SQL等級測評指導書2010年10月項目編號：測評等級：三級測評指導書適用范圍:SQL2003以上 版本版本：Ver 1.0一、 測評對象名稱型號對象分類說明Oracle 數據庫Oracle 10g主機二、測評指標類別主機安全：身份鑒別、訪問控制、安全審計、剩余信息保護、入侵防范、惡意代碼防范、資源控制三、測評實施測評指標測評項操作步驟預期結果說明身份鑒別a、應對登錄操作系統和數據庫系統的用戶進行身份標識和鑒別1)展開服務器組，右鍵單擊服務器-在彈出的右鍵菜單中單擊“屬性”，在“安全性”選項卡中查看“身份驗證”認證方式是否為“SQL Server 和 Windows”。2）以企業管理器的方式登錄SQL Server數據庫，查看是否提示輸入用戶密碼。確認“安全性”選項卡中查看“身份驗證”認證方式為“SQL Server 和 Windows”b、操作系統和數據庫系統管理用戶身份標識應具有不易被冒用的特點，口令應有復雜度要求并定期更換1）詢問是否在安裝時立刻修改sa口令，并保證sa賬戶的口令具有足夠的強度。2）讓數據庫管理員以sa賬戶的身份登錄數據庫，查看口令強度與管理員回答是否一致。3）在master庫中，執行命令：select * from syslogins where password is null，查看是否存在空口令用戶。4）詢問數據庫管理員，SQL Server數據庫的口令管理要求（口令的長度，口令復雜性，口令更新周期）。sa賬戶的口令具有足夠的強度，口令強度與管理員回答一致，不存在空口令用戶，口令應有復雜度要求并定期更換c、應啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數和自動退出等措施1）使用sp_configure查看有無鑒別失敗和超時等方面的設置。2）詢問數據庫管理員是否采取其他措施保證上述安全功能的實現。具有登錄失敗處理功能，可采取結束會話、限制非法登錄次數和自動退出等措施d、當對服務器進行遠程管理時，應采取必要措施，防止鑒別信息在網絡傳輸過程中被竊聽1）詢問數據庫管理員，是否配置了SQL Server，保證遠程管理數據加密傳輸。2）在服務器網絡實用工具中查看是否啟用了“強制協議密碼”。當對服務器進行遠程管理時，有對應措施防止鑒別信息在網絡傳輸過程中被竊聽e、應為操作系統和數據庫系統的不同用戶分配不同的用戶名，確保用戶名具有唯一性詢問數據庫管理員，是否為不同的用戶分配不同的賬戶。操作系統和數據庫系統的不同用戶具有不同的用戶名，用戶名具有唯一性f、應采用兩種或兩種以上組合的鑒別技術對管理用戶進行身份鑒別1）詢問數據庫的身份鑒別方式，是否采用除用戶名/密碼外其他鑒別技術。2）如果使用其他技術，則查看該技術的實現情況。采用兩種或兩種以上組合的鑒別技術對管理用戶進行身份鑒別，身份鑒別信息至少有一種是不可偽造的訪問控制a、應啟用訪問控制功能，依據安全策略控制用戶對資源的訪問1）在SQL Server Enterprise Manager的安全管理器中查看系統管理員是否為每個登錄用戶分配了服務器角色。2）查看SQL Server數據庫是否問角色限定了權限，權限的覆蓋范圍是否包括與信息安全直接相關的主體和客體及他們之間的操作。啟用訪問控制功能，依據安全策略控制用戶對資源的訪問b、應根據管理用戶的角色分配權限，實現管理用戶的權限分離，僅授予管理用戶所需的最小權限在“企業管理器”-“安全性”中，選中每個登錄用戶，在右鍵菜單中選擇“屬性”，查看每個登錄用戶的角色和權限，查看是否是該用戶所需的最小權限。管理用戶具有權限分離，僅授予管理用戶所需的最小權限c、應實現操作系統和數據庫系統特權用戶的權限分離1）詢問是否由不同員工分別擔任操作系統管理員與數據庫管理員。2）登錄操作系統，查看是否能對數據庫系統進行操作。操作系統和數據庫系統特權用戶具有權限分離d、應嚴格限制默認帳戶的訪問權限，重命名系統默認帳戶，修改這些帳戶的默認口令1）詢問數據庫管理員，是否加強了sa的口令強度，并讓管理員登錄數據庫系統進行口令驗證。2）查看public的權限，是否嚴格限制public的權限。3）查看是否有guest賬戶，是否嚴格限制guest的權限。嚴格限制默認帳戶的訪問權限，限制重命名系統默認帳戶，限制修改這些帳戶的默認口令e、應及時刪除多余的、過期的帳戶，避免共享帳戶的存在在SQL查詢分析器中執行命令：select name from syslogins，詢問每個賬戶的用途，查看是否存在多余的、過期的賬戶。刪除多余的、過期的帳戶f、應對重要信息資源設置敏感標記詢問系統管理員，是否實現了上述功能，具體措施是什么。