数据库活动MSSQL数据库可疑活动分析

1. 数据库攻击与可疑活动概述

数据库攻击是指利用漏洞和技术手段，非法获取、修改或删除数据库中的数据。针对数据库的攻击行为逐渐复杂和多样化，攻击者会利用SQL注入、拒绝服务等方式进攻数据库。在现代网络安全中，数据库攻击已经成为了非常普遍的安全威胁之一。

当数据库出现异常的活动时，可能是攻击者正在利用您的系统资源或试图获取敏感信息。对于MSSQL数据库来说，我们需要警惕以下可疑活动：

尝试登录失败的账号

尝试针对系统或数据库的漏洞攻击

进行端口扫描和服务探测

异常的网络连接和数据传输

2. MSSQL数据库可疑活动检测

2.1 登录失败的账号

如果数据库中有一些账号频繁尝试登录，但都没有成功，就需要注意这些账号是否被黑客利用进行暴力破解。我们可以通过以下SQL语句查询数据库登录失败的次数：

SELECT COUNT(*) AS failed_logins
FROM sys.dm_exec_sessions
WHERE is_user_process = 1
 AND NT_USER_NAME <> 'SYSTEM'
 AND program_name = 'Microsoft SQL Server Management Studio - Transact-SQL IntelliSense'
 AND host_name() NOT IN ('localhost',
                       '127.0.0.1',
                       '::1',
                       'SERVER_IP_ADDRESS')
 AND status = 'running'
 AND login_time > DATEADD(minute, -30, GETDATE())
 AND host_process_id <> @@SPID
 AND EXISTS(SELECT *
            FROM sys.dm_exec_connections
            WHERE session_id = sys.dm_exec_sessions.session_id
             AND last_read > DATEADD(s, -1, GETDATE())
             AND client_net_address <> '')

以上SQL查询语句可以获取在最近30分钟内登录失败的次数。当我们发现某个账号登录失败的次数非常多，就可以考虑把这个账号禁止登录，并检查是否有恶意行为。

2.2 针对系统或数据库的漏洞攻击

除了账号暴力破解之外，黑客也可能会尝试利用系统或数据库的漏洞进行攻击。如果一个未授权的人员利用漏洞攻击了数据库服务器，就需要通过以下SQL语句查看攻击者的信息：

SELECT session_id,
    login_time,
    host_name,
    host_process_id,
    program_name,
    last_request_end_time,
    client_net_address,
    client_tcp_port
FROM sys.dm_exec_sessions
WHERE is_user_process = 0
    AND program_name <> 'Microsoft SQL Server Management Studio - Transact-SQL IntelliSense';

以上SQL查询语句可以获取当前所有连接到数据库的用户信息，我们可以通过检查client_net_address和client_tcp_port来确定是否有不可信的来自外网的连接。如果我们发现一个来自未知IP地址的用户正在进行数据库查询，就需要进一步排查是否有安全漏洞被攻击。

2.3 端口扫描和服务探测

黑客可能会扫描数据库服务器上的端口，并尝试探测已开放的服务。我们可以使用以下SQL语句检测端口扫描和服务探测活动：

SELECT COUNT(*)
FROM sys.dm_exec_connections
WHERE client_net_address = ''
    AND login_time > DATEADD(minute, -5, GETDATE()) 

以上SQL查询语句可以获取最近5分钟内用于探测的IP地址数量，如果数量非常大，就需要进一步检查数据库服务器是否存在漏洞。

2.4 异常的网络连接和数据传输

黑客可能会在数据库上进行异常网络连接操作，尝试窃取数据并将其转移到其他网络。我们可以使用以下SQL语句检测异常网络连接和数据传输：

SELECT t.TEXT,
    r.session_id,
    r.status,
    r.command,
    r.cpu_time,
    r.total_elapsed_time,
    r.reads,
    r.writes,
    r.logical_reads,
    r.percent_complete,
    r.row_count,
    database_transaction_log_bytes_used,
    database_transaction_log_bytes_reserved,
    database_transaction_log_record_count,
    database_transaction_log_bytes_used_system,
    database_transaction_log_generation,
    database_transaction_log_bytes_reserved_system
FROM sys.dm_exec_sessions AS s
    INNER JOIN sys.dm_exec_requests AS r ON r.session_id = s.session_id
    CROSS APPLY sys.dm_exec_sql_text(r.sql_handle) AS t
WHERE s.is_user_process = 1
    AND NOT EXISTS(SELECT *
        FROM sys.dm_exec_connections
        WHERE session_id = r.blocking_session_id)
    AND r.total_elapsed_time > 10000;

以上SQL查询语句可以获取输出某个会话的所有查询，并显示该查询正在使用的CPU、内存和I/O资源。通过检查这些指标，我们可以确定大量数据是否正在从数据库中传输为可疑活动。

3. 总结

保护MSSQL数据库不受攻击需要不断尝试进行安全检查，以及针对可疑活动进行及时的响应。以上SQL语句可以帮助管理员监测数据库登录、漏洞攻击、端口扫描和数据传输等活动，发现可疑活动并采取措施，从而保障数据库的安全性。