Microsoft 2003 SERVER SQL KONTROL LİSTESİ SETTINGS EXPLANATION KONTROL ÖNERİLEN DEĞER / AÇIKLAMA DURUM MEVCUT DEĞER / AÇIKLAMA.

Transkript

1 Microsoft 2003 SERVER SQL KONTROL LİSTESİ IP: Kontrol Eden: Tarih: Kontol Listesi Kayıt No: N Uygulama SETTINGS OS Service Pack and Hot Fix Denetleme (İşletim sistemi servis paketi ve yama) En son servis paketi ve sonrasında çıkan gerekli tüm yamalar uygulandımı Systeminfo, HFNetCHK komutları makine üzerinde çalıştırılıp kayıtlar alınmalı. Microsoft Baseline Security Analyzer ile sunucu kontrol edilerek eksik yamalar tamamlanır ve açıklar kapatılır Rename Local Admin User (Yerel yönetici hesabı isim değişikliği) hesabının ismi değiştirilmiş mi? Guest Account yapılmış mı? ACCOUNT POLICIES (Local s/account Policies) + Password (Parola İlkesi Denetleme) Enforce password history 24 Maximum password age 24 Minimum password age 1 Minimum password length 8 Password must meet complexity requirements Store password using reversible encryption for all users in the domain + Account Lockout (Hesap Kilitleme İlkesi Denetleme) Account lockout duration 15 Account lockout threshold 15 Reset account lockout counter after 15 AUDIT POLICIES (Local s/local Policies/Audit ) + Local Policies (Yerel Denetleme ilkeleri) Audit account logon events Audit account management Audit directory service access No Auditing Audit logon events Audit object access Audit policy change Audit privilege use Audit process tracking Audit system events EVENT LOG SETTINGS (Olay Günlük Ayarları) Log dosyaları düzenli olarak arşivlenmeli ve analiz edilmeli Olay Kayıt dosyaları, işletim sisteminden farklı bir sabit disk bölümü üzerinde mi? KONTROL ÖNERİLEN DEĞER / AÇIKLAMA DURUM MEVCUT DEĞER / AÇIKLAMA EXPLANATION

2 1. Click Start, click Run, type regedt32, and then click OK. 2. On the Windows menu, click HKEY_LOCAL_ MACHINE on Local Machine. For the System log: a. Click the System\CurrentControlSet\Services\EventLog\System folder, and then double-click the FILE value. b. Type the new drive and path in the String box, include the file name \SysEvent.Evt, and then click OK. The default path is %SystemRoot%\System32\Config\SysEvent.Evt For the Application log: a. Click the System\CurrentControlSet\Services\EventLog\Application folder, and then double-click the FILE value. b. Type the new drive and path in the String box, include the file name \AppEvent.Evt, and then click OK. The default path is %SystemRoot%\System32\Config\AppEvent.Evt For the Security log: a. Click the System\CurrentControlSet\Services\EventLog\Security folder, and then double-click the FILE value. b. Type the new drive and path in the String box, include the file name \SecEvent.Evt, and then click OK. The default path is %SystemRoot%\System32\Config\SecEvent.Evt 3. Quit Registry Editor, and then restart the computer. + Application Log (Uygulama logları) Maximum Event Log Size Restrict Guest Access + Security Log (Güvenlik logları) Maximum Event Log Size Restrict Guest Access + System Log (Sistem logları) Maximum Event Log Size Restrict Guest Access SECURITY SETTINGS (Local s/local Policies/Security ) + Major s Network Access: Allow Anonymous SID/ Translation: Network Access: Do not allow Anonymous Enumeration of SAM Accounts 150 MB 250 MB 150 MB Network Access: Do not allow Anonymous Enumeration of SAM Accounts and Shares + Minor s Accounts: Guest Account Status Accounts: Limit local account use of blank passwords to console logon only Devices: Allowed to format and eject removable media Devices: Prevent users from installing printer drivers Devices: Unsigned Driver Installation Behavior "Warn, but allow " Domain Member: Machine Account Password Changes Domain Member: Maximum Machine Account Password Age 30 Day Domain Member: Require Strong (Windows 2000 or later) Session Key Interactive Logon: Do Not Display Last User Interactive Logon: Do not require CTRL+ALT+DEL Interactive Logon: Prompt User to Change Password Before Expiration 14 days Interactive Logon: Require Domain Controller authentication to unlock workstation Microsoft Network Client: Send Unencrypted Password to Connect to Third-Part SMB Server

