如何构建安全网络环境

微型计算机和局域网的广泛应用,基于client/server体系结构的分布式系统的出现,I

SDN,宽带ISDN的兴起,ATM技术的实施,卫星通信及全球信息网的建设,根本改变了以往主机

-终端型的网络应用模式;传统的、基于Mainframe的安全系统结构已不能适用于新的网络环

境,主要原因是:

(1)微型机及LAN的引入,使得网络结构成多样化,网络拓扑复杂化;

(2)远地工作站及远地LAN对Mainframe的多种形式的访问,使得网络的地理分布扩散化

;

(3)多种通讯协议的各通讯网互连起来,使得网络通信和管理异质化。

构作Micro-LAN-Mainframe网络环境安全体系结构的目标同其它应用环境中信息安全的

目标一致,即:

(1)存储并处理于计算机和通信系统中的信息的保密性；

(2)存储并处理于计算机和通信系统中的信息的完整性；

(3)存储并处理于计算机和通信系统中的信息的可用性；

(4)对信息保密性、完整性、拒绝服务侵害的监查和控制。

对这些安全目标的实现不是绝对的,在安全系统构作中,可因地制宜,进行适合于自身条

件的安全投入,实现相应的安全机制。但有一点是应该明确的,信息安全是国民经济信息化

必不可少的一环,只有安全的信息才是财富。

对于潜在的财产损失,保险公司通常是按以下公式衡量的:

潜在的财产损失=风险因素×可能的损失

这里打一个比方,将信息系统的安全威胁比作可能的财产损失,将系统固有的脆弱程度

比作潜在的财产损失,于是有:

系统的脆弱程度=处于威胁中的系统构件×安全威胁

此公式虽不能将系统安全性定量化,但可以作为分析信息安全机制的适用性和有效性的

出发点。

对计算机犯罪的统计表明,绝大多数是内部人员所为。由于在大多数Micro-LAN-Mainf

rame系统中,用户登录信息、用户身份证件及其它数据是以明文形式传输的,任何人通过连

接到主机的微型机都可秘密地窃取上述信息。图1给出了我们在这篇文章中进行安全性分析

的网络模型,其安全性攻击点多达20个。本文以下各部分将详细讨论对此模型的安全威胁及

安全对策。

@@14219700GIF;图1Micro-LAN-Mainframe网络模型@@

二、开放式系统安全概述

1OSI安全体系结构

1989年2月15日,ISO7498-2标准的颁布,确立了OSI参考模型的信息安全体系结构,它对

构建具体网络环境的信息安全构架有重要的指导意义。其核心内容包括五大类安全服务以

及提供这些服务所需要的八类安全机制。图2所示的三维安全空间解释了这一体系结构。

@@14219701GIF;ISO安全体系结构@@

其中,一种安全服务可以通过某种安全机制单独提供,也可以通过多种安全机制联合提

供;一种安全机制可用于提供一种或多种安全服务。

2美军的国防信息系统安全计划DISSP

DISSP是美军迄今为止最庞大的信息系统安全计划。它将为美国防部所有的网络(话音

、数据、图形和视频图象、战略和战术)提供一个统一的、完全综合的多级安全策略和结构

,并负责管理该策略和结构的实现。图3所示的DISSP安全框架三维模型,全面描述了信息系

统的安全需求和结构。第一维由九类主要的安全特性外加两类操作特性组成,第二维是系统

组成部件,它涉及与安全需求有关的信息系统部件,并提供一种把安全特性映射到系统部件

的简化手段;第三维是OSI协议层外加扩展的两层,OSI模型是面向通信的,增加两层是为了适

应信息处理。

@@14219702GIF;DISSP安全框架雏形@@

3通信系统的安全策略

1节和2节较全面地描述了信息系统的安全需求和结构,具有相当的操作指导意义。但仅

有这些,对于构作一个应用于某组织的、具体的网络应用环境的安全框架或安全系统还是不

够的。

目前,计算机厂商在开发适用于企业范围信息安全的有效策略方面并没有走在前面,这

就意味着用户必须利用现有的控制技术开发并维护一个具有足够安全级别的分布式安全系

统。一个安全系统的构作涉及的因素很多,是一个庞大的系统工程。一个明晰的安全策略必

不可少,它的指导原则如下:

