保护SQLServer的十个步骤

以下是您可以实施的十项措施，以提高sql server安装的安全性:

1.安装最新的服务包。

要提高服务器的安全性，最有效的方法是升级到SQL Server 2000 Service Pack 3A(SP3A)。

此外，您还应该安装所有已发布的安全更新。

2.使用Microsoft Baseline Security Analyzer(mbsa)评估服务器的安全性。

Mbsa是一种扫描许多微软产品的不安全配置的工具，包括sql server和微软SQL server 2000桌面引擎(MSDE 2000)。它可以在本地运行，也可以通过网络运行。此工具检测sql server的安装是否存在以下问题:

sysadmin固定服务器角色的成员太多。
2)授予sysadmin以外的其他角色创建cmdexec作业的权限。
3) 空或简单的密码。
4)脆弱的身份验证模式。
5)授予administrators组的权限过多。
6)SQL Server数据目录中的访问控制表(acl)不正确。
7)在安装文件中使用纯文本sa密码。
8)授予来宾帐户太多权限。
9)在也是域控制器的系统中运行sql server。
10)every one组的配置不正确，提供了对特定注册表项的访问。
11)SQL Server服务帐户的配置不正确。
12)未安装必要的服务包和安全更新。

微软提供mbsa的免费下载。

3.使用windows身份验证模式。

只要有可能，您应该要求使用windows身份验证模式来连接到sql server。它限制对microsoft windows & reg的访问用户和域用户帐户之间的连接可以保护sql server免受大多数internet工具的攻击。此外，您的服务器还将受益于windows安全增强机制，如更强的身份验证协议和强制密码复杂性和到期时间。此外，凭据委托(在多台服务器之间桥接凭据的能力)只能在windows身份验证模式下使用。在客户端，windows身份验证模式不再需要存储密码。存储密码是使用标准sql server登录的应用程序的主要漏洞之一。

要在sql server的企业管理器中安装windows身份验证模式，请按照下列步骤操作:

1)展开服务器组。
2)右键单击服务器，然后单击“属性”。
3)在“安全”选项卡的“身份验证”中，单击“仅windows”。

4.隔离您的服务器并定期备份。

物理和逻辑隔离构成了sql server安全性的基础。数据库所在的机器应该在一个物理上受保护的地方，一个上锁的机房，配备有洪水检测和火灾检测/消防控制系统。数据库应安装在内部网的安全区域，不要直接连接到互联网。定期备份所有数据，并将副本保存在安全的异地位置。

5.分配一个强sa密码。

Sa帐户应该始终具有强密码，即使在配置为要求windows身份验证的服务器上也是如此。这将确保将来重新配置服务器进行混合模式身份验证时，不会出现空白色或脆弱的sa。

要分配sa密码，请按照下列步骤操作:

1)展开服务器组，然后展开服务器。
2)展开“安全”，然后单击“登录”。
3)在详细信息窗格中，右键单击sa，然后单击属性。
4)在“密码”框中，输入新密码。
6。限制sql server服务的权限。

Sql server 2000和Sql server代理作为windows服务运行。每个服务必须与一个windows帐户相关联，并且安全上下文从该帐户派生。Sql server允许sa登录用户(有时包括其他用户)访问操作系统功能。这些操作系统调用是由拥有服务器进程的帐户的安全上下文创建的。如果服务器遭到破坏，只要拥有的进程(sql server服务帐户)能够访问它，这些操作系统调用就可能被用来攻击其他资源。因此，仅向sql server服务授予必要的权限非常重要。

我们建议进行以下设置:

1) sql server引擎/mssqlserver

如果有指定的实例，它们应该命名为mssql$instancename。作为具有一般用户权限的windows域用户帐户运行。不要以本地系统、本地管理员或域管理员帐户运行。

2) sql server代理服务/sqlserveragent

如果您的环境不需要它，请禁用该服务；否则，请以具有一般用户权限的windows域用户帐户运行。不要以本地系统、本地管理员或域管理员帐户运行。

重要提示:如果满足以下条件之一，则sql server代理将需要本地windows管理员权限:

Sql server代理使用标准sql server身份验证来连接到SQL server(不推荐)。
sql server代理使用多服务器管理主服务器(msx)帐户，该帐户使用标准SQL Server身份验证进行连接。
sql server代理运行microsoft activex & reg不属于sysadmin固定服务器角色的成员。或者脚本cmdexec作业。

如果需要更改与sql serve r服务关联的帐户，请使用SQL server企业管理器。企业将为sql server使用的文件和注册表项设置适当的权限。不要使用microsoft管理控制台(在控制面板中)的“服务”来更改这些帐户，因为这需要手动调制大量的注册表项和ntfs文件系统权限以及micorsoft windows用户权限。

帐户信息的更改将在下次服务启动时生效。如果需要更改与sql server和sql server代理关联的帐户，必须使用企业管理器分别更改这两项服务。

7.禁用防火墙上的sql server端口。

sql server的默认安装将监视tcp端口1433和udp端口1434。配置您的防火墙以过滤掉到达这些端口的数据包。此外，应该在防火墙上阻止与指定实例相关联的其他端口。

8.使用最安全的文件系统。

Ntfs是最适合安装sql server的文件系统。它比fat文件系统更稳定，更容易恢复。它还包括一些安全选项，如文件和目录acl以及文件加密(efs)。在安装过程中，如果检测到ntfs，sql server将在注册表项和文件上设置适当的ACL。您不应该更改这些权限。

使用efs，数据库文件将在运行sql server的帐户下加密。只有这个帐户可以解密这些文件。如果需要更改运行sql server的帐户，必须先在旧帐户下解密这些文件，然后在新帐户下重新加密。

9.删除或保护旧的安装文件。

Sql server安装文件可能包含纯文本或简单加密的凭据以及安装过程中记录的其他敏感配置信息。这些日志文件的保存位置取决于安装的sql server版本。在sql server 2000中，下列文件可能会受到影响:在默认安装过程中:指定实例的\ program files \ Microsoft SQL Server \ MSSQL \ install文件夹以及\ program files \ Microsoft SQL Server \ MSSQL $ \ install文件夹中的sqlstp.log、sqlsp.log和setup.iss。

如果当前系统是从sql server 7.0的安装升级而来的，您还应该检查以下文件:%windir%文件夹中的setup.iss和windows temp文件夹中的sqlsp.log。

微软已经发布了一个免费的实用工具killpwd，它可以从你的系统中找到并删除这些密码。

10.审核到sql server的连接。

Sql server可以记录事件信息供系统管理员查看。至少您应该记录失败的sql server连接尝试，并定期检查该日志。如果可能，不要将这些日志和数据文件保存在同一个硬盘上。

要在sql server的企业管理器中审核失败的连接，请按照下列步骤操作:

1)展开服务器组。
2)右键单击服务器，然后单击“属性”。
3)在“安全”选项卡的“审核级别”中，单击“失败”。
4)要使此设置生效，您必须停止并重新启动服务器。