主機(jī)等級(jí)測(cè)評(píng)指導(dǎo)書(shū)(三級(jí))-SQL.doc

SQL等級(jí)測(cè)評(píng)指導(dǎo)書(shū)2010年10月項(xiàng)目編號(hào)：測(cè)評(píng)等級(jí)：三級(jí)測(cè)評(píng)指導(dǎo)書(shū)適用范圍:SQL2003以上 版本版本：Ver 1.0一、 測(cè)評(píng)對(duì)象名稱(chēng)型號(hào)對(duì)象分類(lèi)說(shuō)明Oracle 數(shù)據(jù)庫(kù)Oracle 10g主機(jī)二、測(cè)評(píng)指標(biāo)類(lèi)別主機(jī)安全：身份鑒別、訪問(wèn)控制、安全審計(jì)、剩余信息保護(hù)、入侵防范、惡意代碼防范、資源控制三、測(cè)評(píng)實(shí)施測(cè)評(píng)指標(biāo)測(cè)評(píng)項(xiàng)操作步驟預(yù)期結(jié)果說(shuō)明身份鑒別a、應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶(hù)進(jìn)行身份標(biāo)識(shí)和鑒別1)展開(kāi)服務(wù)器組，右鍵單擊服務(wù)器-在彈出的右鍵菜單中單擊“屬性”，在“安全性”選項(xiàng)卡中查看“身份驗(yàn)證”認(rèn)證方式是否為“SQL Server 和 Windows”。2）以企業(yè)管理器的方式登錄SQL Server數(shù)據(jù)庫(kù)，查看是否提示輸入用戶(hù)密碼。確認(rèn)“安全性”選項(xiàng)卡中查看“身份驗(yàn)證”認(rèn)證方式為“SQL Server 和 Windows”b、操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶(hù)身份標(biāo)識(shí)應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換1）詢(xún)問(wèn)是否在安裝時(shí)立刻修改sa口令，并保證sa賬戶(hù)的口令具有足夠的強(qiáng)度。2）讓數(shù)據(jù)庫(kù)管理員以sa賬戶(hù)的身份登錄數(shù)據(jù)庫(kù)，查看口令強(qiáng)度與管理員回答是否一致。3）在master庫(kù)中，執(zhí)行命令：select * from syslogins where password is null，查看是否存在空口令用戶(hù)。4）詢(xún)問(wèn)數(shù)據(jù)庫(kù)管理員，SQL Server數(shù)據(jù)庫(kù)的口令管理要求（口令的長(zhǎng)度，口令復(fù)雜性，口令更新周期）。sa賬戶(hù)的口令具有足夠的強(qiáng)度，口令強(qiáng)度與管理員回答一致，不存在空口令用戶(hù)，口令應(yīng)有復(fù)雜度要求并定期更換c、應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施1）使用sp_configure查看有無(wú)鑒別失敗和超時(shí)等方面的設(shè)置。2）詢(xún)問(wèn)數(shù)據(jù)庫(kù)管理員是否采取其他措施保證上述安全功能的實(shí)現(xiàn)。具有登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施d、當(dāng)對(duì)服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽(tīng)1）詢(xún)問(wèn)數(shù)據(jù)庫(kù)管理員，是否配置了SQL Server，保證遠(yuǎn)程管理數(shù)據(jù)加密傳輸。2）在服務(wù)器網(wǎng)絡(luò)實(shí)用工具中查看是否啟用了“強(qiáng)制協(xié)議密碼”。當(dāng)對(duì)服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，有對(duì)應(yīng)措施防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽(tīng)e、應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶(hù)分配不同的用戶(hù)名，確保用戶(hù)名具有唯一性詢(xún)問(wèn)數(shù)據(jù)庫(kù)管理員，是否為不同的用戶(hù)分配不同的賬戶(hù)。操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶(hù)具有不同的用戶(hù)名，用戶(hù)名具有唯一性f、應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對(duì)管理用戶(hù)進(jìn)行身份鑒別1）詢(xún)問(wèn)數(shù)據(jù)庫(kù)的身份鑒別方式，是否采用除用戶(hù)名/密碼外其他鑒別技術(shù)。2）如果使用其他技術(shù)，則查看該技術(shù)的實(shí)現(xiàn)情況。采用兩種或兩種以上組合的鑒別技術(shù)對(duì)管理用戶(hù)進(jìn)行身份鑒別，身份鑒別信息至少有一種是不可偽造的訪問(wèn)控制a、應(yīng)啟用訪問(wèn)控制功能，依據(jù)安全策略控制用戶(hù)對(duì)資源的訪問(wèn)1）在SQL Server Enterprise Manager的安全管理器中查看系統(tǒng)管理員是否為每個(gè)登錄用戶(hù)分配了服務(wù)器角色。