·对安全暴露点实施访问控制；

·保证非法操作对网络的数据完整性和可用性无法侵害；

·提供适当等级的、对传送数据的身份鉴别和完整性维护；

·确保硬件和线路的联接点的物理安全；

·对网络设备实施访问控制；

·控制对网络的配置；

·保持对网络设施的控制权；

·提供有准备的业务恢复。

一个通信系统的安全策略应主要包括以下几个方面的内容:

总纲；

适用领域界定；

安全威胁分析；

企业敏感信息界定；

安全管理、责任落实、职责分明；

安全控制基线；

网络操作系统；

信息安全:包括用户身份识别和认证、文件服务器控制、审计跟踪和安全侵害报告、数

据完整性及计算机病毒；

网络安全:包括通信控制、系统状态控制、拨号呼叫访问控制；

灾难恢复。

三、LAN安全

1LAN安全威胁

1)LAN环境因素造成的安全威胁

LAN环境因素,主要是指LAN用户缺乏安全操作常识;LAN提供商的安全允诺不能全部兑现

。

2)LAN自身成员面临的安全威胁

LAN的每一组成部件都需要保护,包括服务器、工作站、工作站与LAN的联接部件、LAN

与LAN及外部世界的联接部件、线路及线路接续区等。

3)LAN运行时面临的安全威胁

(1)通信线路上的电磁信号辐射

(2)对通信介质的攻击,包括被动方式攻击(搭线窃听)和主动方式攻击(无线电仿冒)

(3)通过联接上网一个未经授权的工作站而进行的网络攻击。攻击的方式可能有：窃听

网上登录信息和数据;监视LAN上流量及与远程主机的会话,截获合法用户log off指令,继续

与主机会话;冒充一个主机LOC ON,从而窃取其他用户的ID和口令。

(4)在合法工作站上进行非法使用,如窃取其他用户的ID、口令或数据

(5)LAN与其他网络联接时,即使各成员网原能安全运行,联网之后,也可能发生互相侵害

的后果。

(6)网络病毒

4)工作站引发的安全威胁

(1)TSR和通信软件的滥用:在分布式应用中,用户一般在本地微机及主机拥有自己的数

据。将微机作为工作站,LAN或主机系统继承了其不安全性。TSR是用户事先加载,由规定事

件激活的程序。一个截获屏幕的TSR可用于窃取主机上的用户信息。这样的TSR还有许多。

某些通信软件将用户键入字符序列存为一个宏,以利于实现对主机的自动LOGON,这也是很危

险的。

(2)LAN诊断工具的滥用:LAN诊断工具本用于排除LAN故障,通过分析网上数据包来确定

线路噪声。由于LAN不对通信链路加密,故LAN诊断工具可用于窃取用户登录信息。

(3)病毒与微机通信:例如Jerusalem-B病毒可使一个由几千台运行3270仿真程序的微机

组成的网络瘫痪。

2 LAN安全措施

1)通信安全措施

(1)对抗电磁信号侦听:电缆加屏蔽层或用金属管道,使较常规电缆难以搭线窃听;使用

光纤消除电磁辐射;对敏感区域(如电话室、PBX所在地、服务器所在地)进行物理保护。

(2)对抗非法工作站的接入:最有效的方法是使用工作站ID,工作站网卡中存有标识自身

的唯一ID号,LAN操作系统在用户登录时能自动识别并进行认证。

(3)对抗对合法工作站的非法访问:主要通过访问控制机制,这种机制可以逻辑实现或物

理实现。

(4)对通信数据进行加密,包括链路加密和端端加密。

2)LAN安全管理

(1)一般控制原则,如对服务器访问只能通过控制台;工作站间不得自行联接;同一时刻

,一个用户只能登录一台工作站;禁止使用网上流量监视器;工作站自动挂起;会话清除;键盘

封锁;交易跟踪等。

(2)访问控制,如文件应受保护,文件应有多级访问权力;SERVER要求用户识别及认证等

。

(3)口令控制,规定最大长度和最小长度;字符多样化;建立及维护一个软字库,鉴别弱口

令字;经常更换口令等。

(4)数据加密:敏感信息应加密

(5)审计日志:应记录不成功的LOGIN企图,未授权的访问或操作企图,网络挂起,脱离联

接及其他规定的动作。应具备自动审计日志检查功能。审计文件应加密等。

(6)磁盘利用:公用目录应只读,并限制访问。

(7)数据备份:是LAN可用性的保证;

