Sự cần thiết và hướng cách khắc phục lỗi phát hiện khi kiểm tra an toàn hệ quản trị CSDL microsoft SQL server

VKEY: V0006756 Mức độ nghiêm trọng : CAT2 Chính sách: Tất cả MAC/CONF: 1-CSP; 2-CSP; 3-CSP IA Control: ECLP Kiểu kiểm tra: Interview Mức độ CSDL: False Chịu trách nhiệm: SA/DBA Khả năng

Trang 1

1.Sự cần thiết và hướng Cách khắc phục lỗi phát hiện khi kiểm tra

an toàn hệ quản trị CSDL Microsoft SQL Server.

Cơ sở dữ liệu là gì?

Cơ sở dữ liệu (viết tắt CSDL; tiếng Anh là database) được hiểu theo cách định nghĩa kiểu kĩ

thuật thì nó là một tập hợp thông tin có cấu trúc hay còn được hiểu rõ hơn dưới dạng một tập hợpliên kết các dữ liệu, thường đủ lớn để lưu trên một thiết bị lưu trữ như đĩa hay băng Dữ liệu này được duy trì dưới dạng một tập hợp các tập tin trong hệ điều hành hay được lưu trữ trong các hệ quản trị cơ sở dữ liệu

Một số ưu diểm mà CSDL mang lại:

- Giảm sự trùng lặp thông tin xuống mức thấp nhất Do đó đảm bảo thông tin có tính nhất quán

và toàn vẹn dữ liệu

- Đảm bảo dữ liệu có thể được truy suất theo nhiều cách khác nhau

- Nhiều người có thể sử dụng một cơ sở dữ liệu

Organization: Khi đề cập đến tổ chức CSDL, chúng phụ thuộc vào mô hình cơ sở dữ liệu, điều này có nghĩa rằng tổ chức CSDL phụ thuộc vào đặc điểm riêng của từng ứng dụng.Tuy nhiên khi

tổ chức CSDL cần tuân theo một số tiêu chuẩn của hệ thống cơ sở dữ liệu, nhằm tăng tính tối ưu khi truy cập và xử lý

Manipulation : Trong nhiều trường hợp ta cần tính toán và truy vấn dữ liệu với các mục đích khác nhau, cần phải sử dụng các truy vấn cùng các phép toán, phát biểu của CSDL để kết xuất ra kết quả theo yêu cầu của mình

Những vấn đề mà CSDL cần phải giải quyết.

- Tính chủ quyền của dữ liệu

 Thể hiện ở phương diện an toàn dữ liệu

 Khả năng biểu diễn mỗi liên hệ ngữ nghĩa của dữ liệu và tính chính xác của dữ liệu

 Người khai thác cơ sở dữ liệu phải cập nhật cho CSDL những thông tin mới nhất

Trang 2

- Tính bảo mật và quyền khai thác thông tin của người sử dung.

 Do ưu điểm CSDL có thể cho nhiều người khai thác đồng thời nên cần phải có một cơ chết bảo mật phân quyền khai thác CSDL

 Các hệ điều hành nhiều người sử dụng hay cục bộ đều cung cấp cơ chết này

- Tranh chấp dữ liệu

 Khi nhiều người cùng truy nhập CSDL với các mục đích khác nhau Rất có thể sẽ xảy ra hiện tượng tranh chấp dữ liệu

 Cần có cơ chết ưu tiên khi truy cập CSDL Ví dụ: admin luôn có thể tru cập cơ sở dữ liệu

 Cấp quyền ưu tiên cho từng người khai thác

- Đảm bảo an toàn dữ liệu khi có sự cố

 Khi CSDL nhiều và được quản lý tập trung Khả năng rủi ro mất dữ liệu rất cao Các nguyên nhân chính là mất điện đột ngột hoặc hỏng thiết bị lưu trữ

 Hiện tại có một số hệ điều hành đã có cơ chế tự động sao lưu ổ cúng và fix lỗi khi có sự

đó nên việc kiểm tra tìm ra lỗ hổng và Cách khắc phục lỗi đã phát hiện là việc làm quan trọng và cần thiết để tránh tình trạng mất mát thông tin,đảm bảo quyền lợi cho người sử dụng

Khi cài đặt CSDL hay trong sử dụng CSDL đều có thể gây ra lỗi.Hướng Cách khắc phục lỗi là Cách khắc phục lỗi trên hệ thống khi tiến hành cài đặt và cả trên CSDL khi sử dụng

Trang 3

2.Thuật ngữ và định nghĩa

4 Categories Thể loại, hạng mục

- Kế hoạch bảo mật hệ thống

13 PII personal identifiable information

Trang 4

yêu cầu STIG : (DG0001: CAT I) IAO sẽ đảm bảo không hỗ trợ phần mềm DBMS đã

được gỡ bỏ hoặc cung cấp bởi nhà hỗ trợ đã bị phá sản

3.1.2.DG0002: Kế hoạch nâng cấp các phiên bản DBMS

Trang 5

VKEY: V0004758 Mức độ nghiêm trọng : CAT2 Chính sách: Tất

cả

MAC/CONF: 1-CSP; 2-CSP; 3-CSP

IA Control: VIVM Kiểu kiểm tra:

Interview

Mức độ CSDL:

False

Chịu trách nhiệm: IAO

Khả năng tài liệu hóa:False

Tham chiếu: Database STIG 3.6.1

yêu cầu STIG : (DG0002: CAT II) IAO sẽ đảm bảo cho trang web định dạng một kế hoạch để

gỡ bỏ hoặc update hệ thống DBMS trong 6 tháng trước khi nhà cung cấp dịch

IA Control: VIVM Kiểu kiểm tra:

Auto

Mức độ CSDL:

False

Chịu trách nhiệm: DBA

yêu cầu STIG : (DG0003: CAT III) các DBA sẽ đảm bảo tất cả các nhà cung cấp dịch vụ phải

cung cấp các bản cài đặt được vá lỗi bảo mật

3.2.Quản lý tài khoản và xác thực

3.2.1.DG0005 : DBMS quản trị các tài khoản hệ điều hành

Cách Cách khắc phục :

Thu hồi các đặc quyền của hệ thống máy chủ từ các tài khoản DBA không yêu cầu quản trị hệ

thống DBMS

Thu hồi các nhóm quyền của hệ điều hành và gán quyền đó cho các tài khoản DBA

Hủy bỏ các điều khoản áp dụng trực tiếp hoặc quyền sử dụng tài khoản DBA

Trang 6

VKEY: V0006756 Mức độ nghiêm trọng : CAT2 Chính sách:

Tất cả

IA Control: ECLP Kiểu kiểm tra:

Interview

Mức độ CSDL:

False

Chịu trách nhiệm: SA/DBA

Tham chiếu: Database STIG 3.3.11.1

yêu cầu STIG : (DG0005: CAT II) SA/DBA sẽ đảm bảo việc quản trị cơ sở dữ liệu các tài

khoản cần thiết cho sự vận hành và bảo trì của hệ thống DBMS được chỉ địnhcác đặc quyền bởi DBMS cụ thể để thực hiện chức năng tới DBA

3.2.2.DG009: Quyền hạn của thư viện phần mềm của DBMS

IA Control: DCSL Kiểu kiểm tra:

Manual

Mức độ CSDL:

False

Chịu trách nhiệm: SA/DBA

yêu cầu STIG : (DG0009: CAT II) SA/DBA sẽ đảm bảo quyền truy cập vào DBMS phần

mềm được cho phép hạn chế các account OS

3.2.3.DG0019: DBMS phần mềm sở hữu

Cách Cách khắc phục:

Gán file DBMS và quyền sở hữu thư mục để cài đặt phần mềm và duy trì tài khoản

Sử dụng tài khoản của chủ sở hữu phần mềm để cài đặt và duy trì phần mềm DBMS các thư viện và các file cấu hình.

