九大措施安全配置SQLServer協議加密等

2020-12-11 IT168
資料庫是電子商務、金融以及ERP系統的基礎，通常都保存著重要的商業夥伴和客戶信息。大多數企業、組織以及政府部門的電子數據都保存在各種資料庫中，他們用這些資料庫保存一些個人資料，比如員工薪水、個人資料等等。資料庫伺服器還掌握著敏感的金融數據。包括交易記錄、商業事
務和帳號數據，戰略上的或者專業的信息，比如專利和工程數據，甚至市場計劃等等應該保護起來防止競爭者和其他非法者獲取的資料。數據完整性和合法存取會受到很多方面的安全威脅，包括密碼策略、系統後門、資料庫操作以及本身的安全方案。但是資料庫通常沒有象作業系統和網絡這樣在安全性上受到重視。

    微軟的SQL Server是一種廣泛使用的資料庫，很多電子商務網站、企業內部信息化平臺等都是基於SQL Server上的，但是資料庫的安全性還沒有被人們更系統的安全性等同起來，多數管理員認為只要把網絡和作業系統的安全搞好了，那麼所有的應用程式也就安全了。大多數系統管理員對資料庫不熟悉而資料庫管理員有對安全問題關心太少，而且一些安全公司也忽略資料庫安全，這就使資料庫的安全問題更加嚴峻了。資料庫系統中存在的安全漏洞和不當的配置通常會造成嚴重的後果，而且都難以發現。資料庫應用程式通常同作業系統的最高管理員密切相關。廣泛SQL Server資料庫又是屬於「埠」型的資料庫，這就表示任何人都能夠用分析工具試圖連接到資料庫上，從而繞過作業系統的安全機制，進而闖入系統、破壞和竊取數據資料，甚至破壞整個系統。

    這裡，我們主要談論有關SQL Server2000資料庫的安全配置以及一些相關的安全和使用上的問題。

    在進行SQL Server 2000資料庫的安全配置之前，首先你必須對作業系統進行安全配置，保證你的作業系統處於安全狀態。然後對你要使用的操作資料庫軟體（程序）進行必要的安全審核，比如對ASP、PHP等腳本，這是很多基於資料庫的WEB應用常出現的安全隱患，對於腳本主要是一個過濾問題，需要過濾一些類似 , 『 ; @ / 等字符，防止破壞者構造惡意的SQL語句。接著，安裝SQL Server2000後請打上補丁sp1以及最新的sp2。
下載地址是：http://www.microsoft.com/sql/downloads/2000/sp1.asp　和　http://www.microsoft.com/sql/downloads/2000/sp2.asp

    在做完上面三步基礎之後，我們再來討論SQL Server的安全配置。

    1、使用安全的密碼策略

    我們把密碼策略擺在所有安全配置的第一步，請注意，很多資料庫帳號的密碼過於簡單，這跟系統密碼過於簡單是一個道理。對於sa更應該注意，同時不要讓sa帳號的密碼寫於應用程式或者腳本中。健壯的密碼是安全的第一步！

    SQL Server2000安裝的時候，如果是使用混合模式，那麼就需要輸入sa的密碼，除非你確認必須使用空密碼。這比以前的版本有所改進。
同時養成定期修改密碼的好習慣。資料庫管理員應該定期查看是否有不符合密碼要求的帳號。比如使用下面的SQL語句：
Use master
Select name,Password from syslogins where password is null

    2、使用安全的帳號策略。
 
    由於SQL Server不能更改sa用戶名稱，也不能刪除這個超級用戶，所以，我們必須對這個帳號進行最強的保護，當然，包括使用一個非常強壯的密碼，最好不要在資料庫應用中使用sa帳號，只有當沒有其它方法登錄到 SQL Server 實例（例如，當其它系統管理員不可用或忘記了密碼）時才使用 sa。建議資料庫管理員新建立一個擁有與sa一樣權限的超級用戶來管理資料庫。安全的帳號策略還包括不要讓管理員權限的帳號泛濫。
SQL Server的認證模式有Windows身份認證和混合身份認證兩種。如果資料庫管理員不希望作業系統管理員來通過作業系統登陸來接觸資料庫的話，可以在帳號管理中把系統帳號「BUILTIN\Administrators」刪除。不過這樣做的結果是一旦sa帳號忘記密碼的話，就沒有辦法來恢復了。
很多主機使用資料庫應用只是用來做查詢、修改等簡單功能的，請根據實際需要分配帳號，並賦予僅僅能夠滿足應用要求和需要的權限。比如，只要查詢功能的，那麼就使用一個簡單的public帳號能夠select就可以了。

