保证数据库服务器的安全

本页内容

	本模块内容
	目标
	适用范围
	如何使用本模块
	威胁与对策
	保证服务器安全的方法
	SQL Server 安装需考虑的事项
	SQL Server 安装建议
	保证数据库服务器安全的步骤
	步骤 1：修补程序和更新程序
	步骤 2：服务
	步骤 3：协议
	步骤 4：帐户
	步骤 5：文件和目录
	步骤 6：共享
	步骤 7：端口
	步骤 8：注册表
	步骤 9：审核和日志
	步骤 10：SQL Server 安全机制
	步骤 11：SQL Server 登录、用户及角色
	步骤 12：SQL Server 数据库对象
	安全数据库服务器快照
	其他考虑事项
	保持安全状态
	远程管理
	小结
	其他资源

本模块内容

数据库通常包含最为敏感、机密的数据（例如：人力资源部门的个人详细资料、客户详细资料、订单或信用卡详细资料）。必须安全地存储这类数据，并防止其在未经授权的情况下被披露、篡改或恶意使用。即便数据库服务器并未直接与 Internet 相连，仍需防止其遭受利用配置弱点、现有缓冲器溢出或不良开发惯例而实施的攻击。

这些攻击的执行者可以是：

本模块先介绍了影响数据库服务器运行的一些最常见的威胁，然后基于这种理解来找出防护办法。接下来用实例来说明防护方法，以循序渐进的方式介绍提高数据库服务器安全性的方法。

返回页首

目标

使用本模块可以实现：

返回页首

适用范围

本模块适用于下列产品和技术：

返回页首

如何使用本模块

为了充分理解本模块内容，请：

返回页首

威胁与对策

攻击者可充分利用各种配置和应用程序级漏洞，以多种方式将数据库服务器作为目标来实施危害。

数据库服务器所面临的主要威胁是：

图 18.1 显示的是一些主要的威胁和漏洞，它们可导致数据库服务器的安全受到威胁并可能使敏感数据被毁或被窃取。

图 18.1
数据库服务器的最大威胁和漏洞

接下来的几节对这些威胁和漏洞做逐一说明。

SQL 注入

实施 SQL 注入攻击时，攻击者会充分利用应用程序的输入验证和数据访问代码中的漏洞，使用 Web 应用程序的安全上下文在数据库中随意运行命令。

漏洞

SQL 注入所利用的漏洞包括：

对策

要防范 SQL 注入攻击，请：

有关防范 SQL 注入攻击的应用程序级对策的详细信息，请参阅模块 14 构建安全的数据访问。

网络窃听

大多数应用程序的部署体系结构都包括从数据库服务器中物理分离出数据访问代码。因此，必须防止网络窃听者窃取诸如应用程序特定数据或数据库登录凭据等敏感数据。

漏洞

可加大网络窃听可能性的漏洞包括：

对策

要防范网络窃听，请：

未经授权的服务器访问

应仅限特定客户端计算机可以直接访问数据库服务器，以防止未经授权的服务器访问。

漏洞

使数据库服务器易遭未经授权的服务器访问的漏洞包括：

攻击

经过身份验证的用户和无用户名及密码的用户都可遭受直接连接攻击。例如：

对策

要防范这些攻击，请：

密码破解

常见的第一种攻击方式是尝试破解众所周知的帐户名称，如 sa（SQL Server 管理员帐户）。

漏洞

导致密码破解的常见漏洞为：

攻击

常见的密码破解攻击包括：

对策

要防范这些攻击，请：

返回页首

保证服务器安全的方法

保证 SQL Server 和 Windows 2000 的安全涉及许多配置更改。最好的方法是将必须进行的更改分为具体的配置类别。使用类别可以系统的方式逐步完成实施安全保证的所有步骤，也可只拣选某一类别，执行特定步骤。

配置类别

已将安全保证方法系统化为图 18.2 中所示的类别。

图 18.2
数据库服务器安全类别

图 18.2 中所示的配置类别基于从现场经验、客户验证及对安全部署的研究得出的最佳做法。这些类别的幕后理论基础如下：

返回页首

SQL Server 安装需考虑的事项

采取措施保证数据库服务器的安全前，应了解安装 SQL Server 后 Windows 2000 Server 上存在的其他组件。

SQL Server 的安装内容

安装 SQL Server 时，除程序和数据文件外，还会安装多个 Windows 服务。默认情况下，程序及数据文件位于 \Program Files\Microsoft SQL Server\ 目录下。表 18.1 显示了安装时创建的服务和文件夹。

