警機(jī)制脆弱性編號(hào)DB-SQL-22脆弱性說(shuō)明沒(méi)有設(shè)置實(shí)時(shí)報(bào)警功能，對(duì)很多重要事件無(wú)法及時(shí)發(fā)現(xiàn)并進(jìn)行處理。嚴(yán)重程度高加固方法實(shí)施風(fēng)險(xiǎn)備注20. 重要信息的恢復(fù)審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-20主機(jī)安全：入侵防范c)   應(yīng)能夠?qū)χ匾绦虻耐暾赃M(jìn)行檢測(cè)，并在檢測(cè)到完整性受到破壞后具有恢復(fù)的措施審計(jì)項(xiàng)名稱(chēng)重要信息的恢復(fù)審計(jì)項(xiàng)描述應(yīng)提供恢復(fù)重要信息

32、的功能審計(jì)步驟1) 詢(xún)問(wèn)用戶(hù)是否制定有恢復(fù)重要信息的方案,如果有，則查看其方案。2)詢(xún)問(wèn)用戶(hù)是否確定備份文件能夠成功的恢復(fù)到數(shù)據(jù)庫(kù)中。適用版本：ALL審計(jì)項(xiàng)結(jié)果有恢復(fù)重要信息的方案。關(guān)聯(lián)脆弱性脆弱性名稱(chēng)缺少重要信息恢復(fù)方案脆弱性編號(hào)DB-SQL-27脆弱性說(shuō)明沒(méi)有對(duì)重要信息恢復(fù)的方案，無(wú)法在緊急情況下按照步驟恢復(fù)重要信息。嚴(yán)重程度中加固方法制定恢復(fù)方案實(shí)施風(fēng)險(xiǎn)無(wú)可預(yù)見(jiàn)風(fēng)險(xiǎn)備注21. 系統(tǒng)資源控制審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-21主機(jī)安全：資源控制a)   應(yīng)通過(guò)設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄審計(jì)項(xiàng)名稱(chēng)系統(tǒng)資源控制審計(jì)項(xiàng)描述應(yīng)限制單個(gè)用戶(hù)的多重并發(fā)會(huì)話；應(yīng)

33、根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定和鑒別失敗鎖定，并規(guī)定解鎖或終止方式；應(yīng)通過(guò)設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄。審計(jì)步驟執(zhí)行：sql server企業(yè)管理器-數(shù)據(jù)庫(kù)實(shí)例-右鍵，屬性- 內(nèi)存、處理器、連接詢(xún)問(wèn)：詢(xún)問(wèn)數(shù)據(jù)庫(kù)系統(tǒng)管理員是否有保證上述安全功能的措施，如果有，是如何實(shí)現(xiàn)的。適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)缺少資源控制策略脆弱性編號(hào)DB-SQL-24脆弱性說(shuō)明沒(méi)有對(duì)單個(gè)用戶(hù)的會(huì)話數(shù)或用戶(hù)登錄超時(shí)等進(jìn)行限制，可能造成資源浪費(fèi)。嚴(yán)重程度低加固方法在“開(kāi)始-程序-企業(yè)管理器-數(shù)據(jù)庫(kù)實(shí)例-連接”設(shè)置并發(fā)用戶(hù)最大數(shù)值。實(shí)施風(fēng)險(xiǎn)無(wú)可預(yù)見(jiàn)風(fēng)險(xiǎn)。備

34、注22. 表空間的利用率審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-22審計(jì)項(xiàng)名稱(chēng)表空間的利用率審計(jì)項(xiàng)描述表空間的利用率。審計(jì)步驟執(zhí)行： sp_spaceused yourtable DBCC SQLPERF(LOGSPACE)檢查并記錄表空間的利用率和擴(kuò)展方式是否存在安全問(wèn)題。適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)表空間不足脆弱性編號(hào)DB-SQL-25脆弱性說(shuō)明表空間利用率超過(guò)了90%，并且不能夠自動(dòng)擴(kuò)充上限，可能短期內(nèi)導(dǎo)致表空間占滿(mǎn)，系統(tǒng)不可用。嚴(yán)重程度很高加固方法- >選中數(shù)據(jù)庫(kù)名，右鍵 - >屬性，“數(shù)據(jù)文件”和“事務(wù)日志”頁(yè)面，都設(shè)置為“文件自動(dòng)增長(zhǎng)”

