中国移动MSSQL数据库安全配置规范.doc
中国移动MS SQL Server数据库安全配置规范Specification for MS SQL Server Database Configuration Used in China Mobile中国移动通信集团公司网络部XXXX-XX-XX实施XXXX-XX-XX发布版本：1.0.0目 录1概述41.1适用范围41.2内部适用性说明41.3外部引用说明51.4术语和定义51.5符号和缩略语52MS SQL SERVER安全配置要求62.1账号62.2口令82.3日志92.4其他10前 言为了贯彻安全三同步的要求，在设备选型、入网测试、工程验收以及运行维护等环节，明确并落实安全功能和配置要求。有限公司组织部分省公司编制了中国移动设备安全功能和配置系列规范。本系列规范可作为编制设备技术规范、设备入网测试规范，工程验收手册，局数据模板等文档的依据。本规范是该系列规范之一，明确了中国移动各类型设备所需满足的通用安全功能和配置要求，并作为本系列其他规范的编制基础。本标准起草单位：中国移动通信有限公司网络部、中国移动通信集团四川分公司。本标准解释单位：同提出单位本标准主要起草人：刘羿、张岍山、周智、曹一生、陈敏时。1 概述1.1 适用范围本规范适用于中国移动通信网、业务系统和支撑系统的MS SQL SERVER数据库。本规范明确了MS SQL SERVER数据库安全配置方面的基本要求。1.2 内部适用性说明本规范是在中国移动设备通用设备安全功能和配置规范（以下简称通用规范）各项设备配置要求的基础上，提出的MS SQL SERVER数据库安全配置规范。以下分项列出本规范对通用规范设备配置要求的修订情况。编号采纳意见补充说明安全要求-设备-通用-配置-1-可选完全采纳安全要求-设备-MS SQL SERVER-配置-1 安全要求-设备-通用-配置-2-可选完全采纳安全要求-设备-MS SQL SERVER-配置-2-可选安全要求-设备-通用-配置-3-可选完全采纳安全要求-设备-MS SQL SERVER-配置-3安全要求-设备-通用-配置-4完全采纳安全要求-设备-MS SQL SERVER-配置-4-可选安全要求-设备-通用-配置-5不采纳系统不支持安全要求-设备-通用-配置-6-可选完全采纳安全要求-设备-MS SQL SERVER-配置-6-可选安全要求-设备-通用-配置-7-可选不采纳系统不支持安全要求-设备-通用-配置-8-可选不采纳系统不支持安全要求-设备-通用-配置-9-可选不采纳系统不支持安全要求-设备-通用-配置-10-可选不采纳安全要求-设备-MS SQL SERVER-配置-7安全要求-设备-通用-配置-11-可选不采纳系统不支持安全要求-设备-通用-配置-12-可选不采纳系统不支持安全要求-设备-通用-配置-13-可选不采纳安全要求-设备-MS SQL SERVER-配置-9-可选安全要求-设备-通用-配置-14-可选不采纳系统不支持安全要求-设备-通用-配置-15-可选完全采纳安全要求-设备-MS SQL SERVER-配置-10-可选安全要求-设备-通用-配置-16-可选完全采纳安全要求-设备-通用-配置-17-可选完全采纳安全要求-设备-通用-配置-18-可选完全采纳本规范新增的安全配置要求，如下：安全要求-设备-MS SQL SERVER-配置-1安全要求-设备-MS SQL SERVER-配置-2-可选安全要求-设备-MS SQL SERVER-配置-3安全要求-设备-MS SQL SERVER-配置-4-可选安全要求-设备-MS SQL SERVER-配置-5-可选安全要求-设备-MS SQL SERVER-配置-6-可选安全要求-设备-MS SQL SERVER-配置-7安全要求-设备-MS SQL SERVER-配置-8-可选安全要求-设备-MS SQL SERVER-配置-9-可选安全要求-设备-MS SQL SERVER-配置-10-可选1.3 外部引用说明中国移动通用安全功能和配置规范1.4 术语和定义1.5 符号和缩略语简称英文描述中文描述企业管理器SQL Server Enterprise ManagerSQl Server数据库管理器查询分析器SQL Server AnalyzerSQl Server数据查询分析器2 MS SQL SERVER安全配置要求本规范所指的设备为MS SQL SERVER数据库。