3 Microsoft Network Server: Amount of Idle Time Required Before Disconnecting Session 15 minutes Microsoft Network Server: Disconnect clients when logon hours expire Network Access: Do not allow storage of credentials or.net passports for network authentication Network Access: Let Everyone permissions apply to anonymous users System\CurrentControlSet\Control\ProductOptions Network Access: Remotely accessible registry paths System\CurrentControlSet\Control\Server Applications Software\Microsoft\WindowsNT\CurrentVersion Software\Microsoft\Windows NT\CurrentVersion\Print Software\Microsoft\Windows NT\CurrentVersion\Windows System\CurrentControlSet\Control\Print\Printers System\CurrentControlSet\Services\Eventlog Software\Microsoft\OLAP Server System\CurrentControlSet\Control\ContentIndex Network Access: Remotely accessible registry paths and subpaths System\CurrentControlSet\Control\Terminal Server System\CurrentControlSet\Control\Terminal Server\UserConfig System\CurrentControlSet\Control\Terminal Server\DefaultUserConfiguration Software\Microsoft\Windows NT\CurrentVersion\Perflib System\CurrentControlSet\Services\SysmonLog Network access: Restrict anonymous access to d Pipes and Shares Network Security: Do not store LAN Manager password hash value on next password change Network Security: LAN Manager Authentication Level Send NTLMv2, refuse LM and NTLM Network Security: LDAP client signing requirements Negotiate Signing or Require Signing Network Security: Minimum session security for NTLM SSP based (including secure Require Message Integrity, Message Confidentiality, NTLMv2 RPC) clients Session Security, 128-bit Encryption Network Security: Minimum session security for NTLM SSP based (including secure Require Message Integrity, Message Confidentiality, NTLMv2 RPC) servers Session Security, 128-bit Encryption Recovery Console: Allow Automatic Administrative Logon Shutdown: Allow System to be Shut Down Without Having to Log On System cryptography: Force strong key protection for user keys stored on the computer User must enter a password each time they use a key System objects: Default owner for objects created by members of the group Object Creator System objects: Strengthen default permissions of internal system objects MICROSOFT SECURITY STANDARTS (MMS - Sistem güçlendirmesi için registry değişiklikleri) + Dos Saldırılarından Korunmak İçin Gereken Ayarlar HKLM\System\CurrentControlSet\Services\Tcpip\Parameters\ DeadGWDetect 0 ICMPRedirect 0 PMTUDiscovery 0 SecurityFilters 1 KeepAliveTime NoReleaseOnDemand 1 PerformRouterDiscovery 0 SynAttackProtect 2 TcpMaxConnectResponseRetransmissions 3 TCPMaxPortsExhausted 5 TcpMaxHalfOpen 200 TcpMaxHalfOpenRetried 150 IpRouter 0 IpSourceRouting 2 + Çalışan Servis Altyapısını Güçlendirmek için Gereken Ayarlar HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\AFD\Parameters\

4 DynamicBacklogGrowthDelta 10 DynamicBacklog MaximumDynamicBacklog MinimumDynamicBacklog 20 Lanman Şifre Özeti REGISTRY [HKLM\System\CurrentControlSet\Control\Lsa] NoLMHash 1 DON'T DISPLAY LAST USERNAME ON LOGON SCREEN (Logon ekranında görünen en log on olan kullanıcı isminin kaldırılması) REGISTRY [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System] DontDisplayLastUsername 1 TURN OFF DEFAULT SHARES (Default Paylaşımların Kaldırılması) REGISTRY [HKLM\System\CurrentControlSet\Services\LanManServer\Parameters] AutoShareWks 0 AutoShareServer 0 PREVENT ANONYMOUS ACCESS (Ziyaretçi Erişim Hakkının Kaldırılması) REGISTRY [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa] restrictanonymous Döküm Dosyasının Saklanması REGISTRY (HKLM\System\CurrentControlSet\Control\CrashControl\) CrashDumpd 0 TURN OFF AUTORUN CDROM (Otomatik CD-Rom Denetiminin Kaldırılması) REGISTRY (HKLM\System\CurrentControlSet\Services\Cdrom\) Autorun 0 DELETİNG PAGE FILE ON SHUTDOWN (Takas dosyalarının silinmesi) REGISTRY (HKLM\System\CurrentControlSet\Control\Session Manager\Memory Management\) ClearPageFileAtShutdown 1 ENABLE SAFE DLL SEARCH MODE (Güvenli dll arama Mödülü Kullanımı) REGISTRY (HKEY_LOCAL_MACHINE\ SYSTEM\CurrentControlSet\Control\Session Manager\) Safe DLL search mode USER RIGHTS POLICY SECURITY [Local s\local Policies\User Rights Assignment\] Access this computer from network. Backup files and directories, Backup Operators Change system time Log on locally Manage auditing and security log Restore files and directories, Backup Operators Take ownership of files and other objects Act as part of the operating system None Debug programs Generate security audits Log on as a service Shut down the system NTFS ACCESS CONTROL LIST (NTFS erişim izinleri) Kritik Dizinlere Uygulanacak Erişim Listesi Dosya Yolu Access Kontrol Listesi %SystemRoot%\system32\ : Full; System: Full %SystemRoot%\system32\drwatson.exe : Full; System: Full

