Microsoft SQL Server安全配置基线

SQL Server数据库系统安全配置基线

Microsoft SQL Server数据库系

统安全配置基线

中国移动通信公司 管理信息系统部

2012年 4月

中国移动集团公司 第 1 页 共 13 页

SQL Server数据库系统安全配置基线

版本 V1.0 V2.0 创建 更新 版本控制信息 更新日期 2009年1月 2012年4月 更新人 审批人 备注：

1. 若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。

中国移动集团公司 第 2 页 共 13 页

SQL Server数据库系统安全配置基线

目 录

第1章 概述 ......................................................................................................................................... 4 1.1 1.2 1.3 1.4

适用范围 ................................................................................................................................. 4 适用版本 ................................................................................................................................. 4 实施 ......................................................................................................................................... 4 例外条款 ................................................................................................................................. 4

第2章 帐号与口令 ............................................................................................................................. 5 2.1

口令安全 ................................................................................................................................. 5

2.1.1 2.1.2 2.1.3 2.1.4 2.1.5 删除不必要的帐号* ......................................................................................... 5 SQLServer用户口令安全 ................................................................................ 5 根据用户分配帐号避免帐号共享* ................................................................. 6 分配数据库用户所需的最小权限* ................................................................. 6 网络访问限制* ................................................................................................. 7

第3章 日志 ......................................................................................................................................... 8 3.1

日志审计 ................................................................................................................................. 8

3.1.1 3.1.2 SQLServer登录审计* ...................................................................................... 8 SQLServer安全事件审计* .............................................................................. 8

第4章 其他 ....................................................................................................................................... 10 4.1 4.2 4.3

安全策略 ............................................................................................................................... 10

4.1.1 4.2.1 4.3.1

通讯协议安全策略* ....................................................................................... 10

更新补丁 ............................................................................................................................... 10 补丁要求* ....................................................................................................... 10

存储保护 ............................................................................................................................... 11

停用不必要存储过程* ................................................................................... 11

第5章 评审与修订 ........................................................................................................................... 13

中国移动集团公司 第 3 页 共 13 页

SQL Server数据库系统安全配置基线

第1章 概述

本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的SQL Server 数据库应当遵循的数据库安全性设置标准，本文档旨在指导系统管理人员或安全检查人员进行SQL Server 数据库的安全合规性检查和配置。

1.1 适用范围

本配置标准的使用者包括：数据库管理员、应用管理员、网络安全管理员。

本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的SQL Server数据库系统。

1.2 适用版本

SQL Server系列数据库。

1.3 实施

本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。

本标准发布之日起生效。

1.4 例外条款

欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。

中国移动集团公司 第 4 页 共 13 页

SQL Server数据库系统安全配置基线

第2章 帐号与口令

2.1 口令安全

2.1.1 删除不必要的帐号*

安全基线项目名称 安全基线 安全基线项说明 检测操作步骤 数据库管理系统SQLServer用户安全基线要求项 SBL-SQLServer-02-01-01 应删除与数据库运行、维护等工作无关的帐号。 参考配置操作 SQL SERVER企业管理器-〉安全性-〉登陆中删除无关帐号； SQL SERVER企业管理器-〉数据库-〉对应数据库-〉用户中删除无关帐号； 基线符合性判定依据 备注 首先删除不需要的用户，已删除数据库不能登陆使用 在MS SQL SERVER查询分析器的登陆界面中使用已删除帐号登陆 手工检查 2.1.2 SQLServer用户口令安全

安全基线项目名称 安全基线 安全基线项说明 数据库管理系统SQLServer用户口令安全基线要求项 SBL-SQLServer-02-01-02 对用户的属性进行安全检查，包括空密码、密码更新时间等。修改目前所有帐号的口令，确认为强口令。特别是sa 帐号，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且5次以内不得设置相同的口令。密码应至少每90天进行更换。 检测操作步骤 1.检查password字段是否为null。 2.参考配置操作 查看用户状态 中国移动集团公司 第 5 页 共 13 页

本文来源：https://www.bwwdw.com/article/mexd.html