为什么不推荐混合模式身份验证？

Question

我有一个名为计划和审计信息系统的课程，我遇到了一个类似这样的考试问题：

为什么不建议使用“SQL Server和Windows身份验证模式”来验证Microsoft SQL数据库？

我搜索了我的文献并搜索了它，但我无法找到这个问题的明确答案。有谁知道这个问题可能针对什么？

Answer 1

当使用混合身份验证启动SQL Server实例时，“sa”登录将启用完整的sysadmin权限并获得密码（希望是非常强大的密码）。 “sa”帐户是一个常见的攻击点。

有权访问实例的“sa”帐户的黑客不仅拥有受感染实例和任何链接服务器上的所有数据，而且还通过使用xp_cmdshell调用PowerShell来运行运行该实例的服务帐户的强大功能脚本等等。许多组织不遵循服务帐户的最佳实践，并且他们将使整个生产环境在一个或两个服务帐户下运行。这使得“sa”帐户对黑客来说是一个非常有吸引力的攻击点。

在Windows身份验证下，禁用“sa”登录。这可能是您的考试问题所在。

麦克沃尔斯顿的观点也非常正确。

Answer 2

当然，这只是我的观点，但不推荐的原因是您最终有2组不同的用户必须始终进行维护和监控。在现实世界中，这通常最终导致这两个组中的一个被忽略或未得到适当维护，通常是因为系统管理员维护Windows Auth用户并且DBA维护SQL Server用户。这种不一致可能会导致安全问题，或者用户最终同时使用Windows Auth用户名/密码和SQL Server用户名/密码的问题。停用用户时，有时只会停用两个帐户中的一个帐户，从而导致安全问题。