SQLServer系统安全管理

Microsoft SQL Server数据库系统配置安全基线标准与操作指南南京农业大学图书与信息中心2018年6月目录第1章概述 (1)1.1 安全基线概念 (1)1.2 文档编制目的 (1)1.3 文档适用范围 (1)1.4 文档修订 (1)第2章帐号与口令 (1)2.1 口令安全 (1)2.1.1 删除不必要的帐号 (1)2.1.2 用户口令安全 (1)2.1.3 帐号分配管理 (2)2.1.4 分配数据库用户所需的最小权限 (2)2.1.5 网络访问限制 (2)第3章日志 (3)3.1 日志审计 (3)3.1.1 登录审计 (3)3.1.2 安全事件审计 (3)第4章其他安全配置 (4)4.1 安全策略 (4)4.1.1 通讯协议安全策略 (4)4.2 更新补丁 (4)4.2.1 补丁要求 (4)4.3 存储保护 (5)4.3.1 停用不必要存储过程 (5)第1章概述1.1 安全基线概念安全基线是指满足最小安全保证的基本要求。

1.2 文档编制目的本文档针对安装运行Microsoft SQL Server数据库系统的服务器主机所应当遵循的基本安全设置要求提供了参考建议，供校园网用户在安装使用Microsoft SQL Server数据库系统提供数据存储服务过程中进行安全合规性自查、检查、加固提供标准依据与操作指导。

1.3 文档适用范围本文档适用于Microsoft SQL Server数据库系统的各类版本。

1.4 文档修订本文档的解释权和修改权属于南京农业大学图书与信息中心，欢迎校园网用户提供意见或建议，请发送至security@。

第2章帐号与口令2.1 口令安全2.1.1 删除不必要的帐号2.1.2 用户口令安全查看password 字段应不为null2.1.3 帐号分配管理2.1.4 分配数据库用户所需的最小权限2.1.5 网络访问限制在防火墙中做限制，只允许与指定的IP 地址建立1433 的通第3章日志3.1 日志审计3.1.1 登录审计3.1.2 安全事件审计打开企业管理器，查看数据库“管理”中的“ SQL Server第4章其他安全配置4.1 安全策略4.1.1 通讯协议安全策略4.2 更新补丁4.2.1 补丁要求级效果，再在实际运行环境更新数据库。

Microsoft SQL Server数据库系统安全配置基线中国移动通信公司管理信息系统部2012年 4月版本版本控制信息更新日期更新人审批人V1.0 创建2009年1月V2.0 更新2012年4月备注：1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。

目录第1章概述 (4)1.1适用范围 (4)1.2适用版本 (4)1.3实施 (4)1.4例外条款 (4)第2章帐号与口令 (5)2.1口令安全 (5)2.1.1删除不必要的帐号* (5)2.1.2SQLServer用户口令安全 (5)2.1.3根据用户分配帐号避免帐号共享* (6)2.1.4分配数据库用户所需的最小权限* (6)2.1.5网络访问限制* (7)第3章日志 (8)3.1日志审计 (8)3.1.1SQLServer登录审计* (8)3.1.2SQLServer安全事件审计* (8)第4章其他 (10)4.1安全策略 (10)4.1.1通讯协议安全策略* (10)4.2更新补丁 (10)4.2.1补丁要求* (10)4.3存储保护 (11)4.3.1停用不必要存储过程* (11)第5章评审与修订 (13)第1章概述本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的SQL Server 数据库应当遵循的数据库安全性设置标准，本文档旨在指导系统管理人员或安全检查人员进行SQL Server 数据库的安全合规性检查和配置。

1.1 适用范围本配置标准的使用者包括：数据库管理员、应用管理员、网络安全管理员。

本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的SQL Server数据库系统。

1.2 适用版本SQL Server系列数据库。

1.3 实施本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。

本标准发布之日起生效。

1.4 例外条款欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。

系统管理员的具体职责职责：1、SQLServer数据库的管理与维护;2、公司CPS业务系统及程序维护;3、负责内部局域网络维护，进行设备的日常维护及管理;4、负责病毒的查杀，维护网络安全，处理网络及计算机故障;5、负责内部信息系统建设、维护;岗位要求：1、计算机及相关专业学历;2、熟悉SQLServer数据库的日常运维，熟练掌握SQL语言。

3、熟练掌握使用windowsServer平台操作。

4、熟悉操作系统，熟悉WEB、FTP等服务器的架设;5、了解路由器，交换机、防火墙的网络设备的设置与管理;6、学习能力强，较好的沟通和协作能力，极强的执行力和责任感，有较好的逻辑思维和问题分析能力。