表 18.1：SQL Server 默认安装内容

返回页首

SQL Server 安装建议

如果是从头构建新数据库服务器，开始安装 SQL Server 前便有许多事项需要考虑。此外，自定义安装 SQL Server 是个好的做法，因为这样可以选择最安全的安装选项。

运行 SQL Server 安装程序前的准备工作

运行 SQL Server 安装程序前，请检查下列各项：

安装 SQL Server

在生产服务器上安装 SQL Server 时，请选择自定义安装选项。如果执行了该操作，便可有选择性地选择要安装的项目。不应在生产数据库服务器上安装表 18.2 中所列的项目。

表 18.2：自定义安装过程中不安装的项目

同样，如果不是非要 SQL Server 身份验证不可，请选择 Windows 身份验证模式。Windows 身份验证有下列优点：

如果选择“混合模式”，请为 sa 帐户创建一个强密码。Sa 帐户是密码猜测和字典攻击的首选目标。

返回页首

保证数据库服务器安全的步骤

本节利用在前文中介绍的配置类别，引导您逐步完成保证数据库服务器安全的步骤。这些步骤涵盖 Windows 2000 和 SQL Server 2000，其中的每个步骤均可能包含旨在保证特定区域或功能安全的一项或多项操作。

返回页首

步骤 1：修补程序和更新程序

不及时安装最新的修补程序和更新程序为攻击者提供了充分利用已知漏洞实施攻击的机会。应确认是否使用最新的 Windows 2000 和 SQL Server Service Pack 及更新程序对数据库服务器进行了更新。

要点确保在生产服务器上安装修补程序和更新程序前，先在尽可能模拟生产服务器环境的测试系统上对它们进行测试。

检测缺少的 Service Pack 和更新程序

使用 Microsoft 基准安全分析器 (MBSA) 来检测可能缺少的、必要的 Windows 及 SQL Server 更新程序。MBSA 使用一个 XML 文件作为现有更新程序的参考。可在扫描运行时由 MBSA 下载此 XML 文件；也可在本地服务器或从网络服务器下载该文件。

有关使用 MBSA 的详细信息，请参阅本指南“如何”一节中的如何：使用 Microsoft 基准安全分析器。

有关应用 Service Pack、热修补程序和安全修补程序的详细信息，请参阅应用 Service Pack、修补程序和安全修补程序的最佳做法 。

为 MSDE 安装修补程序

必须采用不同于为 SQL Server 完整版安装修补程序的方法来为其 Microsoft Desktop Edition (MSDE) 安装修补程序。有关为 MSDE 安装修补程序的详细信息，请参阅本指南“如何”一节中的如何:保证开发人员工作站的安全。

返回页首

步骤 2：服务

要减少受攻击面并确保不受未发现的服务漏洞的影响，请禁用任何非必需的服务。运行那些仍使用最低权限帐户的服务。

本步骤的任务：

注意 要禁用服务，请使用“计算机管理”工具中的“服务 MMC”管理单元将其启动类型设置为“禁用”。

禁用不使用的 SQL Server 服务

SQL 服务安装程序运行期间将安装以下四个 Windows 服务：

只有 MSSQLSERVER 数据库引擎是必备的。其余服务提供了附加功能，只在特定情况下才需要使用。如并非必需，请禁用这些服务。

注意 不应将 SQL Server 配置为以本地系统帐户或本地 Administrators 组的任何成员帐户运行。有关配置用于运行 MSSQLSERVER 的服务帐户，请参阅步骤 4：帐户。

禁用 Microsoft DTC（如并非必需）

如果不通过 Microsoft DTC 使用分布式事务，请禁用该服务。

返回页首

步骤 3：协议

防止使用不必要的协议可减少受攻击面。配置 SQL Server，使其只支持以 TCP/IP 协议连接的客户端。如果其他协议并非必需，请将它们全部禁用。

本步骤的任务：

限制 SQL Server 只采用 TCP/IP

通过强制使用 TCP/IP，可以利用 IPSec 策略或 TCP/IP 筛选来控制谁可以通过特定端口连接到服务器。要支持 IPSec 或 TCP/IP 筛选，SQL Server 应只支持通过 TCP/IP 进行客户端连接。