35、實(shí)施風(fēng)險(xiǎn)無(wú)可預(yù)見(jiàn)風(fēng)險(xiǎn)。備注關(guān)聯(lián)脆弱性脆弱性名稱(chēng)表空間不足脆弱性編號(hào)DB-SQL-25脆弱性說(shuō)明表空間利用率超過(guò)了70%，并且不能夠自動(dòng)擴(kuò)充上限，將可能導(dǎo)致表空間占滿(mǎn)，系統(tǒng)不可用。嚴(yán)重程度高加固方法- >選中數(shù)據(jù)庫(kù)名，右鍵 - >屬性，“數(shù)據(jù)文件”和“事務(wù)日志”頁(yè)面，都設(shè)置為“文件自動(dòng)增長(zhǎng)”實(shí)施風(fēng)險(xiǎn)無(wú)可預(yù)見(jiàn)風(fēng)險(xiǎn)。備注23. 檢查監(jiān)聽(tīng)端口審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-23審計(jì)項(xiàng)名稱(chēng)檢查監(jiān)聽(tīng)端口審計(jì)項(xiàng)描述檢查監(jiān)聽(tīng)端口，不應(yīng)使用默認(rèn)端口。審計(jì)步驟執(zhí)行：在"開(kāi)始"菜單中，指向"程序"，接著指向"Microsoft SQL Server&qu

36、ot;，然后單擊"SQL Server 網(wǎng)絡(luò)實(shí)用工具"?；蛟诓樵?xún)分析器中執(zhí)行下列語(yǔ)句：Use master Go Xp_readerrorlog查看：使用的端口“SQL Server 正在監(jiān)聽(tīng) IP:端口, IP:端口。適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)使用默認(rèn)監(jiān)聽(tīng)端口脆弱性編號(hào)DB-SQL-12脆弱性說(shuō)明數(shù)據(jù)庫(kù)監(jiān)聽(tīng)程序缺省使用1433端口，容易被遠(yuǎn)程攻擊者利用并對(duì)數(shù)據(jù)庫(kù)進(jìn)行惡意攻擊。嚴(yán)重程度低加固方法在"開(kāi)始"菜單中，指向"程序"，接著指向"Microsoft SQL Server&qu

37、ot;，然后單擊"SQL Server 網(wǎng)絡(luò)實(shí)用工具"。 選中“TCP/IP” 點(diǎn)擊“屬性”，在彈出的對(duì)話框中修改端口。實(shí)施風(fēng)險(xiǎn)如不及時(shí)通知修改端口，可能造成某些程序無(wú)法訪問(wèn)。備注24. 系統(tǒng)重要信息的備份審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-24主機(jī)安全：入侵防范c)   應(yīng)能夠?qū)χ匾绦虻耐暾赃M(jìn)行檢測(cè)，并在檢測(cè)到完整性受到破壞后具有恢復(fù)的措施審計(jì)項(xiàng)名稱(chēng)系統(tǒng)重要信息的備份審計(jì)項(xiàng)描述應(yīng)提供自動(dòng)備份機(jī)制對(duì)重要信息進(jìn)行本地和異地備份。審計(jì)步驟執(zhí)行：查看系統(tǒng)是否啟動(dòng)SQL Server Agent服務(wù)，如果啟動(dòng)，則查看用戶(hù)是否有自動(dòng)備份作業(yè)（“管理”-）“SQL

38、Server代理” -“作業(yè)”）。詢(xún)問(wèn)：詢(xún)問(wèn)數(shù)據(jù)庫(kù)系統(tǒng)管理員是否制定有數(shù)據(jù)庫(kù)和日志的備份方案，是否提供自動(dòng)備份機(jī)制對(duì)重要信息進(jìn)行本地和異地備份。適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)重要信息沒(méi)有備份脆弱性編號(hào)DB-SQL-26脆弱性說(shuō)明缺少對(duì)重要信息的備份，一旦發(fā)生安全時(shí)間無(wú)法對(duì)重要信息進(jìn)行恢復(fù)。嚴(yán)重程度中加固方法備份重要信息。實(shí)施風(fēng)險(xiǎn)無(wú)可預(yù)見(jiàn)風(fēng)險(xiǎn)。備注25. 重要業(yè)務(wù)系統(tǒng)級(jí)熱備審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-25主機(jī)安全：入侵防范c)   應(yīng)能夠?qū)χ匾绦虻耐暾赃M(jìn)行檢測(cè)，并在檢測(cè)到完整性受到破壞后具有恢復(fù)的措施審計(jì)項(xiàng)名稱(chēng)重要業(yè)務(wù)系統(tǒng)級(jí)熱備

