SQL Server登录-失败的登录尝试

Question

有没有办法将连续失败的登录尝试设置为特定的次数，如3次或4次(对于SQL Server登录)？如果超过此计数，则期望锁定帐户。

Answer 1

您可以使用CREATE USER的CHECK_POLICY选项强制安装SQL server的Windows服务器的密码策略，请参见http://msdn.microsoft.com/en-us/library/ms189751.aspx和http://msdn.microsoft.com/en-us/library/ms161959.aspx。文档中并不清楚，但看起来如果错误尝试的次数超过了Windows安全策略的设置，用户将被自动锁定。

您需要在域或本地安全策略MMC管理单元中管理安全策略(请参阅http://technet.microsoft.com/en-us/library/dd277400.aspx)。

Answer 2

SQL Server中使用了两种身份验证模式: Windows身份验证和混合模式(同时启用Windows身份验证和SQL Server身份验证)

第一种模式是一种不太容易受到暴力攻击的方式，因为攻击者很可能在有限的攻击尝试次数(“3或4次这样的特定次数”)后遇到登录锁定(帐户锁定策略功能)。如果使用Windows身份验证模式，则每个生产环境都应利用锁定策略功能，因为它实际上排除了暴力破解攻击的成功

当谈到SQL Server身份验证暴力攻击漏洞时，情况就不那么光明了。事实上，SQL Server身份验证没有允许检测系统何时受到暴力破解攻击的功能。此外，在验证SQL Server身份验证凭据时，SQL Server的响应速度非常快。它可以轻松地处理重复的、攻击性的、暴力的登录尝试，而不会出现可能表明此类攻击的负面总体性能。这意味着SQL Server身份验证是通过暴力破解密码的完美目标