重要信息資源具有敏感標記g、應依據安全策略嚴格控制用戶對有敏感標記重要信息資源的操作詢問系統管理員，是否實現了該功能，具體措施是什么。安全審計a、審計范圍應覆蓋到服務器和重要客戶端上的每個操作系統用戶和數據庫用戶1）在“企業管理器”-右鍵單擊注冊名稱-單擊“屬性”-“安全性”，查看每個注冊的“審核級別”是否為“全部”。2）詢問數據庫管理員，是否采取第三方工具或其他措施增強SQL Server的日志功能。3）用不同的用戶登錄數據庫系統并進行不同的操作，在SQL Server數據庫中查看日志記錄。審計范圍覆蓋到服務器和重要客戶端上的每個操作系統用戶和數據庫用戶b、審計內容應包括重要用戶行為、系統資源的異常使用和重要系統命令的使用等系統內重要的安全相關事件1）在“企業管理器”-右鍵單擊注冊名稱-單擊“屬性”-“安全性”，查看每個注冊的“審核級別”是否為“全部”。2）詢問數據庫管理員，是否采取第三方工具或其他措施增強SQL Server的日志功能。3）在SQL Server數據庫中的日志記錄，是否包括重要用戶行為（如登錄系、增加/刪除用戶等）、系統資源異常和重要系統命令的使用（如xp_cmdshell存儲過程）的日志記錄審計內容包括重要用戶行為、系統資源的異常使用和重要系統命令的使用等系統內重要的安全相關事件c、審計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等1）在“企業管理器”-管理-SQL Server日志中，查看日志記錄是否包括日期和時間、類型、主題標識、客體標識、事件的結果等。2）詢問數據庫管理員，是否采取第三方工具或其他措施增強SQL Server的日志功能，如果有則查看這些工具記錄的審計記錄是否包括日期和時間、時間、類型、主題標識、客體標識、事件的結果等。審計記錄包括日期和時間、類型、主體標識、客體標識、事件的結果等d、應能夠根據記錄數據進行分析，并生成審計報表1）詢問數據庫系統管理員并檢查數據庫系統，是否提供對記錄數據庫進行分析并生成審計報表的功能。2）詢問數據庫管理員，是否采取第三方工具或其他方式增強SQL Server的日志功能，實現“根據記錄數據進行分析，并生成審計報表”的功能，如果提供，則檢查并驗證其功能是否正確。能夠根據記錄數據進行分析 e、應保護審計進程，避免受到未預期的中斷1）以非授權用戶（沒有審計權限）登錄數據庫系統，試圖改變審計配置選項，查看是否成功。2）如果成功，進行一些操縱，查看日志中是否有上述操作的記錄。審計進程受到保護f、應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等1）以普通用戶進入SQL Server數據庫系統，查看能否對日志進行非授權操作。2）詢問系統管理員，對SQL Server的日志記錄文件采取的保護措施，并登陸系統進行驗證。保護審計記錄，避免受到未預期的刪除、修改或覆蓋等剩余信息保護a、應保證操作系統和數據庫系統用戶的鑒別信息所在的存儲空間，被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內存中b、應確保系統內的文件、目錄和數據庫記錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前得到完全清除入侵防范a、應能夠檢測到對重要服務器進行入侵的行為，能夠記錄入侵的源ip、攻擊的類型、攻擊的目的、攻擊的時間，并在發生嚴重入侵事件時提供報警此項無要求b、應能夠對重要程序的完整性進行檢測，并在檢測到完整性受到破壞后具有恢復的措施此項無要求c、操作系統應遵循最小安裝的原則，僅安裝需要的組件和應用程序，并通過設置升級服務器等方式保持系統補丁及時得到更新此項無要求惡意代碼防范a、應安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫此項無要求b、主機防惡意代碼產品應具有與網絡防惡意代碼產品不同的惡意代碼庫此項無要求c、應支持防惡意代碼的統一管理此項無要求資源控制設備a、應通過設定終端接入方式、網絡地址范圍等條件限制終端登錄1）詢問數據庫系統管理員是否有保證上述安全功能的措施。2）如果無法在SQL Server數據庫系統上進行相關的配置，則詢問是否在防火墻或者其他網路設備（包括安全設備）上進行了相關的配置。設定終端接入方式、網絡地址范圍等條件限制終端登錄b應根據安全策略設置登錄終端的操作超時鎖定1）詢問數據庫系統管理員是否有保證上述安全措施。2）在查詢分析器中執行命令sp_configure remote login timeout（s），查看是否設置了超時時間。設置