当前位置：文档之家 › 信息安全_风险评估_检查流程_数据库安全评估检查表_SQL

信息安全_风险评估_检查流程_数据库安全评估检查表_SQL

  • 格式：docx
  • 大小：20.69 KB
  • 文档页数：9

主机安全检查- SQL Server安全检查流程 设备编号规则 编号规则：设备类型_客户名称_部门名称_数字编号。 设备类型（SV－服务器；PC-终端；FW－防火墙，RO-路由器，SW-交换机）； 客户名称（拼音缩写）； 部门名称（拼音缩写）； 数字编号使用三位数字顺序号。

主机信息

主机信息表 设备名称 设备编号 设备位置 正式域名/主机名 外部IP地址 内部IP地址 网关 域名服务器 操作系统 版本号

中央处理器 内存 外部存储设备

名称 应用服务及版本情况 其他信息 安全检查 获取应用服务信息 编号： SQL-01001 名称： 获取版本号与启动策略 说明： 获取SQL Server的版本号与启动策略 检查方法： 开始菜单->程序->Microsoft SQL Server->企业管理器->控制台目录-> Microsoft SQL Servers->SQL Server组，在要查看的服务器上右键查看“属性”->“常规” 检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注： 8.0 就是 SQL Server 2000 编号： SQL-01002 名称： 获取服务运行权限 说明： 获取SQL Server服务使用用户权限 检查方法： “开始菜单”->“运行”->“Services.msc”->“MSSQLServer”->“属性”->“登录” 检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注：

编号： SQL-01003 名称： 获取服务监听端口和地址 说明： 获取SQL Server所监听端口和地址 检查方法： 开始菜单->程序->Microsoft SQL Server->企业管理器->控制台目录-> Microsoft SQL Servers->SQL Server组，在要查看的服务器上右键查看“属性”->“常规”->网络配置，选中“启用协议”中相关协议，察看“属性” 检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注：

编号： SQL-01005 名称： 获取与SQL Server相关应用 说明： 获取与SQL Server相关联服务信息 检查方法： 询问管理员网络中需要使用此SQL Server的应用名称、数据重要程度 检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注：

编号： SQL-01006 名称： 获取数据库维护人员信息 说明： 获取与SQL Server所有数据库维护人员以及主机维护人员名单 检查方法： 询问相关人员： 每个数据库的管理员是谁？ 系统管理员是谁？ 检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注：

编号： SQL-01007 名称： 获取数据库备份方式 说明： 获取与SQL Server数据库备份方式 检查方法： 询问相关人员： 谁在什么时候用什么方法把哪些数据备份到什么地方？ 谁在什么情况下决定用什么方法把哪些地方如何恢复？ 检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注：

补丁安装情况 编号： SQL-02001 名称： 获取补丁安装情况 说明： 获取系统中安装了哪些SQL Server补丁，缺少了哪些SQL Server补丁 检查方法： HFNetChk 检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注： 安装工具HFNetChk需要1MB硬盘空间； 使用工具HFNetChk需要网络连接和额外的5MB硬盘空间； 下载补丁信息文件需要的时间依网络速度而定；

帐号和口令 编号： SQL-03001 名称： 获取SQL Server系统中账号 说明： 获取当前SQL Server系统中所有用户信息 检查方法： 开始菜单->程序->Microsoft SQL Server->SQL查询分析器，登录后在查询中输入： use master Select name,password from syslogins order by name 检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注：

编号： SQL-03003 名称： 获取无密码用户列表 说明： 获取当前SQL Server系统中所有无密码用户 检查方法： 开始菜单->程序->Microsoft SQL Server->SQL查询分析器，登录后在查询中输入： Use master Select name,password from syslogins where password is null order by name 检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注：

编号： SQL-03004 名称： 用户访问许可 说明： 获取用户访问许可 检查方法： 开始菜单->程序->Microsoft SQL Server->企业管理器->控制台目录-> Microsoft SQL Servers->SQL Server组，选择要查看的服务器中“用户” 检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注： 服务安全 编号： SQL-04001 名称： 使用的通讯协议 说明： 检查SQL Server是否使用了除TCP/IP以外的通讯协议 检查方法： 开始菜单->程序->Microsoft SQL Server->企业管理器->控制台目录-> Microsoft SQL Servers->SQL Server组，在要查看的服务器上右键查看“属性”->“常规”->网络配置 检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注：

文件系统 编号： SQL-05001 名称： 获取操作系统文件类型 说明： 查看SQL Server程序和数据文件所在分区文件系统格式 检查方法： 察看磁盘分区属性： 我的电脑中选中要查看的分区，然后同时按下Alt+Enter键 检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注： 如果数据文件和程序文件分布在多个分区，请查看多次 编号： SQL-05002 名称： 获取操作系统文件权限 说明： 查看SQL Server程序和数据文件所在分区文件系统权限分配 检查方法： 察看文件系统权限分配： 在控制台中切换到SQL Server程序文件所在目录，输入cacls *.* /t>bin.txt 在控制台中切换到SQL Server数据文件所在目录，输入cacls *.* /t>data.txt 检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注： 注意保存生成的两个文件bin.txt和data.txt 编号： SQL-05003 名称： 获取备份数据访问权限 说明： 调查数据库备份访问权限 检查方法： 询问管理员： 数据库备份存放在什么位置？是否有防护措施（例如：铁门、锁）？谁可以绕过这些防护措施（例如：钥匙所有者）访问数据库备份？数据库备份如何销毁？ 检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注：

