7SQLServer2022年测评指导书三级S3A3G3.0版.docx

《7SQLServer2022年测评指导书三级S3A3G3.0版.docx》由会员分享，可在线阅读，更多相关《7SQLServer2022年测评指导书三级S3A3G3.0版.docx（10页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。

1、序号类别测评项测评实施预期结果说明1身份鉴别a）应对登录操作系统和数据 库系统的用户进展身份标识 和鉴别；1）开放效劳器组，编辑SQL Server注 册属性，查看身份认证方式； 或者2直接登录SQL Server企业治理器， 试图连接数据库，查看系统是否消灭用 户和密码的输入框。D选中“使用SQL Server身份认证”， 并且选中“总是提示输入用户名和密 码”。2）提示用户输入密码。应避开操作系统治理员对数 据库系统进展直接治理b）操作系统和数据库系统管 理用户身份标识应具有不易 被冒用的特点，口令应有复 杂度要求并定期更换；1）询问是否在安装时马上修改sa 口令， 用该用户和常见密码试图

2、登录数据库系 统，查看是否成功。2）在SQL查询分析器中执行命令：use masterselect * from syslogins where password isnull查看是否有空口令用户。3）询问口令的治理要求，如口令的长度、 口令简单性和口令更周期等方面的治理 要求。1） sa用户的口令不是常见口令。2）无空口令用户。3） 口令治理制度规定口令设置的复 杂度要求，至少包括：字符数字混合、 长度不低于8位。SQL Server2022未供给技术 手段来强制要求口令的简单 性，因此，只能通过治理手 段来进展强化用户口令的简 单性。c）应启用登录失败处理功能， 可实行完毕会话、限制非法

3、登录次数和自动退出等措 施；1）访谈系统治理员，了解是否实行第三 方工具实现该功能。1）假设没有承受第三方工具或对 SQL Server2022安全功能进展增加， 则该项要求为不符合。SQL Server2022默认没有供 给登录失败处理功能。序号类别测评项测评实施预期结果说明b）应供给异地数据备份功能， 利用通信网络将关键数据定 时批量传送至备用场地；1）访谈系统治理员了解是否供给异地数 据备份功能，是否将数据定时批量传送 至备用场地；2）假设条件允许，则查看其实现技术措 施的配置状况。1）供给异地数据备份中心。为每个登录用户授予所需的最小权限。序号类别测评项测评实施预期结果说明d）当对效劳

4、器进展远程治理 时，应实行必要措施，防止 鉴别信息在网络传输过程中 被窃听；1）询问是否能对数据库进展远程治理； 2）在效劳器网络有用工具中查看是否启 其用“强制协议加密（C）”。段设能够对数据库进展远程治理，则 应选中“强制协议加密（C）”，并对 进展配置。SQL Scrvcr2022 供给 SSL 方 式对数据进展加密传输。e）应为操作系统和数据库系 统的不同用户安排不同的用 户名，确保用户名具有唯一 性。1）在SQL查询分析器中执行命令：use masterselect name from syslogins, 针对查询出的账户列表，询问每个账号 的使用用户。无多人共用同一个账号的状况。

5、SQL Server默认不存在一样 用户名的用户，但应防止多 人使用同一个账号。f）应承受两种或两种以上组 合的鉴别技术对治理用户进 展身份鉴别。I）询问数据库的身份鉴别方式，是否使 用其他鉴别技术。2）假设使用其他技术，则查看该技术的 实现状况。应加强对操作系统用户的治理来强 化数据库安全。SQL Server2022不能集成其 它身份鉴别措施，只能通过 “操作系统+数据库”的方式共同对数据库进展保护。2访问控制a）应启用访问掌握功能，依据 安全策略掌握用户对资源的 访问；1）在“企业治理器”-“安全性”中， 选中每个登录用户，在右键菜单中选择/“属性”，查看是否为每个用户指定了角1 色和能

