设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [15152] 2020-03-20_等保测评2.0：SQLServer安全审计 ...
返回列表 发新帖
查看: 0|回复: 0

[15152] 2020-03-20_等保测评2.0：SQLServer安全审计

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-03-20_等保测评2.0：SQLServer安全审计 等 保 测 评 2 . 0 ： S Q L S e r v e r 安 全 审 计 原 创   起 于 凡 而 非 于 凡   F r e e B u f   2 0 2 0 - 0 3 - 2 0 一 、 说 明 一 、 说 明 本 篇 文 章 主 要 说 一 说 本 篇 文 章 主 要 说 一 说 S Q L S e r v e r 数 据 库 安 全 审 计 控 制 点 的 相 关 内 容 和 理 解 。 数 据 库 安 全 审 计 控 制 点 的 相 关 内 容 和 理 解 。 二 、 测 评 项 二 、 测 评 项 a ) 应 启 用 安 全 审 计 功 能 ， 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 ； b ) 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 ； c ) 应 对 审 计 记 录 进 行 保 护 ， 定 期 备 份 ， 避 免 受 到 未 预 期 的 删 除 、 修 改 或 覆 盖 等 ； d ) 应 对 审 计 进 程 进 行 保 护 ， 防 止 未 经 授 权 的 中 断 。 三 、 测 评 项 三 、 测 评 项 a a ) 应 启 用 安 全 审 计 功 能 ， 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 ； S Q L S e r v e r 默 认 开 启 着 错 误 日 志 ， 在 服 务 器 - 管 理 - S Q L   S e r v e r 日 志 中 ： 错 误 日 志 大 概 记 录 的 内 容 ： 2 . 1   日 志 自 动 记 录 的 信 息 大 概 有 如 下 ： ( 1 )   S Q L   S E R V E R   的 启 动 参 数 ， 以 及 认 证 模 式 ， 内 存 分 配 模 式 。 ( 2 )   每 个 数 据 库 是 否 能 够 被 正 常 打 开 。 如 果 不 能 ， 原 因 是 什 么 ? ( 3 )   数 据 库 损 坏 相 关 的 错 误 ( 4 )   数 据 库 备 份 与 恢 复 动 作 记 录
( 5 )   D B C C   C H E C K D B 记 录 ( 6 )   内 存 相 关 的 错 误 和 警 告 ( 7 )   S Q L 调 度 出 现 异 常 时 的 警 告 。 一 般 S E R V E R   H a n g   服 务 器 死 机 会 伴 随 着 有 这 些 警 告 ( 8 )   S Q L   I / O 操 作 遇 到 长 时 间 延 迟 的 警 告 ( 9 )   S Q L 在 运 行 过 程 中 遇 到 的 其 他 级 别 比 较 高 的 错 误 ( 1 0 )   S Q L 内 部 的 访 问 越 界 错 误 （ A c c e s s   V i o l a t i o n ） ( 1 1 )   S Q L 服 务 关 闭 时 间 ( 1 2 )   S Q L   S E R V E R 版 本 ， 以 及 w i n d o w s 和 p r o c e s s o r 基 本 信 息 。 　 　 2 . 2   日 志 开 启 跟 踪 能 看 到 的 信 息 ( 1 )   所 有 用 户 成 功 或 失 败 的 登 入 ( 2 )   死 锁 及 其 参 与 者 的 信 息 。 跟 踪 标 志 1 2 2 2   或 1 2 0 4 　 　 2 . 3   日 志 不 能 记 录 的 问 题 ( 1 )   阻 塞 问 题 。 只 要 阻 塞 还 没 有 严 重 到 影 响 线 程 调 度 ， 日 志 里 是 不 会 体 现 的 。 ( 2 )   普 通 性 能 问 题 , 超 时 问 题 。 ( 3 )   w i n d o w s 层 面 异 常 。 错 误 日 志 可 以 配 置 的 内 容 有 ：