Trang 7

2-IA Điều

khiển: DCSL

Kiểu kiểm tra:Manual:

Mức độ CSDL: False

Mức chịu trách nhiệm: DBA

Khả năng tài liệu hóa: False

Tham chiếu Database STIG 3.3.20

Yêu cầu

STIG (DG0019: CAT III) DBA sẽ đảm bảo phần mềm ứng dụng CSDL là thuộc sở hữu của tài khoản bởi các tài khoản sở hữu ủy quyền ứng dụng

3.2.4 DG0029: Kiểm tra CSDL

Cho phép các dấu vết được tạo bên trong kiểm tra DG0145

Đối với SQL Server 2000 và 2005

Từ truy vấn nhắc:

EXEC SP_TRACE_SETSTATUS [TraceID], 1

Thay thế [Trace ID] với ID của trace được tạo cho DG145 kiểm tra dấu vết yêu cầu

VKEY: V0005685 Severity: CAT 2 Policies:Tất cả

Policies

MAC/CONF: CSP; 2-CSP; 3-CSP

1-IA Điều khiển: ECAR Kiểu kiểm

tra:Auto Mức độ CSDL: False Mức chịu trách nhiệm:DBA Khả năng tài liệu hóa: FalseTham chiếu Database STIG 3.3.2

Yêu cầu STIG (DG0025: CAT II) DBA sẽ đảm bảo rằng DBMS kiểm tra các chức năng

đáng ngờ

Trang 8

Policies

1-IA Điều khiển: ECAR Kiểu kiểm

tra:Interview: Mức độ CSDL: False Mức chịu trách nhiệm:DBA Khả năng tài liệu hóa: FalseTham chiếu Database STIG 3.3.18

Yêu cầu STIG (DG0025: CAT II) DBA sẽ đảm bảo rằng DBMS kiểm tra dữ liệu duy trì tối

thiểu là 1 năm

3.2.6.DG0031: DBMS kiểm tra các thay đổi tới dữ liệu

Cách Cách khắc phục

Cấu hình CSDL kiểm tra CSDL phải tuân thủ các yêu cầu của ứng dụng Tài liệu kiểm tra yêu cầu bên

trong kế hoạch bảo mật hệ thống.

Policies

1-IA Điều khiển: ECCD Kiểu kiểm

tra:Interview:

Mức chịu trách nhiệm:DBA

Yêu cầu STIG (DG0031: CAT II) DBA sẽ cấu hình kiểm tra truy cập hoặc thay đổi với dữ

liệu phù hợp với yêu cầu ứng dụng trong kế hoạch bảo mật hệ thống đặc biệt

3.2.7.DG0032: DBMS Kiểm tra hồ sơ truy cập

1-IA Điều khiển: ECTP Kiểu kiểm

tra:Verify

Mức chịu trách nhiệm:

DBA

Khả năng tài liệu hóa: True

Yêu cầu STIG (DG0031: CAT II) DBA sẽ chắc chắn kiểm tra bản ghi DBMS được bảo vệ

từ truy cập không được ủy quyền

Trang 9

3.2.8.DG0040: Tài khoản truy cập chính chủ của phần mềm DBMS

Phát triển và thực thi các thủ tục để hạn chế sử dụng và yêu cầu đăng nhập của người dùng của tài khoản cài đặt phần mềm DBMS.Văn bản cho phép nhân viên và thiết lập trong kế hoạch đảm bảo an toàn hệ thống

VKEY: V0002422 Mức độ nghiêm trọng: CAT

2

Chính sách: tất cả

MAC/CONF: CSP;2-CSP;3-CSP Điều khiển IA : ECLP kiểu kiểm

1-tra: nterview

Mức độ CSDL:False

STIG yêu cầu: (DG0040: CAT II) Các nhân viên được cấp phép của IAO,AIO sẽ đảm

bảo quyền truy cập đến tài khoản cài đặt phần mềm của DBMS bị hạn chế

3.2.9.DG0041: Tài khoản cài đặt của DBMS sử dụng đăng nhập

ECLP

kiểu kiểm tra:Interview

Chịu trách nhiệm:

IAO

STIG yêu cầu: (DG0041: CAT II) IAO sẽ đảm bảo quyền sử dụng của tài khoản được

cài đặt bằng phần mềm DBMS được đăng nhập và/hoặc kiểm tra để chỉ

ra tính đồng nhất của nhân viên người mà truy nhập vào tài khoản

3.2.10.DG0050: Theo dõi phần mềm DBMS và file cấu hình

Trang 10

meet the requirement File hashes or checksums should be used for comparisons as file dates may be manipulated by malicious users.

Nếu một công cụ tự động third-party không được dùng, một công việc tự động hóa mà file báo cáo file thông tin về các thư mục và các files quan tâm và so sánh chúng để báo cáo baseline tương tượng sẽ đáp ứng yêu cầu.File băm hoặc checksums nên được sử dụng để so sánh như là ngày đến của file có thể bị thao túng bởi người sử dụng độc hại không.

VKEY: V0002423 Mức độ nghiêm trọng:

CAT 2

Chính sách: tất cả MAC/CONF:

1-CSP;2-CSP;3-CSPĐiều khiển IA :

ECLP

IAO

STIG yêu cầu: (DG0050: CAT II) DBA sẽ đảm bảo phần mềm ứng dụng của CSDL

được theo dõi và nhận biết sự điều chỉnh trái phép hàng tuần hoặc thường xuyên hơn

3.2.11.DG0051: Theo dõi hàng đợi công việc / trộn của CSDL

Gây dựng và thực thi thủ tục theo dõi lịch sử CSDL hàng đợi công việc đối với việc đăng ký công việc không được ủy quyền.Bao gồm văn bản ghi nhớ an ninh và thủ tục trong kế hoạch đảm bảo an toàn hệ thống

CAT 2 Chính sách: tất cả MAC/CONF: 1-CSP;2-CSP;3-CSPĐiều khiển IA : ECLP kiểu kiểm

tra: Verify

DBA

Khả năng tài liệu hóa: true

STIG yêu cầu: (DG0051: CAT II) DBA sẽ theo dõi CSDL trộn và hàng đợi công việc

để đảm bảo không có công việc không được ủy nhiệm đang truy cập vàoCSDL

3.2.12.DG0052: Kiểm tra truy cập phần mềm DBMS

Sửa đổi dấu vết kiểm tra để đảm bảo việc kiểm tra lại bao gồm nhận dạng của ứng dụng đã sử dụng để truy cập vào DBMS.

