32-SGISLOP-SA49-10MSSQLserver等级保护测评作业指导书(二级).doc

《32-SGISLOP-SA49-10MSSQLserver等级保护测评作业指导书(二级).doc》由会员分享，可在线阅读，更多相关《32-SGISLOP-SA49-10MSSQLserver等级保护测评作业指导书(二级).doc（10页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、.信息安全等级保护测评作业指导书MSSQL（二级）版 号： 第 1 版修 改 次 数： 第 0 次生 效 日 期： 2010 年 05 月 25 日中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA49-10.修改页测评项编号 ADT-DB-MSSQL-01 对应要求 操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置修订号 控制编号 版号/章节号 修改人 修订原因 批准人 批准日期 备注1 SGISL/OP-SA49-10 树娟 按公安部要求修订 詹雄 2010.3.8.升级服务器等方式保持系统补丁及时得到更新。测评项名称 补丁升级测评分项：检查系统补丁安装情

2、况执行：1）查看 SQL Server 版本信息select serverproperty(Edition)select serverproperty(ProductLevel)2）查看 SQL Server 是否打补丁，及补丁的版本Select Version或者SELECT SERVERPROPERTY(ProductVersion)查看：版本及补丁信息询问：数据库管理员适用版本 所有 Sql server 版本数据库操作步骤实施风险 无符合性判定数据库系统是最新的版本，判定结果为符合；数据库系统不是最新的版本，判定结果为不符合。备注测评项编号 ADT-DB-MSSQL-02 对应要求 数

3、据库系统中不应使用默认的监听端口。.测评项名称 监听端口测评分项：检查监听端口执行：1、在“开始“ 菜单中，指向 “程序“，接着指向 “Microsoft SQL Server“，然后单击 “SQL Server 网络实用工具“。2、在查询分析器中执行下列语句：Use masterGoXp_readerrorlog查看：使用的端口“SQL Server 正在监听 IP:端口, IP:端口。适用版本 所有 Sql server 版本数据库操作步骤实施风险 无符合性判定不存在默认的 1433 端口，判定结果为符合；存在默认的 1433 端口，判定结果为不符合。备注测评项编号 ADT-DB-MSSQ

4、L-03 对应要求应对登录操作系统和数据库系统的用户进行身份标识和鉴别。测评项名称 检查 Windows SQL Server 账户测评分项： 操作步骤执行：1）在 SQL 查询分析器或其他工具中执行命令：select name from syslogins，查看用户名。.适用版本 Windows2000、Windows XP、Windows 2003实施风险 无符合性判定不存在多余帐户，判定结果为符合；存在多余帐户，判定结果为不符合。备注测评项编号 ADT-DB-MSSQL-04 对应要求应启用访问控制功能，依据安全策略控制用户对资源的访问。测评项名称 程序文件权限测评分项：检查程序文件的权

5、限分配执行：在Program FilesMicrosoft SQL ServerMssqlBinn 文件夹中右键，属性查看权限。询问：数据库管理员对程序文件的权限设置。适用版本 Windows 2000 系统中的所有 Sql server 版本数据库操作步骤实施风险 无符合性判定完全控制、修改、读取及运行等权限设置为允许，判定结果为符合；完全控制、修改、读取及运行等权限设置为拒绝，判定结果为不符合。备注.测评项编号 ADT-DB-MSSQL-05 对应要求应启用访问控制功能，依据安全策略控制用户对资源的访问。测评项名称 数据文件权限测评分项：检查 SQL Server 数据文件的权限分配执行：

6、在Program FilesMicrosoft SQL ServerMssqlData 文件夹中右键，属性查看权限。询问：数据库管理员对数据文件的权限设置。适用版本 任何版本操作步骤实施风险 无符合性判定完全控制、修改、读取及运行等权限设置为允许，判定结果为符合；完全控制、修改、读取及运行等权限设置为拒绝，判定结果为不符合。备注测评项编号 ADT-DB-MSSQL-06 对应要求应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令。测评项名称 Sa 用户测评分项：检查 Sa 用户操作步骤执行：在 master 库中，select * from syslogins where

7、 password is null,查看有无空口令用户。.询问： 1）询问数据库管理员是否在安装时立刻修改 sa 口令。2）询问口令的管理要求（口令的长度，口令复杂性，口令更新周期） 。适用版本 任何版本实施风险如不能及时通知管理员新密码，可能造成临时无法管理数据库。符合性判定sa 用户不存在空口令或弱口令，判定结果为符合；sa 用户存在空口令或弱口令，判定结果为不符合。备注测评项编号 ADT-DB-MSSQL-07 对应要求应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施。测评项名称 示例数据库测评分项：检查示例数据库查看：在企业管理器中，检查并记录是否删除了数据库

8、安装时生成的示例数据库 pubs 和 northwind。适用版本 所有 Sql server 版本数据库操作步骤实施风险 无符合性判定已删除示例数据库，判定结果为符合；未删除示例数据库，判定结果为不符合。.备注测评项编号 ADT-DB-MSSQL-08 对应要求应启用访问控制功能，依据安全策略控制用户对资源的访问。测评项名称 Xp_cmdshell 权限测评分项：检查 Xp_cmdshell 权限执行：在企业管理器-数据库- 扩展存储过程-右键- 所有任务-管理权限或在查询分析器中 sp_helpextendedproc xp_cmdshell查看：记录 xp_cmdshell 的权限。适用

9、版本 所有 Sql server 版本数据库操作步骤实施风险 无符合性判定只将 Xp_cmdshell 权限授予 sysadmin 角色的成员，判定结果为符合；将 Xp_cmdshell 权限授予 sysadmin 角色以外的用户，判定结果为不符合。备注测评项编号 ADT-DB-MSSQL-09 对应要求当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听。测评项名称 检查加密设置.测评分项：检查并记录是否安装证书以启用 SSL 连接执行：使用 SQL Server 网络实用工具，看是否选中“强制协议加密” 。适用版本 任何版本操作步骤实施风险 无符合性判定ForceEncryption 选择为“ 是”，判定结果为符合；ForceEncryption 选择为“ 否”，判定结果为不符合。备注