系统管理员的具体职责（2）可以包括以下几个方面：1. 网络管理：负责网络设备的安装、配置、管理和维护，确保网络的稳定和安全运行。

包括路由器、交换机、防火墙等设备的安装和配置，网络安全策略的制定和实施，网络故障的排查和修复等工作。

2. 服务器管理：负责服务器的安装、配置、管理和维护，确保服务器的稳定、安全和高效运行。

包括操作系统的安装和配置、服务器硬件的管理和维护、服务器软件的安装和配置、服务器性能的监控和优化等工作。

3. 数据库管理：负责数据库的安装、配置、管理和维护，确保数据库的安全、可靠和高效运行。

包括数据库服务器的安装和配置、数据库的备份和恢复、数据库的性能优化、数据库安全策略的制定和实施等工作。

4. 系统安全管理：负责系统安全性的评估、安全策略的制定和实施，确保系统的安全性和机密性。

包括用户权限管理、防火墙设置、病毒防护和入侵检测等安全措施的实施和监控，及时发现并处理安全风险。

5. 软件升级和补丁管理：负责软件系统的升级和补丁管理，确保系统的安全性和稳定性。

包括定期检查并安装操作系统和应用程序的升级和补丁，及时修复系统和应用程序的漏洞。

6. 数据备份和恢复：负责制定和实施数据备份和恢复策略，确保数据的安全性和可靠性。

SQL Server是微软公司的一款关系数据库管理系统，广泛用于企业级应用程序和全球信息站开发中。

2004年，SQL Server出现了一个安全漏洞，CVE编号为CVE-2004-2761。

该漏洞允许攻击者通过精心构造的SQL查询来执行未经授权的数据库操作，可能导致数据泄露、数据库瘫痪，甚至服务器被入侵。

以下是对该漏洞的详细解读：一、漏洞描述CVE-2004-2761是SQL Server的一个认证绕过漏洞。

在受影响的SQL Server版本中，当用户尝试使用FTP或HTTP上传文件时，攻击者可以通过夹带特定的SQL查询，绕过认证机制实现未经授权的数据库操作。

这种漏洞的存在可能会严重影响服务器的安全性和稳定性。

二、受影响的版本CVE-2004-2761影响的SQL Server版本包括但不限于：- Microsoft SQL Server 7.0- Microsoft SQL Server 2000- Microsoft SQL Server 2005- Microsoft SQL Server 2008三、攻击方式攻击者可以利用CVE-2004-2761漏洞，构造恶意的SQL查询，并将其夹带在FTP或HTTP上传的文件中。

当服务器接收到这些文件并解析时，恶意的SQL查询将被执行，从而导致数据库操作的未经授权执行。

四、潜在威胁CVE-2004-2761漏洞的潜在威胁包括但不限于：- 数据泄露：攻击者可以利用漏洞来获取数据库中的敏感信息，如用户账户、密码等。

- 数据库瘫痪：攻击者可能执行恶意操作导致数据库瘫痪，影响正常的业务操作。

- 服务器入侵：利用漏洞进行未经授权的数据库操作，最终可能导致服务器被入侵控制。

五、解决方案针对CVE-2004-2761漏洞，建议采取以下解决方案：1. 及时安装补丁：微软公司已发布针对该漏洞的安全补丁，建议及时对受影响的SQL Server版本进行升级和更新补丁。

2. 进行安全配置：对SQL Server进行安全配置，限制用户权限，避免恶意SQL查询的执行。

SQL Server基本语法一、SQL Server简介在开始讨论SQL Server基本语法之前，我们先简要介绍一下SQL Server。

SQL Server是由Microsoft开发的关系型数据库管理系统（RDBMS），它是一种可靠、高效且安全的数据库解决方案。

SQL Server支持广泛的企业级应用，并提供了强大的数据管理和查询功能。

二、SQL Server安装在使用SQL Server之前，我们需要先进行安装和配置。

以下是SQL Server安装的一般步骤：1.下载SQL Server安装包，并运行安装程序。

2.选择安装类型（如开发人员、评估版或正式版）。

3.设置安装规则，包括实例名称、安装路径等。

4.配置身份验证方式，可以选择Windows身份验证或SQL Server身份验证。

5.选择要安装的组件，如数据库引擎、分析服务等。

6.进行一些其他配置，如临时数据库路径、自动维护计划等。

7.等待安装完成，并根据需要安装补丁和更新。

三、SQL Server连接安装完成后，我们可以使用SQL Server Management Studio（SSMS）来连接和管理数据库。

以下是连接SQL Server的基本步骤：1.打开SQL Server Management Studio。

2.在连接对话框中输入服务器名称和身份验证方式。

3.如果选择Windows身份验证，直接输入Windows账户信息即可。

4.如果选择SQL Server身份验证，输入用户名和密码。

5.点击“连接”按钮，成功连接到SQL Server。

四、SQL语句基础SQL Server支持使用SQL语句来管理数据库和执行查询操作。

以下是一些常用的SQL语句：1. 创建数据库CREATE DATABASE database_name;使用CREATE DATABASE语句可以创建一个新的数据库，需要指定数据库名称。

