【 摘 要 】 在當(dāng)今信息時(shí)代，信息的安全越來越受到人們的關(guān)注。但從關(guān)注信息安全到保障信息安全，還需要每個(gè)人共同去努力。本文通過對SQL Server數(shù)據(jù)庫風(fēng)險(xiǎn)的分析，希望能增強(qiáng)人們的安全意識(shí)與SQL Server數(shù)據(jù)庫方面綜合分析能力。本文提供了17項(xiàng)高風(fēng)險(xiǎn)分析與專業(yè)配置建議，對SQL Server數(shù)據(jù)庫風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)評估與修復(fù)等工作具有參考價(jià)值。

【 關(guān)鍵詞 】 SQL Server；風(fēng)險(xiǎn)；分析；建議

1 引言

今天，信息成為人類社會(huì)的重要資源，作為存儲(chǔ)管理大量信息的數(shù)據(jù)庫，存放著個(gè)人信息、企業(yè)機(jī)密、國家機(jī)密等多種類型信息。當(dāng)世界各國信息安全事件頻發(fā)，信息的安全越來越受到人們的關(guān)注，信息安全保障工作也越發(fā)嚴(yán)峻，數(shù)據(jù)庫安全作為信息安全最后一道防線，其重要性不言而喻。

2 現(xiàn)狀

現(xiàn)在，仍有許多公司、單位使用Microsoft SQL Server數(shù)據(jù)庫存在：默認(rèn)安裝未做任何安全配置即使用，長期沒有更新安全補(bǔ)丁、升級版本，安全設(shè)置不正確等情況，導(dǎo)致SQL Server數(shù)據(jù)庫安全漏洞百出。

3 分析與建議

本文希望通過SQL Server數(shù)據(jù)庫風(fēng)險(xiǎn)分析，增強(qiáng)人們的安全意識(shí)與SQL Server數(shù)據(jù)庫方面綜合分析能力。17項(xiàng)高風(fēng)險(xiǎn)分析與專業(yè)配置建議如下。

（1）GDI+VML、EMF、GIF、WMF、BMP、TIFF、PNG等圖片文件格式漏洞

GDI+漏洞影響VML（CVE-2007-5348）、EMF（CVE-2008-3012）、GIF（CVE-2008-3013）、WMF（CVE-2008-3014）、BMP（CVE-2008-3015）、TIFF（CVE-2009-2503）、PNG（CVE-2009-3126）等常見的圖片文件格式，也就是說機(jī)器上有該漏洞的系統(tǒng)一旦打開（甚至不需要用戶打開，只要程序解析該文件）包含有漏洞的利用代碼的文件就會(huì)執(zhí)行其中的任意代碼。

建議：安裝MS08-052補(bǔ)丁軟件對漏洞進(jìn)行修補(bǔ)。

（2）口令攻擊

當(dāng)SQL Server審計(jì)設(shè)置為記錄全部或者記錄失敗時(shí)，數(shù)據(jù)庫服務(wù)器中存在字典攻擊的證據(jù)。

建議：一分鐘內(nèi)失敗的最大次數(shù)為6次，登錄失敗超過定制的次數(shù)，漏洞存在。

（3）弱口令用戶

在一個(gè)安全的數(shù)據(jù)庫環(huán)境中登錄用戶都要有強(qiáng)壯的密碼，特別是具有管理員權(quán)限的用戶。

強(qiáng)壯的密碼建議遵循原則：必須包括字母、數(shù)字和特殊字符、至少8位長、密碼不常見。

（4）sa口令與用戶名相同

SQL Server中默認(rèn)的登錄用戶sa具有系統(tǒng)管理員的權(quán)限，擁有對數(shù)據(jù)庫的最高權(quán)限，攻擊者獲得sa的密碼后就可以對數(shù)據(jù)庫執(zhí)行任意操作。建議：將sa更改為強(qiáng)口令。

（5）SQL Server補(bǔ)丁

SQL Server是否安裝了最新的補(bǔ)丁。當(dāng)一個(gè)版本發(fā)布一段時(shí)間后，SQL Server的廠家會(huì)提供了修補(bǔ)漏洞（包括安全問題）的升級補(bǔ)丁，這些修補(bǔ)都包括在補(bǔ)丁中。