Trang 11

CAT 2

ECLP kiểu kiểm tra:Interview Mức độ CSDL:False Chịu trách nhiệm:DBA Khả năng tài liệu hóa:False Tham chiếu: Database STIG 3.3.3

STIG yêu cầu: (DG0052: CAT II) DBA sẽ gồm tên của ứng dụng đã sử dụng để kết nối

đến CSDL trong vết kiểm tra

3.2.13.DG0054: Xem xét kiểm toán việc truy cập phần mềm DBMS

ECLP kiểu kiểm tra:Interview Mức độ CSDL:False Chịu trách nhiệm:IAO Khả năng tài liệu hóa:False Tham chiếu: Database STIG 3.3.3

STIG yêu cầu: (DG0054: CAT III) IAO hoặc người kiểm soát CSDL sẽ xem xét vết

kiểm tra để phát hiện truy cập bởi các phần mềm ứng dụng không được

Trang 12

CAT 3

1-CSP;2-CSP;3-CSPĐiều khiển IA : ECLP kiểu kiểm

tra:Verify Mức độ CSDL:False Chịu trách nhiệm: IAO/DBA Khả năng tài liệu hóa:TrueTham chiếu: Database STIG 3.2.1

STIG yêu cầu: (DG0060: CAT II) IAO/DBA sẽ đảm bảo các hoạt động dựa vào các

nhận dạng cá nhân để cho một tài khoàn CSDL duy nhất mà được truy cập bởi nhiều người dùng tác động lên

3.2.15.DG0063: Quyền lưu trữ của DBMS

Verify

Khả năng tài liệu hóa:True

STIG yêu cầu: (DG0063: CAT II) DBA sẽ hạn chế quyền khôi phục CSDL cho nó và /

Trang 13

Tất cả

IA Control: IATS Kiểu kiểm tra:

Interview

Mức độ CSDL:

False

yêu cầu STIG : (DG0065: CAT II) các sẽ đảm bảo một DoD PKI lớp 3 hoặc 4 chứng nhận và

phê chuẩn một sự đồng nhất sản phẩm phần cứng được bảo mật (DoD CAC for DoD employees or contractors) hoặc một NSA-certified được sử dụng để chứng nhận và xác thực với CSDL

3.2.17.DG0074 : Những tài khoản DBMS không được kích hoạt

Việc phát triển và thực hiện các thủ tục để giám sát các CSDL cho các tài khoản không còn hoạt động hoặc hết hạn Kiểm tra và cho phép nếu có bất cứ tài khoản nào đã hết hạn hoặc đã được hoạt động trong hơn 30 ngày

Khi quyền bảo vệ đã hết hoặc bị vô hiệu hóa các tài khoản không hoạt động thì phải áp dụng một

số phương pháp bảo vệ tương tự khác

Lưu ý: Những tài khoản DBMS sử dụng các chứng thực của Windows hoặc liên kết với các chứng chỉ có thể được theo dõi hoặc quản lý bởi các máy chủ lưu trữ hoặc thông qua tên miền Đảm bảo DBA và SA phối hợp với máy chủ lưu trữ hoặc tài khoản quản lý tên miền đáp ứng các yêu cầu STIG.

Tất cả

IA Control: IAAC Kiểu kiểm tra:

Manual

Mức độ CSDL:

False

yêu cầu STIG : (DG0074: CAT II) các DBA sẽ kiểm tra sự hết hạn tài khoản CSDL và những

tài khoản không hoạt động trong 35 ngày hay dài hơn hoặc trang web giới hạntối đa

3.2.18.DG0078: DBMS Các tài khoản cá nhân

Trang 14

Tạo các tài khoản cá nhân cho mỗi người sử dụng, ứng dụng hoặc các quá trình mà các yêu cầu phải có kết nối CSDL.

Tài liệu bất cứ tài khoản nào được chia sẻ nơi phân tách không được hỗ trợ bởi ứng dụng hoặc

1-IA Điều khiển: 1-IA1-IA Kiểu kiểm

tra:Manual

DBA

Yêu cầu STIG (DG00778: CAT II) DBA sẽ đảm bảo rằng các tài khoản người sử dụng

CSDL được cấu hình để yêu cầu xác thực cá nhận để kết nối đến các DBMS

3.2.19.DG0080:DBMS ứng dụng người dùng xem lại việc gán đặc quyền

Cách Cách khắc phục

Phát triển, tài liệu và thực thi các thủ tục cho việc xem xét định kì các ứng dụng được gán đặc

quyền người sử dụng CSDL Bao gồm cá phương pháp để cung cấp bằng chứng về sự xem lại

trong các thu tục để kiểm tra lại các diễn ra theo quy định với thủ tục

Policies

1-IA Điều khiển: ECLP Kiểu kiểm

tra:Manual

DBA

Yêu cầu STIG (DG0079: CAT II) DBA sẽ đảm bảo cấp quyền tới ứng dụng tài khoản

người dùng CSDL bị giới hạn tới yêu cầu thực hiện các chức năng ứng dụng

Trang 15

Tài liệu DBA các chức năng công việc và yêu cầu đặc quyền tối thiểu để thực hiện DBA chức

năng công việc trong kế hoạch bảo mật hệ thống Nơi nhiều các DBA quản lý gần giống với

DBMS, hãy xem xét chia chức năng DBA để hạn chế các DBA để quản lý một phần nhỏ của

DBMS để ngăn chặn sự sửa đổi cố ý đến vô y đến toàn bộ DBMS hoặc các bộ phận cụ thể

Policies

MAC/CONF: 1-CS;2-CS; 3-CS

IA Điều khiển: ECLP Kiểu kiểm

tra:Interview

IAO/DBA

Yêu cầu STIG (DG0085 CAT II) Các DBA sẽ đảm bảo rằng đặc quyền quản trị CSDL nhỏ

nhất được gán tới các vai trò quản trị CSDL để thực hiện các chức năng công việc quản trị

3.2.21.DG 0086 DBMS giám sát vai trò đặc quyền DBA

Thiết kế và thực thi các thủ tục cho việc giám sát vai trò gán đặc quyền DBA

Policies

1-IA Điều khiển: ECLP Kiểu Kiểm

tra:Interview

IAO

Yêu cầu STIG (DG0086 CAT II) Các IAO sẽ xem lại hàng tháng hoặc thường xuyên hơn

việc gán đặc quyền CSDL cho vai trò quản trị CSDL để đảm bảo rằng chúngđược giới hạn ở những yêu cầu tối thiểu

3.2.22.DG0095: Xem xét vết kiểm tra của dữ liệu trong DBMS

Phát triển tài liệu và thực thi chính sách và quy trình để giám sát chặt chẽ dữ liệu hàng ngày.

Trang 16

CAT 2

ECAT kiểu kiểm tra:Interview Mức độ CSDL:False Chịu trách nhiệm:IAO Khả năng tài liệu hóa:FalseTham chiếu: Database STIG 3.3.3

STIG yêu cầu: (DG0095: CAT II) IAO sẽ đảm bảo CSDL kiểm soát dữ liệu được xem

xét hàng ngày để phát hiện ra các hành vi đáng ngờ hoặc bất thường

3.2.23.DG0096: Xem xét chính sách và quy trình của DBMS IA

DCAR kiểu kiểm tra:Interview Mức độ CSDL:False Chịu trách nhiệm:IAO Khả năng tài liệu hóa:FalseTham chiếu: Database STIG 3.1.1

STIG yêu cầu: (DG0096: CAT III) IAO sẽ đảm bảo chính sách và thủ tục của CSDL IA

được xem xét ít nhất hàng năm và hiện tại và phù hợp với tất cả các yêu cầu của IA

3.2.24.DG0097: Kế hoạch và thủ tục kiểm tra của DBMS

Phát triển tài liệu và chính sách thực thi cho các kiểm tra cài đặt DBMS ,nâng cấp và vá lỗi trước khi triển khai trên hệ thống sản xuất.

