SqlServer数据库测评

1、身份鉴别 （6）

a、对登录操作系统和数据库系统的用户进行身份标识和鉴别

• 测评方法

1、检查数据库系统是否对登录用户进行身份标识和鉴别（默认符合）

• 结果记录

#通过用户名/密码方式对登录操作系统的用户进行身份标识和鉴别。

b、 用户身份标识应具有不易被冒用的特点，口令有复杂度要求并定期更换

• 测评方法

1、对象资源管理器-安全性-登录名，右键各用户-属性-常规-强制实施密码策略、强制密码过期策略
	勾选“强制实时密码策略”、“强制密码过期策略”
2、控制面板-管理工具-本地安全设置-账户策略-密码策略
	密码必须符合复杂性要求：已启用
	密码长度最小值：8个字符
	密码最长使用期限：42天
	密码最短使用期限:2天
	强制密码历史：24个记住密码
3、在sql查询分析器中执行use master;select name,password from syslogins where password is null或使用数据库扫描软件，查看扫描结果中是否存在空口令/弱口令用户
	未发现弱口令、空口令用户

• 结果记录

#勾选强制实施密码策略，用户密码由数字、字母、字符组成，长度最少8位，但未勾选强制密码过期策略，未定期修改密码。
#启用数据库密码复杂度要求，勾选“强制实施密码策略”和“强制密码过期策略”。

c、启用登录失败处理功能，采取结束会话、限制非法登录次数和自动推出等措施

• 测评方法

1、对象资源管理器-安全性-登录名，右键各用户-属性-常规-强制实施密码策略
	勾选“强制实施密码策略”
2、控制面板-管理工具-本地安全设置-账户策略-账户