(8)物理安全:如限制通信访问的用户、数据、传输类型、日期和时间;通信线路上的数

据加密等。

四、PC工作站的安全

这里,以荷兰NMB银行的PC安全工作站为例,予以说明。在该系统中,PC机作为IBM SNA主

机系统的工作站。

1PC机的安全局限

(1)用户易于携带、易于访问、易于更改其设置。

(2)MS-DOS或PC-DOS无访问控制功能

(3)硬件易受侵害;软件也易于携带、拷贝、注入、运行及损害。

2PC安全工作站的目标

(1)保护硬件以对抗未授权的访问、非法篡改、破坏和窃取；

(2)保护软件和数据以对抗:未授权的访问、非法篡改、破坏和窃取、病毒侵害；

(3)网络通信和主机软硬件也应类似地予以保护；

3安全型PC工作站的设计

(1)PC硬件的物理安全:一个的可行的方法是限制对PC的物理访问。在PC机的后面加一

个盒子,只有打开这个盒子才能建立所需要的联接。

(2)软件安全:Eracon PC加密卡提供透明的磁盘访问;此卡提供了4K字节的CMOS存储用

于存储密钥资料和进行密钥管理。其中一半的存储区对PC总线是只可写的,只有通过卡上数

据加密处理的密钥输入口才可读出。此卡同时提供了两个通信信道,其中一个支持同步通信

。具体的安全设计细节还有:

A、使用Clipcards提供的访问权授予和KEY存储(为脱机应用而设)、Clipcards读写器

接于加密卡的异步口。

B、对硬盘上全部数据加密,对不同性质的文件区分使用密钥。

C、用户LOGON时,强制进入与主机的安全监控器对话,以对该用户进行身份验证和权力

赋予;磁盘工作密钥从主机传送过来或从Clipcards上读取(OFFLINE);此LOGON外壳控制应用

环境和密钥交换。

D、SNA3270仿真器:利用Eracon加密卡实现与VTAM加解密设备功能一致的对数据帧的加

密。

E、主机安全监控器(SECCON):如果可能,将通过3270仿真器实现与PC安全监控程序的不

间断的会话;监控器之间的一套消息协议用于完成对系统的维护。

五、分布式工作站的安全

分布式系统的工作站较一般意义上的网络工作站功能更加全面,它不仅可以通过与网上

服务器及其他分布式工作站的通信以实现信息共享,而且其自身往往具备较强的数据存储和

处理能力。基于Client/Server体系结构的分布式系统的安全有其特殊性,表现如下:

(1)较主机系统而言,跨局域网和广域网,联接区域不断扩展的工作站环境更易受到侵害

;

(2)由于工作站是分布式的;往往分布于不同建筑、不同地区、甚至不同国家,使安全管

理变得更加复杂;

(3)工作站也是计算机犯罪的有力工具,由于它分布广泛,安全威胁无处不在;