Trang 17

CAT 2

Chính sách: tất cả

MAC/CONF: CSP;2-CSP;3-CSPĐiều khiển IA :

1-DCCT kiểu kiểm tra:Interview Mức độ CSDL:False Chịu trách nhiệm: IAO Khả năng tài liệu hóa:FalseTham chiếu: Database STIG 3.1.3

STIG yêu cầu: (DG0097: CAT II) IAO sẽ đảm bảo kế hoạch và thủ tục kiểm tra toàn

diện cho các cài đặt, nâng cấp và vá lỗi của CSDL được định nghĩa và thực hiện trước triển khai trong môi trường sản xuất

3.2.25.DG0098: DBMS truy cập vào các đối tượng bên ngoài địa phương

MAC/CONF: CSP;2-CSP;3-CSPĐiều khiển IA :

1-DCFA

Mức độ CSDL : False

STIG yêu cầu: (DG0098: CAT II) DBA sẽ cấu hình CSDL để vô hiệu hóa truy cập từ

CSDL đến đối tượng lưu trữ bên ngoài đến CSDL trên máy chủ địa phương trừ khi nhiệm vụ và/hoặc thao tác yêu cầu và cung cấp tài liệu trong tài liệu kiến trúc chức năng của AIS

3.2.26.DG0100 : Sự tái tạo các đặc quyền tài khoản DBMS

Vô hiệu hóa bản sao nếu bản sao không bắt buộc

Đối với SQL Server 7 & 2000:

Từ giao diện SQL Server Enterprise Manager:

1 Kích chuột phải lên SQL Server

2 Chọn Properties

3 Chọn tab Replication

Trang 18

4 Kích chuột phải lên Replication

5 Kích chọn Disable Publishing và Distribution

6 Hoàn tất các bước trình bày

Đối với SQL Server 2005:

Từ giao diện SQL Server Management Studio:

1 Mở SQL Server

2 Kích chuột phải lên Replication

3 Kích chọn Disable Publishing và Distribution

4 Hoàn tất các bước trình bày

Sao lưu lại cho an toàn nếu có yêu cầu cho phép và lấy tài liệu

4 Cho mỗi publication:

a Kích chuột phải lên publication

b Kích chọn tab Snapshot

c Chọn generate snapshots in the following location

d Nhập đường dẫn đến một thư mục an toàn mà không phải là chia sẻ Administrative

e Chọn generate snapshots in the normal snapshot folder

f Kích chọn Apply

g Kích chọn OK

xác minh sự an toàn CSDL nhà phân phối

Cho SQL Server Enterprise Manager GUI:

1 Select Tools from menu bar

2 Select Replication

3 Select Configure Publishing, Subscribers, and Distribution

4 Select subscribers tab

Trang 19

5 Double-click on each subscriber

6 Under Agent connection to the subscriber:

a Select Impersonate the SQL Server Agent account on SQL Server

(trusted connection)

b Click OK

c Repeat for each subscriber listed

d Repeat for each Publisher listed under Publisher tab

Cho SQL Server 2005:

1 Tạo và sử dụng những tài khoản CSDL được xác nhận bởi Windows được dành cho việc nhân rộng các chương trình sử dụng

2 Gán chỉ định tối thiểu CSDL và các tập quyền tới Replication Agent các tài khoản

3 Thêm các quyền Replication Merge và Distribution Agent của tài khoản tới PAL

4 Sử dụng mạng chung để truy cập các thư mục ảnh chụp bằng các mục đăng ký

Sao chép tài liệu trong hệ thống an ninh, AIS chức năng kiến trúc, tài liệu hướng dẫn và ủy quyền với IAO

Tất cả

IA Control: ECAN Kiểu kiểm tra:

Verify Mức độ CSDL: False Chịu trách nhiệm: DBA Khả năng tài liệu hóa:FalseTham chiếu: Database STIG 3.1.4.1

yêu cầu STIG : (DG0100: CAT II) các DBA sẽ đảm bảo các tài khoản CSDL được sử dụng để

nhân rộng hoặc phân phối các giao dịch không được cấp đặc quyền DBA

3.2.27.DG 0101 : DBMS kê khai thủ tục bên ngoài hệ điều hành

Tạo một tài khoản riêng cho dịch vụ Sql Server Một tên miền tài khoản có thể được dùng tài

nguyên mạng, nơi được yêu cầu Xin xem SQL Server Books Online để biết thông tin chi tiết.Gán các tài khoản vào nhóm Sql Server ( được tạo ra khi cài đặt Sql Server 2005) nếu có

Gán các tài khoản Sql Server hoặc nhóm các quyền của người sử dụng được liệt kê trong thủ tục kiểm tra.

Trang 20

Tất cả

IA Control: DCFA Kiểu kiểm tra:

Manual Mức độ CSDL: False Chịu trách nhiệm: SA / DBA Khả năng tài liệu hóa:FalseTham chiếu: Database STIG 3.1.4.1

yêu cầu STIG : (DG0101: CAT II) các DBA sẽ đảm bảo các tài khoản được sử dụng để thực

hiện các thủ tục CSDL bên ngoài có các đặc quyền của hệ điều hành được phân công

3.2.28.DG0102: Các dịch vụ DBMS dành riêng cho các tài khoản tùy chọn

Tạo và gán các tùy chọn cục bộ hoặc các tài khoản người sử dụng tên miền tới các tài khoản dịch

vụ SQL Server

Vô hiệu hóa các dịch vụ và các tài khoản dịch vụ không cần thiết cho hoạt động

Gán quyền nguyền sử dụng được yêu cầu tới các tài khoản dịch vụ

Tài liệu trong kế hoạch bảo đảm an toàn hệ thống

Tất cả

Manual

Mức độ CSDL:

False

Chịu trách nhiệm: SA / DBA

yêu cầu STIG : (DG0102: CAT II) Các DBA sẽ đảm bảo mỗi dịch vụ CSDL hay quá trình

chạy theo một tùy chỉnh, dành riêng cho hệ điều hành, tài khoản đó được phâncông các quyền tối thiểu cần thiết cho nó hoạt động nếu có

3.2.29.DG0116: DBMS gán vai trò đặc quyền

Tài liệu IAO cho phép gán vai trò đặc quyền trong kế hoạch bảo mật hệ thống Hủy bỏ tập tin không được phép Nếu BUILTIN\Adminstrators là một bộ phận của SYSADMIN cố định vai tròmáy chủ, tạo một nhóm khách hàng, thêm một nhóm tới SYSADMIN cố định vai trò máy chủ,

gỡ bỏ BUILTIN\Administrators từ vai trò này Nếu người dùng trái phép khác còn tồn tại, loại

bỏ chúng từ vai trò này

Để gỡ bỏ BUILTIN\Administrators từ SYSADMIN cố định vai trò máy chủ

Trang 21

1 Tạo một nhóm cho các chức năng SYSADMIN

2 Thêm người sửa dụng được ủy quyền cho nhóm người dùng

3 Thêm nhóm tới SYSADMIN cố định vai trò máy chủ

4 Gỡ bỏ BUILTIN\Administrators từ vai trò

Policies

1-IA Điều khiển: ECLP Kiểu kiểm

tra:Verify

CSDLMức độ:False

IAO

Yêu cầu STIG (DG0116: CAT II) IAO sẽ đảm bảo gán vai trò ủy quyền CSDL trong việc

hạn chế các khoản IAO trái phép

3.2.30.DG0117 DBMS gán đặc quyền quản trị

Tạo các vai trò cho việc gán chức năng quản trị Gán đặc quyền cần thiết cho chức năng quản trị tới một vai trò

