次の方法で共有

チェックリスト: データベース エンジンのセキュリティ構成

このチェックリストでは、SQL Server データベース エンジンの重要なセキュリティ構成オプションを確認します。このチェックリストを使用して、データベース エンジン環境を定期的に監査してください。以下の推奨設定は、セキュリティやビジネス ニーズに基づいて調整する必要があります。

物理的なセキュリティ

...

説明
ブール値フィールド アイコン
データベース エンジンをホストするコンピューターは、アクセスが制限された安全なデータ センターにありますか。

ヒント: 詳細については、「セキュリティ計画のサンプル: Adventure Works」を参照してください。
ブール値フィールド アイコン
バックアップは安全な場所に保存されていますか。

ヒント: 詳細については、「バックアップと復元のセキュリティについての考慮事項」を参照してください。
ブール値フィールド アイコン
データベース エンジン ファイル (.mdf ファイル、.ndf ファイル、.ldf ファイル) へのアクセスはファイル システム権限によって制限されていますか。

ヒント: データベース ファイルにアクセスできる悪意のあるユーザーによって、これらのファイルがデータベース エンジンの他のインスタンスにアタッチされる可能性があります。詳細については、「データ ファイルとログ ファイルのセキュリティ保護」を参照してください。
ブール値フィールド アイコン
データベース エンジン バイナリ ファイル (binn フォルダー内の sqlservr.exe) へのアクセスはファイル システム権限によって制限されていますか。

ヒント: SQL Server バイナリ ファイルにアクセスできる悪意のあるユーザーによって、サービスの障害や拒否が発生する可能性があります。
ブール値フィールド アイコン
監査ファイルへのアクセスはファイル システム権限によって制限されていますか。

ヒント: 高度なセキュリティ環境では、オブジェクト アクセスを記録するイベントを書き込むために適切な場所は Windows セキュリティ ログです。他の監査場所は、サポートされていますが、改ざんされる可能性が高くなります。詳細については、「サーバー監査イベントをセキュリティ ログに書き込む方法」を参照してください。
ブール値フィールド アイコン
公開暗号化キーと秘密暗号化キーのバックアップは安全な場所に保存されていますか。

ヒント: 暗号化キーがリムーバブル メディア (CD やフラッシュ ドライブ) にバックアップされている場合は、セキュリティで保護された場所 (アクセスが制御された安全な場所など) にキーのバックアップを保存する必要があります。別のハード ドライブにバックアップされている場合は、そのコンピューターを適切に保護する必要があります。
ブール値フィールド アイコン
拡張キー管理 (EKM) を使用している場合、ハードウェア セキュリティ モジュール (HSM) は適切に保護されていますか。

ヒント: 推奨設定については、HSM の製造元に問い合わせてください。

オペレーティング システムの構成

...

説明
ブール値フィールド アイコン
必要な例外のみで、SQL Server コンピューターはファイアウォールによって保護されていますか。

ヒント: Windows ファイアウォールを構成するには、wf.msc (または firewall.cpl) を使用します。詳細については、「SQL Server のアクセスを許可するための Windows ファイアウォールの構成」を参照してください。
ブール値フィールド アイコン
サーバーとクライアントのオペレーティング システムは認証の拡張保護を使用するように構成されていますか。

ヒント: 詳細については、「拡張保護を使用したデータベース エンジンへの接続」および「認証に対する保護の強化」を参照してください。
ブール値フィールド アイコン
オペレーティング システムが、可能な場合は自動更新を許可するように構成されていますか。

ヒント: 通常、実稼動環境では、更新プログラムを適用する前にテストを行う必要があります。更新プログラムのテストと適用は定期的に実行する必要があります。テストを実行していない場合は、更新プログラムを自動的にインストールすることをお勧めします。

データベース インスタンスの構成

...

説明
ブール値フィールド アイコン
データベース エンジンは、ビジネス ニーズに必要な最小限の特権が付与されたアカウントで実行されるように構成されていますか。

ヒント: 詳細については、「Windows サービス アカウントの設定」を参照してください。
ブール値フィールド アイコン
SQL Server 認証は、ビジネス ニーズで必要とされる場合を除いて、無効になっていますか。

ヒント: 「認証モードの選択」を参照してください。
ブール値フィールド アイコン
SQL Server 認証が有効になっている場合、SA アカウントは無効になっていますか。

ヒント: SA アカウントは、よく知られたアカウントで、悪意のあるユーザーの攻撃対象となることが少なくありません。ALTER LOGIN ステートメントを使用してこのアカウントを無効にします。sysadmin 固定サーバー ロールのメンバーシップを、Windows 認証を使用するログインに制限します。
ブール値フィールド アイコン
SQL Server 認証が有効になっている場合、SA アカウントの名前を変更しましたか。

ヒント: SA アカウントは、よく知られたアカウントで、悪意のあるユーザーの攻撃対象となることが少なくありません。このアカウントは、ALTER LOGIN ステートメントを使用して名前を変更すると保護できます。
ブール値フィールド アイコン
SA アカウントに強力なパスワードが指定されていますか。

ヒント: SA アカウントのパスワードは、SQL Server のセットアップ時に指定します。ただし、ALTER LOGIN ステートメントを使用して変更できます。
ブール値フィールド アイコン
SQL Server 認証が有効になっている場合、SQL Server では強力なパスワードを要求しますか。

ヒント: 明示的に除外される場合を除いて、SQL Server ログインはコンピューターのパスワード ポリシーを継承します。詳細については、CREATE LOGIN および ALTER LOGIN の CHECK_POLICY オプションを参照してください。
ブール値フィールド アイコン
SQL Server の不要な機能は無効になっていますか。

ヒント: ポリシー ベースの管理のセキュリティ構成ファセットを使用します。詳細については、「セキュリティ構成について」を参照してください。
ブール値フィールド アイコン
絶対に必要な場合を除いて、xp_cmdshell は無効になっていますか。

ヒント: 詳細については、「xp_cmdshell (Transact-SQL)」を参照してください。
ブール値フィールド アイコン
複数のデータベースが 1 つの単位として配置される場合を除いて、複数データベースの組み合わせ所有権は OFF に設定されていますか。

ヒント: 詳細については、「cross db ownership chaining オプション」を参照してください。
ブール値フィールド アイコン
SQL Server に対して Best Practices Analyzer (BPA) を定期的に実行していますか。

ヒント:Microsoft SQL Server 2008 R2 Best Practices Analyzer または SQL Server 2005 Best Practices Analyzer (2008 年 8 月) を使用します。
ブール値フィールド アイコン
データベース エンジンに最新のサービス パックが適用されていますか。

ヒント: 通常、実稼動環境では、サービス パックを適用する前にテストを行う必要があります。テストを実行していない場合は、サービス パックを自動的にインストールすることをお勧めします。
ブール値フィールド アイコン
サンプル データベース (AdventureWorks2008R2 など) が実稼動データベースにインストールされていないことを確認しましたか。

ヒント: サンプル データベースについて確認するには、SQL Server Management Studio を使用します。
  • Last updated on