2）查看SQL Server數(shù)據(jù)庫(kù)是否問(wèn)角色限定了權(quán)限，權(quán)限的覆蓋范圍是否包括與信息安全直接相關(guān)的主體和客體及他們之間的操作。啟用訪問(wèn)控制功能，依據(jù)安全策略控制用戶(hù)對(duì)資源的訪問(wèn)b、應(yīng)根據(jù)管理用戶(hù)的角色分配權(quán)限，實(shí)現(xiàn)管理用戶(hù)的權(quán)限分離，僅授予管理用戶(hù)所需的最小權(quán)限在“企業(yè)管理器”-“安全性”中，選中每個(gè)登錄用戶(hù)，在右鍵菜單中選擇“屬性”，查看每個(gè)登錄用戶(hù)的角色和權(quán)限，查看是否是該用戶(hù)所需的最小權(quán)限。管理用戶(hù)具有權(quán)限分離，僅授予管理用戶(hù)所需的最小權(quán)限c、應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶(hù)的權(quán)限分離1）詢(xún)問(wèn)是否由不同員工分別擔(dān)任操作系統(tǒng)管理員與數(shù)據(jù)庫(kù)管理員。2）登錄操作系統(tǒng)，查看是否能對(duì)數(shù)據(jù)庫(kù)系統(tǒng)進(jìn)行操作。操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶(hù)具有權(quán)限分離d、應(yīng)嚴(yán)格限制默認(rèn)帳戶(hù)的訪問(wèn)權(quán)限，重命名系統(tǒng)默認(rèn)帳戶(hù)，修改這些帳戶(hù)的默認(rèn)口令1）詢(xún)問(wèn)數(shù)據(jù)庫(kù)管理員，是否加強(qiáng)了sa的口令強(qiáng)度，并讓管理員登錄數(shù)據(jù)庫(kù)系統(tǒng)進(jìn)行口令驗(yàn)證。2）查看public的權(quán)限，是否嚴(yán)格限制public的權(quán)限。3）查看是否有g(shù)uest賬戶(hù)，是否嚴(yán)格限制guest的權(quán)限。嚴(yán)格限制默認(rèn)帳戶(hù)的訪問(wèn)權(quán)限，限制重命名系統(tǒng)默認(rèn)帳戶(hù)，限制修改這些帳戶(hù)的默認(rèn)口令e、應(yīng)及時(shí)刪除多余的、過(guò)期的帳戶(hù)，避免共享帳戶(hù)的存在在SQL查詢(xún)分析器中執(zhí)行命令：select name from syslogins，詢(xún)問(wèn)每個(gè)賬戶(hù)的用途，查看是否存在多余的、過(guò)期的賬戶(hù)。刪除多余的、過(guò)期的帳戶(hù)f、應(yīng)對(duì)重要信息資源設(shè)置敏感標(biāo)記詢(xún)問(wèn)系統(tǒng)管理員，是否實(shí)現(xiàn)了上述功能，具體措施是什么。重要信息資源具有敏感標(biāo)記g、應(yīng)依據(jù)安全策略嚴(yán)格控制用戶(hù)對(duì)有敏感標(biāo)記重要信息資源的操作詢(xún)問(wèn)系統(tǒng)管理員，是否實(shí)現(xiàn)了該功能，具體措施是什么。安全審計(jì)a、審計(jì)范圍應(yīng)覆蓋到服務(wù)器和重要客戶(hù)端上的每個(gè)操作系統(tǒng)用戶(hù)和數(shù)據(jù)庫(kù)用戶(hù)1）在“企業(yè)管理器”-右鍵單擊注冊(cè)名稱(chēng)-單擊“屬性”-“安全性”，查看每個(gè)注冊(cè)的“審核級(jí)別”是否為“全部”。2）詢(xún)問(wèn)數(shù)據(jù)庫(kù)管理員，是否采取第三方工具或其他措施增強(qiáng)SQL Server的日志功能。3）用不同的用戶(hù)登錄數(shù)據(jù)庫(kù)系統(tǒng)并進(jìn)行不同的操作，在SQL Server數(shù)據(jù)庫(kù)中查看日志記錄。審計(jì)范圍覆蓋到服務(wù)器和重要客戶(hù)端上的每個(gè)操作系統(tǒng)用戶(hù)和數(shù)據(jù)庫(kù)用戶(hù)b、審計(jì)內(nèi)容應(yīng)包括重要用戶(hù)行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件1）在“企業(yè)管理器”-右鍵單擊注冊(cè)名稱(chēng)-單擊“屬性”-“安全性”，查看每個(gè)注冊(cè)的“審核級(jí)別”是否為“全部”。2）詢(xún)問(wèn)數(shù)據(jù)庫(kù)管理員，是否采取第三方工具或其他措施增強(qiáng)SQL Server的日志功能。3）在SQL Server數(shù)據(jù)庫(kù)中的日志記錄，是否包括重要用戶(hù)行為（如登錄系、增加/刪除用戶(hù)等）、系統(tǒng)資源異常和重要系統(tǒng)命令的使用（如xp_cmdshell存儲(chǔ)過(guò)程）的日志記錄審計(jì)內(nèi)容包括重要用戶(hù)行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件c、審計(jì)記錄應(yīng)包括事件的日期、時(shí)間、類(lèi)型、主體標(biāo)識(shí)、客體標(biāo)識(shí)和結(jié)果等1）在“企業(yè)管理器”-管理-SQL Server日志中，查看日志記錄是否包括日期和時(shí)間、類(lèi)型、主題標(biāo)識(shí)、客體標(biāo)識(shí)、事件的結(jié)果等。