Gán các vai trò đặc quyền tới quản trị người sử dụng được ủy quyền

Tài liệu quản trị các chức năng công việc, các vai trò và các quyền yêu cầu bên trong kế hoạch bảo mật hệ thống

Duy trì tính rõ rang của quản trị vai trò được ủy quyền

Policies

1-IA Điều khiển: ECLA Kiểu Kiểm

tra:Manual

IAO

Yêu cầu STIG (DG0117: CAT II) IAO sẽ đảm bảo tất cả quyền quản trị CSDL được định

nghĩa bên trong và bên ngoài DBMS tới CSDL được gán sử dụng DBMS hoặc các vai trò OS

Trang 22

3.2.31.DG0118: IAM xem xét các thay đổi trong việc cấp quyền của DBA

Phát triển, tài liệu và thực thi chính sách và thủ tục để giám sát các thay đổi vai trò cấp quyền củaDBA

Phát triển, tài liệu và thực thi chính sách và thủ tục để thông báo cho IAM các thay đổi vai trò

cấp quyền của DBA

Bao gồm các phương thức trong các thủ tục để cung cấp bằng chứng về giám sát và thông báo

Tất cả

IA Control: ECPA Kiểu kiểm tra:

Yêu cầu STIG : (DG0118: CAT II): IAM sẽ xem lại vai trò cấp quyền của DBA tới các thay đổi

xảy ra khi cấp quyền

3.2.32.DG0123: Quản trị truy cập dữ liệu DBMS

Thu hồi quyền truy cập tới các bảng hệ thống tới các người dùng không phải là DBA

Trường hợp sử dụng của dữ liệu hệ thống được yêu cầu bởi người sử dụng không phải là DBA, cung cấp điều khiển truy cập cho các hàm được ủy quyền xem, các thủ tục hoặc sử dụng khác được các đối tượng điều khiển

Trang 23

Tất cả

Yêu cầu STIG : (DG0123: CAT II):DBA sẽ đảm bảo rằng tất cả các truy cập tới kho dữ liệu

ứng dụng nhạy cảm bên trong CSDL và các tệp tin bên ngoài máy chủ được cấp chỉ tới các tài khoản CSDL và các tài khoản OS theo quy định với các chứcnăng người dùng đã được định rõ bởi chủ sở hữu thông tin

3.2.33.DG0124: Sử dụng tài khoản DBA

Tạo các tài khoản riêng biệt cho các hoạt động quản trị

Phát triển, tài liệu và thực thi chính sách và các thủ tục mà yêu cầu tách biệt, không có đặc quyền hoặc các tài khoản có ít đặc quyền cho việc phát triển, kiểm tra và người dùng ứng dụng.

Tất cả

Yêu cầu STIG : (DG0124: CAT II):IAO sẽ đảm bảo rằng các tài khoản có đặc quyền với CSDL

chỉ được sử dụng cho các chức năng công việc đối với đặc quyền CSDL IAO

sẽ đảm bảo các tài khoản không có đặc quyền CSDL được sử dụng để thực hiện các chức năng công việc không cần đến đặc quyền

3.2.34 DG0125: Tài khoản trong DBMS có mật khẩu hết hạn

Thiết lập đăng nhập SQL Server để kiểm tra các mật khẩu hết hạn

Đối với SQL Server 2005 :

ALTER LOGIN [user name] WITH CHECK_EXPIRATION = ON

Trang 24

Tất cả

MAC/CONF: 1-CS; 2-CS; 3-CS

Yêu cầu STIG : (DG0125: CAT II): DBA sẽ thiết lập thời gian hết hạn cho tương tác người sử

dụng CSDL có mật khẩu tài khoản đến 60 ngày hoặc ít hơn được hỗ trợ bởi DBMS

3.2.35.DG0133: Thời gian khóa tài khoản của DBMS

Cấu hình CSDL để duy trì thời gian khóa tài khoản cho đến khi tài khoản được hướng dẫn mở

khóa bởi tài khoản người quản trị có thẩm quyền

For DBMS accounts using Windows Authentication:

Đối với tài khoản DBMS sử dụng Window có bản quyền :

1 Launch the Group Policy Editor on the DBMS Server

2 Cấu hình như sau :

a Mở rộng các thiết lập cho windows

b Mở rộng các thiết lập cho an ninh

c Mở rộng chính sách của tài khoản

d Lựa chọn chính sách khóa tài khoản

3 Thiết lập "Account Lockout Threshold" = 3

4 Thiết lập hoặc làm mới "Account Lockout Duration" = 0

5 Thiết lập hoặc làm mới "Reset Account Lockout Counter After" = 99999 (69 ngày , là lớn

nhất đối với chính sách thiết lập này)

6 Đóng chỉnh sửa chính sách nhóm

Văn bản này thiết lập trong kế hoạch đảm bảo an toàn hệ thống

Trang 25

CAT 2

ECLO kiểu kiểm tra: Manual Mức độ CSDL:False Chịu trách nhiệm: DBA/SA Khả năng tài liệu hóa: FalseTham chiếu: Database STIG 3.3.10

STIG yêu cầu: (DG0133: CAT II) DBA sẽ cấu hình DBMS để thiết lập thời hạn khóa

tài khoản của CSDL là không giới hạn do đó các yêu cầu của DBA hướng dẫn để mở khóa các tài khoản

3.2.36.DG0140:An toàn dữ liệu truy cậpcho DBMS

Tư liệu cho bất kỳ kiểm soát không đầy đủ nào có thể chấp nhận nguy cơ kiểm soát không đầy đủ trong

kế hoạch đảm bảo an toàn hệ thống

CAT 2 Chính sách: tất cả MAC/CONF: 1-CSP;2-CSP;3-CSPĐiều khiển IA :

ECAR

kiểu kiểm tra:Manual

DBA

STIG yêu cầu: (DG0140: CAT II) DBA sẽ đảm bảo tất cả các truy cập đến file cấu

hình của DBMS ,đến kiểm soát dữ liệu của CSDL,đến khả năng của CSDL hoặc bất kỳ thông tin bảo mật khác của DBMS được kiểm soát

3.2.37.DG0141: DBMS access control bypass

Chấp nhận mức độ kiểm soát

Từ SQL Server Enterprise Manager GUI:

1 Hướng đến tên khởi tạo của SQL Server

Trang 26

2 Kích chuột phải lên nó

3 Lựa chọn Properties

4 Lựa chọn Security tab or page

5 Xem mức độ của Security/Audit

6 Lựa chọn All hoặc Failure từ Audit Level selection

7 Áp dụng thay đổi

8 Thoát khỏi SQL Server Enterprise Manager GUI

Từ SQL Server Management Studio GUI:

