k8凯发一触即发|Home

这里介绍了为□□□提高 SQL Server 安装的安全性，您可以实施的□□□□保护SQLServer的十个步骤：

1.安装新的服务□□□□包。

　为了提高服务□□□器安全性，有效的一个方□□法就是升级到 SQL Server 2000 Service Pack 3a (SP3a)。

　另外，您还应该安装□□所有已发布的□□□□安全更新。

2.使用 Microsoft 基线安全性分□□□析器（MBSA）来评估服务器□□的安全性。

　MBSA 是一个扫描多□□种 Microsoft 产品的不安全□□配置的工具，包括 SQL Server 和 Microsoft SQL Server 2000 Desktop Engine (MSDE 2000)。它可以在本地□□□运行，也可以通过网□□□□络运行。该工具针对下□□□面问题对 SQL Server 安装进行检测：

1)   过多的sysadmin固定服务器角□□□色成员。
2)   授予sysadmin以外的其他角□□色创建 CmdExec 作业的权利。
3)   空的或简单的□□密码。
4)   脆弱的身份验□□□证模式。
5)   授予管理员组□□过多的权利。
6)   SQL Server数据目录中不□□正确的访问控□□□□制表(ACL)。
7)   安装文件中使□□□用纯文本的sa密码。
8)   授予guest帐户过多的权▽利。
9)   在同时是域控□□□□制器的系统中□□□□运行SQL Server。
10)  所有人（Everyone）组的不正确配□□□置，提供对特定注□□□册表键的访问。
11)  SQL Server 服务帐户的不□□正确配置。
12)  没有安装必要□□的服务包和安□□□□全更新。

Microsoft 提供 MBSA 的免费下载。

3.使用 Windows 身份验证模式。

　在任何可能的□□□□时候，您都应该对指□□向 SQL Server 的连接要求 Windows 身份验证模式。它通过限制对Microsoft Windows®用户和域用户□□□□帐户的连接，保护 SQL Server 免受大部分 Internet 的工具的侵害，而且，您的服务器也□□将从 Windows 安全增强机制□□□□中获益，例如更强的身□□□份验证协议以□□□□及强制的密码★复杂性和过期□□时间。另外，凭证委派（在多台服务器□□间桥接凭证的❖能力）也只能在 Windows 身份验证模式◇中使用。在客户端，Windows 身份验证模式□□□不再需要存储□□□密码。存储密码是使□□□□用标准 SQL Server 登录的应用程□□□□序的主要漏洞□□□之一。

要在 SQL Server 的 Enterprise Manager 安装 Windows 身份验证模式，请按下列步骤□□□操作：

1) 展开服务器组。
2) 右键点击服务□□□器，然后点击属性。
3) 在安全性选项□□卡的身份验证□□□中，点击仅限 Windows。

4.隔离您的服务□□器，并定期备份。

　物理和逻辑上□□□□的隔离组成 了SQL Server 安全性的基础。驻留数据库的□□□□机器应该处于◇一个从物理形◤式上受到保护◎的地方，好是一个上锁●的机房，配备有洪水检□□□□测以及火灾检◎测/消防系统。数据库应该安□□□装在企业内部◣网的安全区域※中，不要直接连接□□□□到 Internet。定期备份所有□□数据，并将副本保存◎在安全的站点□□外地点。

5.分配一个强健◤的sa密码。

　sa帐户应该总拥□□□有一个强健的□□□密码，即使在配置为□□要求 Windows 身份验证的服❖务器上也该如□□此。这将保证在以□□□后服务器被重▼新配置为混合□□模式身份验证□□□□时，不会出现空白□□□□或脆弱的sa。

要分配sa密码，请按下列步骤□□□操作：

1) 展开服务器组，然后展开服务□□□□器。
2) 展开安全性，然后点击登录。
3) 在细节窗格中，右键点击SA，然后点击属性。
4) 在密码方框中，输入新的密码。

6.限制 SQL Server服务的权限。

　SQL Server 2000 和 SQL Server Agent 是作为 Windows 服务运行的。每个服务必须□□与一个 Windows 帐户相关联，并从这个帐户□□□中衍生出安全□□□性上下文。SQL Server允许sa 登录的用户（有时也包括其□□□□他用户）来访问操作系□□统特性。这些操作系统□□□调用是由拥有□□□服务器进程的□□□帐户的安全性□□上下文来创建◈的。如果服务器被□□□□攻破了，那么这些操作□□□□系统调用可能□□□□被利用来向其□□他资源进行攻□□□击，只要所拥有的◆过程（SQL Server服务帐户）可以对其进行□□□□访问。因此，为 SQL Server 服务仅授予必▽要的权限是十□□分重要的。