本规范提出的安全配置要求，在未特别说明的情况下，均适用于MS SQL SERVER数据库。本规范从MS SQL SERVER数据库的认证授权功能、安全日志功能，和其他自身安全配置功能提出安全要求。2.1 账号MS SQL SERVER应提供账号管理及认证授权功能，并应满足以下各项要求。编号：安全要求-设备-MS SQL SERVER-配置-1 要求内容应按照用户分配账号，避免不同用户间共享账号。操作指南1、 参考配置操作sp_addlogin 'user_name_1','password1'sp_addlogin 'user_name_2','password2'或在企业管理器中直接添加远程登陆用户建立角色，并给角色授权，把角色赋给不同的用户或修改用户属性中的角色和权限2、 补充操作说明1、user_name_1和user_name_1是两个不同的账号名称，可根据不同用户，取不同的名称；检测方法3、 判定条件不同名称的用户可以连接数据库4、 检测操作在查询分析器中用user_name_1/password1连接数据库成功5、补充说明编号：安全要求-设备-MS SQL SERVER-配置-2-可选要求内容应删除与数据库运行、维护等工作无关的账号。操作指南1、 参考配置操作SQL SERVER企业管理器-安全性-登陆中删除无关帐号；SQL SERVER企业管理器-数据库-对应数据库-用户中删除无关帐号；2、 补充操作说明检测方法3、 判定条件首先删除不需要的用户，已删除数据库部能登陆使用4、 检测操作在MS SQL SERVER查询分析器的登陆界面中使用已删除帐号登陆5、补充说明 编号：安全要求-设备-MS SQL SERVER-配置-3要求内容在数据库权限配置能力内，根据用户的业务需要，配置其所需的最小权限。操作指南1、 参考配置操作a) 更改数据库属性，取消业务数据库帐号不需要的服务器角色；b) 更改数据库属性，取消业务数据库帐号不需要的“数据库访问许可”和“数据库角色中允许”中不需要的角色。2、 补充操作说明操作a)用于修改数据库帐号的最小系统角色操作b)用于修改用户多余数据库访问许可权限和数据库内角色检测方法3、 判定条件调整业务帐号权限后业务测试正常4、 检测操作对业务系统数据库交互部分进行功能测试5、补充说明编号：安全要求-设备-MS SQL SERVER-配置-4-可选要求内容使用数据库角色来管理对象的权限。操作指南1、参考配置操作a) 企业管理器-数据库-对应数据库-角色-中创建新角色；b) 调整角色属性中的权限，赋予角色中拥有对象对应的SELECT、INSERT、UPDATE、DELETE、EXEC、DRI权限2、补充操作说明检测方法3、判定条件a) 对应角色属性中的权限是否拥有不必要的对象权限；b) 对象属性的权限列表中是否存在不必须的数据库帐号或角色访问；4、检测操作a) 在数据库的角色中查看对应角色的权限，检查是否包含不需要访问的对象。b) 在数据库中查看表、存储过程等对象属性中的权限、检查是否存在不必须的帐号或角色访问该对象。5、补充说明2.2 口令编号：安全要求-设备-MS SQL SERVER-配置-5-可选要求内容对用户的属性进行安全检查，包括空密码、密码更新时间等。修改目前所有账号的口令，确认为强口令。特别是sa 账号，需要设置至少10位的强口令。操作指南1、参考配置操作查看用户状态运行查询分析器，执行select * from sysusersSelect name,Password from syslogins where password is null order by name # 查看口令为空的用户2、补充操作说明检测方法3、判定条件1. createdate、updatedate时间为确认时间。2. password字段不为null。4、检测操作1. 检查createdate、updatedate时间。2.检查password字段是否为null。5、补充说明更改口令：Use masterexec sp_password 旧口令，新口令,用户名2.3 日志编号：安全要求-设备-MS SQL SERVER-配置-6-可选要求内容数据库应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号、登录是否成功、登录时间。