SQL Server Management Studio 17.4或更高版本的SSMS中提供了SQL Server漏洞侦测（VA）功能，此功能允许SQL Server扫描您的数据库以查找潜在的安全漏洞，并且可以针对SQL Server 2012或更高版本运行。如果您还没有使用SSMS上的较新版本，请不要担心，您可以在此处 进行下载。
作者：依乐祝 原文地址：https://cloud.tencent.com/developer/article/1379793
写在前面
当我们对数据进行任何类型的扫描时总是让我很担心，因为进行数据库扫描时的性能影响可能真的会毁了你的一天。幸运的是，VA是轻量级的，并且可以在不影响性能的情况下运行，同时可以深入了解并指出我们可以在哪里改进SQL Server的安全性。该过程被设计成使用知识库规则来满足数据隐私标准和遵从性，这些规则寻找与Microsoft最佳实践的偏差从而给出。
实战演练
- 要运行漏洞侦测，只需选择我们需要扫描的数据库，然后右键单击并选择“任务”。在这里，您将看到漏洞评估选项接着选择扫描漏洞。如果您之前运行过一个VA，则可以通过选择“打开现有扫描”来访问它。
- 它会弹出一个窗口，然后我们按下图所示选择好结果保存的位置。单击“确定”后，该过程将运行。
- 在这里，点击上面的确定按钮后就会立即执行，执行完成后将弹出结果窗口。这里你可以看到我们的CzarCms的检查结果中有6个失败的检查结果，52个已通过的检查结果。它列出了每个检查的明细并给出了对应的评定的风险等级。
- 在错误列表中随便单击一个的失败检查结果，我们将看到更多详细信息以及对应的修复步骤，并提供进行修复的脚本（想想是不是有点小激动呢）。赶紧打开看看吧。
- 这里我们简单选择第二个吧，
VA1143 - 'dbo' user should not be used for normal service operation什么你看不懂？我擦，不会百度翻译啊？““dbo”用户不应该用于正常的服务操作”，啥意思呢？“dbo”或数据库所有者是一个用户帐户，它隐含了执行数据库中所有活动的权限。sysadmin固定服务器角色的成员自动映射到dbo。此规则检查dbo不是唯一允许访问此数据库的帐户。请注意，在新创建的干净数据库中，在创建其他角色之前，此规则将失败。总结一句话就是你得为你的数据库创建一个单独的用户来提高安全性。如图所示：
- 您可以在下面看到，它向我们描述了没有遵循的最佳实践规则，并提供了一个查询，我们可以运行该查询来查看结果。我真的很喜欢这个特性，并且它是一个方便的脚本，用于以后评估其他服务器的健康状况时使用。它甚至给了我们一个小的复制按钮，以复制出脚本和选项打开它在查询窗口。
- 只指出错误而不给出解决方法的行为是可耻的，所以伟大的微软给出了我们来补救的步骤以及脚本。这里我们进一步向下滚动，您将看到建议的补救步骤和脚本。如果没有提供脚本，它将为您提供一个链接，通过这个链接可以找到有关如何解决问题的正确文档。在我看来，VA做了很好的解释解决问题所需的东西。请记住，虽然这是由Microsoft创建的，但我还是建议你在生产环境部署之前来运行这个漏洞检查并进行相关的补救。
- 这里需要注意一下，如下图所示你可以设置结果基线 。基线允许您对结果报告中的错误结果进行接收，这样在下次漏洞扫描的时候这个错误的结果就不会出现在错误列表里面了。
- 通过将结果标记为BASELINE，您告诉VA，这个错误在您的环境中是可接受的，尽管它可能不符合最佳实践或监管标准。将来与基线匹配的任何内容都标记为在后续扫描中传递，并将记录按自定义基线传递的原因。这个基线匹配的结果会在后期的漏洞扫描进行传递，如下所示：我讲两个结果设置为了基线
- 当我再次扫描时，我们将会看到这一点。如下所示，扫描报告现在显示我只有1个失败（我没有修复的问题），附加信息列显示原因的基线。
总结
SQL Server漏洞评估是评估数据隐私、安全性和遵从性标准的一个非常好的第三方工具，并且非常容易使用。纸上得来终觉浅，还不赶紧尝试一下，看看数据库存在哪些可以提升的地方吧。