图 18.3
禁用“SQL Server 网络实用工具”中除 TCP/IP 外的所有协议

强化 TCP/IP 堆栈

Windows 2000 允许对许多参数进行控制，以配置其 TCP/IP 实现。考虑到服务器可用性和特定功能的需要，对其中一些默认值进行了调整。

有关如何强化 TCP/IP 堆栈的信息，请参阅本指南“如何”一节中的如何:强化 TCP/IP 堆栈。

其他考虑事项

要进一步提高数据库服务器的安全性，请禁用 NetBIOS 和 SMB。这两种协议均可用于清除主机配置信息，因此应在可能的情况下将它们删除。有关删除 NetBIOS 和 SMB 的详细信息，请参阅模块 16 保护 Web 服务器中的“协议”。

还要考虑使用 IPSec 来限制数据库服务器用来接受传入连接的端口。有关操作方法的详细信息，请参阅本指南“如何”一节中的如何:将 IPSec 用于筛选端口和身份验证。

返回页首

步骤 4：帐户

请为用于运行和连接到 SQL Server 的帐户设置最低权限，以限制设法在数据库服务器上执行 SQL 命令的攻击者的危害能力。同时应用强密码策略来防范字典攻击的威胁。

本步骤的任务：

保证 SQL Server 服务帐户的安全

使用最低权限帐户运行 SQL Server 服务可将设法从 SQL Server 执行操作系统命令的攻击者所造成的危害降至最低水平。不应为 SQL Server 服务帐户授予诸如 Administrators 组成员身份等较高特权。

此时便可对 SQL Server 进行配置，使其通过这一新帐户运行。有关详细信息，请参阅步骤 10：SQL Server 安全机制。

从 SQL Server 访问网络

如果出于某些目的（例如，执行网络备份、进行复制或日志传送）需要从 SQL Server 访问网络资源，SQL Server 服务帐户必须能够在网络内通过身份验证。有两种方法可以使用。一种方法是在远程服务器上创建一个具有相同名称和密码的备用本地帐户；另一种是使用最低权限域帐户。

删除或禁用不使用的帐户

不使用的帐户及其特权可能成为已获得服务器访问的攻击者的庇护所。对服务器上的本地帐户进行审核，删除那些不使用的帐户。建议在删除帐户前先将其禁用，以观察这样做是否会产生任何问题，因为帐户一经删除便无法恢复。请注意：无法删除管理员帐户和来宾帐户。

注意 在 SQL Server 2000 SP3 安装过程中，Sqldbreg2.exe 将创建“调试程序”帐户。Visual Studio .NET 将在调试所管理的 .NET 代码中的存储过程时使用该帐户。由于该帐户的唯一用途就是为调试提供支持，因此可以从生产数据库服务器中将其删除。

禁用 Windows 来宾帐户

Windows 来宾帐户是匿名连接计算机时所使用的帐户。要限制到数据库服务器的匿名连接，请使该帐户保持在禁用状态。默认情况下，Windows 2000 中的来宾帐户已禁用。要查看是否启用了该帐户，请显示“计算机管理”工具中的“用户”文件夹。系统以十字图标来表示它。如果它未被禁用，请显示其“属性”对话框，然后选择“帐户已停用”复选框。

重命名管理员帐户

默认的本地管理员帐户因其在计算机上享有的较高特权而成为恶意使用的目标。要提高安全性，请重命名默认的管理员帐户，并为其指定一个强密码。

强制执行强密码策略

为防范密码猜测和强力字典攻击，应通过配置安全策略来应用强密码策略。强帐户和强密码的关键所在：

表 18.3 显示了默认和建议的密码策略设置。

表 18.3：密码策略的默认和建议设置

此外，还应记录失败的登录尝试，以检测和跟踪恶意行为。有关详细信息，请参阅步骤 9：审核和日志。

有关密码策略的详细信息，请参阅 Microsoft TechNet 网站上的“Best Practices”，其网址为 http://www.microsoft.com/technet/treeview/default.asp?url=/technet/prodtechnol/windowsserver2003/proddocs/entserver/windows_password_protect.asp（英文）。