操作指南1、 参考配置操作打开数据库属性，选择安全性，将安全性中的审计级别调整为“全部”，身份验证调整为“SQL Server 和Windows”2、补充操作说明检测方法2、 判定条件登录成功和失败测试，检查相关信息是否被记录4、检测操作5、 补充说明编号：安全要求-设备-MS SQL SERVER-配置-7 要求内容数据库应配置日志功能，记录对与数据库相关的安全事件。操作指南1、 参考配置操作数据库默认开启日志记录2、 补充操作说明增加帐号登陆审计：打开数据库属性，选择安全性，将安全性中的审计级别调整为“全部”，身份验证调整为“SQL Server 和Windows”检测方法3、 判定条件SQL Server日志中是否存在数据库相关事件日志信息4、 检测操作打开企业管理器，查看数据库“管理”中的“SQL Server日志”，查看当前的日志记录和存档的日志记录是否包含相关数据库安全事件6、 补充说明2.4 其他编号：安全要求-设备-MS SQL SERVER-配置-8-可选要求内容停用不必要的存储过程。操作指南1、 参考配置操作首先确认下面的扩展存储过程不会被使用，然后删除下面的这些存储过程。去掉xp_cmdshell扩展存储过程，使用：use master sp_dropextendedproc 'xp_cmdshell'同上类似语句，删除以下的扩展存储过程：Sp_OACreate Sp_OADestroy Sp_OAGetErrorInfo Sp_OAGetProperty Sp_OAMethod Sp_OASetProperty Sp_OAStop Xp_regaddmultistring Xp_regdeletekey Xp_regdeletevalue Xp_regenumvalues Xp_regremovemultistring xp_sdidebug xp_availablemedia xp_cmdshell xp_deletemail xp_dirtree xp_dropwebtask xp_dsninfo xp_enumdsn xp_enumerrorlogs xp_enumgroups xp_enumqueuedtasks xp_eventlog xp_findnextmsg xp_fixeddrives xp_getfiledetails xp_getnetname xp_grantlogin xp_logevent xp_loginconfig xp_logininfo xp_makewebtask xp_msver xp_perfend xp_perfmonitor xp_perfsample xp_perfstart xp_readerrorlog xp_readmail xp_revokelogin xp_runwebtask xp_schedulersignal xp_sendmail xp_servicecontrol xp_snmp_getstate xp_snmp_raisetrap xp_sprintf xp_sqlinventory xp_sqlregister xp_sqltrace xp_sscanf xp_startmail xp_stopmail xp_subdirs xp_unc_to_drive xp_dirtree2、补充操作说明检测方法3、判定条件调用存储过程，检查是否存在4、检测操作Exec 存储过程(参数1，参数2)5、补充说明编号：安全要求-设备-MS SQL SERVER-配置-9-可选要求内容使用通讯协议加密。操作指南1、 参考配置操作启动服务器网络配置工具，在“常规”中选择“强制协议加密”2、 补充操作说明更改通讯协议加密后需要重新启动SQL Server数据库检测方法3、判定条件4、检测操作5、补充说明编号：安全要求-设备-MS SQL SERVER-配置-10-可选要求内容为系统打最新的补丁包。操作指南1、 参考配置操作检查当前所有已安装的数据库产品的版本信息，运行SQL查询分析器，执行：select version安装补丁详细操作请参照其中的readme文件2、 补充操作说明检测方法3、判定条件4、检测操作5、补充说明
