怎么提高MSSQL Server 2000的安全性

转载 2013年12月03日 10:21:06
这里介绍了为提高 SQL Server 安装的安全性,您可以实施的十件事情:

  安装最新的服务包。
  为了提高服务器安全性,最有效的一个方法就是升级到 SQL Server 2000 Service Pack 4 (SP4)。另外,您还应该安装所有已发布的安全更新。

  使用 Microsoft 基线安全性分析器(MBSA)来评估服务器的安全性。
  MBSA 是一个扫描多种 Microsoft 产品的不安全配置的工具,包括 SQL Server 和 Microsoft SQL Server 2000 Desktop Engine (MSDE 2000)。它可以在本地运行,也可以通过网络运行。该工具针对下面问题对 SQL Server 安装进行检测:
  过多的sysadmin固定服务器角色成员。 
  授予sysadmin以外的其他角色创建 CmdExec 作业的权利。 
  空的或简单的密码。 
  脆弱的身份验证模式。 
  授予管理员组过多的权利。 
  SQL Server数据目录中不正确的访问控制表(ACL)。 
  安装文件中使用纯文本的sa密码。 
  授予guest帐户过多的权利。 
  在同时是域控制器的系统中运行SQL Server。 
  所有人(Everyone)组的不正确配置,提供对特定注册表键的访问。 
  SQL Server 服务帐户的不正确配置。 
  没有安装必要的服务包和安全更新。

  使用 Windows 身份验证模式。
  在任何可能的时候,您都应该对指向 SQL Server 的连接要求 Windows 身份验证模式。它通过限制对Microsoft Windows®用户和域用户帐户的连接,保护 SQL Server 免受大部分 Internet 的工具的侵害,。而且,您的服务器也将从 Windows 安全增强机制中获益,例如更强的身份验证协议以及强制的密码复杂性和过期时间。另外,凭证委派(在多台服务器间桥接凭证的能力)也只能在 Windows 身份验证模式中使用。在客户端,Windows 身份验证模式不再需要存储密码。存储密码是使用标准 SQL Server 登录的应用程序的主要漏洞之一。

  要在 SQL Server 的 Enterprise Manager 安装 Windows 身份验证模式,请按下列步骤操作:

  展开服务器组。 
  右键点击服务器,然后点击属性。 
  在安全性选项卡的身份验证中,点击仅限 Windows。 
  详细信息,请参阅 SQL Server Books Online 或 MSDN中的“身份验证模式”。
  隔离您的服务器,并定期备份。
  物理和逻辑上的隔离组成 了SQL Server 安全性的基础。驻留数据库的机器应该处于一个从物理形式上受到保护的地方,最好是一个上锁的机房,配备有洪水检测以及火灾检测/消防系统。数据库应该安装在企业内部网的安全区域中,不要直接连接到 Internet。定期备份所有数据,并将副本保存在安全的站点外地点。
  分配一个强健的sa密码。
  sa帐户应该总拥有一个强健的密码,即使在配置为要求 Windows 身份验证的服务器上也该如此。这将保证在以后服务器被重新配置为混合模式身份验证时,不会出现空白或脆弱的sa。

  要分配sa密码,请按下列步骤操作:

  展开服务器组,然后展开服务器。 
  展开安全性,然后点击登录。 
  在细节窗格中,右键点击SA,然后点击属性。 
  在密码方框中,输入新的密码。

  限制 SQL Server服务的权限。
  SQL Server 2000 和 SQL Server Agent 是作为 Windows 服务运行的。每个服务必须与一个 Windows 帐户相关联,并从这个帐户中衍生出安全性上下文。SQL Server允许sa 登录的用户(有时也包括其他用户)来访问操作系统特性。这些操作系统调用是由拥有服务器进程的帐户的安全性上下文来创建的。如果服务器被攻破了,那么这些操作系统调用可能被利用来向其他资源进行攻击,只要所拥有的过程(SQL Server服务帐户)可以对其进行访问。因此,为 SQL Server 服务仅授予必要的权限是十分重要的。

  我们推荐您采用下列设置:

  SQL Server Engine/MSSQLServer
  如果拥有指定实例,那么它们应该被命名为MSSQL$InstanceName。作为具有一般用户权限的 Windows 域用户帐户运行。不要作为本地系统、本地管理员或域管理员帐户来运行。 
  SQL Server Agent Service/SQLServerAgent 
  如果您的环境中不需要,请禁用该服务;否则请作为具有一般用户权限的Windows域用户帐户运行。不要作为本地系统、本地管理员或域管理员帐户来运行。

  重点: 如果下列条件之一成立,那么 SQL Server Agent 将需要本地 Windows管理员权限: 
  SQL Server Agent 使用标准的 SQL Server 身份验证连接到SQL Server(不推荐)。 
  SQL Server Agent 使用多服务器管理主服务器(MSX)帐户,而该帐户使用标准 SQL Server 身份验证进行连接。
  SQL Server Agent 运行非sysadmin固定服务器角色成员所拥有的 Microsoft ActiveX®脚本或 CmdExec 作业。
  如果您需要更改与 SQL Serve r服务相关联的帐户,请使用 SQL Server Enterprise Manager。Enterprise Manager 将为 SQL Server 所使用的文件和注册表键设置合适的权限。不要使用 Microsoft 管理控制台的"服务"(在控制面板中)来更改这些帐户,因为这样需要手动地调制大量的注册表键和NTFS文件系统权限以及Micorsoft Windows用户权限。