建議：按時(shí)關(guān)注其官方網(wǎng)站發(fā)布的修補(bǔ)信息，及時(shí)給數(shù)據(jù)庫服務(wù)器安裝上最新發(fā)布的補(bǔ)丁。

（6）存儲(chǔ)過程安全

檢查sp_replwritetovarbin、sp_add_jobstep、sp_add_jobserver、sp_add_jobschedule、sp_add_job、sp_dr opgroup、sp_depends、sp_add_alert、sp_add_agent_profile、sp_add_agent_parameter、sp_grantlogin、sp_addrole、sp_ adduser、sp_executesql、sp_indexes、sp_trace_create、sp_ trace_generateevent、sp_trace_setevent、sp_trace_setfilter、sp_trace_setstatus、sp_bindsession、sp_replcmds、sp_replcounters、sp_repldone、sp_repldropcolumn的執(zhí)行權(quán)限是否符合安全要求。

建議：全部設(shè)置為僅sysadmin可以執(zhí)行。

（7）擴(kuò)展存儲(chǔ)過程安全

檢查xp_revokelogin、xp_msver、xp_sprintf、xp_sscanf的執(zhí)行權(quán)限是否符合安全要求。

建議：全部設(shè)置為僅sysadmin可以執(zhí)行。

（8）用戶密碼過期

密碼過期的登錄用戶。要求用戶的密碼在一定規(guī)則的基礎(chǔ)上進(jìn)行修改對抵御的字典攻擊很有用處，因?yàn)槊艽a的使用時(shí)間越長，密碼通過暴力破解、竊取或其他途徑被破解的可能性就越大。

建議：口令修改后過期的天數(shù)為45天，在口令即將過期時(shí)提醒用戶修改（天數(shù)）為5天，用戶也可以自定義這些值。

（9）Windows NT登錄用戶不正確

SQL Server允許用戶使用操作系統(tǒng)的Windows NT賬號(hào)進(jìn)行服務(wù)器驗(yàn)證。

建議：檢查Windows NT賬號(hào)列表，以確認(rèn)只有適當(dāng)?shù)挠脩舨趴梢栽L問數(shù)據(jù)庫服務(wù)器。

（10）具有管理員權(quán)限的過期登錄用戶

過期登錄（即長時(shí)間沒有登錄的用戶）用戶可以設(shè)置用戶未登錄的過期的天數(shù)，建議：設(shè)置為30天。過期用戶提供給攻擊者一個(gè)攻擊點(diǎn)，因?yàn)槊艽a沒有更改，長期的字典攻擊就可能成功。對安全要求高的數(shù)據(jù)庫環(huán)境中要求刪除不用的登錄，特別是具有管理員權(quán)限的過期用戶。

（11）未開啟登錄事件審計(jì)

SQL Server提供日志審計(jì)用來記錄失敗或者成功登錄數(shù)據(jù)庫的行為，對登錄事件的審計(jì)可以幫助用戶及時(shí)察覺登錄到數(shù)據(jù)庫中是否發(fā)生攻擊行為、攻擊行為發(fā)生的時(shí)間、登錄名等信息，以幫助管理員掌握登錄數(shù)據(jù)庫服務(wù)器的相關(guān)活動(dòng)。建議：開啟登錄事件審計(jì)功能。endprint

（12）組權(quán)限設(shè)置錯(cuò)誤

數(shù)據(jù)庫服務(wù)器中的組的權(quán)限是否與項(xiàng)目定制一致。分配權(quán)限的原則建議遵循最小化原則，即只要賦予所需權(quán)限的最小權(quán)限即可，如果需要對組中個(gè)別用戶特殊授權(quán)，可以直接授予，不要因此放大對相關(guān)組的授權(quán)。如果存在一個(gè)組權(quán)限過大，則漏洞存在。

（13）恢復(fù)模型不是完全恢復(fù)模型

SQL Server提供的三種恢復(fù)模型包括簡單恢復(fù)、完全恢復(fù)和大容量日志記錄恢復(fù)。簡單恢復(fù)能夠收回日志空間，可以節(jié)省日志文件空間，但是如果數(shù)據(jù)發(fā)生丟失，不能恢復(fù)到即時(shí)點(diǎn)。完全恢復(fù)模型如果數(shù)據(jù)文件丟失或者損壞不會(huì)導(dǎo)致工作丟失，可以恢復(fù)到即時(shí)點(diǎn)。大容量日志記錄恢復(fù)也不能恢復(fù)到即時(shí)點(diǎn)。在一個(gè)安全的數(shù)據(jù)庫環(huán)境中，建議：使用完全恢復(fù)模型。