日志审核 编号： SQL-06001 名称： 登录失败和对象访问失败的日志设置 说明： 获取SQL Server登录和对象访问失败的设置 检查方法： 开始菜单->程序->Microsoft SQL Server->企业管理器->控制台目录-> Microsoft SQL Servers->SQL Server组，在要查看的服务器上右键查看“属性”->“安全性” 检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注：

编号： SQL-06003 名称： 日志检查情况 说明： 获取SQL Server日志检查情况设置 检查方法： 询问管理员察看日志的周期 检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注：

安全增强性 编号： SQL-07001 名称： 获取存储过程列表 说明： 获取SQL Server当前存储过程 检查方法：

检查风险（对系统的影响，请具体描述）： 无 检查结果：

适用版本： All 备注：

编号： SQL-07002 名称： 获取注册表访问权限 说明： 获取注册表下列相关权限设置： HKEY_CURRENT_USER\SOFTWARE\Microsoft\MSSQLServer\ 检查方法： 察看该注册表项的访问列表 检查风险（对系统的影响，请具体描述）： 无 检查结果：

合集下载

风险安全识别评估表

风险安全识别评估表

风险安全识别评估表
在进行风险安全识别评估时，可以使用以下的评估表作为参考：
1. 风险类型：
- 自然灾害（地震、洪水、飓风等）
- 人为事故（火灾、爆炸、泄漏等）
- 网络安全威胁（黑客攻击、病毒感染等）
- 人为失误（错误操作、安全意识不强等）
2. 风险级别：
- 低风险：可能引发轻微影响或造成较小损失
- 中风险：可能引发一定影响或造成中等程度损失
- 高风险：可能引发严重影响或造成重大损失
3. 风险描述：
- 对风险事件的具体描述，包括可能引发的影响和后果。