5 %SystemRoot%\system32\drwtsn32.exe : Full; System: Full;Interactive: Full %SystemRoot%\system32\edlin.exe : Full; System: Full %SystemRoot%\system32\eventcreate.exe : Full; System: Full %SystemRoot%\system32\eventtriggers.exe : Full; System: Full;Interactive: Full %SystemRoot%\system32\ftp.exe : Full; System: Full;Interactive: Full %SystemRoot%\system32\net.exe : Full; System: Full;Interactive: Full %SystemRoot%\system32\net1.exe : Full; System: Full;Interactive: Full %SystemRoot%\system32\netsh.exe : Full; System: Full;Interactive: Full %SystemRoot%\system32\rcp.exe : Full; System: Full;Interactive: Full Yüklü Programları Sunucu üzerinde 3rd party yazılım bulunmakta mı? Add-Remove Programs Ayarları Add-Remove Programs Ayarlarından gereksiz proğramlar kaldırıldı mı? Sabit Disk Dosyalama Sistemi Tüm sabit disk NTFS dosyalama sistemi kullanılarak biçimlendirilmiş mi? Virus Koruma Programının Yüklenmesi (Sunucu yerel network'te ise merkezi AV sunucusuna bağlı, DMZ'te ise internetten Update almalı) Sunucu üzerinde gerçek zamanlı virüs koruması var mı? Periyodik tam virüs taraması yapılıyor mu? Veritabanı güncel mi? Backup (Yedekleme) Sunucu üzerinde backup alınıyor mu? Hangi dizinler backuplanıyor? Şifre Korumalı Ekran Koruyucusunun Devreye Alınması Display Properties/ScreenSaver/ Şifre korumalı ekran koruyucusu 3 dk. içinde devreye girecek şekilde ayarlı mı? SQL Security Fiziksel Güvenlik Action Startup Status SQL sunucuya internet üzerinden doğrudan erişim olmamalı Test ve Production ortamı birbirinden ayrılmalı SQL sunucu üzerinden başka hizmetler sunulmamalı (mail, web gibi) Windows "guest" kullanıcısı Tüm volume/partition lar NTFS dosya sistemi ile formatlanmış olmalı Kritik bilgiler RAID sistemler üzerinde tutuluyor mu? SQL program dosyaları ile SQL data dosyaları farklı partitionlarda tutuluyor mu? Gereksiz Servisleri Kapatma SERVICES Service Startup Status Alerter ClipBook Computer Browser DHCP Client Distributed Link Tracking Server Distributed File System Fax Services Internet Connection Sharing Ipsec Agent (kullanılmıyorsa) Error Reporting Service Human Interfeca Device Acces IMAPI CD-Burning COM Service Intersite Messaging Kerberos Key Distribution Center License Logging Messenger Netmeeting Remute Desktop Sharing Network DDE Temute Acces AutoConnection Manager