    3、加強資料庫日誌的記錄。

    審核資料庫登錄事件的「失敗和成功」，在實例屬性中選擇「安全性」，將其中的審核級別選定為全部，這樣在資料庫系統和作業系統日誌裡面，就詳細記錄了所有帳號的登錄事件。
    請定期查看SQL Server日誌檢查是否有可疑的登錄事件發生，或者使用DOS命令。
findstr /C:"登錄" d:\Microsoft SQL Server\MSSQL\LOG\*.*

 4、管理擴展存儲過程

    對存儲過程進行大手術，並且對帳號調用擴展存儲過程的權限要慎重。其實在多數應用中根本用不到多少系統的存儲過程，而SQL Server的這麼多系統存儲過程只是用來適應廣大用戶需求的，所以請刪除不必要的存儲過程，因為有些系統的存儲過程能很容易地被人利用起來提升權限或進行破壞。
如果你不需要擴展存儲過程xp_cmdshell請把它去掉。使用這個SQL語句：
use master
sp_dropextendedproc ''xp_cmdshell''
xp_cmdshell是進入作業系統的最佳捷徑，是資料庫留給作業系統的一個大後門。如果你需要這個存儲過程，請用這個語句也可以恢復過來。
sp_addextendedproc ''xp_cmdshell'', ''xpsql70.dll''

如果你不需要請丟棄OLE自動存儲過程（會造成管理器中的某些特徵不能使用），這些過程包括如下：
Sp_OACreate Sp_OADestroy Sp_OAGetErrorInfo Sp_OAGetProperty
Sp_OAMethod Sp_OASetProperty Sp_OAStop
去掉不需要的註冊表訪問的存儲過程，註冊表存儲過程甚至能夠讀出作業系統管理員的密碼來，如下：
Xp_regaddmultistring Xp_regdeletekey Xp_regdeletevalue Xp_regenumvalues
Xp_regread Xp_regremovemultistring Xp_regwrite
還有一些其他的擴展存儲過程，你也最好檢查檢查。
在處理存儲過程的時候，請確認一下，避免造成對資料庫或應用程式的傷害。

    5、使用協議加密

    SQL Server 2000使用的Tabular Data Stream協議來進行網絡數據交換，如果不加密的話，所有的網絡傳輸都是明文的，包括密碼、資料庫內容等等，這是一個很大的安全威脅。能被人在網絡中截獲到他們需要的東西，包括資料庫帳號和密碼。所以，在條件容許情況下，最好使用SSL來加密協議，當然，你需要一個證書來支持。

    6、不要讓人隨便探測到你的TCP/IP埠

    默認情況下，SQL Server使用1433埠監聽，很多人都說SQL Server配置的時候要把這個埠改變，這樣別人就不能很容易地知道使用的什麼埠了。可惜，通過微軟未公開的1434埠的UDP探測可以很容易知道SQL Server使用的什麼TCP/IP埠了。

    不過微軟還是考慮到了這個問題，畢竟公開而且開放的埠會引起不必要的麻煩。在實例屬性中選擇TCP/IP協議的屬性。選擇隱藏 SQL Server 實例。如果隱藏了 SQL Server 實例，則將禁止對試圖枚舉網絡上現有的 SQL Server 實例的客戶端所發出的廣播作出響應。這樣，別人就不能用1434來探測你的TCP/IP埠了（除非用Port Scan）。

    7、修改TCP/IP使用的埠

    請在上一步配置的基礎上，更改原默認的1433埠。在實例屬性中選擇網絡配置中的TCP/IP協議的屬性，將TCP/IP使用的默認埠變為其他埠。

    8、拒絕來自1434埠的探測

    由於1434埠探測沒有限制，能夠被別人探測到一些資料庫信息，而且還可能遭到DOS攻擊讓資料庫伺服器的CPU負荷增大，所以對Windows 2000作業系統來說，在IPSec過濾拒絕掉1434埠的UDP通訊，可以儘可能地隱藏你的SQL Server。

   9、對網絡連接進行IP限制

    SQL Server 2000資料庫系統本身沒有提供網絡連接的安全解決辦法，但是Windows 2000提供了這樣的安全機制。使用作業系統自己的IPSec可以實現IP數據包的安全性。請對IP連接進行限制，只保證自己的IP能夠訪問，也拒絕其他IP進行的埠連接，把來自網絡上的安全威脅進行有效的控制。
關於IPSec的使用請參看：http://www.microsoft.com/china/technet/security/ipsecloc.asp

    上面主要介紹的一些SQL Server的安全配置，經過以上的配置，可以讓SQL Server本身具備足夠的安全防範能力。當然，更主要的還是要加強內部的安全控制和管理員的安全培訓，而且安全性問題是一個長期的解決過程，還需要以後進行更多的安全維護。
http://netadmin.77169.com/HTML/20050407012911.html