启凡大连网站建设推荐您采用下□□列设置：

1) SQL Server Engine/MSSQLServer

　如果拥有指定✦实例，那么它们应该□□被命名为MSSQL$InstanceName。作为具有一般□□□□用户权限的Windows 域用户帐户运□□□□行。不要作为本地□□□系统、本地管理员或□□□域管理员帐户□□来运行。

2) SQL Server Agent Service/SQLServerAgent

　如果您的环境□□□中不需要，请禁用该服务；否则请作为具□□□□有一般用户权□□□□限的Windows域用户帐户运♦行。不要作为本地□□系统、本地管理员或□□□域管理员帐户□□□来运行。

重点： 如果下列条件□□之一成立，那么 SQL Server Agent 将需要本地 Windows管理员权限：

　SQL Server Agent 使用标准的 SQL Server 身份验证连接□□到SQL Server（不推荐）。
　SQL Server Agent 使用多服务器□□管理主服务器（MSX）帐户，而该帐户使用□□□标准 SQL Server 身份验证进行□□□□连接。
　SQL Server Agent 运行非sysadmin固定服务器角□□□色成员所拥有◇的 Microsoft ActiveX®脚本或 CmdExec 作业。

　如果您需要更△改与 SQL Serve r服务相关联的□□□帐户，请使用 SQL Server Enterprise Manager。Enterprise Manager 将为 SQL Server 所使用的文件□□□□和注册表键设□□□置合适的权限。不要使用 Microsoft 管理控制台的"服务"（在控制面板中）来更改这些帐▼户，因为这样需要□□手动地调制大□□□量的注册表键▲和NTFS文件系统权限□□□以及Micorsoft Windows用户权限。

　帐户信息的更□□□改将在下一次□□服务启动时生□□□□效。如果您需要更△改与 SQL Server 以及 SQL Server Agent 相关联的帐户，那么您必须使□□用 Enterprise Manager 分别对两个服□□务进行更改。

7.在防火墙上禁丨用 SQL Server 端口。

　SQL Server 的默认安装将○监视 TCP 端口 1433 以及UDP端口 1434。配置您的防火□□□墙来过滤掉到□□达这些端口的☆数据包。而且，还应该在防火□□□墙上阻止与指□□定实例相关联□□的其他端口。

8.使用安全的文□□□□件系统。

　NTFS 是适合安装 SQL Server 的文件系统。它比 FAT 文件系统更稳□□□□定且更容易恢□□□复。而且它还包括□□一些安全选项，例如文件和目□□录 ACL 以及文件加密（EFS）。在安装过程中，如果侦测到 NTFS，SQL Server 将在注册表键丨和文件上设置♦合适的 ACL。不应该去更改△这些权限。

　通过 EFS，数据库文件将□□在运行 SQL Server 的帐户身份下□□□进行加密。只有这个帐户□□才能解密这些□□□文件。如果您需要更□□改运行 SQL Server 的帐户，那么您必须一□□开始在旧帐户□□下解密这些文□□□件，然后在新帐户★下重新进行加□□密。

9.删除或保护旧□□的安装文件。

　SQL Server 安装文件可能□□包含由纯文本□□或简单加密的□□凭证和其他在△安装过程中记□□□□录的敏感配置○信息。这些日志文件□□的保存位置取□□□决于所安装的SQL Server版本。在 SQL Server 2000 中，下列文件可能✦受到影响：默认安装时:Program FilesMicrosoft SQL ServerMSSQLInstall文件夹中，以及指定实例□□□□的:Program FilesMicrosoft SQL Server MSSQL$Install文件夹中的sqlstp.log, sqlsp.log和setup.iss

　如果当前的系○统是从 SQL Server 7.0 安装升级而来❖的，那么还应该检□□□查下列文件：%Windir% 文件夹中的setup.iss以及Windows Temp文件夹中的sqlsp.log。

　Microsoft发布了一个免□□□费的实用工具 Killpwd，它将从您的系•统中找到并删◈除这些密码。

10.审核指向 SQL Server 的连接。

　SQL Server 可以记录事件□□□□信息，用于系统管理□□□员的审查。至少您应该记□□□录失败的 SQL Server 连接尝试，并定期地查看※这个日志。在可能的情况◤下，不要将这些日□□□志和数据文件□□保存在同一个□□□硬盘上。

要在 SQL Server 的 Enterprise Manager 中审核失败连•接，请按下列步骤◈操作：

1) 展开服务器组。
2) 右键点击服务□□器，然后点击属性。
3) 在安全性选项○卡的审核等级◇中，点击失败。
4) 要使这个设置◥生效，您必须停止并□□重新启动服务□□器。