6、够对每个数据库的访问权限。J每个登录用户指定了角色，并限定 每个角色的访问权限。b）应依据治理用户的角色安 排权限，实现治理用户的权 限分别，仅橙干治理用户所1）在“企业治理器”-“安全性” 中，选中每个登录用户，在右键 菜单中诜择“屈性”，杳看每个寿录用户的角色和权为每个登录用户授予所需的最小权限。1）应特别关注应用系统所使用的数 据库账号的权限；2）原则上应为每 个业务数据库序号类别测评项测评实施预期结果说明需的最小权限；限，是否是该治理用户所需的最小权限。指定一个单独的治理员，该 治理员只能对该数据库进展 操作。C）应实现操作系统和数据库 系统特权用户的权限分别；1）询问并查看除sa外，

7、是否还有其他 的特权用户，他们的权限是否实现了分 别。应将系统治理、安全治理和业务操作 等权限安排给不同的账号。尽量不以sa用户对数据库进 展治理，这个用户的权限太 大，而应以其他的安全治理 和系统治理权限用户对数据 库进行管理。在SQL Server2022中，没有审计记录 的治理人员，系统治理人员 也不能删除日志记录，日志 分成不同的日志文件，日志 文件的安全性是由操作系统 用户进展治理，因此，应尽 量将日志记录放置在一个独 立的效劳器上。d）应严格限制默认账户的访 问权限，重命名系统默认账 户，修改这些账户的默认口 令；1）询问并验证sa用户的密码是否是空 口令或弱口令；2）现场让用户登

8、录一次进展测试，验证 用户的密码是否与描述全都。治理用户sa的密码不是空口令和弱 口令。由于不能重命名或删除治理 员sa,因此，应加强sa用户 的口令治理。e）应准时删除多余的、过期的 账户，避开共享账户的存在。1）在SQL查询分析器中执行命令：use masterselect name from syslogins杳看呆否存在名余的、过期的账户。不存在多余的、过期的账户。序号类别测评项测评实施预期结果说明f）应对重要信息资源设置敏 感标记；1）访谈系统治理员，了解是否实现了该 功能，具体措施是什么。假设没有实行任何措施，则该项要求 为不符合。在SQL Scrvcr2022不供给当 功能。g）

9、应依据安全策略严格掌握 用户对有敏感标记重要信息 资源的操作；1）访谈系统治理员，了解是否实现了 该功能，具体措施是什么。假设没有实行任何措施，则该项要求 为不符合。在SQL Server2022不供给当 功能。3安全审计a）审计范围应掩盖到效劳器 和重要客户端上的每个操作 系统用户和数据库用户；1）在“企业治理器”-右键单击注册 名称-点击“属性。“安全性”，查看 审核级别。2）访谈数据库治理员，了解是否实行 第三方工具增加SQL Server的日志功能。审核级别为“全部”。1） SQL Server2022 默认审核 级别为“无”；2） SQLScrver2022 供给的审 计功能较弱，尽

10、可能实行第 三方的审计产品实现数据库 的审计功能。b）审计内容应包括重要用户 行为、系统资源的特别使用 和重要系统命令的使用等系统内重要的安全相关大事：1）访谈数据库数据库治理员，了解是 否实行第二方_L具增加SQL Server的日 志功能。2）假设有第三方工具，则查看审计内容 是否包括重要用户行为、系统资源的特有第二方，具且审计内容包括用户 登录、对数据的增删改、系统资源的 特别使用等。SQL Server自身的日志功能 不能满足要求，SQLServer2022自身供给的日志记录没有对登录大事进展记c）审计记录应包括日期和时 间、类型、主体标识、客体别使用和重要系统命令的使用等。1）访谈数

11、据库数据库治理员，了解是 否录。SQL Server自身的日志功能实行第三方工具增加SQLServer的日志 有第三方工标识、大事的结果等；具且审计记录内容包括功能。第页共8页内容是否包括日期和时间、类型、主体 不能满足要求，SQL Server2022默认的日志记录仅记录包括：日期、 时间、源（不包括IP地址）、消息。序号类别测评项测评实施预期结果说明标识、客体标识、大事的结果等。d）应能够依据记录数据进展 分析，并生成审计报表；1）访谈数据库治理员，了解是否实行第 三方工具增加SQL Server的日志功能。2）假设有第三方工具，则查看其是否 能够依据记录数据进展分析并生成审计 报表。有第