1 Hướng đến tên khởi tạo của SQL Server

2 Kích chuột phải lên nó

4 Lựa chọn Security tab or page

5 Xem xét Login Auditing selection

6 Lựa chọn "Failed logins only" hoặc "Both failed and successful logins" từ Login Auditing section

ECAR kiểu kiểm tra: Auto Mức độ CSDL:False Chịu trách nhiệm: DBA Khả năng tài liệu hóa:FalseTham chiếu: Database STIG 3.3.2

STIG yêu cầu: (DG0141: CAT II) DBA sẽ đảm bảo tất cả đăng nhập CSDL,như sự kiên

khóa tài khoản,chặn hoặc vô hiệu hóa một tài khoản của CSDL hoặc kiểm soát vị trí nguồn đăng nhập , hoặc bất kỳ nỗ lực phá vỡ điều khoản truy cập

3.2.38.DG0142: Kiểm soát hoạt động đặc quyền của DBMS

Ủy quyền và yêu cầu tài liệu cho việc sử dụng lựa chọn dấu vết mặc định của kế hoạch đảm bảo

an toàn hệ thống và tài liệu kiến trúc chức năng của AIS.Ở đó không được ủy quyền,vô hiệu hóa các sử dụng của nó

Trang 27

Từ dấu nhắc truy vấn :

EXEC SP_CONFIGURE 'show advanced options', 1

EXEC SP_CONFIGURE 'default trace enabled', 0

RECONFIGURE

ECLO

kiểu kiểm tra:Manual

DBA

STIG yêu cầu: (DG0142: CAT II) DBA sẽ đảm bảo các hành động đặc quyền của

DBMS và các thay đổi đến nhãn bảo mật hoặc dấu nhạy cảm của dữ liệutrong DBMS sẽ được kiểm soát

3.2.39.DG0157: DBMS quản trị điều khiển từ xa

Vô hiệu hóa chương trình quản lý điều khiển từ xa của DBMS không cần thiết

Nơi điều khiển việc truy cập DBMS từ xa được yêu cầu phát triển, tài liệu và thực hiện các chínhsách và thủ tục về việc sử dụng nó Chỉ định các đặc quyền quản trị từ xa tới IAO được ủy quyền

Tài liệu trong kế hoạch đảm bảo an toàn hệ thống

Trong trường hợp kết nối truy cập từ xa admin là một phần của thiết kế và được chấp thuận sử dụng, các CDSL Sql Server yêu cầu trong kế hoạch đảm bảo an toàn hệ thống Trong trường hợpkết nối truy cập từ xa admin không cần thiết sẽ được vô hiệu hóa

Từ dấu nhắc truy vấn:

EXEC SP_CONFIGURE 'remote admin connections', 0

RECONFIGURE

Trang 28

Tất cả

IA Control: EBRP Kiểu kiểm tra:

Manual

Mức độ CSDL:

False

yêu cầu STIG : (DG0157: CAT II) các DBA sẽ đảm bảo quản trị CSDL từ xa chưa được kích

hoạt hoặc cấu hình trừ khi nhiệm vụ hoặc hoạt động sử dụng cần thiết và được

ủy quyền bởi IAO

3.2.40.DG0158: DBMS kiểm soát việc truy cập từ xa

Phát triển tài liệu và thực hiện chính sách, thủ tục kiểm tra quả trị từ xa

Cấu hình DBMS để cung cấp một quy trình kiểm tra cho việc truy cập từ xa Bao gồm tất cả các hành động được thực hiện bởi người quản trị CSDL trong phiên họp từ xa

Hành động phải được gắn với một người dùng cụ thể

Tất cả

IA Control: EBRP Kiểu kiểm tra:

Manual

Mức độ CSDL:

False

yêu cầu STIG : (DG0158: CAT II) các DBA sẽ cấu hình kiểm tra tất cả các hành động thực

hiện bởi các quản trị CSDL trong trong quá trình điều khiển từ xa

3.2.41.DG0190: Truy cập và sử dụng giấy chứng nhận của hệ thống DBMS từ xa

Cấp quyền truy cập đến các máy chủ liên kết cho người dùng có quyền hoặc chỉ các ứng dụng.Tài liệu được liên kết tới tất cả các máy chủ được phép truy cập vào bên trong Kế hoạch đảm bảo an toàn hệ thống.

Trang 29

Tất cả

Yêu cầu STIG : (DG0190: CAT II) DBA sẽ đảm bảo ủy nhiệm được sử dụng để truy cập CSDL

từ xa hoặc các ứng dụng khác được hạn chế tới các tài khoản CSDL được phép

và chỉ được sử dụng cho các nhiệm vụ and/or theo yêu cầu vận hành và mục đích của tài liệu

3.2.42.DG0194: DBMS Nhà phát triển đặc quyền giám sát dựa trên DBMS được

chia sẻ.

Phát triển, tài liệu và thực thi chính sách và các thủ tục để giám sát DBMS và máy chủ DBMS

gán các quyền cho các nhà phát triển sản xuất và các hệ thống phát triển để phát hiện việc gán

trái phép 3 tháng một lần hoặc thường xuyên hơn

Tất cả

IA Control: ECPC Kiểu kiểm tra:

Yêu cầu STIG : (DG0190: CAT II) IA0 sẽ xem xét các đặc quyền cấp cho nhà phát triển được

cung cấp/phát triển các hệ thống CSDL mà cho phép sửa mã ứng dụng hoặc các đối tượng áp dụng 3 tháng một lần hoặc thường xuyên hơn

3.2.43.DG0195: Máy chủ DBMS phân quyền tệp tin gán cho các nhà phát triển.

Trang 30

Hủy bỏ bất kì tài khoản nào không được phép từ cả nhà sản xuất lẫn các nhóm phát triển hệ điều hành.

Tài liệu bên trong kế hoạch đảm bảo an toàn hệ thống.

Tất cả

IA Control: ECPC Kiểu kiểm tra:

Yêu cầu STIG : (DG0195: CAT II) SA/DBA sẽ đảm bảo nhà phát triển các tài khoản trên việc

chia sẻ sản xuất/phát triển hệ thống máy chủ không được cấp quyền vận hành

hệ thống để cung cấp các tệp tin, các thư mục hoặc các thành phần CSDL

3.2.44.DM0660: Tên thể hiện máy chủ MS SQL

Cách khắc phục:

Cho SQL Server 2000 & 2005:

Không sử dụng tài liệu tham khảo phiên bản số hoặc tên mặc định cho tên

Tên của một thể hiện không thể thay đổi ngay trên một thể hiện hiện hữu

Một thể hiện mới có thể được tạo ra với một tên tuân thủ và các CSDL di chuyển.

Tất cả

Verify

Mức độ CSDL:

False

yêu cầu STIG : (DG0123: CAT II) các DBA sẽ đảm bảo tất cả các ứng dụng truy cập vào dữ

liệu nhạy cảm được lưu trữ trong CSDL, và trong các tập tin lưu trữ bên ngoài, chỉ được cấp cho các tài khoản CSDL và hệ điều hành các tài khoản phù hợp với chức năng người sử dụng theo quy định của chủ quản lý thông tin

Trang 31

3.2.45.DM0520: Quyền người dùng cụm dịch vụ SQL Server

Tạo hoặc xác nhận một tài khoản miền đã tồn tại và được cấp tới nhóm dịch vụ SQL Server

Xem tài liệu trực truyến về SQL Server để biết thêm thông tin chi tiết

Cấp hoặc xác nhận tài khoản là một thành viên của nhóm quản trị cục bộ

Cấp hoặc xác nhận các tài khoản miền có đặc quyền người dùng được liệt kê bên trong thủ tục kiểm tra

Tài liệu bên trong kế hoạch đảm bảo an toàn hệ thống.