(4)工作站环境往往与Internet及其他半公开的数据网互联,因而易受到更广泛的网络

攻击。

可见,分布式工作站环境的安全依赖于工作站和与之相联的网络的安全。它的安全系统

应不劣于主机系统,即包括用户的身份识别和认证;适当的访问控制;强健的审计机制等。除

此之外,分布式工作站环境还有其自身的特殊安全问题,如对网络服务器的认证,确保通信中

数据的保密性和完整性等。这些问题将在后面讨论。

六、通信中的信息安全

通过以上几部分的讨论,我们已将图1所示的网络组件(包括LAN、网络工作站、分布式

工作站、主机系统)逐一进行了剖析。下面,我们将就它们之间的联接安全进行讨论。

1加密技术

结合OSI七层协议模型,不难理解加密机制是怎样用于网络的不同层次的。

(1)链路加密:作用于OSI数据模型的数据链路层,信息在每一条物理链路上进行加密和

解密。它的优点是独立于提供商,能保护网上控制信息;缺点是浪费设备,降低传输效率。

(2)端端加密:作用于OSI数据模型的第4到7层。其优点是花费少,效率高;缺点是依赖于

网络协议,安全性不是很高。

(3)应用加密:作用于OSI数据模型的第7层,独立于网络协议;其致命缺点是加密算法和

密钥驻留于应用层,易于失密。

2拨号呼叫访问的安全

拨号呼叫安全设备主要有两类,open-ended设备和two-ended设备,前者只需要一台设备

,后者要求在线路两端各加一台。

(1)open-ended设备:主要有两类,端口保护设备(PPDs)和安全调制解调器。PPDs是处于

主机端口和拨号线路之间的前端通信处理器。其目的是隐去主机的身份,在将用户请求送至

主机自身的访问控制机制前,对该用户进行预认证。一些PPDs具有回叫功能,大部分PPDs提

供某种形式的攻击示警。安全调制解调器主要是回叫型的,大多数有内嵌口令,用户呼叫调

制解调器并且输入口令,调制解调器验证口令并拆线。调制解调器根据用户口令查到相应电

话号码,然后按此号码回叫用户。

(2)two-ended设备:包括口令令牌、终端认证设备、链路加密设备和消息认证设备。口

令令牌日益受到大家欢迎,因为它在认证线路另一端的用户时不需考虑用户的位置及网络的

联接类型。它比安全调制解调器更加安全,因为它允许用户移动,并且禁止前向呼叫。

口令令牌由两部分组成,运行于主机上与主机操作系统和大多数常用访问控制软件包接

口的软件,及类似于一个接卡箱运算器的硬件设备。此软件和硬件实现相同的密码算法。当

一个用户登录时,主机产生一个随机数给用户,用户将该随机数加密后将结果返回给主机;与

此同时,运行于主机上的软件也作同样的加密运算。主机将这两个结果进行对比,如果一致

,则准予登录。

终端认证设备是指将各个终端唯一编码,以利于主机识别的软件及硬件系统。只有带有

正确的网络接口卡(NIC)标识符的设备才允许登录。

链路加密设备提供用于指导线路的最高程度的安全保障。此类系统中,加密盒置于线路

的两端,这样可确保传送数据的可信性和完整性。唯一的加密密钥可用于终端认证。

消息认证设备用于保证传送消息的完整性。它们通常用于EFT等更加注重消息不被更改

的应用领域。一般采用基于DES的加密算法产生MAC码。

七、安全通信的控制

在第六部分中,我们就通信中采取的具体安全技术进行了较为详细的讨论。但很少涉及

安全通信的控制问题,如网络监控、安全审计、灾难恢复、密钥管理等。这里,我们将详细

讨论Micro-LAN-Mainframe网络环境中的用户身份认证、服务器认证及密钥管理技术。这三

个方面是紧密结合在一起的。

1基于Smartcards的用户认证技术

用户身份认证是网络安全的一个重要方面,传统的基于口令的用户认证是十分脆弱的。

Smartcards是一类一话一密的认证工具,它的实现基于令牌技术。其基本思想是拥有两个一

致的、基于时间的加密算法,且这两个加密算法是同步的。当用户登录时,Smartcards和远

端系统同时对用户键入的某一个系统提示的数进行运算(这个数时刻变化),如果两边运行结

果相同,则证明用户是合法的。

在这一基本的Smartcards之上,还有一些变种,其实现原理是类似的。

2kerboros用户认证及保密通信方案

对于分布式系统而言,使用Smartcards,就需要为每一个远地系统准备一个Smartcard,