39、審計(jì)項(xiàng)描述應(yīng)提供重要業(yè)務(wù)系統(tǒng)的本地系統(tǒng)級(jí)熱備份。審計(jì)步驟詢(xún)問(wèn)：系統(tǒng)管理員，是否提供對(duì)重要業(yè)務(wù)系統(tǒng)進(jìn)行本地系統(tǒng)級(jí)熱備份。查看：如果條件允許，可以試圖終止本地服務(wù)器的運(yùn)行，查看是否能在規(guī)定的時(shí)間內(nèi)啟動(dòng)備份服務(wù)器。適用版本：ALL審計(jì)項(xiàng)結(jié)果有系統(tǒng)級(jí)熱備。關(guān)聯(lián)脆弱性脆弱性名稱(chēng)沒(méi)有對(duì)重要業(yè)務(wù)進(jìn)行系統(tǒng)及熱備脆弱性編號(hào)DB-SQL-28脆弱性說(shuō)明如果該服務(wù)器提供重要服務(wù)，卻沒(méi)有進(jìn)行系統(tǒng)級(jí)熱備，可能造成服務(wù)器出現(xiàn)故障時(shí)中斷業(yè)務(wù)系統(tǒng)，造成損失。嚴(yán)重程度高加固方法對(duì)重要服務(wù)器實(shí)行系統(tǒng)及備份，并進(jìn)行測(cè)試。實(shí)施風(fēng)險(xiǎn)無(wú)可預(yù)見(jiàn)風(fēng)險(xiǎn)。備注26. 檢查示例數(shù)據(jù)庫(kù)審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-26審計(jì)項(xiàng)名稱(chēng)檢查示例數(shù)據(jù)庫(kù)審計(jì)

40、項(xiàng)描述檢查示例數(shù)據(jù)庫(kù)審計(jì)步驟查看：在企業(yè)管理器中，檢查并記錄是否刪除了數(shù)據(jù)庫(kù)安裝時(shí)生成的示例數(shù)據(jù)庫(kù)pubs和northwind。適用版本：SQL Server 2000審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)沒(méi)有刪除示例數(shù)據(jù)庫(kù)脆弱性編號(hào)DB-SQL-16脆弱性說(shuō)明數(shù)據(jù)庫(kù)安裝時(shí)，默認(rèn)生成了幾個(gè)示例數(shù)據(jù)庫(kù)，可能被攻擊者獲取并利用。嚴(yán)重程度中加固方法在企業(yè)管理器中，打開(kāi)注冊(cè)，選中“pubs”點(diǎn)右鍵“刪除”，同樣方法刪除“northwind”。實(shí)施風(fēng)險(xiǎn)無(wú)可預(yù)見(jiàn)風(fēng)險(xiǎn)。備注27. 檢查服務(wù)器屬性審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-27審計(jì)項(xiàng)名稱(chēng)檢查服務(wù)器屬性審計(jì)項(xiàng)描述檢查并記錄數(shù)據(jù)庫(kù)服務(wù)器是否是域控制器審計(jì)步驟執(zhí)行： 在操作系統(tǒng)上“我的電腦”點(diǎn)右鍵-屬性-網(wǎng)絡(luò)標(biāo)識(shí)-屬性適用版本：ALL審計(jì)項(xiàng)結(jié)果關(guān)聯(lián)脆弱性脆弱性名稱(chēng)使用了域控制器脆弱性編號(hào)DB-SQL-30脆弱性說(shuō)明數(shù)據(jù)庫(kù)服務(wù)器兼做域服務(wù)器，導(dǎo)致更容易受到攻擊者的攻擊，域中的任意主機(jī)受到入侵都會(huì)影響到該數(shù)據(jù)庫(kù)的安全。嚴(yán)重程度高加固方法將數(shù)據(jù)庫(kù)服務(wù)器移植到非域服務(wù)器上，或在這臺(tái)服務(wù)器上取消域服務(wù)器。實(shí)施風(fēng)險(xiǎn)可能造成業(yè)務(wù)暫時(shí)中斷。備注28. 檢查SQL Server使用的協(xié)議審計(jì)項(xiàng)編號(hào)DAT-DB-SQL-28審計(jì)項(xiàng)名稱(chēng)檢查SQL Server使用的協(xié)議審計(jì)