限制远程登录

使用“本地安全策略”工具从 Everyone 组中删除“从网络访问此计算机”用户权限，以对可远程登录服务器者施加限制。

禁用空会话（匿名登录）

为了防止匿名访问，请禁用空会话。空会话是未经身份验证或匿名的用户在两台计算机间建立的会话。如果不禁用空会话，攻击者便可匿名（即，不需要进行身份验证）连接到服务器。

攻击者建立空会话后即可开始实施各种攻击，包括用于从目标计算机获取系统相关信息的枚举。可通过空会话返回的信息类型包括：域和信任的详细信息、共享、用户信息（包括组和用户权限）、注册表项及其他。请禁用它们，因为它们代表着重大的安全威胁。

在注册表中的以下位置设置 RestrictAnonymous=1，便可禁止空会话。

HKLM\System\CurrentControlSet\Control\LSA\RestrictAnonymous=1

有关详细信息，请参阅 Microsoft 知识库文章 246261 How to:Use the RestrictAnonymous Registry Value in Windows 2000（英文）。

其他考虑事项

考虑执行以下步骤来提高数据库服务器的安全性：

返回页首

步骤 5：文件和目录

除利用 ACL 保证操作系统文件的安全外，还要强化 NTFS 权限来限制对 SQL Server 程序文件、数据文件、日志文件以及系统级工具的访问。此外，还应只允许 SQL Server 服务帐户访问其所需的内容。

本步骤的任务：

验证对 SQL Server 安装目录的访问权限

根据表 18.4 中所列的权限对 SQL Server 服务所赖以运行的帐户进行验证。括号中指定的位置为默认安装位置，可能会视安装的具体情况而不同。

表 18.4：SQL Server 服务帐户的 NTFS 访问权限

如果使用“企业管理器”来设置 SQL Server 服务帐户，它将为帐户授予对 SQL Server 安装目录及所有子文件夹 (\Program Files\Microsoft SQL Server\MSSQL\*) 的“完全控制”权限。

取消对该文件夹及其所有子文件夹的写入授权，然后有选择性地授予对数据、错误日志、备份及作业文件目录的完全控制权限，便可使新帐户无法覆盖 SQL Server 二进制文件。

验证 Everyone 组是否不具有对 SQL Server 文件的访问权限

不应使 Everyone 组具有对 SQL Server 文件位置（默认情况下为 \Program Files\Microsoft SQL Server\MSSQL）的访问权限，这可通过验证 Everyone 组并未经 ACL 获得访问权限和只为 SQL Service 帐户、Administrators 组及本地系统帐户提供显式完全控制来实现。

保证安装日志文件的安全

安装 SQL Server 2000 Service Pack 1 或 2 后，系统管理员或服务帐户的密码可能会遗留在 SQL 安装目录中。请使用 Killpwd.exe 实用程序从日志文件中删除密码实例。

有关获得和使用此实用程序的信息，请参阅 Microsoft 知识库文章 263968 FIX:Service Pack Installation May Save Standard Security Password in File（英文）。

保证工具、实用程序及 SDK 的安全或将它们删除

不应在生产数据库服务器上安装 SDK 和资源工具包。如果安装了，请将它们卸载。此外还需：

其他考虑事项

要进一步提高数据库服务器的安全性：

返回页首

步骤 6：共享

取消所有不使用的共享，并强化对任何必需共享的 NTFS 权限。默认情况下，所有用户对新创建的文件共享均具有完全控制权限。应强化这些默认权限，以确保只有经授权的用户才能访问共享所展露的文件。除了要对共享所展露的文件和文件夹使用显式共享权限外，还应当对它们使用 NTFS ACL。

本步骤的任务：

取消不必要的共享

取消所有不必要的共享。要查看共享，请启动“计算机管理 MMC”管理单元，然后选择“共享文件夹”下的“共享”。

限制对必需共享的访问

删除 Everyone 组，改为授予具体的权限。如果对共享访问未加限制，系统便使用 Everyone。

其他考虑事项

如果不允许对计算机进行远程管理，请取消因此而不使用的管理共享，例如 C$ 和 Admin$。

注意 某些应用程序可能要求有诸如 Microsoft Management Server (SMS) 或 Microsoft Operations Manager (MOM) 等管理共享。有关详细信息，请参阅 Microsoft 知识库文章 318751 How To:Remove Administrative Shares in Windows 2000 or Windows NT 4.0（英文）。