这是十分繁琐的,MIT设计与开发的kerboros用户认证及保密通信方案实现了对用户的透明

,和对用户正在访问的网络类型的免疫。它同时还可用于节点间的保密通信及数据完整性的

校验。kerboros的核心是可信赖的第三方,即认证服务中心,它拥有每一个网络用户的数据

加密密钥,需要用户认证的网络服务经服务中心注册,且每一个此类服务持有与服务中心通

信的密钥。

对一个用户的认证分两步进行,第一步,kerboros认证工作站上的某用户;第二步,当该

用户要访问远地系统服务器时,kerboros起一个中介人的作用。

当用户首次登录时,工作站向服务器发一个请求,使用的密钥依据用户口令产生。服务

中心在验明用户身份后,产生一个ticket,所使用的密钥只适合于该ticket-granting服务。

此ticket包含用户名、用户IP地址、ticket-granting服务、当前时间、一个随机产生的密

钥等;服务中心然后将此ticket、会话密钥用用户密钥加密后传送给用户;用户将ticket解

密后,取出会话密钥。当用户想联接某网络服务器时,它首先向服务中心发一个请求,该请求

由两部分组成,用户先前收到的ticket和用户的身份、IP地址、联接服务器名及一个时间值

,此信息用第一次传回的会话密钥加密。服务中心对ticket解密后,使用其中的会话密钥对

用户请求信息解密。然后,服务中心向该用户提供一个可与它相联接的服务器通信的会话密

钥及一个ticket,该ticket用于与服务器通信。

kerboros方案基于私钥体制,认证服务中心可能成为网络瓶颈,同时认证过程及密钥管

理都十分复杂。

3基于公钥体制的用户认证及保密通信方案

在ISO11568银行业密钥管理国际标准中,提出了一种基于公钥体制,依托密钥管理中心

而实现的密钥管理方案。该方案中,通信双方的会话密钥的传递由密钥管理中心完成,通信

双方的身份由中心予以公证。这样就造成了密钥管理中心的超负荷运转,使之成为网上瓶颈

,同时也有利于攻击者利用流量分析确定网络所在地。

一个改进的方案是基于公钥体制,依托密钥认证中心而实现的密钥管理方案。该方案中

,通信双方会话密钥的形成由双方通过交换密钥资料而自动完成,无须中心起中介作用,这样

就减轻了中心的负担,提高了效率。由于篇幅所限,这里不再展开讨论。

八、结论

计算机网络技术的迅速发展要求相应的网络安全保障,一个信息系统安全体系结构的确

立有助于安全型信息系统的建设,一个具体的安全系统的建设是一项系统工程,一个明晰的

安全策略对于安全系统的建设至关重要,Micro-LAN-Mainframe网络环境的信息安全是相对

的,但其丰富的安全技术内涵是值得我们学习和借鉴的。

Xsecure产品系列实现对数据库的全方位防护 ，需要覆盖数据库的事前、事中、事后安全；覆盖数据库应用安全、维护安全、使用安全和存储安全；是最全面的数据库防泄露产品。 数据库漏洞扫描系统Xsecure-DBScan ，是一款帮助用户对当前的数据库系统进行自动化安全评估的专业软件，能有效暴露当前数据库系统的安全问题，提供对数据库的安全状况进行持续化监控，帮助用户保持数据库的安全健康状态。

发现外部黑客攻击漏洞，防止外部攻击：实现非授权的从外到内的检测；模拟黑客使用的漏洞发现技术，在没有授权的情况下，对目标数据库的安全性作深入的探测分析；收集外部人员可以利用的数据库漏洞的详细信息。　　分析内部不安全配置，防止越权访问：通过只读账户，实现由内到外的检测；提供现有数据的漏洞透视图和数据库配置安全评估；避免内外部的非授权访问。

监控数据库安全状况，防止数据库安全状况恶化：对于数据库建立安全基线，对数据库进行定期扫描，对所有安全状况发生的变化进行报告和分析。 操作系统中的对象一般情况下是文件，而数据库支持的应用要求更为精细。通常比较完整的数据库对数据安全性采取以下措施：

（1）将数据库中需要保护的部分与其他部分相隔。

（2）采用授权规则，如账户、口令和权限控制等访问控制方法。

（3）对数据进行加密后存储于数据库。 由数据库管理系统提供一套方法，可及时发现故障和修复故障，从而防止数据被破坏。数据库系统能尽快恢复数据库系统运行时出现的故障，可能是物理上或是逻辑上的错误。比如对系统的误操作造成的数据错误等。