相關焦點

  • MongoDB安全實戰之SSL協議加密
    本文主要講述MongoDB的SSL協議加密的使用和配置的實戰經驗，非常值得一看。前面系列文章：MongoDB安全實戰之Kerberos認證MongoDB Compass--MongoDB DBA必備的管理工具MongoDB安全實戰之審計1、前言加密就是將普通文本——所謂「明文」——轉變為無法直接閱讀的形式——所謂「密文」的過程。
  • 物聯網安全基礎知識:加密技術的使用
    由於互連設備面臨的威脅數量不同以往，任何物聯網設備都至少需要一些最低限度的安全措施。 在一些人看來，為簡單的物聯網設備實施強大的安全措施似乎是過度設計，但即使是簡單的溫度傳感器，如果缺乏足夠的保護，也會成為黑客入侵企業網絡的切入點[1]。其實，正因為物聯網應用提供了普遍連接性，而這些應用卻基於資源受限的設備，才導致物聯網安全持續面臨挑戰。
  • 網盾極風雲:什麼是安全超文本傳輸協議
    為了保護信息安全，後來在HTTP的基礎上加入了SSL（Secure Socket Layer）/TLS（Transport Layer Security），也就是安全套接層/傳輸層安全。這層安全協議會為雙方對話連接前提供信息加密、身份驗證以及完整性校驗，目的是為了保障服務端與客戶端之間連接的安全性。
  • 安全實時傳輸協議(SRTP-RFC3711)翻譯
    rtp（實時傳輸協議）用於傳輸實時音視頻數據；rtcp（實時傳輸控制協議）是rtp的配套協議，用於實時數據傳輸的監控和反饋、保證服務質量；srtp是rtp的profile，工作於rtp與傳輸層（例如udp）之間，為rtp提供數據加密、消息認證和重放保護，srtcp為rtcp提供類似功能。
  • SQLServer DAB:十個經典實例全面解析
    阻塞定位　　要跟蹤死鎖的話，當然是選擇「鎖」事件，不過我一般用profiler都是做性能調優的，選 常規——》模板名——》SQLProfileTuning 就ok了，死鎖很少跟蹤，因為我們的sqlserver降低了事務隔離級別，基本不會產生死鎖，有的話也在可接受的範圍內，都是凌晨運行作業時產生的，也不會太多。
  • 安全的Spring Cloud配置
    安全的Spring Cloud配置如果您要在Spring Boot和Spring Cloud之上構建微服務架構，那麼我幾乎可以確定您正在使用的項目之一是Spring Cloud Config。Spring Cloud Config負責實現一種最流行的微服務模式，稱為分布式配置。
  • HTTPS加密可保護安全且具有隱私保護的網站
    使用HTTP URL時，與您的站點之間來回傳輸的數據未加密-安全性較低。 HTTP小號 由通信的 過 加密的連接中的HTTP，或轉化，通過傳輸層安全性（TLS），或它的現在棄用的前身，安全套接字層（SSL）。正確設置後，內容會在您的瀏覽器中帶有一個鎖定圖標，因為「 S」表示「安全」。
  • 英國脫歐文件暴露了過時多年的電子郵件加密標準
    隨著英國脫歐轉入最後的關鍵時刻，一些安全研究人員也提出了他們的擔憂，比如與歐盟國家之間用於傳遞 DNA 配置文件信息的消息加密措施過於落伍。具體說來是，協議中暴露了一些過時的軟體和加密標準建議，比如距今已有 23 年歷史的網景（Netscape Communicator）郵件客戶端。
  • 計算機信息安全具體內容及保密措施
    如何有效保障計算機信息安全是目前網絡技術領域的重要研究項目。如病毒感染、黑客人侵等都會對人們的正常工作生活帶來較大的影響。隨著網際網路應用範圍的不斷擴大，計算機網絡信息安全方面存在的隱患也逐漸突顯出來。怎樣做到信息安全？一起來了解下計算機信息安全具體內容及保密措施。
  • 騰達路由AC7多重加密模式,守護網絡安全
    那麼，如何來保護我們的WiFi安全呢？最常見的方法就是給WiFi上把"鎖"--加密。RC4的RSA數據加密技術，是無線區域網WLAN的必要的安全防護層。WPA協議是在前一代有線等效加密(WEP)的基礎上產生的，解決了前任WEP的缺陷問題，它使用TKIP（臨時密鑰完整性）協議，是IEEE 802.11i標準中的過渡方案。在安全的防護上比WEP更為周密，主要體現在身份認證、加密機制和數據包檢查等方面，而且它還提升了無線網絡的管理能力。　　WPA2：WPA2是WPA加密的升級版。
  • 騰訊安全雲訪問安全代理CASB亮相2020Techo Park,開闢加密新思路