返回页首

步骤 7：端口

默认情况下，SQL Server 会侦听 TCP 端口 1433，并将 UDP 端口 1434 用于客户端与服务器间的协商。应结合使用防火墙和 IPSec 策略来限制对这些端口的访问，从而将攻击者可兹利用的攻击途径降至最低水平。

本步骤的任务：

限制对 SQL Server 端口的访问

利用外围防火墙来防止 Internet 对 SQL Server 端口（默认情况下为 TCP 端口 1433 和 UDP 端口 1434）进行直接访问，但这并不能防止服务器遭受内部攻击。对 IPSec 策略进行配置，以限制被设计为与数据库连接的 Web 或应用程序服务器通过 TCP 端口 1433 和 UDP 端口 1434 进行访问。

有关详细信息，请参阅本指南“如何”一节中的如何:使用 IPSec。

配置命名实例来侦听同一端口

默认情况下，SQL Server 的命名实例会动态分配端口号，并对客户端使用 UDP 协商，以使客户端能够找到命名实例。为避免在内部防火墙开放一列端口号或不得不创建多个 IPSec 策略，应使用“Server 网络实用工具”来配置实例，使其侦听特定的端口号。

如果重新配置了服务器的端口号，则还必须重新配置所有客户端，以确保它们能够连接到正确的端口号。您或许能够使用客户端网络实用工具，但不应在 Web 服务器上安装此实用工具，而应由应用程序通过将端口号附加于 Server 或 Data Source 属性，在其连接字符串中指定该端口号，如以下代码中所示。

"Server=YourServer|YourServerIPAddress,PortNumber"

配置防火墙来支持 DTC 通信（如有必要）

如果应用程序使用企业服务 (COM+) 事务，并要求 DTC 的服务，则可能必须对将 Web 应用程序和数据库服务器隔离开的防火墙进行专门配置，以在不同的 DTC 实例间及 DTC 与 SQL Server 间实现 DTC 通信。

有关为 DTC 开放端口的详细信息，请参阅 Microsoft 知识库文章 250367 INFO:Configuring Microsoft Distributed Transaction Coordinator (DTC) to Work Through a Firewall（英文）。

其他考虑事项

考虑如图 18.4 中所示，使用 Server 网络实用工具的“隐藏服务器”选项。如果在 SQL 网络实用工具的 TCP/IP 属性对话框中选择了此选项，系统会重新配置 SQL Server，使其侦听端口 2433。该选项还会禁止对尝试枚举 SQL Server 实例的客户端所发出的广播要求做出响应。

不能依赖这一措施来完全隐藏 SQL Server 端口。实际上这是无法实现的，因为可以采用多种方式枚举端口以发现其位置。

注意 仅当存在单一 SQL Server 实例时，才能使用此选项。有关详细信息，请参阅 Microsoft 知识库文章 308091 BUG:Hide Server Option Cannot Be Used on Multiple Instances of SQL Server 2000（英文）。

图 18.4
设置 Server 网络实用工具的隐藏服务器选项

返回页首

步骤 8：注册表

安装 SQL Server 时会产生大量注册表项和子项，其中存放有重要的系统配置设置。因此，保证这些设置的安全，以防止攻击者通过更改它们来损害 SQL Server 安装的安全，就显得很重要。

安装 SQL Server 会创建以下注册表项和子项：

HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\MSSQLSERVER

HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\MICROSOFT SQL SERVER\INSTANCENAME

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSSQLSERVER

本步骤的任务：

验证对 SQL Server 注册键的权限

使用 Regedt32.exe 来验证 Everyone 组对以上所列的 SQL Server 注册键不具有访问权限。默认情况下已有下列控制：

Administrators：完全控制
SQL Server 服务帐户：完全控制

注意 Microsoft 基准安全分析器可对注册表权限进行验证。将该工具用作通过 Regedt32.exe 手动进行权限验证的备用方法。

保证 SAM 的安全（限独立服务器）

独立服务器在本地 SAM 数据库中存储帐户名称和单向密码哈希 (LMHash)，该数据库是注册表的组成部分。通常只有 Administrators 组的成员才具有对帐户信息的访问权限。

