SQL Server 2000 一些需要注意安全选项和配置
很久以前存在电脑里的一篇文章,偶尔翻出来看看觉得有些过时有些现在还可以借鉴,重新整理一下和大家共享,其实光谈SQL Server的安全真的很难,因为他是如此紧密的和操作系统相关联,而windows的安全需要讨论的面又太大,这里也不想扯开太多,所以只写最主要的几点
1 永远让你的Windows和SQL Server应用最新的补丁
之所以把这条放在最前面,是因为我们永远不清楚系统本身会有什么安全漏洞问题,我们不可能会象微软的程序员那样熟悉系统的内部构造,运行方式及原理,既然这样让我们听从专业人员的建议,永远打上最新的Windows和SQL Server补丁是不会错的。当前（2010年9月），SQL Server 2000的最新补丁集为SP4,2005的最新补丁集是SP3,我们可以从下面的网址下载到。
2005 SP3
2000 SP4
2、使用复杂的密码策略
数据库管理员必须有定期更改数据库系统密码的习惯,并且建议密码强度尽可能复杂(除非你记不住)。SQL Server2000的安装时有Sa空密码的选择,但是强烈不推荐使用空密码,如果你的数据库系统中
有多用户允许登录可以检查master数据库的syslogins表的password字段,看看是否有空密码记录,顺便说下那个字符串是加密的...看不到原文
3 、使用安全的帐号策略
由于SQL Server 不能更改sa 用户名称，也不能删除这个超级用户，所以，我们必须对这个帐号进行最强的保护，当然，包括使用一个非常强壮的密码，最好不要在数 据库应用中使用sa 帐号，只有当没有其它方法登录到 SQL Server 实例（例如，当其它系统管理员不可用或忘记了密码）时才使用 sa 。建议数据库管理员新建立个拥有与sa 一样权限的超级用户来管理数据库。安全的帐号策略还包括不要让管理员权限的帐号泛滥。
SQL Server 的认证模式有Windows 身份认证和混合身份认证两种。如果数据库管理员不希望操作系统管理员来通过操作系统登陆来接触数据库的话，可以在 帐号管理中把系统帐号“BUILTIN/Administrators” 删除。不过这样做的结果是一旦sa 帐号忘记密码的话，就没有办法来恢复了。很多主 机使用数据库应用只是用来做查询、修改等简单功能的，请根据实际需要分配帐号，并赋予仅仅能够满足应用要求和需要的权限。比如，只要查询功能的，那么就使 用一个简单的public 帐号能够select 就可以了。
4 、使用协议加密 (防止嗅探)
SQL Server 2000 使用的Tabular Data Stream 协议来进行网络数据交换，如果不加密的话，所有的网络传输都是明文的，包括密码、数据库内容等等，这是一个很大的安全威胁。能被人在网络中截 获到他们需要的东西，包括数据库帐号和密码。所以，在条件容许情况下，最好使用SSL 来加密协议，当然，你需要一个证书来支持。
5 、对TCP/IP(1433) 端口进行保护
默认情况下，SQL Server 使用1433 端口监听，很多人都说SQL Server 配置的时候要把这个端口改变，这样别人就不能很容易地知道使用的什么端口了。可惜，通过微软未公开的1434 端口的UDP 探测可以很容易知道 SQL Server 使用的什么TCP/IP 端口了。不过微软还是考虑到了这个问题，毕竟公开而且开放的端口会引起不必要的麻烦。在实例属性中选择TCP/IP 协 议的属性。选择隐藏 SQL Server 实例。如果隐藏了 SQL Server 实例，则将禁止对试图枚举网络上现有的 SQL Server 实例的客户端所发出的广播作出响应。这样，别人就不能用1434 来探测你的TCP/IP 端口了（除非用Port Scan ）。 请在上一步配置的基础上，更改原默认的1433 端口。在实例属性中选择网络配置中的TCP/IP 协议的属性，将TCP/IP 使用的默认端口变为其他端口.
6 、对网络连接进行IP 限制
SQL Server 2000 数据库系统本身没有提供网络连接的安全解决办法，但是Windows 2000 提供了这样的安全机制。使用操作系统自己的IPSec 可以实现IP 数据包的安全性。请对IP 连接进行限制，只保证自己的IP 能够访问，也拒绝其他 IP 进行的端口连接，把来自网络上的安全威胁进行有效的控制。如果对ipsec有兴趣可以到微软网站查看详细的使用
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