（14）沒有禁用MS Search

MS Search服務(wù)用于SQL Server進(jìn)行目錄索引。

如不需要MS Search服務(wù)，建議：禁用此服務(wù)，以減少數(shù)據(jù)庫可能被攻擊的面積。

（15）沒有禁用MSDTC

MSDTC是微軟分布式傳輸協(xié)調(diào)程序，用于管理多個(gè)服務(wù)器。

如不需要MSDTC服務(wù)，建議：禁用此服務(wù)，以減少數(shù)據(jù)庫可能被攻擊的面積。

（16）沒有禁用 SQL Server Agent

SQL Server Agent是微軟的Windows服務(wù)，它會(huì)定時(shí)執(zhí)行通常叫做job的管理任務(wù)。從SQL 2005開始的版本中，SQL Server Agent服務(wù)默認(rèn)情況下是禁用的。

如不需要SQL Server Agent服務(wù)，建議：禁用此服務(wù)，以減少數(shù)據(jù)庫可能被攻擊的面積。

（17）默認(rèn)實(shí)例端口號(hào)為1433

SQL Server默認(rèn)的端口號(hào)為1433，如果SQL Server數(shù)據(jù)庫服務(wù)器沒有修改默認(rèn)的端口號(hào)，會(huì)增加攻擊者通過端口攻擊的可能性。建議：修改端口為別的端口號(hào)。

4 結(jié)束語

數(shù)據(jù)庫的安全風(fēng)險(xiǎn)來自于數(shù)據(jù)庫的安裝、設(shè)置、維護(hù)多個(gè)層面。安裝時(shí)，只安裝需要的組件可以有效減少組件漏洞出現(xiàn)；設(shè)置時(shí)，鎖定或者失效默認(rèn)用戶、修改可用用戶的默認(rèn)密碼、加大密碼復(fù)雜度規(guī)則、設(shè)置密碼有限期可以有效防止用戶被盜用；維護(hù)時(shí)，定期更新廠家推出的安全性補(bǔ)丁、加強(qiáng)用戶審計(jì)等能減少安裝、設(shè)置不合理造成的風(fēng)險(xiǎn)。本文為SQL Server數(shù)據(jù)庫風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)評估與修復(fù)等工作提供了重要參考依據(jù)。

參考文獻(xiàn)

[1] Microsoft. CVE-2007-5348 [EB/OL]. http：//cve.mitre.org/cgi-bin/cvename.cgi？name=CVE-2007-5348，2007-10-10.

[2] Microsoft. CVE-2008-3012 [EB/OL]. http：//cve.mitre.org/cgi-bin/cvename.cgi？name=CVE-2008-3012，2008-07-07.

[3] Microsoft. CVE-2008-3013 [EB/OL]. http：//cve.mitre.org/cgi-bin/cvename.cgi？name=CVE-2008-3013，2008-07-07.

[4] Microsoft. CVE-2008-3014 [EB/OL]. http：//cve.mitre.org/cgi-bin/cvename.cgi？name=CVE-2008-3014，2008-07-07.

[5] Microsoft. CVE-2008-3015 [EB/OL]. http：//cve.mitre.org/cgi-bin/cvename.cgi？name=CVE-2008-3015，2008-07-07.

[6] Microsoft. CVE-2009-2503 [EB/OL]. http：//cve.mitre.org/cgi-bin/cvename.cgi？name=CVE-2009-2503，2009-07-17.

[7] Microsoft. CVE-2009-3126 [EB/OL]. http：//cve.mitre.org/cgi-bin/cvename.cgi？name=CVE-2009-3126，2009-09-10.

作者簡介：

李剛（1980-），男，四川宜賓人，工程師，Oracle數(shù)據(jù)庫認(rèn)證專家、IBM AIX系統(tǒng)認(rèn)證管理員；主要研究方向和關(guān)注領(lǐng)域：數(shù)據(jù)庫管理、數(shù)據(jù)庫架構(gòu)設(shè)計(jì)、數(shù)據(jù)倉庫建模、數(shù)據(jù)抽取與展示。endprint