6 Remute Prosedur Call (RPC) Locator Routing and Remute Access Server Telnet Terminl Services Session Directory Themes WebClient Windows Audio Windows Image Acquisition (WIA) Winetd-Windows Inetd Workstation Remote Access Connection Manager Remote Registry Service Removable Storage RunAs Service Smart Card Smart Card Helper SSL (Secure Socket Layer) Sertifikası Kontrolleri Geçerli bir sayısal sertifika Kullanılmalı Sertifikasının geçerlilik süresi kontrol edilmeli HKey_Local_Machine\System\CurrentControlSet\Control\ SecurityProviders \SCHANNEL\Protocols\SSL 2.0\Server Haberleşme için kullanılan ssl altyapısı sadece SSLv3 desteklemeli Değer Adı: Değer Türü: DWORD Değer Adı: (binary degeri) Settings and configuration follow this URL: SSL_RSA_EXPORT_WITH_RC4_40_MD5 Zayıf şifreleme algoritmaları kaldırılmalı SSL_RSA_EXPORT_WITH_RC2_CBC_40_MD5 SSL_RSA_EXPORT1024_WITH_DES_CBC_SHA SSL_RSA_EXPORT1024_WITH_RC4_56_SHA SSL_RSA_EXPORT_WITH_RC4_40_MD5 Kurulum ve Kullanıcı Hakları Action Startup Status En son servis paketi ve sonrasında çıkan gerekli tüm yamalar uygulandımı Ön tanımlı SQL portları değiştirilmeli (1433, 1434) Windows Authentication kullanılmalı Kurulumla birlikte gelen örnek databaseler silinmeli (Pubs, Northwind) Regedit.exe silinmeli MSSQL Server Service Account minumum yetki verilmeli (SSL kullanımlarında bu account Local Admin haklarına sahip olabilir.) SQLServerAgent Service Account minumum yetki verilmeli SQL Server Properties Enterprise Manager/General tab of SQL Server Properties Select Auto restart SQL Server Autostart Distributed Transaction Coordinator = Off cross database-ownership chaining Enterprise Manager/Security tab of SQL Server Properties Authentication: Windows Only Audit level: Failure or All Enterprise Manager/Connections tab of SQL Server Properties Verify remote server connections are not enabled Selected Enterprise Manager/Server Settings tab/server behavior of SQL Server Properties Do not enable direct modifications to the system catalogs Enterprise Manager/Database Setting Tab Backup/Restore Timeout period 5 minutes

7 Default backup media retention Enterprise Manager/Other SQL Server Configuration Options Scan for startup procedures = 0 Save a maximum of 14 SQL error logs Do not enable SQlAgent Mail Error Log/Include execution trace messages Tehlikeli Genişletilmiş ' ler xp_available media xp_cmdshell xp_dirtree xp_dsninfo xp_enumdsn xp_enumerrorlogs xp_enumgroups xp_eventlog xp_fixeddrives xp_getfiledetails xp_getnetname xp_logevent xp_loginconfig xp_msver xp_readerrorlog xp_servicecontrol xp_sprintf xp_sscanf xp_subdirs xp_unc_to_drive Tehlikeli Genişletilmiş SQLmail ' ları xp_delet xp_findnextmsg xp_get_mapi_default_profile xp_get_mapi_profiles xp_readmail xp_sendmail xp_startmail xp_stopmail Tehlikeli Genişletilmiş WebTask ' ları xp_cleanupwebtask xp_convertwebtask xp_dropwebtask xp_enumcodepages xp_makewebtask xp_readwebtask xp_runwebtask Tehlikeli Genişletilmiş SNMP ' ları xp_snmp_getstate xp_snmp_raisetrap Tehlikeli Genişletilmiş OLE Automation ' ları sp_oacreate sp_oadestroy sp_oageterrorinfo sp_oagetproperty sp_oamethod at least 1 day off

8 sp_oasetproperty Tehlikeli Genişletilmiş Registry access ' ları xp_regaddmultistring xp_regdeletekey xp_regdeletevalue xp_regenumvalues xp_regremovemultistring xp_regwrit SQL PROFILER AUDIT POLICIES + SQL Profiler Audit Add DB User Audit Add Login to Server Role Audit Add Member to DB Role Audit Add Role Audit Add Login Audit App Role Change Password Audit Backup/Restore Audit Change Audit Audit DBCC Audit Login Audit Login Change Password Audit Login Change Property Audit Login Failed Audit Login GDR Audit Object GDR Audit Statement GDR Audit Object Derived Permissions DİĞER SQL SERVER GÜVENLİK AYARLAMALARI SQL hata mesajları istemciye gösterilmiyecek şekilde ayarlanmalı Kullanıcı girdileri SQL statement' a sokulmadan girdi denetiminden geçirilmeli Addition, Deletion Addition, Removal Addition, Removal Addition, Deletion Addition, Deletion Backup, Restore AUDIT modifications DBCC commands Success Success Success Failed Grant, Deny, Revoke Grant, Deny, Revoke Grant, Deny, Revoke CREATE, ALTER Lejant Uygulanmasında sakınca yoktur Kontrolü Yapılmalı Uygulamada Sorun Yaratabilir