2. 创建表CREATE TABLE table_name (column1 datatype,column2 datatype,...);使用CREATE TABLE语句可以创建一个新的表，需要指定表名称和列及其数据类型。

sql server所采用的安全机制
SQL Server采用了多种安全机制来保护数据的安全性和隐私性。

以下是一些常见的安全机制：1、身份验证：SQL Server支持多种身份验证方式，包括Windows 身份验证和SQL Server身份验证。

Windows身份验证使用操作系统的用户和密码，SQL Server身份验证使用SQL Server数据库的用户名和密码。

2、权限和访问控制：SQL Server使用基于角色的权限模型来管理对数据库对象的访问权限。

管理员可以创建不同的角色，并将用户分配给相应的角色以控制其对数据库对象的访问权限。

3、加密：SQL Server支持数据加密，可以对敏感数据进行加密存储，保护数据的机密性。

4、传输层安全性：SQL Server支持使用SSL/TLS 协议对数据库连接进行加密，确保数据在传输过程中的安全性。

5、审计和日志：SQL Server提供了审计和日志功能，可以记录数据库的操作历史，包括登录信息、数据更改和访问权限的变更等，以便对数据库进行监控和追踪。

6、防火墙和网络安全：SQL Server可以配置防火墙以限制对数据库的访问，并支持其他网络安全相关的功能，如IP过滤、端口控制等。

需要注意的是，SQL Server的安全性还取决于操作系统和网络的安全性。

为了确保数据库的综合安全性，还需要在操作系统和网络层面采取相应的安全措施。

安全管理 1[单选题]下列关于SQL Server数据库⽤户权限的说法中，错误的是__________。

A.数据库⽤户⾃动具有该数据库中全部⽤户数据的查询权 B.通常情况下，数据库⽤户都来源于服务器的登录账户 C.⼀个登录账户可以对应多个数据库中的⽤户 D.数据库⽤户都⾃动具有该数据库中public⾓⾊的权限 参考答案：A 2[填空题]数据库中的⽤户按操作权限的不同，通常分为__________、__________和__________三种。

参考解析：系统管理员数据库对象拥有者普通⽤户 3[单选题]为了考虑安全性，每个部门的领导只能存取本部门员⼯的档案，为此DBA应创建相应的( )。

A.视图(view)B.索引(index)C.游标(cursor)D.表(table) 参考答案：A 4[填空题]在SQL语⾔中，允许获得某种权限的⽤户把这种权限再转授给其他⽤户，可以在GRANT语句中指定()⼦句。

参考解析：with grant option 5[单选题]SQL语⾔的GRANT和REVOKE语句主要⽤来维护数据库的( )。

A.安全性B.完整性C.可靠性D.⼀致性 参考答案：A 6[单选题]下列存储管理⽅案中，( )允许动态扩充内存容量。

A.固定分区B.可变分区C.页式D.虚拟页式 参考答案：D 7[单选题]下列关于SQL Server数据库服务器登录账户的说法中，错误的是__________。

A.登录账户的来源可以是Windows⽤户，也可以是⾮Windows⽤户 B.所有的Windows⽤户都⾃动是SQL Server的合法账户 C.在Windows⾝份验证模式下，不允许⾮Windows⾝份的⽤户登录到SQL Server服务器 D.sa是SQL Server提供的⼀个具有系统管理员权限的默认登录账户 参考答案：B 8[填空题]在SQL Server 2008中，系统提供的具有管理员权限的⾓⾊是__________。

SQLServer2016产品手册目录一、产品概述二、安装与配置三、数据库管理四、安全性管理五、性能优化六、备份与恢复七、高可用性八、监控与诊断九、扩展功能十、总结与展望一、产品概述SQLServer2016是由微软公司推出的一款关系型数据库管理系统，它具有强大的存储、处理和分析数据的功能。

SQLServer2016支持多种数据类型，包括文本、图像、音频和视瓶等，并提供了丰富的数据管理工具和高效的查询优化技术，为用户提供了一个高性能、高可靠和高安全的数据管理评台。

与以往版本相比，SQLServer2016在性能、安全性、灵活性和可伸缩性方面都有了大幅提升，能够更好地满足企业级数据管理的需求。

二、安装与配置1. 系统要求SQLServer2016支持Windows Server 2012及以上版本的操作系统，同时也可以安装在Windows 10等客户端操作系统上。

硬件方面，至少需要4GB内存和64位处理器，建议使用SSD固态硬盘以提高性能。

2. 安装步骤（1）下载安装程序，双击运行；（2）选择安装类型，包括数据库引擎、分析服务、报表服务和集成服务等；（3）进行实例配置，包括服务账号、认证模式、实例名称等；（4）设置所需组件和功能，包括.NET Framework、CLR集成、数据库引擎服务和管理工具等；（5）完成安装，并进行必要的配置。