Tất cả

Yêu cầu STIG : (DG0005: CAT II) SA/DBA sẽ đảm bảo quản trị CSDL các tài khoản được yêu

cầu để vận hành và bảo trì các DBMS được cấp đặc quyền nhỏ nhất được yêu cầu bởi DBMS cụ thể để DBA thực hiện các chức năng

3.2.46.DM0900: SQL và mail cơ sở dữ liệu sử dụng

Từ giao diện SQL Server Enterprise Manager:

1 Chọn tên SQL

2 Mở Support Services

3 Kích chuột phải lên SQL Mail

4 Xóa tên của hồ sơ được liệt kê trong hộp hồ sơ

Trang 32

EXEC SP_CONFIGURE 'SQL Mail XPs', 0

RECONFIGURE

EXEC SP_CONFIGURE 'Database Mail XPs', 0

RECONFIGURE

Tất cả

Manual

Mức độ CSDL:

False

yêu cầu STIG : (DG0099: CAT II) các DBA sẽ vô hiệu hóa việc sử dụng các thủ tục bên

ngoài CSDL, trừ khi các yêu cầu và nhiệm vụ trong tài liệu cấu trúc chức năngAIS

3.2.47.DM0920: Nhóm các tùy chọn của hệ điều hành DBA

Trang 33

Tất cả

Manual

Mức độ CSDL:

False

yêu cầu STIG : (DG0117: CAT II) các IAO sẽ đảm bảo tất cả các quyền quản trị CSDL được

định nghĩa bên trong và bên ngoài DBMS tới CSDL được sử dụng DBMS hoặc các vai trò OS

3.2.48.DM0921: Gán đặc quyền hệ điều hành cho DBA

Manual

Mức độ CSDL:

False

yêu cầu STIG : (DG0117: CAT II) các IAO sẽ đảm bảo tất cả các quyền quản trị CSDL được

định nghĩa bên trong và bên ngoài DBMS tới CSDL được sử dụng DBMS hoặc các vai trò OS

3.2.49.DM0929: Đặc quyền tài khoản dịch vụ thích hợp

Tạo một tài khoản nội bộ tùy chọn cho các tài khoản dịch vụ hợp nhất Một tên miền tài khoản

có thể được sử dụng tài nguyên mạng Xem SQL Server Books Online để biết thêm thông tin chi tiết

Gán các tài khoản vào nhóm dịch vụ hợp nhất ( được tạo ra lúc cài đặt SQL Server 2005) nếu có

Trang 34

Gán các tài khoản dịch vụ hợp nhất hoặc nhóm các quyền của người sử dụng được liệt kê trong thủ tục kiểm tra.

Tất cả

Manual

Mức độ CSDL:

False

SA / DBA

yêu cầu STIG : (DG0101: CAT II) các DBA sẽ đảm bảo sử dụng các tài khoản hệ điều hành

cho việc thực hiện các thủ tục bên ngoài CSDL có các đặc quyền tối thiểu của

hệ điều hành được phân công

3.2.50.DM0933: Quyền tài khoản người dùng SQL Server Agent

Cách khắc phục :

Tạo một tài khoản người dùng nội bộ cho tài khoản dịch vụ SQL Server Agent.Một tài khoản tênmiền có thể được sủ dụng nơi mà tài nguyên mạng được yêu cầu.Để biết thêm chi tiết xem tài liệu SQL Server Books Online

Để gắn tài khoản cho SQL Server Agent (Nhóm tạo lúc cài đặt SQL Server 2005) nếu hợp lệ

Thủ tục Check liệt kê danh sách gán tài khoản hoặc nhóm người dùng đặc quyền cho SQL Server Agent.VKEY: V0015155 Mức độ nghiêm trọng:

DCFA

kiểu kiểm tra:

Manual

SA /DBA

STIG yêu cầu: (DG0101: CAT II) DBA sẽ đảm bảo tài khoản OS được sử dụng cho

việc thực hiện các thủ tục CSDL mở rộng có đặc quyền OS nhỏ nhất được yêu cầu được gán cho chúng

3.2.51.DM2119: Đăng ký quyền truy cập thủ tục lưu trữ mở rộng

Đối với SQL Server 7 & 2000, xóa đăng ký lưu trữ mở rộng từ CSDL nếu không cần thiết

Đối với tất cả các phiên bản của SQL Server,hạn chế quyền truy cập của việc đăng ký các thủ tụclưu trữ mở rộng đến SYSADMIN và các vai trò xác thực

Trang 35

Tài liệu bị hạn chế trong kế hoạch đảm bảo an toàn hệ thống

Từ dấu nhắc truy vấn (để giảm):

USE master

EXEC SP_DROPEXTENDEDPROC '[procedure name]'

Từ dấu nhắc truy vấn (để hạn chế) :

USE master

REVOKE [permission] ON [object] FROM [user name]

Ghi nhớ : SQL Server 2005 và sau nó không làm giảm các thủ tục lưu trữ mở rộng của hệ thống.Microsoft khuyến cáo nên từ chối thay thế quyền han của EXEC

Hạn chế và /hoặc rỡ bỏ quyền truy cập đến việc đăng ký thủ tục lưu trữ mở rộng:

6 Expand Extended Stored Procedures

7 Expand System Extended Stored Procedures

8 Locate and select each of the Registry extended stored procedures listed in the Check section

Xác định vị trí và lựa chọn mỗi một đăng ký thủ tục lưu trữ mở rộng đã liệt kê trong phầnkiểm tra

9 Ấn chuôt phải lên thủ tục lưu trữ mở rộng

11 Ấn chuột lên trang Permissions

12 Lựa chọn người sử dụng hoặc vai trò và loại bỏ chức cấp quyền ( nếu chức năng cấp quyền được đánh dấu) quyền cho tất cả người dùng,vai trò của CSDL và loại trừ những cái công cộng từ SYSADMIN và vai trò được ủy quyền khi được cho phép

13 Ấn OK

Trang 36

CAT 2

DCFA kiểu kiểm tra:

Verify

DBA

STIG yêu cầu: (DG0099: CAT II) DBA sẽ vô hiệu hóa sử dụng các thủ mở rộng bởi

CSDL trừ khi nhiệm vụ yêu cầu và/hoặc các thực hiện yêu cầu và được cung cấp tài liệu trong tài liệu kiến trúc chức năng của AIS

Nếu không được yêu cầu,thì vô hiệu hóa truy cập từ xa và tài liệu được yêu cầu và xác thực trong

kế hoạch đảm bảo an toàn hệ thống và tài liệu kiến trúc chức năng của AIS

Để Vô hiệu hóa truy cập từ xa:

Trang 37

CAT 2

DCFA kiểu kiểm tra: Verify Mức độ CSDL:False Chịu trách nhiệm: DBA Khả năng tài liệu hóa:FalseTham chiếu: Database STIG 3.1.4.1