  帐户信息的更改将在下一次服务启动时生效。如果您需要更改与 SQL Server 以及 SQL Server Agent 相关联的帐户,那么您必须使用 Enterprise Manager 分别对两个服务进行更改。
  在防火墙上禁用 SQL Server 端口。
  SQL Server 的默认安装将监视 TCP 端口 1433 以及UDP端口 1434。配置您的防火墙来过滤掉到达这些端口的数据包。而且,还应该在防火墙上阻止与指定实例相关联的其他端口。
  使用最安全的文件系统。
  NTFS 是最适合安装 SQL Server 的文件系统。它比 FAT 文件系统更稳定且更容易恢复。而且它还包括一些安全选项,例如文件和目录 ACL 以及文件加密(EFS)。在安装过程中,如果侦测到 NTFS,SQL Server 将在注册表键和文件上设置合适的 ACL。不应该去更改这些权限。

  通过 EFS,数据库文件将在运行 SQL Server 的帐户身份下进行加密。只有这个帐户才能解密这些文件。如果您需要更改运行 SQL Server 的帐户,那么您必须首先在旧帐户下解密这些文件,然后在新帐户下重新进行加密。
  删除或保护旧的安装文件。
  SQL Server 安装文件可能包含由纯文本或简单加密的凭证和其他在安装过程中记录的敏感配置信息。这些日志文件的保存位置取决于所安装的SQL Server版本。在 SQL Server 2000 中,下列文件可能受到影响:默认安装时<systemdrive>:\Program Files\Microsoft SQL Server\MSSQL\Install文件夹中,以及指定实例的<systemdrive>:\Program Files\Microsoft SQL Server\ MSSQL$<Instance Name>\Install文件夹中的sqlstp.log, sqlsp.log和setup.iss

  如果当前的系统是从 SQL Server 7.0 安装升级而来的,那么还应该检查下列文件:%Windir% 文件夹中的setup.iss以及Windows Temp文件夹中的sqlsp.log。

  审核指向 SQL Server 的连接。
  SQL Server 可以记录事件信息,用于系统管理员的审查。至少您应该记录失败的 SQL Server 连接尝试,并定期地查看这个日志。在可能的情况下,不要将这些日志和数据文件保存在同一个硬盘上。

  要在 SQL Server 的 Enterprise Manager 中审核失败连接,请按下列步骤操作:

  展开服务器组。 
  右键点击服务器,然后点击属性。 
  在安全性选项卡的审核等级中,点击失败。 
  要使这个设置生效,您必须停止并重新启动服务器。

提高cookie安全性的几种方法

 一、对保存到cookie里面的敏感信息必须加密   二、设置HttpOnly为true 三、设置Secure为true 四、给Cookie设置有效期 五、给C...
  • whaxrl
  • whaxrl
  • 2015年11月07日 11:04
  • 1142

SQL Server 2000本地系统账户和域用户账户的选择

我们在安装SQL Server 2000数据库的时候,需要对服务进行设置,如下图所示:使用本地系统账户和使用域用户账户,该怎么选择呢?本地系统账户和域用户账户的区别在哪里呢?本文我们主要就介绍这些内容...
  • goldworm2012
  • goldworm2012
  • 2012年07月16日 22:33
  • 1436

使用JDBC 连接 Microsoft SQL Server 2000

 如何使用JDBC 连接 Microsoft SQL Server 2000 1.      安装JDBC驱动程序 JDBC驱动程序实际上就是指三个.jar包,他们是msbase.jar,msutil...
  • geruger
  • geruger
  • 2006年09月20日 11:35
  • 956

BT5入侵mssql

mssql_ping: msf auxiliary(mssql_ping) > show options Module options (auxiliary/scanner/mssql/mssql...
  • feier7501
  • feier7501
  • 2013年08月18日 13:32
  • 2787

SQL Server数据库优化的几种方法.

转子:http://www.cr173.com/html/5338_1.html 巧妙优化SQL Server数据库的几种方法,在实际操作中导致查询速度慢的原因有很多,其中最为常见有...
  • silence432
  • silence432
  • 2014年06月26日 09:49
  • 1163

提高Web程序安全性的17种方法

                          提高Web程序安全性的17种方法1.做程序规划时,把不同的文件类型放入不同的文件夹,如htm页放入Static文件夹,asp页放入Dynamic文件...
  • suscom
  • suscom
  • 2005年01月22日 21:30
  • 862

国际化使用UTF-8造成数据库MSSQL Server 2000/2005存储乱码的分析

 看了许多网上使用MSSQL Server 2000/2005使用UTF-8造成数据库存储乱码的描述,也说一下自己做的一个国际化项目的经验。 这个项目描述: 架构:VC++的ATL Server进行开...
  • luzuheng
  • luzuheng
  • 2007年03月23日 14:19
  • 8349

SQL Server2000:分离数据库与附加数据库

分离数据库分离数据库是指将数据库从服务器上分离出来。SQL Server服务器在运行的时候,它会维护所有数据库的信息,包括我们当前并没有用到的数据库。如果这些数据库我们暂时不用,让它们运行只会...
  • sky2098
  • sky2098
  • 2007年03月25日 17:49
  • 6161

win2008 r2 安装sqlserver 2000问题的解决方法

windows 2008 R2 64 系统安装SQL2000 32位数据库  安装成功关键: 1、点击安装,提示兼容问题,然后没有然后了··· 没有反应了 解决方法:直接运行...
  • taifei
  • taifei
  • 2017年05月02日 18:01
  • 467

MSSQL2000分页

查询第X页,每页Y条记录最基本的处理方法(原理):如果表中有主键(记录不重复的字段也可以),可以用类似下面的方法,当然y,(x-1)*y要换成具体的数字,不能用变量:select top y * fr...
  • swvincent
  • swvincent
  • 2006年08月14日 20:14
  • 853
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:怎么提高MSSQL Server 2000的安全性
举报原因:
原因补充:

(最多只允许输入30个字)