尽管实际上密码并不存储于 SAM 中，且密码哈希不可逆，但如果攻击者获得了 SAM 数据库的副本，便可利用强力攻击密码破解技术来获得有效的凭据。

因此，应如下所示在注册表中创建键（不是值）NoLMHash，禁止在 SAM 中存储 LMHash。

HKLM\System\CurrentControlSet\Control\LSA\NoLMHash

有关详细信息，请参阅 Microsoft 知识库文章 299656 How to Prevent Windows from Storing a LAN Manager Hash of Your Password in Active Directory and Local SAM Databases（英文）。

返回页首

步骤 9：审核和日志

尽管在辨别入侵者和进行中的攻击行为及诊断攻击痕迹方面审核是必不可少的工具，但它并不能防止发生系统攻击。重要的是，要使所有审核机制（包括 Windows 操作系统级审核和 SQL Server 登录审核）都处于您的支配之下。SQL Server 还支持 C2 级扩展审核。在某些具有严格的审核要求的应用程序方案中，这可能是必需的。

本步骤的任务：

记录所有失败的 Windows 登录尝试

要具备检测和跟踪恶意行为的能力，就必须记录失败的 Windows 登录尝试。

系统会以事件的形式将 Windows 登录失败记录在 Windows 安全事件日志中。以下事件 ID 表示存在可疑情况：

记录文件系统中所有失败的操作

对文件系统进行 NTFS 审核来检测可能存在的恶意尝试。这一过程分为两个步骤：

系统将失败的审核事件记录在 Windows 的安全事件日志中。

启用 SQL Server 登录审核

默认情况下，系统不启用 SQL Server 登录审核。最低限度应当对失败的登录进行审核。审核失败的登录尝试是一种有用的检测正在尝试破解帐户密码的攻击者的方法。有关启用 SQL Server 审核的详细信息，请参见步骤 10：SQL Server 安全机制。

其他考虑事项

以下是进行审核和日志记录时可考虑采取的其他措施：

返回页首

步骤 10：SQL Server 安全机制

本节中论述的设置需使用企业管理器“SQL Server 属性”对话框的“安全性”选项卡进行配置。这些设置的应用对象是单一 SQL Server 实例中的所有数据库。图 18.5 中显示了“SQL Server 属性”对话框。

图 18.5
SQL Server 安全机制属性

本步骤的任务：

将 SQL Server 身份验证设置为仅限 Windows

应当对 SQL Server 进行配置，使其支持仅限 Windows 身份验证，因为这种验证方式有诸多优点。不必在网络上传送凭据；可避免在数据库连接字符串中嵌入用户名和密码；更易于进行安全管理，因为只需要与一个 Windows 安全模块而不是另外的 SQL Server 安全模块打交道；密码到期期间的登录安全性得到提高；最低限度的长度要求及帐户锁定策略。

将 SQL Server 审核级别设置为“失败”或“全部”

默认情况下，系统不启用 SQL Server 登录审核。最低限度，应当对失败的登录进行审核。

注意 系统会将日志项写入 SQL 日志文件。默认情况下，这些文件位于 C:\Program Files\Microsoft SQL Server\MSSQL\LOG。可使用任何一种文本阅读器（如记事本）来查看它们。

有关 SQL Server 审核日志的详细信息，请参阅 TechNet 文章及其在“SQL Server 2000 Auditing”文章中的“Understanding the Audit Log”一节，其网址为 http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/prodtech/dbsql/sql2kaud.asp?frame=true（英文）。

使用最低权限帐户运行 SQL Server

使用最低权限帐户运行 SQL Server 服务可将设法从 SQL Server 执行操作系统命令的攻击者所造成的危害降至最低水平。不应为 SQL Server 服务帐户授予诸如 Administrators 组成员身份等较高特权。

有关创建最低权限帐户来运行 SQL Server 的详细信息，请参阅步骤 4：帐户。

返回页首

步骤 11：SQL Server 登录、用户及角色

为能访问数据库中的对象，需要通过两层安全检查。首先需要向 SQL Server 提供一组有效的登录凭据。如果使用 Windows 身份验证，则需要使用已被授予 SQL Server 登录的 Windows 帐户进行连接。如果使用 SQL Server 身份验证，则需要提供有效的用户名和密码组合。