第十三届全国人民代表大会第四次会议和政协第十三届全国委员会第四次会议，将分别于2021年3月5日和3月4日在北京开幕。

        在国家重大活动期间，政府、企业、高校、运营商、金融等各个单位都需要应对网络安全威胁影响的重大保护，重点目标是针对核心业务系统、敏感信息资产等关键信息基础设施。

        因此，各个单位需要进行重保服务准备工作，落实相应网络安全责任制，建立724H监测预警防护制度，确保及时处置网络安全隐患，充分做好网络应急响应准备和安全保障工作，尽可能避免出现黑客攻击入侵、篡改事件、感染受勒索病毒等安全风险。

        多面魔方安全服务团队，自春节前就开始部署并服务多家重保单位，结合工作经验对安全运营服务内容进行概述供行业内参考。

重保目标及对象

        重保场景重点目标是关键信息基础设施及重要信息系统， 如：党政机关网站、 企事业单位网站、 重点新闻网站以及重大的平台类、 生产业务类系统， 其核心目的是保障关键信息基础设施及重要信息系统在重大活动期间的稳定运行， 尽可能避免反动的黑客及敌对势力的网络安全攻击。

重保服务范围

        重保服务范围为全国各重点保障单位，包括：公安、教育、电力、市政、交通、军事、广电、医疗、铁路、银行、电信以及主流媒体等关键基础性设施。

《国家网络空间安全战略》 2016年12月

国家关键信息基础设施是指关系国家安全、国计民生，一旦数据泄露、遭到破坏或者丧失功能可能严重危害国家安全、公共利益的信息设施，包括但不限于提供公共通信、广播电视传输等服务的基础信息网络，能源、金融、交通、教育、科研、水利、工业制造、医疗卫生、社会保障、公用事业等领域和国家机关的重要信息系统，重要互联网应用系统等。

《关键信息基础设施保护条例》 （报批稿） 2018年12月

第十八条 下列单位运行、管理的网络设施和信息系统，一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的，应当纳入关键信息基础设施保护范围：

（一）金融，包括银行、证券、保险等；

（二）能源，包括电力、石油天然气、石化等；

（三）交通，包括民航、铁路等；

（四）水利；

（五）公共服务，包括教育、医疗卫生、社会保障等；

（六）国防科技工业；

（七）电子政务。

重大活动网络安全面临的威胁

        每年重保网安网监等主管单位，均会对重点单位的关键信息基础设置进行检查，排查隐患通报整改，所以时间紧任务重是所有重保单位共同面临的问题，亟需组织人员开展业务系统的隐患排查，漏洞修复，系统加固，监控值守工作。

重保需求分析

        面对纷繁复杂的工作，信息安全保障工作也会面临各方面的需求，除了内外部的硬性要求，也需要针对领导汇报和安排具体工作。

重保核心工作

脆弱性检测

        在重保前对各重要业务系统及网络/安全设备进行安全脆弱性检测和评估：

互联网安全风险评

评估内网安全风险评估

设备/终端安全基线核查

安全管理制度情况评估

安全加固整改

        对检测到有安全风险的业务系统及设备进行安全整改和加固：

网络安全设备加固

终端设备加固

服务器加固

业务系统备份

通告预警

        重保期间对网络安全状态、事件、通知、预警类的通报(验证)、处置、反馈流程：

安全漏洞通报流程

安全事件通报流程

互联网资产通报流程

安全漏洞验证流程

安全事件验证流程

通知或预警流程

快速处置

        在重保期间的网络发生的紧急隐患处置、网站后门、网页篡改、反共黑客等类型的网络安全事件而进行快速处置动作的一套应急处置工作。

重保解决方案框架与流程

重保方案分解：三个阶段

重保前--内网安全风险评估（资产梳理） 

        识别高概率攻击，保障目标资产以及相关联的资产及网络设备，明确纳入重点重保防护的对象范围。

目标资产 面向互联网的重要业务系统（ 等保三级及以上、关键信息基础设施系统） 的承载主机， 包括管理后台和中间件服务器

潜在目标资产 具备互联网通信IP和对外端口的服务器或代理设备

高危利用跳板 与潜在目标系统发生直接交互通信的其他业务系统主机、 服务器、 中间件、 固定终端

关键设备 远程网络接入访问设备和网络边界设备

已有安全设备 系统网络范围内相关的安全防护设备

高风险资产 具备网络外部通信连接能力的影子资产（ 未知资产） 设备

        网络安全意识是以组织中的人员为出发点，围绕人员的知识、技能、行为活动等可能出现网络安全漏洞的薄弱环节，通过一些宣贯、培训、 教育等方法，对组织中人员的网络安全意识进行加强与提升的活动。

