怎么提高MSSQL Server 2000的安全性

转载 2013年12月03日 10:21:06
这里介绍了为提高 SQL Server 安装的安全性,您可以实施的十件事情:

  安装最新的服务包。
  为了提高服务器安全性,最有效的一个方法就是升级到 SQL Server 2000 Service Pack 4 (SP4)。另外,您还应该安装所有已发布的安全更新。

  使用 Microsoft 基线安全性分析器(MBSA)来评估服务器的安全性。
  MBSA 是一个扫描多种 Microsoft 产品的不安全配置的工具,包括 SQL Server 和 Microsoft SQL Server 2000 Desktop Engine (MSDE 2000)。它可以在本地运行,也可以通过网络运行。该工具针对下面问题对 SQL Server 安装进行检测:
  过多的sysadmin固定服务器角色成员。 
  授予sysadmin以外的其他角色创建 CmdExec 作业的权利。 
  空的或简单的密码。 
  脆弱的身份验证模式。 
  授予管理员组过多的权利。 
  SQL Server数据目录中不正确的访问控制表(ACL)。 
  安装文件中使用纯文本的sa密码。 
  授予guest帐户过多的权利。 
  在同时是域控制器的系统中运行SQL Server。 
  所有人(Everyone)组的不正确配置,提供对特定注册表键的访问。 
  SQL Server 服务帐户的不正确配置。 
  没有安装必要的服务包和安全更新。

  使用 Windows 身份验证模式。
  在任何可能的时候,您都应该对指向 SQL Server 的连接要求 Windows 身份验证模式。它通过限制对Microsoft Windows®用户和域用户帐户的连接,保护 SQL Server 免受大部分 Internet 的工具的侵害,。而且,您的服务器也将从 Windows 安全增强机制中获益,例如更强的身份验证协议以及强制的密码复杂性和过期时间。另外,凭证委派(在多台服务器间桥接凭证的能力)也只能在 Windows 身份验证模式中使用。在客户端,Windows 身份验证模式不再需要存储密码。存储密码是使用标准 SQL Server 登录的应用程序的主要漏洞之一。

  要在 SQL Server 的 Enterprise Manager 安装 Windows 身份验证模式,请按下列步骤操作:

  展开服务器组。 
  右键点击服务器,然后点击属性。 
  在安全性选项卡的身份验证中,点击仅限 Windows。 
  详细信息,请参阅 SQL Server Books Online 或 MSDN中的“身份验证模式”。
  隔离您的服务器,并定期备份。
  物理和逻辑上的隔离组成 了SQL Server 安全性的基础。驻留数据库的机器应该处于一个从物理形式上受到保护的地方,最好是一个上锁的机房,配备有洪水检测以及火灾检测/消防系统。数据库应该安装在企业内部网的安全区域中,不要直接连接到 Internet。定期备份所有数据,并将副本保存在安全的站点外地点。
  分配一个强健的sa密码。
  sa帐户应该总拥有一个强健的密码,即使在配置为要求 Windows 身份验证的服务器上也该如此。这将保证在以后服务器被重新配置为混合模式身份验证时,不会出现空白或脆弱的sa。

  要分配sa密码,请按下列步骤操作:

  展开服务器组,然后展开服务器。 
  展开安全性,然后点击登录。 
  在细节窗格中,右键点击SA,然后点击属性。 
  在密码方框中,输入新的密码。

  限制 SQL Server服务的权限。
  SQL Server 2000 和 SQL Server Agent 是作为 Windows 服务运行的。每个服务必须与一个 Windows 帐户相关联,并从这个帐户中衍生出安全性上下文。SQL Server允许sa 登录的用户(有时也包括其他用户)来访问操作系统特性。这些操作系统调用是由拥有服务器进程的帐户的安全性上下文来创建的。如果服务器被攻破了,那么这些操作系统调用可能被利用来向其他资源进行攻击,只要所拥有的过程(SQL Server服务帐户)可以对其进行访问。因此,为 SQL Server 服务仅授予必要的权限是十分重要的。

  我们推荐您采用下列设置:

  SQL Server Engine/MSSQLServer
  如果拥有指定实例,那么它们应该被命名为MSSQL$InstanceName。作为具有一般用户权限的 Windows 域用户帐户运行。不要作为本地系统、本地管理员或域管理员帐户来运行。 
  SQL Server Agent Service/SQLServerAgent 
  如果您的环境中不需要,请禁用该服务;否则请作为具有一般用户权限的Windows域用户帐户运行。不要作为本地系统、本地管理员或域管理员帐户来运行。