    該方案是國內首個通過雲原生密碼技術提供極簡合規數據加密解決方案，有效降低數據安全及數據加密技術策略實施門檻，助力企業滿足《密碼法》、《個人信息保護法》（草案）、《數據安全法》（草案）等法規和標準的合規要求。為企業提供欄位級數據存儲加密防護服務，幫助企業在有效防護數據安全威脅的同時，兼顧商密及國密合規要求，為企業應對數據安全新挑戰提供有力支撐。
  • 那些支持https安全加密的全球電子郵箱,QQ郵箱上榜
    【中國郵箱網 電子郵件頻道】1月12日消息：引自國外每日科技新聞消息：Yahoo終於在用戶瀏覽所有雅虎郵箱活動的時候啟用了HTTPS安全加密協議。該報導稱如果不使用HTTPS，用戶在一個開放的網絡環境下訪問在線數據就可能會被攻擊者盜取或毀壞，當然電子郵件也是如此。
  • Oracle 11g透明數據加密安全特性解析
    Oracle 11g新的SecureFile特性主要是集中在數據壓縮和重複數據刪除方面，主要是為了節約存儲LOB對象的空間，當然在安全特性方面Oracle 11g不僅只有這兩個，所有這些安全特性也非常符合最近當選的美國總統歐巴馬頒布的議事日程，白宮的技術方向明確指明新的管理計劃：　　在電子信息技術系統方面增加投入以降低醫療保健方面的成本，使用衛生信息技術降低醫療保健方面的成本
  • VPN技術:點對點協議-北京IT外包-北京艾銻無限
    實際對數據壓縮/加密算法和其它細節的選擇將在第4階段實現。階段2：用戶驗證在第2階段，客戶會PC將用戶的身份明發給遠端的接入伺服器。該階段使用一種安全驗證方式避免第三方竊取數據或冒充遠程客戶接管與客戶端的連接。
  • 普通端到端加密可能並不那麼安全
    FBI到底是如何找到破解密碼的後門，又是如何取得加密消息平臺的信任，目前尚不得而知(有分析認為他們利用了Pegasus之類的軟體技術)。但是值得注意的是：當前技術界存在著一些被低估的協議和作業系統，例如OMEMO和RattleSnake OS。它們專為橫跨多種設備的安全消息傳輸場景而設計。
  • 新的DNS安全和隱私協議——OdoH
    日前，Cloudflare發布了一項用於改善DNS安全和隱私的新的DNS標準ODoH。標準由Cloudflare，Apple和Fastly的工程師共同撰寫，標準通過將IP位址與查詢分隔開，防止相關信息的洩露。Cloudflare也在Github開源了協議實現和客戶端的原始碼，可以讓大家自己試運行和驗證OdoH服務。
  • 關於SSH加密和連接的若干事兒
    概述SSH全稱secure shell，是一種網絡傳輸協議，是最常用的安全管理遠程伺服器的協議和工具集。SSH協議中使用多種加密技術保證在用戶終端和伺服器之間建立加密安全連接，連接雙方通過互相握手驗證，並通過加密的通道傳遞管理命令和執行結果。本文中，蟲蟲將以此為話題和大家一起學習下SSH協議中涉及的基礎加密技術以及怎麼利用這些技術構建安全的通訊。此信息可用於了解各種常見的加密技術，SSH加密層、安全連接構建步驟以及雙方互相驗證步驟能內容。
  • 工程設計電子圖紙文件怎麼加密安全?圖文檔防洩漏之廣州加密方案
    企業辦公中不可避免的對外數據交流，如果企業出於安全的角度採用傳統的技術手段，例如封堵U盤等等方式想要防止數據洩露，那麼可能不盡如人意，畢竟，在如今網際網路高速發展的時代，傳統的技術手段以及無法滿足現階段企業發展對於信息化數據文件安全的需求，企業想要真正意義上實現對相關文件的使用安全，就必須採取符合現階段以及能夠解決因為網際網路發展所帶來的數據信息安全問題。
  • 郵箱安全怎麼管理?郵箱中的SLL加密是什麼意思?
    經常會看到郵箱服務商再選宣傳時會提到「SSL加密傳輸」一詞，作為很多初步接觸郵箱的夥伴同不了解其意義，使用這個有什麼好處？今天來給大家科普一下關於SSL加密技術的小知識~ SSL，全稱Secure Sockets Layer 安全套接層，是為網絡通信提供安全及數據完整性的一種安全協議。SSL通過互相認證的加密機制，確保文件安全送達至收件人。
  • WPA3協議被曝新漏洞,公共Wi-Fi不安全,Windows 10禁用無線網卡
    下面了解Wi-Fi和WPA3協議，Wi-Fi是基於IEEE 802.11標準的無線區域網技術，Wi-Fi常被寫成WiFi或Wifi，但是它們並沒有被Wi-Fi聯盟認可。Wi-Fi聯盟成立於1999年，當時的名稱叫做Wireless Ethernet Compatibility Alliance（WECA），2002年10月正式改名為Wi-Fi Alliance。