等保2.0数据库测评之SQL server数据库测评

一、SQL server数据库介绍

SQL server美国Microsoft公司推出的一种关系型数据库系统。SQL Server是一个可扩展的、高性能的、为分布式客户机/服务器计算所设计的数据库管理系统。

本次安装环境为Windows10专业版操作系统，数据库版本为Microsoft SQL Server 2019 (RTM) - 15.0.2000.5 (X64)  ，单机部署过程比较简单就不在此进行讲解。本文针对SQL server等保测评进行实际操作，不妥之处还恳请留言指正，共同学习。

                                       

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

1）SQL server数据库本身没有密码复杂度策略设置，它是使用Windows操作系统的校验函数来校验账户密码的，所以查看SQL server数据库密码复杂度需要结合操作系统本地安全策略的密码策略来看。SQL server密码策略要同时满足开启Windows密码策略并且勾选SQL server账户的强制实施密码策略才算是符合，但即使这样的话一样可以设置6位长度的口令，所以还要设置服务器的密码最小长度值。

2）在Microsoft SQL Server Management Studio中登录服务器，右键点击服务器，选择“属性”，选择“安全性”项，查看服务器身份验证。在Microsoft SQL Server Management Studio中选择服务器组并展开，选择“安全性->登录名”项，右键点击管理员用户的“属性”，在“常规”中 查看“强制实施密码策略”和“强制密码过期”

SQL server数据库的身份验证方式有多种，经常使用的有:windows身份验证和SQL server 身份验证。如果SQLServer数据库中的登录名
添加了该操作系统账户，且没有被禁用，则无需口令即可登录。

检查是否开启强制密码策略。

3）用户唯一标识SQLServer自动实现，这点默认符合。

4）尝试建立弱口令账户，检查是否建立成功。

b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

1）SQL server的账户锁定策略原理也是一样的，都是参照Windows操作系统的校验函数来校验的，所以需要勾选账户的强制密码过期，并且开启操作系统的账户锁定策略。勾选数据库强制密码过期，设置操作系统密码锁定策略。

2）SQL Server 数据库连接超时包含三类：远程登录超时、客户端连接数据库超时、sql语句执行超时（主要关注远程登录超时），其中：

远程登录超时：

在Microsoft SQL Server Management Studio中登录服务器并展开，右键点击服务器，选择“属性”，选择“高级”项，查看登录超时设定。也可在Microsoft SQL Server Management Studio的查询中输入命令：“sp_configure”查看数据库启动的配置参数；其中remote l