  重点: 如果下列条件之一成立,那么 SQL Server Agent 将需要本地 Windows管理员权限: 
  SQL Server Agent 使用标准的 SQL Server 身份验证连接到SQL Server(不推荐)。 
  SQL Server Agent 使用多服务器管理主服务器(MSX)帐户,而该帐户使用标准 SQL Server 身份验证进行连接。
  SQL Server Agent 运行非sysadmin固定服务器角色成员所拥有的 Microsoft ActiveX®脚本或 CmdExec 作业。
  如果您需要更改与 SQL Serve r服务相关联的帐户,请使用 SQL Server Enterprise Manager。Enterprise Manager 将为 SQL Server 所使用的文件和注册表键设置合适的权限。不要使用 Microsoft 管理控制台的"服务"(在控制面板中)来更改这些帐户,因为这样需要手动地调制大量的注册表键和NTFS文件系统权限以及Micorsoft Windows用户权限。

  帐户信息的更改将在下一次服务启动时生效。如果您需要更改与 SQL Server 以及 SQL Server Agent 相关联的帐户,那么您必须使用 Enterprise Manager 分别对两个服务进行更改。
  在防火墙上禁用 SQL Server 端口。
  SQL Server 的默认安装将监视 TCP 端口 1433 以及UDP端口 1434。配置您的防火墙来过滤掉到达这些端口的数据包。而且,还应该在防火墙上阻止与指定实例相关联的其他端口。
  使用最安全的文件系统。
  NTFS 是最适合安装 SQL Server 的文件系统。它比 FAT 文件系统更稳定且更容易恢复。而且它还包括一些安全选项,例如文件和目录 ACL 以及文件加密(EFS)。在安装过程中,如果侦测到 NTFS,SQL Server 将在注册表键和文件上设置合适的 ACL。不应该去更改这些权限。

  通过 EFS,数据库文件将在运行 SQL Server 的帐户身份下进行加密。只有这个帐户才能解密这些文件。如果您需要更改运行 SQL Server 的帐户,那么您必须首先在旧帐户下解密这些文件,然后在新帐户下重新进行加密。
  删除或保护旧的安装文件。
  SQL Server 安装文件可能包含由纯文本或简单加密的凭证和其他在安装过程中记录的敏感配置信息。这些日志文件的保存位置取决于所安装的SQL Server版本。在 SQL Server 2000 中,下列文件可能受到影响:默认安装时<systemdrive>:\Program Files\Microsoft SQL Server\MSSQL\Install文件夹中,以及指定实例的<systemdrive>:\Program Files\Microsoft SQL Server\ MSSQL$<Instance Name>\Install文件夹中的sqlstp.log, sqlsp.log和setup.iss

  如果当前的系统是从 SQL Server 7.0 安装升级而来的,那么还应该检查下列文件:%Windir% 文件夹中的setup.iss以及Windows Temp文件夹中的sqlsp.log。

  审核指向 SQL Server 的连接。
  SQL Server 可以记录事件信息,用于系统管理员的审查。至少您应该记录失败的 SQL Server 连接尝试,并定期地查看这个日志。在可能的情况下,不要将这些日志和数据文件保存在同一个硬盘上。

  要在 SQL Server 的 Enterprise Manager 中审核失败连接,请按下列步骤操作:

  展开服务器组。 
  右键点击服务器,然后点击属性。 
  在安全性选项卡的审核等级中,点击失败。 
  要使这个设置生效,您必须停止并重新启动服务器。

相关文章推荐

mssql server2000安装

  1:选择简体中文个人版(在pc电脑上,也只能安装这个版本)   2:安装 sqlserver 2000组件   3:安装数据库服务器 4:many next,then yo...
  • sdfd1
  • sdfd1
  • 2011年04月30日 11:54
  • 446

MSSQL Server的连接问题分析和解决(2)

再来看一个连接错误,如下图1所示:       图中是从本地Serv连接异地Serv做DTS包迁移时的错误提示,本地Serv是SQL2008,而异地Serv是SQL2000。 一、从图中获得...
  • yw1688
  • yw1688
  • 2015年08月24日 10:16
  • 281

Sharp-ORM 2007 (1.2) for MSSQL Server

  • 2007年04月16日 10:24
  • 226KB
  • 下载

MSSQL Server 管理器 V2.0

  • 2017年04月06日 09:28
  • 1.8MB
  • 下载

MSSql Server基础学习系列———数据约束

数据约束在数据库中广泛存在 目的:保证数据库的完整性 说白了就是保证数据库中的数据是正确的,但是也带了坏处,那就是性能的下降 --主键约束(PK) --主键值唯一,并且不能为空 --sql脚本语言...

MsSql Server安装和配置

  • 2008年01月08日 15:49
  • 4.67MB
  • 下载

MSSql Server基础学习系列———索引

MSSql Server 对于那些未建立索引的表格数据的检索是从第一行开始,从上往下,一条一条的检索。如果我们程序中经常要用到查询操作,而且数据库中的数据量很庞大,毫无疑问,每次的数据查询都会比较浪费...
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:怎么提高MSSQL Server 2000的安全性
举报原因:
原因补充:

(最多只允许输入30个字)