IT操作系统和数据库安全作业指导书
防火墙配置基准
防火墙的缺省包过滤规则为允许，在调试过程完成，测试结束后，一定要将防火墙的默认允许，改为禁止。
若防火墙的默认规则为全通的规则，请删除默认的安全规则，然后按照网络实际环境配置相应的安全规则，并且尽量不要设置地址和服务有ANY的规则，
为了有效保护内网与防火墙自身的抗攻击能力，可以打开防火墙的抗攻击功能，（建议在网络流量大的情况下不会开此功能，会影响网络的处理速度）
为了有效的保护内部的网络地址，并解决网络地址不足的问题，请尽量使用防火墙的ＮＡＴ功能，把内网的IP地址转换成防火墙的公网地址后再访问外部网络。
为了保证防火墙本身的主机安全，不要随意开启防火墙的远程ＳＳＨ管理功能，建议使用WEB+HTTPS+密钥等有效的管理方法。
为了分析防火墙的数据包记录日志，应将防火墙的包过滤日志信息记录下来，用于对事件分析。
数据库配置基准
SQL Server 2000/2008数据库安全配置标准
安装数据库的主机要求
主机应当专门用于数据库的安装和使用
数据库主机避免安装在域控制器上
主机操作系统层面应当保证安全：
SQL Server 2000/2008数据库需要安装在Windows Server系统上
数据库软件安装之前，应当保证主机操作系统层面的安全
需要对主机进行安全设置
补丁更新
防病毒软件安装
数据库补丁安装标准
在新安装或者重新安装的数据库系统上，必须安装最新的Service Pack类补丁。
存储过程配置标准
应删除SQL server中无用的存储过程，这些存储过程极容易被攻击者利用，攻击数据库系统。删除的存储过程包括：
xp_cmdshell
xp_regaddmultistring
xp_regdeletekey
xp_regdeletevalue
xp_regenumvalues
xp_regread
xp_regremovemultistrin
xp_regwrite
xp_sendmail
注意：删除存储过程要慎重，需要测试哪些存储过程是数据库实例所需要的。
数据库口令安全配置标准
SQL Server 2000/2008有两种登录验证方式：一是通过操作系统账号登录，另一个是通过数据库账户进行登录验证。由于应用的需要，大多数据库安装选择两种验证的混合方式，其中sa为SQL Server 2000/2008内置的数据库账户，需要为sa账户密码的复杂强度进行设置。另外，应用系统可能还会建立普通的账户，拥有特定数据库的存取权限，对于普通账户，也要设置强壮的密码。
密码复杂性配置要求
密码长度至少为6位
必须为sa账户和普通账户提供复杂的口令，需要包含以下字符：
英语大写字母 A, B, C, … Z
英语小写字母 a, b, c, … z
西方阿拉伯数字 0, 1, 2, … 9
非字母数字字符，如标点符号，@, #, $, %, &, *等
禁用guest账户
在操作系统层面禁用guest账户。
目录和文件安全标准
数据库安装文件系统要求
数据库软件应当安装在NTFS分区的文件系统上。
目录保护配置要求
受保护的目录如下表所示：
保护的目录
应用的权限
X:\Program Files\Microsoft SQL Server
Administrators：完全控制
System：完全控制
Authenticated Users：读取和执行、列出文件夹内容、读取
Users:读取及运行、列出文件夹目录
X代表磁盘符号，如C盘。
初始安装文件删除要求
安装完数据库系统，应当删除安装日志文件。
文件名
目录
setup.iss
X:\Program Files\Microsoft SQL Server\Install
sqlstp.log
X:\Program Files\Microsoft SQL Server\Install
sqlsp.log
X:\Program Files\Microsoft SQL Server\Install
数据库网络服务配置标