登录会授予您对 SQL Server 的访问权限。要访问数据库，登录必须与想连接到的数据库内的数据库用户相关联。如果登录与某数据库用户关联，则登录在数据库内的权限取决于与该用户关联的权限。如果登录未与某特定数据库用户关联，则登录的权限取决于授予数据库中的公共角色的权限。所有有效的登录均与公共角色关联，该角色存在于每一个数据库中，且无法被删除。默认情况下，所创建的任一数据库内的公共角色都不会被授予任何权限。

请利用以下建议来改进数据库中的授权设置：

使用强 sa（系统管理员）密码

默认系统管理员 (sa) 帐户一直是无数攻击的目标。它是 SQL Server 管理固定服务器角色 sysadmin 的默认成员。请确保对此帐户使用强密码。

要点即便将身份验证从 SQL 改为 Windows，sa 仍然处于活动状态。

对所有帐户，尤其是特权帐户（如 sysadmin 和 db_owner 角色的成员）均使用强密码。如果使用复制，请给用于与远程分布式服务器建立连接的 distributor_admin 帐户也使用强密码。

删除 SQL 来宾用户帐户

如果启用了 Windows 2000 的来宾帐户，则安装 SQL Server 时会创建一个来宾用户帐户。如果登录有对 SQL Server 的访问权限，但没有通过数据库用户帐户对数据库进行访问的权限，则登录便会具有来宾的身份。

好的做法是禁用 Windows 的来宾帐户。此外，还要从所有用户定义数据库中删除来宾帐户。请注意，无法从 master、tempdb、复制及分发数据库中删除来宾帐户。

删除 BUILTIN\Administrators 服务器登录

默认情况下，系统会将 BUILTIN\Administrators 本地 Windows 组添加到 sysadmin 固定服务器角色，以对 SQL Server 进行管理。这意味着作为 BUILTIN\Administrators 成员的域管理员可以不受限制地访问 SQL Server 数据库。大多数公司会对域管理员和数据库管理员角色加以区分。如果要进行这种区分，请删除 BUILTIN\Administrators SQL Server 登录。一种好的做法是，按以下步骤中所示，专门创建这样一个 Windows 组：它的位置中包含特定数据库管理，并被作为服务器登录添加到 SQL Server 中。

这样便将新登录添加到 sysadmin 服务器角色中。

有关在安装后重新配置 SQL 服务帐户的详细信息，请参阅 MSDN 文章“Changing Passwords and User Accounts”，其网址为 http://msdn.microsoft.com/library/default.asp?url=/library/en-us/instsql/in_afterinstall_4p0z.asp（英文）。

不为公共角色授予权限

所有数据库均包含一个公共数据库角色。每个其他用户、组和角色都是该公共角色的成员。您无法删除公共角色的成员，不过，可以不为授予对应用程序的数据库表、存储过程及其他对象访问权限的公共角色授予权限。否则，便无法利用用户定义的数据库角色获得所需授权，因为公共角色会为数据库中的用户授予默认权限。

其他考虑事项

配置 SQL Server 登录、用户和角色时，还请考虑以下建议：

返回页首

步骤 12：SQL Server 数据库对象

SQL Server 提供了两个用于开发和训练的示例数据库以及一系列内置存储过程和扩展存储过程。不应将示例数据库安装在生产服务器上，并应保证功能强大的存储过程和扩展存储过程的安全。

本步骤的任务：

删除示例数据库

使用 SQL Server 企业管理器来删除任何示例数据库。默认情况下，SQL Server 包含 Pubs 和 Northwind 示例数据库。

保证存储过程的安全

限制对应用程序的存储过程的访问。请不要为公共角色或来宾用户授予对所创建的任何存储过程的访问权限。保证存储过程安全的主要防线先是要确保使用强身份验证，然后是提供精确授权，从而实现只允许必要的用户权限来运行存储过程。

建议的做法是：为应用程序创建一个 SQL Server 登录，将登录映射到数据库用户，再将用户添加到用户定义数据库角色，然后为角色授予权限。

保证扩展存储过程的安全

未对删除存储过程进行测试，也不支持删除。

限制 cmdExec 对 sysadmin 角色的访问权限

SQL Server 代理使用 cmdExec 函数来执行 Windows 命令行应用程序和其排定的脚本。在 SQL Server Service Pack 3 之前的版本中，默认情况下 SQL Server 代理允许非 sysadmin 角色所属用户排定可能需要特许系统访问权限的作业。应当对此设置进行更改，以只允许 sysadmin 角色的成员排定作业。