3. 配置优化在安装后，需要对SQLServer2016进行一定的配置优化，包括参数设置、内存管理、磁盘分区、网络设置等，以提高系统性能和安全性。

三、数据库管理1. 创建数据库使用SQLServer2016可以轻松创建新的数据库，包括定义数据库名称、文件组、文件路径、日志文件、数据文件的初始大小和自动增长等参数。

2. 数据导入导出SQLServer2016支持多种数据导入导出方式，包括BCP命令行工具、SSIS集成服务、SQLCMD命令等，可以实现与不同数据源的数据交换和同步。

SQLServer 角色与权限管理安全性是所有数据库管理系统的一个重要特征。

理解安全性问题是理解数据库管理系统安全性机制的前提。

1.第一个安全性问题：当用户登录数据库系统时，如何确保只有合法的用户才能登录到系统中？这是一个最基本的安全性问题，也是数据库管理系统提供的基本功能。

在Microsoft SQL Server 2008系统中，通过身份验证模式和主体解决这个问题。

1）身份验证模式Microsoft SQL Server 2008系统提供了两种身份验证模式：Windows身份验证模式和混合模式。

Windows身份验证模式：在该模式中，用户通过Windows用户账户连接SQL Server时，使用Windows操作系统中的账户名和密码。

混合模式：在混合模式中，当客户端连接到服务器时，既可能采取Windows身份验证，也可能采取SQL Server身份验证。

主体是可以请求系统资源的个体或组合过程。

例如，数据库用户是一种主体，可以按照自己的权限在数据库中执行操作和使用相应的数据。

2）主体主体是可以请求系统资源的个体或组合过程。

例如，数据库用户是一种主体，可以按照自己的权限在数据库中执行操作和使用相应的数据。

Microsoft SQL Server 2008系统有多种不同的主体，不同主体之间的关系是典型的层次结构关系，位于不同层次上的主体其在系统中影响的范围也不同。

位于层次比较高的主体，其作用范围比较大；位于层次比较低的主体，其作用范围比较小。

2.第二个安全性问题：当用户登录到系统中，他可以执行哪些操作、使用哪些对象和资源？在Microsoft SQL Server 2008系统中，通过安全对象和权限设置来解决这个问题。

3.第三个安全性问题：数据库中的对象由谁所有？如果是由用户所有，那么当用户被删除时，其所拥有的对象怎么办，难道数据库对象可以成为没有所有者的“孤儿”吗？在Microsoft SQL Server 2008系统中，这个问题是通过用户和架构分离来解决的。

RG-SAM 系统与安全维护说明系统维护SAM管理系统维护说明在SAM安全计费系统长时间运行后，记录的数据量会越来越大，从而导致数据库性能低下，进而导致SAM的运行性能低下。

所以应该定期对SAM管理系统产生的数据进行清理维护。

推荐使用SAM管理系统的“自动维护”功能。

需要注意的是:1、国家网监规定，上网明细必须保留60天2、“自动维护”的默认值就是我们的推荐值。

3、存放数据库文件的硬盘必须是NTFS分区的非系统盘，至少100G数据库存储空间SAM数据库维护说明SAM数据库维护维护策略数据库维护主要是数据库备份和收缩，推荐策略如下：1.根据实际情况修改数据库的增长方式2.每天做一次完全备份3.每周一次数据库定期自动收缩和重建索引任务备注：数据库收缩后，将生成大量的索引碎片，所以进行数据库收缩后必须重建索引数据库增长方式修改数据库的增长方式默认是每次增长1M，这样会导致数据库大小需要频繁的调整。

1.打开对象资源管理器（SQL Server Management Studio），选择数据库（SAMDB）属性２．修改增长方式为按百分比数据库定期自动备份2.打开对象资源管理器（SQL Server Management Studio）3.在对象资源管理器中，展开一个服务器，再展开“管理”。

4.右键单击“维护计划”并选择“维护计划向导”，如下图所示点击下一步：图335.输入计划名称，如下图所示：6.点击上图的更改按钮，频率选择“每天”，设置执时间（选择一个数据库活动较少的时间，推荐在日记账后半个小时.），设置完后点击确认。

图357.选择备份数据库，如下图所示：8.选择维护任务顺序页面为默认，如下图所示：图379.在定义“备份数据（完整）”菜单项选择要备份的数据库和备份文件存放目录，如下图所示：图3810.选择报告选项选择默认，如下图所示：11.点击“完成”，完成配置，如下图所示：12.通过对象资源管理器中，“管理-维护计划”菜单，可以看到刚才添加的维护计划。