重保期间--安全监控与实时防御

工作目标：在重保期间进行724小时监测，实时监控安全态势、发现攻击行为，并对安全事件进行紧急响应确保整个重保期间的安全。

重保结束

1、工作总结

2、安全规划建议

3、方案清单

我们的价值与优势

这里介绍了为提高 SQL Server 安装的安全性，您可以实施的十件事情：

安装最新的服务包。

为了提高服务器安全性，最有效的一个方法就是升级到 SQL Server 2000 Service Pack 4 (SP4)。另外，您还应该安装所有已发布的安全更新。

使用 Microsoft 基线安全性分析器（MBSA）来评估服务器的安全性。

MBSA 是一个扫描多种 Microsoft 产品的不安全配置的工具，包括 SQL Server 和 Microsoft SQL Server 2000 Desktop Engine (MSDE 2000)。它可以在本地运行，也可以通过网络运行。该工具针对下面问题对 SQL Server 安装进行检测：

过多的sysadmin固定服务器角色成员。

授予sysadmin以外的其他角色创建 CmdExec 作业的权利。

空的或简单的密码。

脆弱的身份验证模式。

授予管理员组过多的权利。

SQL Server数据目录中不正确的访问控制表(ACL)。

安装文件中使用纯文本的sa密码。

授予guest帐户过多的权利。

在同时是域控制器的系统中运行SQL Server。

所有人（Everyone）组的不正确配置，提供对特定注册表键的访问。

SQL Server 服务帐户的不正确配置。

没有安装必要的服务包和安全更新。

使用 Windows 身份验证模式。

在任何可能的时候，您都应该对指向 SQL Server 的连接要求 Windows 身份验证模式。它通过限制对Microsoft Windows用户和域用户帐户的连接，保护 SQL Server 免受大部分 Internet 的工具的侵害，。而且，您的服务器也将从 Windows 安全增强机制中获益，例如更强的身份验证协议以及强制的密码复杂性和过期时间。另外，凭证委派（在多台服务器间桥接凭证的能力）也只能在 Windows 身份验证模式中使用。在客户端，Windows 身份验证模式不再需要存储密码。存储密码是使用标准 SQL Server 登录的应用程序的主要漏洞之一。

要在 SQL Server 的 Enterprise Manager 安装 Windows 身份验证模式，请按下列步骤操作：

展开服务器组。

右键点击服务器，然后点击属性。

在安全性选项卡的身份验证中，点击仅限 Windows。

详细信息，请参阅 SQL Server Books Online 或 MSDN中的“身份验证模式”。

隔离您的服务器，并定期备份。

物理和逻辑上的隔离组成 了SQL Server 安全性的基础。驻留数据库的机器应该处于一个从物理形式上受到保护的地方，最好是一个上锁的机房，配备有洪水检测以及火灾检测/消防系统。数据库应该安装在企业内部网的安全区域中，不要直接连接到 Internet。定期备份所有数据，并将副本保存在安全的站点外地点。

分配一个强健的sa密码。

sa帐户应该总拥有一个强健的密码，即使在配置为要求 Windows 身份验证的服务器上也该如此。这将保证在以后服务器被重新配置为混合模式身份验证时，不会出现空白或脆弱的sa。

要分配sa密码，请按下列步骤操作：

展开服务器组，然后展开服务器。

展开安全性，然后点击登录。

在细节窗格中，右键点击SA，然后点击属性。

在密码方框中，输入新的密码。

限制 SQL Server服务的权限。

SQL Server 2000 和 SQL Server Agent 是作为 Windows 服务运行的。每个服务必须与一个 Windows 帐户相关联，并从这个帐户中衍生出安全性上下文。SQL Server允许sa 登录的用户（有时也包括其他用户）来访问操作系统特性。这些操作系统调用是由拥有服务器进程的帐户的安全性上下文来创建的。如果服务器被攻破了，那么这些操作系统调用可能被利用来向其他资源进行攻击，只要所拥有的过程（SQL Server服务帐户）可以对其进行访问。因此，为 SQL Server 服务仅授予必要的权限是十分重要的。

