保護SQL Server資料庫的十大絕招

　　SQL Server資料庫日益的發展壯大,吸引來了善意的目光,同時那些圖謀不軌的也來啦,為了保護好SQL Server資料庫,讓它免遭惡意的破壞或者資料資訊的丟失,十大絕招為你解決這些擔憂. 1. 安裝最新的服務包

　　為了提高伺服器安全性,最有效一個方法就是升級到SQL Server 2000 Service Pack 3a (SP3a).另外,你還應該安裝所有發行的安全更新.

　　2. 使用Microsoft基準安全性分析器(MBSA)來評估伺服器的安全性

　　MBSA 是個掃描多種Microsoft產品的不安全設定的工具,包括SQL Server和Microsoft SQL Server 2000 Desktop Engine(MSDE 2000).他能在本地運行,也能通過網路運行.該工具針對下面問題對SQL Server安裝進行檢測:

　　1) 過多的sysadmin固定伺服器角色成員.

　　2) 授予sysadmin以外的其他角色建立CmdExec作業的權利.

　　3) 空的或簡單的密碼.

　　4) 脆弱的身分識別驗證模式.

　　5) 授予Administrator 群組過多的權利.

　　6) SQL Server資料目錄中不正確的存取控制表(ACL).

　　7) 安裝檔案中使用純文字的sa密碼.

　　8) 授予guest帳戶過多的權利.

　　9) 在同時是網域控制站的系統中運行SQL Server.

　　10) 所有人(Everyone)組的不正確設定,提供對特定註冊表鍵的訪問.

　　11) SQL Server 服務帳戶的不正確設定.

　　12) 沒有安裝必要的服務包和安全更新.

　　Microsoft 提供 MBSA 的免費下載.

　　3. 使用視窗系統身分識別驗證模式

　　在所有可能的時候,你都應該對指向SQL Server的串連需求視窗系統身分識別驗證模式.他通過限制對Microsoft 視窗系統使用者和域使用者帳戶的串連,保護SQL Server免受大部分Internet工具的侵害,而且,你的伺服器也將從視窗系統安全增強機制中獲益,例如更強的身分識別驗證協議及強制的密碼複雜性和到期時間.另外,憑證委派(在多台伺服器間橋接憑證的能力)也只能在視窗系統身分識別驗證模式中使用.在用戶端,視窗系統身分識別驗證模式不再需要儲存密碼.儲存密碼是使用標準SQL Server登入的應用程式的主要漏洞之一.要在SQL Server的Enterprise Manager安裝視窗系統身分識別驗證模式,請按下列步驟操作:

　　1)展開伺服器組.

　　2)右鍵點擊伺服器,然後點擊屬性.

　　3)在安全性選項卡的身分識別驗證中,點擊僅限視窗系統.

　　4. 隔離你的伺服器,並定期備份

　　物理和邏輯上的隔離組成了SQL Server安全性的基礎.駐留資料庫的機器應該處於一個從物理形式上受到保護的地方,最佳是個上鎖的機房,配備有洪水檢測及火災檢測及消防系統.資料庫 應該安裝在企業內部網的安全區域中,不要直接連接到Internet.定期備份所有資料,並將副本儲存在安全的網站外地點.

　　5. 分配一個強健的sa密碼

　　sa帳戶應該總擁有一個強健的密碼,即使在設定為需求 視窗系統 身分識別驗證的伺服器上也該如此.這將確保在以後伺服器被重新設定為混合模式身分識別驗證時,不會出現空白或脆弱的sa.

　　要分配sa密碼,請按下列步驟操作:

　　1) 展開伺服器組,然後展開伺服器.

　　2) 展開安全性,然後點擊登入.

　　3) 在詳細資料窗格中,右鍵點擊SA,然後點擊屬性.

　　4) 在密碼方框中,輸入新的密碼.

　　6. 限制 SQL Server服務的許可權

　　SQL Server 2000和SQL Server Agent是作為視窗系統服務啟動並執行.每個服務必須和一個視窗系統帳戶相關聯,並從這個帳戶中衍生出資訊安全內容.SQL Server允許sa登入的使用者(有時也包括其他使用者)來訪問作業系統特性.這些作業系統調用是由擁有伺服器處理序的帳戶的資訊安全內容來建立的.如果服務 器被攻破了,那麼這些作業系統調用可能被利用來向其他資源進行攻擊,只要所擁有的過程(SQL Server服務帳戶)能對其進行訪問.因此,為SQL Server服務僅授予必要的許可權是十分重要的.