STIG yêu cầu: (DG0075: CAT II) DBA sẽ đảm bảo kết nối đến CSDL từ xa hoặc kết

nối từ xa hoặc kết nối đến các ứng dụng bên ngoài và dịch vụ bị vô hiệu hóa và/hoặc không định nghĩa trừ khi CSDL trả lời là được sử dụng hoặckết nối từ xa là một nhiệm vụ và /hoặc thực thi được yêu cầu và được cấp giấy phép theo tài liệu kiến trúc chức năng của AIS

3.2.53.DM3566: Chế độ xác thực

Cấu hình khởi tạo cho truy cập Windows có bản quyền

EXEC XP_LOGINCONFIG 'login mode', 1

Nếu là SQL Server 2005 và máy chủ cài window 2003 (hoặc cao hơn) và SQL Server có bản quyền được yêu cầu và có ủy quyền , thì yêu cầu căn chỉnh tài liệu trong kế hoạch đảm bảo an toàn hệ thống

CAT 2 Chính sách: tất cả MAC/CONF: 1-CSP;2-CSP;3-CSPĐiều khiển IA : IAIA kiểu kiểm

tra:Manual

DBA

STIG yêu cầu: (DG0078: CAT II) DBA sẽ đảm bảo tài khoản người dùng CSDL được

cấu hình cho các xác thực cá nhân yêu cầu kết nối đến DBMS

3.2.54.DM6045: SQL Server Agent cấp quyền ủy nhiệm

Ghi nhớ: SYSADMINs có quyền truy cập đến tất cả giấy phép ủy nhiệm theo mặc định

Đối với mỗi người dùng hoặc nhóm đã cấp quyền truy cập trái phép đến một giấy phép(chọn dựatrên những cái trả về từ kết quả SP_ENUM_PROXY_FOR_SUBSYSTEM):

EXEC SP_REVOKE_LOGIN_FROM_PROXY '[login name]' @proxy_name = '[proxy name]'

Trang 38

Thay thế [proxy name] với tên của giấy phép và thay thế [login name] với tên đã được trả loại trong thủ tục SP_ENUM_PROXY_FOR_SUBSYSTEM.

CAT 2 Chính sách: tất cả MAC/CONF: 1-CSP;2-CSP;3-CSPĐiều khiển ECAN kiểu kiểm

tra: Verify

DBA

STIG yêu cầu: (DG0122: CAT II) DBA sẽ đảm bảo tất cả các truy cập đến dữ liệu nhạy

cảm được quản trị bởi DBMS lưu trữ ở bên trong CSDL và các file máy chủ ở bên ngoài được cấp quyền truy cập đến DBA và CSDL có tính quản trị khác mà được ủy quyền và các tài khoản OS khác

3.2.55.DM6065: SQL Server sao chép tài khoản tác nhân

Tạo tài khoản Windows cá nhân cho mỗi tác nhân sao chép

Chỉ rõ tài khoản Windows đã tạo đối với các tác nhân sao chép theo tác nhân bảo mật sao chép được thiết lập trong SQL Server

1 Mở ví dụ

2 Mở bản sao chép

3 Mở Local Publications

4 Lặp lại với mỗi Local Publication:

a Kích chuột phải lên publication

b Lựa chọn Properties

c Chọn trang Agent Security

d Kích vào nút Security Settings

e Nhập tài khoản Windows chuyên dụng đối với Snapshot Agent

f Chọn Connect to the Publisher - By impersonating the process account

g Kích vào OK

h Kích vào OK

Trang 39

CAT 2

1-CSP;2-CSP;3-CSPĐiều khiển DCFA kiểu kiểm

tra: Verify Mức độ CSDL:False Chịu trách nhiệm: DBA Khả năng tài liệu hóa: TrueTham chiếu: Database STIG 3.1.4.1

STIG yêu cầu: (DG0102: CAT II) DBA sẽ đảm bảo mỗi một dịch vụ của CSDL hoặc

tiến trinh chạy theo các tùy chọn,các tài khoản OS chuyên dụng mà được gán đặc quyền tối thiểu đã yêu cầu đối với các thực thi mà có thể được áp dụng

3.2.56.DM6070: Nhân rộng vai trò đặc quyền quản trị

Thu hồi vai trò thành viên đối với các tài khoản trái phép đã cấp vai trò sao chép thành viên:

USE [database name]

EXEC SP_DROPROLEMEMBER '[replmonitor or db_owner]' FROM '[account name]'

CAT 2

1-CSP;2-CSP;3-CSPĐiều khiển ECLP kiểu kiểm

tra: Verify

DBA

STIG yêu cầu: (DG0085: CAT II) DBA sẽ đảm bảo đặc quyền quản trị CSDL nhỏ nhất

được gán cho CSDL có vai trò quản trị để thực thi chức năng nhiệm vụ quản trị

3.2.57.DM6145: Proxy cho các tài khoản hệ thống con đặc quyền

Định nghĩa và tài liệu trong kế hoạch đảm bảo an toàn hệ thống cho hệ thống con có quyền chuyển nhượng nhỏ nhất được yêu cầu bởi proxy cá nhân

Chỉ gán một proxy cho có những hệ thống con yêu cầu để hoàn thành công việc của SQL Server Agent.

Trang 40

CAT 2

ECAN kiểu kiểmtra:Verify Mức độ CSDL:False Chịu trách nhiệm: DBA Khả năng tài liệu hóa:TrueTham chiếu: Database STIG 3.3.1

STIG yêu cầu: (DG0122: CAT II) DBa sẽ đảm bảo tất cả các truy cập đến quản trị dữ

liệu nhạy cảm của DBMS đã lưu trữ trong CSDL và các file máy chủ bên ngoài được cấp chỉ cho DBA và CSDLcó tính quản trị có thẩm quyền khác và tài khoản OS

3.2.58.DM6150: Lựa chọn móc nối cắt ngang quyền sở hữu db

Thẩm định và cung cấp tài liệu yêu cầu cho sử dụng móc nối ngang quyền sở hữu db trong kế hoạch đảm bảo an toàn hệ thống và tài liệu kiến trúc chức năng của AIS.trường hợp không có thẩm quyền thì vô hiệu hóa sự sử dụng của nó

MAC/CONF: CSP;2-CSP;3-CSPĐiều khiển IA : ECLP kiểu kiểm

1-tra:Manual Mức độ CSDL:False Chịu trách nhiệm:DBA Khả năng tài liệu hóa: FalseTham chiếu: Database STIG 3.3.11.1

STIG yêu cầu: (DG0121: CAT II) DBA sẽ đảm bảo đặc quyền CSDL được gán thông

qua vai trò và không trực tiếp gán cho tài khoản của CSDL.Đặc quyền

có thể được gán trực tiếp cho ứng dụng của tài khoản sở hữu mà DBMS không hỗ trợ truy cập thông qua vai trò của nó

3.2.59.DM6189: Thư mục cho file dữ liệu chuyên dụng

Tạo ít nhất một phân vùng ổ đĩa chuyên dụng để lưu trữ dữ liệu và file log

Tạo thư mục chuyên dụng để lưu trữ file dữ liệu của CSDL đối với mỗi ứng dụng riêng biệt mà

sử CSDL

Chỉ định phân vùng ổ đĩa chứa file dữ liệu của CSDL đối với thư mục dữ liệu mặc định

Định dạng
Số trang	132
Dung lượng	1,07 MB

Sự cần thiết và hướng cách khắc phục lỗi phát hiện khi kiểm tra an toàn hệ quản trị CSDL microsoft SQL server

DG0079: DBMS mật khẩu phức tạp