4. 风险源：
- 风险事件发生的根本原因或来源。

5. 影响范围：
- 风险事件可能影响的范围，包括人员、财产、环境等。

6. 风险评估：
- 风险事件的概率（如低、中、高）和影响程度（如轻微、
中等、严重）的评估。

7. 风险控制措施：
- 针对特定风险事件采取的控制措施，如加强安全培训、备份数据、加强网络防护等。

8. 责任部门/人员：
- 负责监管和管理相应风险的部门或个人。

9. 风险评估结果：
- 对风险事件的整体评估结果，包括风险级别、风险控制是否有效等。

10. 风险处理计划：
- 针对高风险事件的应急处理和预案，包括责任分工、资源准备等。

以上是一份基本的风险安全识别评估表，可以根据实际情况进行调整和补充。

评估表的使用可以帮助组织全面了解和评估风险事件的潜在影响，制定相应的控制措施和风险处理计划。

信息系统网络安全检查表

信息系统网络安全检查表

信息系统网络安全检查表信息系统网络安全检查表一、网络基础设施安全检查1、网络拓扑及结构安全检查1.1 确认网络拓扑图是否准确无误，并与实际网络拓扑一致。

1.2 检查网络设备的布局是否合理，防止单点故障发生。

1.3 检查网络设备是否设置了安全认证机制，防止未授权用户访问。

1.4 检查网络设备是否启用了防火墙，以及是否进行了适当的配置。

1.5 检查网络设备是否更新了最新的固件版本，并是否存在已知的安全漏洞。

1.6 检查网络设备是否启用了日志功能，是否进行了适当的日志管理。

2、网络设备配置安全检查2.1 检查网络设备的管理员密码是否满足复杂度要求，并定期更换密码。

2.2 检查网络设备的端口及协议配置是否需要，所有不必要的端口及协议应禁用或关闭。

2.3 检查网络设备是否启用了访问控制列表（ACL），以限制特定IP地质或IP地质段的访问权限。

2.4 检查网络设备是否启用了安全登录方式，如SSH，禁止使用明文协议进行远程登录。

2.5 检查网络设备是否启用了IPsec等加密协议，保障数据在传输过程中的安全性。

2.6 检查网络设备是否配置了IP源路由保护，防止IP地质伪造攻击。

3、网络通信安全检查3.1 检查网络通信是否采用了加密协议，如SSL/TLS，以保护数据在传输过程中的安全性。

3.2 检查网络通信是否启用了VPN，以提供安全的远程访问功能。

3.3 检查网络通信是否启用了安全的WiFi认证机制，如WPA2-PSK，禁止使用弱密码。

3.4 检查网络通信是否设置了流量监控和分析工具，以便及时发现异常网络流量。

3.5 检查网络通信是否启用了反嗅探功能，防止数据被嗅探工具获取。

二、服务器与系统安全检查1、服务器配置安全检查1.1 检查服务器操作系统是否为最新的稳定版本，并及时安装安全补丁。

1.2 检查服务器是否设置了安全的访问控制策略，禁止未授权用户访问。

1.3 检查服务器是否启用了防火墙，并根据需求进行适当的配置。

04信息安全风险评估汇总表

04信息安全风险评估汇总表

路由器、交换机端控制
3
2
2
4
8
2
是
2
数据业务部
5.
人员
管理人员
部门经理
5
信息泄露泄露
人为泄露
未采取控制措施
4
5
4
4
16
4
否
行政部
6.
文档
合同
项目服务合同
5
数据丢失、泄露
未设置备份方案
未采取控制措施
4
5
4
4
16
4
否
行政部
7.
文档
项目数据
源代码
测试计划/方案
测试用例
测试报告
验收报告
接口开发设计文档
5
数据丢失、泄露
5
未建立台式机电脑口令安全策略
未采取控制措施
4
5
4
4
16
4
否
数据业务部
5
不足够的安全培训
定期对人员进行培训
3
2
2
4
8
2
是
3
行政部
5
防火墙未定期及时更新升级
员工自觉更新升级
3
2
2
4
8
2
是
2
数据业务部
5
操作系统变更未做记录，操作系统、应用软件未定期及时更新
负责人定期检查操作系统并及时更新
3
2
2
4
8
2
是
3
数据业务部
5
对移动代码的使用未监管
未采取控制措施
4
5
4
4
16
4
否
数据业务部
网络信息安全检查表【模板】

网络信息安全检查表【模板】

网络信息安全检查表【模板】一、物理安全1、机房环境机房温度、湿度是否在规定范围内？机房是否具备有效的防火、防水、防尘、防静电措施？机房的通风和照明是否良好？2、设备防护服务器、网络设备等是否放置在安全的机柜中，并采取了防盗措施？关键设备是否有冗余电源供应？3、访问控制机房是否有严格的人员出入管理制度，记录进出人员的身份和时间？机房钥匙是否由专人保管，是否存在多把钥匙分散管理的情况？二、网络架构安全1、网络拓扑网络拓扑结构是否清晰合理，易于维护和管理？关键网络设备是否有备份和冗余机制？2、访问控制是否划分了不同的网络区域，如内网、外网、DMZ 区等，并实施了相应的访问控制策略？网络访问是否基于最小权限原则，用户只能访问其工作所需的资源？3、防火墙和入侵检测防火墙规则是否定期审查和更新，以确保其有效性？入侵检测系统是否正常运行，是否及时处理报警信息？4、网络设备安全网络设备的登录密码是否足够复杂，并定期更改？网络设备的操作系统和软件是否及时更新补丁？三、系统安全1、操作系统服务器和客户端操作系统是否为正版软件？操作系统是否及时更新补丁，关闭不必要的服务和端口？是否设置了合理的用户账号和权限，避免出现超级用户权限滥用的情况？2、数据库数据库是否采取了加密存储措施，保护敏感数据？数据库的备份和恢复策略是否有效，备份数据是否定期测试？3、应用系统应用系统是否经过安全测试，是否存在已知的安全漏洞？应用系统的用户认证和授权机制是否健全？四、数据安全1、数据备份是否制定了定期的数据备份计划，包括全量备份和增量备份？备份数据是否存储在异地，以防止本地灾害导致数据丢失？备份数据的恢复流程是否经过测试，确保在需要时能够快速恢复数据？2、数据加密敏感数据在传输和存储过程中是否进行了加密处理？加密算法是否足够强大，密钥管理是否安全？3、数据销毁当不再需要的数据需要销毁时，是否采用了安全的销毁方法，确保数据无法恢复？五、用户管理1、用户认证用户的登录是否采用了多因素认证，如密码、令牌、指纹等？密码策略是否符合强度要求，如长度、复杂度、定期更改等？2、用户授权用户的权限分配是否基于其工作职责，避免权限过高或过低？对用户权限的变更是否有严格的审批流程和记录？3、用户培训是否定期对用户进行网络信息安全培训，提高其安全意识？培训内容是否包括密码管理、防范网络钓鱼、数据保护等方面？六、应急响应1、应急预案是否制定了详细的网络信息安全应急预案，包括事件分类、响应流程、责任分工等？应急预案是否定期演练和更新，确保其有效性？2、事件监测是否建立了有效的事件监测机制，能够及时发现网络安全事件？对事件的监测是否涵盖了网络流量、系统日志、用户行为等方面？3、事件处理在发生网络安全事件时，是否能够迅速采取措施进行遏制和恢复？是否按照规定的流程进行事件报告和记录？七、安全审计1、日志管理系统、网络设备、应用系统等是否开启了日志功能，并定期备份和保存？日志的存储时间是否符合法规和业务要求？2、审计分析是否定期对日志进行审计分析，发现潜在的安全威胁和异常行为？审计结果是否及时报告给相关人员，并采取相应的措施？3、合规性审计网络信息安全措施是否符合相关的法律法规、行业标准和内部政策要求？是否定期进行合规性审计，发现并整改不符合项？。