Online Documentation for SQL Administrator for SQL Server

Безопасность

На вкладке Security можно настроить экземпляр Microsoft ® SQL Server, задав параметры, относящиеся к безопасности сервера в группах: Server Authentication, Login audit level, Other security options, xp_cmdshell Proxy Account.

Server authentication

Windows Authentication mode

Когда пользователь подключается к серверу с помощью учетной записи Microsoft ® Windows, SQL Server проверяет имя учетной записи и пароль, используя информацию операционной системы Windows. Это режим идентификации является используемым по умолчанию. Он гораздо более безопасный, чем смешанный. Проверка подлинности Windows использует протокол безопасности Kerberos, обеспечивает политику паролей с точки зрения сложности проверки надежных паролей, поддерживает блокировку учетных записей, а также поддерживает истечение срока действия пароля.

SQL Server and Windows Authentication mode

Выбрав этот пункт, вы активируете смешанный режим аутентификации. В этом режиме пользователи могут подключаться, используя как Windows Authentication, так и SQL Server Authentication.

Пользователи, которые подключаются с помощью учетной записи пользователя Windows, могут использовать проверенные соединения, которые проверяются Windows.

Login audit level

None - не заносить в журнал попытки аутентификации.

Failed logins only - заносить в журнал неудачные попытки аутентификации.

Successful logins only - заносить в журнал случаи правильной аутентификации.

Both failed and successful logins - заносить в журнал все попытки аутентификации.

Other security options

Cross database ownership chaining

Установите этот флажок, чтобы включить межбазовые цепочки владения для экземпляра Microsoft SQL Server для всех баз данных.

C2 audit mode

Включение этого параметра заставляет сервер регистрировать как успешные, так и неуспешные попытки получения доступа к инструкциям и объектам. Эти сведения позволяют профилировать работу системы и отслеживать возможные нарушения политики безопасности.

Common Criteria compliance

Установка этого флажка включает следующие элементы, необходимые для поддержки стандарта Common Criteria.

• Residual Information Protection (RIP) - Защита остаточных данных

Критерий RIP требует, чтобы выделяемая память была перезаписана известным битовым шаблоном, прежде чем она будет перераспределена для другого ресурса. Соответствие стандарту RIP может повысить безопасность, однако может привести к снижению производительности. После включения параметра common criteria compliance enabled производится перезапись памяти.

• The ability to view login statistics - Возможность просматривать статистику имени входа

После включения параметра common criteria compliance enabled включается аудит входа. Каждый раз, когда пользователь успешно входит в SQL Server, становятся доступными сведения о времени последнего успешного входа, времени последней неудачной попытки входа и о количестве попыток между последним успешным уходом и текущим входом. Чтобы увидеть статистику входа, запросите динамическое административное представление sys.dm_exec_sessions.

• Column GRANT should not override table DENY - Разрешение GRANT на столбец не переопределяет запрета DENY на таблицу

После включения параметра common criteria compliance enabled запрет DENY на уровне таблицы имеет больший приоритет, чем разрешение GRANT на уровне столбца. Если этот параметр выключен, разрешение GRANT на столбец имеет больший приоритет, чем запрет DENY на уровне таблицы.

xp_cmdshell Proxy Account

Эта опция позволяет пользователям SQL сервера, которые не принадлежат к фиксированной роли сервера sysadmin, выполнять команды xp_cmdshell и владеть объектами SQL Server - jobs. Чтобы получить доступ к этой функции,  необходимо ввести имя учетной записи и пароль учетной записи в поля Account name и Account Password соответственно.

Эта опция доступна только при использовании SQL Server 2005 (и выше). Имя пользователя, используемое  для прокси-сервера должно иметь минимум привилегий, необходимых для выполнения предусмотренной работы. Чрезмерные льготы для учетной записи могут быть использованы злоумышленниками для взлома вашей системы безопасности.