从 上 面 可 以 得 知 ， S Q L S e r v e r 默 认 虽 然 开 启 着 错 误 日 志 ， 对 一 部 分 事 件 进 行 了 记 录 。 但 是 错 误 日 志 记 录 的 事 件 的 范 围 不 够 大 ， 并 没 有 达 到 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 这 个 要 求 ， 比 如 记 录 更 改 关 键 数 据 的 语 句 等 ， 所 以 只 能 算 是 部 分 符 合 。 如 果 想 要 达 到 符 合 ， 需 要 自 创 审 核 规 范 和 审 核 对 象 ， S Q L S e r v e r 是 具 备 这 个 功 能 的 ， 在 服 务 器 的 安 全 性 和 数 据 库 的 安 全 性 中 可 以 查 看 ： 至 于 具 体 如 何 实 现 其 中 的 规 则 ， 这 里 我 就 不 详 细 写 了 ， 网 上 写 得 很 清 楚 ： S Q L S E R V E R 2 0 0 8 新 增 的 审 核 / 审 计 功 能 （ 之 所 不 写 是 因 为 大 部 分 情 况 下 被 测 评 方 要 么 就 没 有 采 取 任 何 措 施 ， 要 么 就 使 用 数 据 库 审 计 系 统 来 实 现 了 ， 通 过 数 据 库 本 身 的 功 能 来 实 现 的 概 率 很 小 ）
哦 ， 对 了 ， 这 是 S Q L S e r v e r 2 0 0 8 和 之 后 版 本 才 具 备 的 功 能 ， 在 之 前 的 版 本 中 ， 实 现 相 关 功 能 的 方 法 有 ： 四 、 测 评 项 四 、 测 评 项 b b ) 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 ； 这 里 是 指 至 少 应 该 包 括 最 关 键 的 数 据 ， 也 就 是 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 ， 默 认 情 况 下 S Q L S e r v e r 仅 存 在 错 误 日 志 ， 测 评 项 a 无 法 满 足 ， 测 评 项 b 肯 定 就 不 应 该 判 定 为 符 合 ， 而 且 错 误 日 志 本 身 确 实 也 未 存 在 足 够 多 的 字 段 ， 仅 存 在 日 期 、 源 、 消 息 、 日 志 类 型 、 日 志 源 这 些 字 段 。 这 里 想 要 符 合 ， 也 只 能 是 自 创 审 核 规 范 和 审 核 对 象 。 另 外 ， 这 里 应 该 也 要 判 断 下 日 志 中 的 日 期 和 时 间 是 否 准 确 ， S q l S e r v e r 日 志 中 的 时 间 应 该 是 引 用 的 本 机 时 间 ， 所 以 就 要 看 一 看 数 据 库 所 在 的 操 作 系 统 是 否 做 了 这 方 面 的 措 施 ， 具 体 哪 些 措 施 可 以 看 ： 等 保 测 评 2 . 0 ： W i n d o w s 安 全 审 计 中 的 测 评 项 b 。 五 、 测 评 项 五 、 测 评 项 c c ) 应 对 审 计 记 录 进 行 保 护 ， 定 期 备 份 ， 避 免 受 到 未 预 期 的 删 除 、 修 改 或 覆 盖 等 ； 5 . 1 .   要 求 要 求 1 也 即 仅 某 些 账 户 可 删 除 、 修 改 审 计 记 录 。 在 默 认 状 况 下 ， S Q L S e r v e r 仅 存 在 错 误 日 志 ， 对 于 错 误 日 志 ， 默 认 状 态 下 会 存 在 7 个 ， 分 别 是 ： E R R O R L O G E R R O R L O G . 1 E R R O R L O G . 2 E R R O R L O G . 3 E R R O R L O G . 4 E R R O R L O G . 5 E R R O R L O G . 6 可 以 用 以 下 命 令 进 行 错 误 日 志 的 的 清 除 ： 执 行 一 次 s p _ c y c l e _ e r r o r l o g 就 会 产 生 一 个 新 的   e r r o r l o g ， 然 后 原 来 e r r o r l o g 重 命 名 为 e r r o r l o g 1 ， 原 来 的 e r r o r l o g 1 重 命 名 为 e r r o r l o g 2 ， 最 后 的 e r r o r l o g 6 删 除 。 而 执 行 s p _ c y c l e _ e r r o r l o g 该 命 令 的 权 限 ， 仅 服 务 器 角 色 s y s a d m i n 才 具 有 。 e x e c   s p _ c y c l e _ e r r o r l o g