2）詢(xún)問(wèn)數(shù)據(jù)庫(kù)管理員，是否采取第三方工具或其他措施增強(qiáng)SQL Server的日志功能，如果有則查看這些工具記錄的審計(jì)記錄是否包括日期和時(shí)間、時(shí)間、類(lèi)型、主題標(biāo)識(shí)、客體標(biāo)識(shí)、事件的結(jié)果等。審計(jì)記錄包括日期和時(shí)間、類(lèi)型、主體標(biāo)識(shí)、客體標(biāo)識(shí)、事件的結(jié)果等d、應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表1）詢(xún)問(wèn)數(shù)據(jù)庫(kù)系統(tǒng)管理員并檢查數(shù)據(jù)庫(kù)系統(tǒng)，是否提供對(duì)記錄數(shù)據(jù)庫(kù)進(jìn)行分析并生成審計(jì)報(bào)表的功能。2）詢(xún)問(wèn)數(shù)據(jù)庫(kù)管理員，是否采取第三方工具或其他方式增強(qiáng)SQL Server的日志功能，實(shí)現(xiàn)“根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表”的功能，如果提供，則檢查并驗(yàn)證其功能是否正確。能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析 e、應(yīng)保護(hù)審計(jì)進(jìn)程，避免受到未預(yù)期的中斷1）以非授權(quán)用戶(hù)（沒(méi)有審計(jì)權(quán)限）登錄數(shù)據(jù)庫(kù)系統(tǒng)，試圖改變審計(jì)配置選項(xiàng)，查看是否成功。2）如果成功，進(jìn)行一些操縱，查看日志中是否有上述操作的記錄。審計(jì)進(jìn)程受到保護(hù)f、應(yīng)保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等1）以普通用戶(hù)進(jìn)入SQL Server數(shù)據(jù)庫(kù)系統(tǒng)，查看能否對(duì)日志進(jìn)行非授權(quán)操作。2）詢(xún)問(wèn)系統(tǒng)管理員，對(duì)SQL Server的日志記錄文件采取的保護(hù)措施，并登陸系統(tǒng)進(jìn)行驗(yàn)證。保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等剩余信息保護(hù)a、應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)用戶(hù)的鑒別信息所在的存儲(chǔ)空間，被釋放或再分配給其他用戶(hù)前得到完全清除，無(wú)論這些信息是存放在硬盤(pán)上還是在內(nèi)存中b、應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間，被釋放或重新分配給其他用戶(hù)前得到完全清除入侵防范a、應(yīng)能夠檢測(cè)到對(duì)重要服務(wù)器進(jìn)行入侵的行為，能夠記錄入侵的源ip、攻擊的類(lèi)型、攻擊的目的、攻擊的時(shí)間，并在發(fā)生嚴(yán)重入侵事件時(shí)提供報(bào)警此項(xiàng)無(wú)要求b、應(yīng)能夠?qū)χ匾绦虻耐暾赃M(jìn)行檢測(cè)，并在檢測(cè)到完整性受到破壞后具有恢復(fù)的措施此項(xiàng)無(wú)要求c、操作系統(tǒng)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，并通過(guò)設(shè)置升級(jí)服務(wù)器等方式保持系統(tǒng)補(bǔ)丁及時(shí)得到更新此項(xiàng)無(wú)要求惡意代碼防范a、應(yīng)安裝防惡意代碼軟件，并及時(shí)更新防惡意代碼軟件版本和惡意代碼庫(kù)此項(xiàng)無(wú)要求b、主機(jī)防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫(kù)此項(xiàng)無(wú)要求c、應(yīng)支持防惡意代碼的統(tǒng)一管理此項(xiàng)無(wú)要求資源控制設(shè)備a、應(yīng)通過(guò)設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄1）詢(xún)問(wèn)數(shù)據(jù)庫(kù)系統(tǒng)管理員是否有保證上述安全功能的措施。2）如果無(wú)法在SQL Server數(shù)據(jù)庫(kù)系統(tǒng)上進(jìn)行相關(guān)的配置，則詢(xún)問(wèn)是否在防火墻或者其他網(wǎng)路設(shè)備（包括安全設(shè)備）上進(jìn)行了相關(guān)的配置。設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄b應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定1）詢(xún)問(wèn)數(shù)據(jù)庫(kù)系統(tǒng)管理員是否有保證上述安全措施。2）在查詢(xún)分析器中執(zhí)行命令sp_configure remote login timeout（s），查看是否設(shè)置了超時(shí)時(shí)間。設(shè)置