我们推荐您采用下列设置：

SQL Server Engine/MSSQLServer

如果拥有指定实例，那么它们应该被命名为MSSQL$InstanceName。作为具有一般用户权限的 Windows 域用户帐户运行。不要作为本地系统、本地管理员或域管理员帐户来运行。

SQL Server Agent Service/SQLServerAgent

如果您的环境中不需要，请禁用该服务；否则请作为具有一般用户权限的Windows域用户帐户运行。不要作为本地系统、本地管理员或域管理员帐户来运行。

重点： 如果下列条件之一成立，那么 SQL Server Agent 将需要本地 Windows管理员权限：

SQL Server Agent 使用标准的 SQL Server 身份验证连接到SQL Server（不推荐）。

SQL Server Agent 使用多服务器管理主服务器（MSX）帐户，而该帐户使用标准 SQL Server 身份验证进行连接。

SQL Server Agent 运行非sysadmin固定服务器角色成员所拥有的 Microsoft ActiveX脚本或 CmdExec 作业。

如果您需要更改与 SQL Serve r服务相关联的帐户，请使用 SQL Server Enterprise Manager。Enterprise Manager 将为 SQL Server 所使用的文件和注册表键设置合适的权限。不要使用 Microsoft 管理控制台的"服务"（在控制面板中）来更改这些帐户，因为这样需要手动地调制大量的注册表键和NTFS文件系统权限以及Micorsoft Windows用户权限。

帐户信息的更改将在下一次服务启动时生效。如果您需要更改与 SQL Server 以及 SQL Server Agent 相关联的帐户，那么您必须使用 Enterprise Manager 分别对两个服务进行更改。

在防火墙上禁用 SQL Server 端口。

SQL Server 的默认安装将监视 TCP 端口 1433 以及UDP端口 1434。配置您的防火墙来过滤掉到达这些端口的数据包。而且，还应该在防火墙上阻止与指定实例相关联的其他端口。

使用最安全的文件系统。

NTFS 是最适合安装 SQL Server 的文件系统。它比 FAT 文件系统更稳定且更容易恢复。而且它还包括一些安全选项，例如文件和目录 ACL 以及文件加密（EFS）。在安装过程中，如果侦测到 NTFS，SQL Server 将在注册表键和文件上设置合适的 ACL。不应该去更改这些权限。

通过 EFS，数据库文件将在运行 SQL Server 的帐户身份下进行加密。只有这个帐户才能解密这些文件。如果您需要更改运行 SQL Server 的帐户，那么您必须首先在旧帐户下解密这些文件，然后在新帐户下重新进行加密。

删除或保护旧的安装文件。

SQL Server 安装文件可能包含由纯文本或简单加密的凭证和其他在安装过程中记录的敏感配置信息。这些日志文件的保存位置取决于所安装的SQL Server版本。在 SQL Server 2000 中，下列文件可能受到影响：默认安装时systemdrive:\Program Files\Microsoft SQL Server\MSSQL\Install文件夹中，以及指定实例的systemdrive:\Program Files\Microsoft SQL Server\ MSSQL$Instance Name\Install文件夹中的sqlstplog, sqlsplog和setupiss

如果当前的系统是从 SQL Server 70 安装升级而来的，那么还应该检查下列文件：%Windir% 文件夹中的setupiss以及Windows Temp文件夹中的sqlsplog。

审核指向 SQL Server 的连接。

SQL Server 可以记录事件信息，用于系统管理员的审查。至少您应该记录失败的 SQL Server 连接尝试，并定期地查看这个日志。在可能的情况下，不要将这些日志和数据文件保存在同一个硬盘上。

要在 SQL Server 的 Enterprise Manager 中审核失败连接，请按下列步骤操作：

展开服务器组。

右键点击服务器，然后点击属性。

在安全性选项卡的审核等级中，点击失败。

要使这个设置生效，您必须停止并重新启动服务器。