12、二方，具且能够依据记录数据 进展分析并生成审计报表。SQL Server自身的日志功能 不能满足要求。SQL Server2022供给的日志功能 不能对日志进展分析。e）应保护审计进程，避开受到 未预期的中断；默认符合默认符合f）应保护审计记录，避开受到 未预期的删除、修改或掩盖 等；1）访谈操作系统治理员，了解对SQL Server2022的日志记录实行的保护措 施。操作系统供给相关保护措施，不能被 非授权破坏；通过备份审计记录文档 避开未预期的掩盖。审计记录文档仅授权用户才 能具有相关治理权限。4剩余dM保护a）应保证操作系统和数据库 系统用户的鉴别信息所在的 存储空间，被释放或再安排 给

13、其他用户前得到完全清 除，无论这些信息是存放在 硬盘上还是在内存中；检查产品的测试报告、用户手册或治理 手册，确认其是否具有相关功能；或由 第三方工具供给了相应功能。假设测试报告、用户手册或治理手册 中没有相关描述，且没有供给第三方 工具增加该功能，则该项要求为不符 合。b）应确保系统内的文件、名目 和数据库记录等资源所在的 存储空间，被释放或重安排 给其他用户前得到完全去除。检查产品的测试报告、用户手册或治理 手册，确认其是否具有相关功能；或由 第三方工具供给了相应功能。假设测试报告、用户手册或治理手册 中没有相关描述，且没有供给第三方 工具增加该功能，则该项要求为不符 合。序号类别测评项测

14、评实施预期结果说明5a）应能够检测到对重要效劳 器进展入侵的行为，能够记 录入侵的源IP、攻击的类型、 攻击的目的、攻击的时间， 并在发生严峻入侵大事时提 供报警；N/Ab）应能够对重要程序的完整 性进展检测，并在检测到完 整性受到破坏后具有恢复的 措施；N/Ac）操作系统应遵循最小安装 的原则，仅安装需要的组件 和应用程序，并通过设置升 级效劳器等方式保持系统补 丁准时得到更。1）访谈数据库治理员，了解是否安装r 不必要的效劳和组件，是否准时升级系 统补丁。1）系统实行最小安装原则，对于SQL Server2022应准时进展升级，至少安 装补丁 SP4。6资源控制a）应通过设定终端接入方式、

15、 网络地址范围等条件限制终 端登录；1）访谈数据库治理员，了解实行什么 方式限制终端登录数据库治理系统。通过防火墙或其他方式限制终端登 录数据库治理系统。1）假设没有承受第三方工具 或对SQL Server2022进展开 发，则该项功能不满足。序号类别测评项测评实施预期结果说明b）应依据安全策略设置登录 终端的操作超时锁定：I ）在SQL查询分析器中执行命令 sp_configure “ remote login timeout （s）” ， 查看是否设置了超时时间。设置了超时时间。1）SQL Server数据库默认设 置是20s超时断开。应对重要效劳器进展监视， 检括监视效劳器的CPU、硬

16、盘、内存、网络等资源的使 用状况；1）访谈数据库治理员，了解是否对数据 库治理系统的日志空间、进程等进展监 控。供给第三方监控软件等方式，对数据 库治理系统的日志空间、进程等进展 监控。d）应限制单个用户对系统资 源的最大或最小使用限度；1）访谈系统治理员，了解是否实行第三 方工具实现该功能。1）假设不存在资源争夺状况，则该 项要求为不适用；2）假设存在资源争夺状况且没有实行其 他措施实现该要求，则该项要求为不 符合。1）假设没有承受第三方工具 或对SQL Server2022进展开 发，则该项功能不满足。e）应能够对系统的效劳水平 降低到预先规定的最小值进 展检测和报警。N/A7备11?恢复a）应供给数据本地备份与恢 复功能，完全数据备份至少 每天一次，备份介质场外存 放；D访谈系统治理员了解数据库的备份 和恢复策略。2）检查数据库配置，查看备份与恢复 方面的配置措施，假设是通过SQL Server的自动备份功能进展备份的,则 应杳看箕SQL Server Agent效劳星否启1）对于重要和实时性要求高的数据 应供给双机热备的功能；至少每天进 展一次全备份，离线备份介质存放在 场外；2）对于一般数据应依据数据的重要程度 指定相应的备份与恢写策略C动。