如 果 从 操 作 系 统 的 层 面 来 说 的 话 ， 也 就 是 错 误 日 志 的 文 件 的 权 限 ： 默 认 情 况 下 ， 也 就 这 些 操 作 系 统 账 户 存 在 权 限 。 而 如 果 是 对 于 自 建 的 审 核 规 范 和 审 核 对 象 ， 大 概 率 不 会 碰 到 ， 这 里 就 不 怎 么 说 了 。 反 正 涉 及 到 权 限 ， 如 果 纪 录 存 在 表 中 ， 那 么 就 要 去 看 表 的 权 限 、 表 所 在 架 构 的 权 限 、 架 构 所 在 数 据 库 的 权 限 的 权 限 等 。 如 果 记 录 存 在 文 件 中 ， 那 么 就 要 去 看 文 件 的 权 限 。 5 . 2 .   要 求 要 求 2 对 日 志 进 行 定 期 备 份 ， 这 里 要 明 确 一 点 ， 要 看 对 方 将 数 据 库 的 记 录 文 件 存 放 在 了 什 么 地 方 。 如 果 是 默 认 的 错 误 日 志 ， 是 存 放 在 文 件 中 的 ， 其 存 储 路 径 为 ： C : P r o g r a m   F i l e s   ( x 8 6 ) M i c r o s o f t   S Q L S e r v e r M S S Q L . 1 M S S Q L L O G 。 对 于 将 记 录 存 放 在 文 件 中 的 ， 备 份 就 是 要 备 份 这 个 文 件 。 如 果 将 记 录 存 在 在 数 据 库 表 中 的 ， 那 么 就 要 对 这 个 表 或 者 这 个 表 所 在 的 数 据 库 进 行 备 份 。 六 、 测 评 项 六 、 测 评 项 c d ) 应 对 审 计 进 程 进 行 保 护 ， 防 止 未 经 授 权 的 中 断 。 如 果 针 对 错 误 日 志 ， 似 乎 也 没 办 法 禁 止 错 误 日 志 的 记 录 ， 所 以 也 没 什 么 好 说 的 。 七 、 数 据 库 审 计 系 统 七 、 数 据 库 审 计 系 统 大 部 分 情 况 下 ， 被 测 评 方 都 是 使 用 数 据 库 审 计 系 统 来 实 现 相 关 的 要 求 。 数 据 库 审 计 系 统 应 该 都 是 基 于 流 量 解 析 来 进 行 审 计 ， 所 以 数 据 库 本 身 的 审 计 设 置 就 无 所 谓 了 （ 不 用 关 注 了 ） ， 因 为 数 据 库 审 计 系 统 本 身 就 是 由 于 数 据 库 自 身 的 审 计 功 能 不 够 强 大 而 出 现 的 产 品 。 7 . 1 .   测 评 项 测 评 项 a a ) 应 启 用 安 全 审 计 功 能 ， 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 ； 数 据 库 审 计 系 统 的 功 能 一 般 足 够 强 大 和 专 业 ， 对 于 测 评 项 a 而 言 ， 虽 然 数 据 库 审 计 系 统 在 可 以 自 创 规 则 ， 但 是 大 部 分 情 况 下 ， 也 会 存 在 一 个 默 认 模 板 ， 这 个 默 认 模 板 包 含 的 规 则 基 本 上 至 少 能 满 足 测 评 项 a 的 要 求 了 ， 除 非 特 殊 要 求 ， 基 本 不
需 要 用 户 自 己 创 建 规 则 。 当 然 ， 测 评 的 时 候 也 还 是 要 看 一 看 到 底 使 用 了 什 么 规 则 ： 7 . 2 .   测 评 项 测 评 项 b b ) 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 ； 同 测 评 项 a ， 肯 定 也 至 少 满 足 了 测 评 项 b 的 要 求 ， 而 且 一 般 都 会 远 远 超 过 （ 包 含 足 够 多 的 字 段 ） 测 评 时 看 一 看 具 体 的 记 录 即 可 ： 7 . 3 .   测 评 项 测 评 项 c c ) 应 对 审 计 记 录 进 行 保 护 ， 定 期 备 份 ， 避 免 受 到 未 预 期 的 删 除 、 修 改 或 覆 盖 等 ； 这 里 应 该 看 数 据 库 审 计 系 统 中 是 否 对 账 户 的 权 限 进 行 了 分 离 ， 即 仅 某 一 个 或 某 一 类 账 户 可 以 对 审 计 记 录 进 行 操 作 。 至 于 备 份 ， 要 看 数 据 库 审 计 系 统 中 是 否 设 置 了 相 关 的 备 份 策 略 ：
7 . 4 .   测 评 项 测 评 项 d 这 里 其 实 也 是 看 数 据 库 审 计 系 统 中 是 否 对 账 户 的 权 限 进 行 了 分 离 ， 仅 某 一 个 或 某 一 类 账 户 可 以 对 审 计 策 略 进 行 操 作 。 * 本 文 原 创 作 者 ： 起 于 凡 而 非 于 凡 ， 本 文 属 于 本 文 原 创 作 者 ： 起 于 凡 而 非 于 凡 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 13:08 , Processed in 0.584265 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表