　　我們推薦你採用下列設定:

　　1) SQL Server Engine/MSSQLServer

　　如果擁有指定執行個體,那麼他們應該被命名為MSSQL$InstanceName.作為具有一般使用者權限的視窗系統域使用者帳戶運行.不要作為本地系統、本地管理員或網域系統管理員帳戶來運行.

　　2) SQL Server Agent Service/SQLServerAgent

　　如果你的環境中不必,請禁用該服務;否則請作為具有一般使用者權限的視窗系統域使用者帳戶運行.不要作為本地系統、本地管理員或網域系統管理員帳戶來運行.

　　重點: 如果下列條件之一成立,那麼SQL Server Agent將需要本地視窗系統管理員許可權:

　　SQL Server Agent使用標準的SQL Server身分識別驗證串連到SQL Server(不推薦);

　　SQL Server Agent使用多伺服器管理主伺服器(MSX)帳戶,而該帳戶使用標準SQL Server身分識別驗證進行串連;

　　SQL Server Agent運行非sysadmin固定伺服器角色成員所擁有的Microsoft ActiveX指令碼或 CmdExec作業.

　　如果你需要更改和SQL Server服務相關聯的帳戶,請使用 SQL Server Enterprise Manager.Enterprise Manager將為SQL Server所使用的檔案和註冊表鍵設定合適的許可權.不要使用Microsoft管理主控台的“服務”(在控制台中)來更改這些帳戶,因為這樣需要手動 地調製大量的註冊表鍵和NTFS檔案系統許可權及Micorsoft 視窗系統使用者權限.

　　帳戶資訊的更改將在下一次服務啟動時生效.如果你需要更改和SQL Server及SQL Server Agent相關聯的帳戶,那麼你必須使用Enterprise Manager分別對兩個服務變更.

　　7. 在防火牆上禁用SQL Server連接埠

　　SQL Server的預設安裝將監視TCP連接埠1433及UDP連接埠1434.設定你的防火牆來過濾掉到達這些連接埠的資料包.而且,還應該在防火牆上阻止和指定執行個體相關聯的其他連接埠.

　　8. 使用最安全的檔案系統

　　NTFS是最適合安裝SQL Server的檔案系統.他比FAT檔案系統更穩定且更容易恢複.而且他還包括一些安全選項,例如檔案和目錄ACL及檔案加密(EFS).在安裝過程中, 如果偵測到 NTFS,SQL Server將在註冊表鍵和檔案上設定合適的ACL.不應該去更改這些許可權.

　　通過EFS,資料庫檔案將在運行SQL Server的帳戶身份下進行加密.只有這個帳戶才能解密這些檔案.如果你需要更改運行SQL Server的帳戶,那麼你必須首先在舊帳戶下解密這些檔案,然後在新帳戶下重新進行加密.

　　9. 刪除或保護舊的安裝檔案

　　SQL Server安裝檔案可能包含由純文字或簡單加密的憑證和其他在安裝過程中記錄的敏感設定資訊.這些記錄檔的儲存位置取決於所安裝的SQL Server版本.在SQL Server 2000中,下列檔案可能受到影響:預設安裝時:Program FilesMicrosoft SQL ServerMSSQLInstall目錄中,及指定執行個體的:Program FilesMicrosoft SQL Server MSSQL$Install目錄中的sqlstp.log, sqlsp.log和setup.iss.

　　如果當前的系統是從SQL Server 7.0安裝升級而來的,那麼還應該檢查下列檔案:%Windir% 目錄中的setup.iss及視窗系統 Temp目錄中的sqlsp.log.

　　Microsoft發布了一個免費的工具 + 生產力Killpwd,他將從你的系統中找到並刪除這些密碼.

　　10. 審核指向SQL Server的串連

　　SQL Server能記錄事件資訊,用於系統管理員的審查.至少你應該記錄失敗的SQL Server串連嘗試,並定期地查看這個日誌.在可能的情況下,不要將這些日誌和資料檔案儲存在同一個硬碟上.

　　要在SQL Server的Enterprise Manager中審核失敗串連,請按下列步驟操作:

　　1) 展開伺服器組.

　　2) 右鍵點擊伺服器,然後點擊屬性.

　　3) 在安全性選項卡的審核等級中,點擊失敗.

　　4) 要使這個設定生效,你必須停止並重新啟動伺服器.

　　上文介紹的這是十個絕招都是很有實用性的,做到這十點,就能成為保護SQL Server資料庫的合格管家,確保保護SQL Server資料庫的安全.