sql-server – 从未知来源恢复备份的安全隐患？

场景：您已交付数据库备份并告知将其还原到服务器(已经托管其他数据库),但没有提供有关备份包含的内容或源是否应该受信任的有用信息.

问题1：恢复可能是恶意的备份有什么潜在影响？

问题2：您可以采取哪些措施来保护您的服务器/其他数据库中的数据免受还原潜在恶意备份的影响？ RESTORE VERIFYONLY似乎是一个很好的第一步.最终的答案可能是“在无法访问外部世界的沙箱虚拟机中恢复数据库”,但我们假设该选项不在桌面上.在这种情况下还应该做些什么？

解决方法

数据库可能包含恶意代码,可能是一个将更改“sa”登录密码或删除每个数据库的过程.但是,我能看到导致问题的唯一方法是让个人恢复数据库,然后手动执行该数据库中的任何代码.它不会以任何自动方式执行.

没有可以在数据库中应用的设置,以使sql Server在将数据库还原到服务器时自动执行数据库中的某些代码.如果确实如此,我预计微软将放弃该产品的Common Criteria认证.这是一个很大的错误,允许DBMS给我.