注意 进行此项更改可能需要提供用户名和密码。如果 SQL Server 服务帐户是最低权限用户（按本模块前文中的建议），系统会提示您输入具有服务修改特权的管理员帐户的用户名和密码。

返回页首

安全数据库服务器快照

如果看一下显示有安全保证的 SQL Server 数据库服务器的属性的快照视图，便可轻松、快捷地将其设置与自己服务器的设置加以比较。表 18.5 中所显示的设置基于对 SQL Server 数据库服务器的分析。经证实，这些设置对攻击的适应性很高，其所示范的是可靠的安全做法。

表 18.5：安全数据库服务器快照

返回页首

其他考虑事项

除本模块中所述的步骤外，还请考虑以下原则：

返回页首

保持安全状态

需要定期监控数据库服务器的安全状态并定期对其更新，以协助防止新发现的漏洞被利用。协助保证数据库服务器的安全：

定期执行备份

必须具备在数据被损害时恢复数据的能力。如果恢复系统现已就位，请在实际使用前先对其进行测试。不应在进行首次备份和恢复流程测试时执行首次实际数据恢复操作。有关备份和恢复 SQL Server 的详细信息，请参阅以下资源：

审核组成员身份

跟踪用户组成员身份，尤其是像 Administrators 这样的特权组的组成员身份。执行以下命令可列出 Administrators 组的成员：
net localgroup administrators

监控审核日志

通过手动查看或使用 Microsoft 知识库文章 296085 How To:Use SQL Server to Analyze Web Logs（英文）中所述的方法对审核日志进行定期监控。

确保安装最新的 Service Pack 和修补程序

设立计划来对服务器的软件进行分析并订阅安全警报。定期使用 MBSA 来扫描服务器，看其是否缺少修补程序。以下链接提供了最近的更新：

执行安全评估

定期使用 MBSA 检查安全漏洞及确定所缺少的修补程序和更新程序。安排 MBSA 每天运行，并对结果进行分析，以便根据需要采取措施。有关自动化 MBSA 的详细信息，请参阅本指南“如何”一节中的 如何:使用 MBSA。

使用安全性通告服务

利用表 18.6 中所列的 Microsoft 服务获得安全公告，其中有关于可能存在的系统漏洞的通知。

表 18.6：安全性通告服务

此外，还请订阅表 18.7 中所示的业界安全警报服务。利用它可以在尚无相应的修补程序时，对漏洞的威胁进行评估。

表 18.7：业界安全性通告服务

返回页首

远程管理

管理员往往需要具备管理多台服务器的能力。确保远程管理解决方案的要求不会损害安全。如果需要远程管理能力，采纳以下建议有助于提高安全性：

保证终端服务的安全

以安全方式使用 Microsoft 终端服务来对数据库服务器实施远程管理是可行的。

终端服务所基于的是 Microsoft 的称为远程桌面协议 (RDP) 的专用协议。RDP 使用 TCP 3389 端口，支持两名并发用户。以下各节介绍如何针对安全管理的需要对终端服务进行安装和配置：

安装终端服务

配置终端服务

在客户端与服务器间使用安全 VPN 连接或 IPSec 隧道来增强安全性。此方法提供了相互身份验证，并将 RDS 有效负载加密。

通过 RDP 复制文件

“终端服务”未对文件传输提供内置支持。不过，可以安装“Windows 2000 Server Resource Kit”中的“File Copy”实用程序来为“终端服务”中的剪贴板重定向功能添加文件传输功能。有关该实用程序和安装说明的详细信息，请参阅 Microsoft 知识库文章 244732 How To:Install the File Copy Tool Included with the Windows 2000 Resource Kit（英文）。

返回页首

小结

数据库服务器是攻击者的首选目标。必须保证数据库服务器的安全，防止其遭受内部、外部、网络级和应用程序级的攻击。安全的数据库服务器除了强化的 Windows 2000 安装外，还须有强化的 SQL Server 2000 安装，并与由路由器及防火墙提供的安全网络防御措施相结合。

要查看快速参考检查表，请参阅本指南“检查表”一节中的 检查表：保证数据库服务器的安全。

返回页首

其他资源

有关 SQL Server 安全的详细信息，请参阅以下资源：

返回页首