SQL Server高频SA登录失败排查及防护问题咨询

背景总结 #

你提到服务器错误日志体积过大，SQL Server服务CPU占用高达80%，且每秒都有来自不同客户端IP的sa账户登录失败日志——这明显是恶意的暴力破解尝试，咱们一步步解决你的问题：

1. 服务器是否遭遇SQL DDoS攻击？ #

严格来说，这更偏向针对sa账户的暴力破解攻击，而非传统意义上的资源耗尽型DDoS。不过大量高频的登录请求持续占用SQL Server的认证资源，导致CPU飙升到80%，已经产生了类似DDoS的服务性能影响。这种攻击的核心目的是猜解sa账户密码，而非单纯让服务宕机，但同样会严重影响服务器稳定性。

2. 如何减少登录失败日志的写入量？ #

要减少日志写入，核心是从「减少失败请求」和「优化日志记录策略」两方面入手：

• 拦截恶意请求（治标治本）：先阻止恶意IP的登录尝试，从源头上减少失败请求，自然会降低日志写入量（具体方法看问题3）。
• 调整SQL Server登录审核级别：在SSMS中右键服务器 → 属性 → 安全性 → 登录审核，将默认的「失败和成功的登录」改为仅限失败的登录；如果日志还是太多，可以考虑用扩展事件替代传统错误日志，扩展事件更轻量化，能精准记录必要的登录事件，减少冗余日志。
• 启用账户锁定策略：在SQL Server中配置登录失败次数锁定，比如设置连续5次失败后锁定账户10分钟，这样恶意尝试会被暂时阻断，减少后续日志生成。可以通过以下T-SQL配置：

ALTER LOGIN sa WITH CHECK_POLICY = ON, CHECK_EXPIRATION = ON;
EXEC sp_configure 'show advanced options', 1;
RECONFIGURE;
EXEC sp_configure 'login auditing', 1; -- 1=仅限失败登录
RECONFIGURE;

3. 若服务器遭SA账户暴力破解，如何限制客户端IP的请求？ #

这里有几个层级的解决方案，从临时应急到长期加固：

• 临时防火墙拦截：直接在Windows防火墙中创建入站规则，拒绝日志中出现的恶意IP（比如45.252.80.5、45.119.9.117等）访问SQL Server默认端口1433。如果是云服务器，也可以在云平台的安全组中配置IP黑名单。
• SQL Server登录触发器：创建一个服务器级触发器，当某个IP对sa账户的登录失败次数超过阈值时，自动阻止该IP的登录请求。示例代码如下：

CREATE TRIGGER BlockSaBruteForce
ON ALL SERVER WITH EXECUTE AS 'sa'
FOR LOGON
AS
BEGIN
    DECLARE @ClientIP VARCHAR(100) = EVENTDATA().value('(/EVENT_INSTANCE/ClientHost)[1]', 'varchar(100)');
    DECLARE @LoginName VARCHAR(100) = EVENTDATA().value('(/EVENT_INSTANCE/LoginName)[1]', 'varchar(100)');

    -- 检测10分钟内该IP对sa账户的失败登录次数是否超过5次
    IF @LoginName = 'sa' AND EXISTS (
        SELECT 1 
        FROM sys.dm_exec_sessions 
        WHERE is_user_process = 1 
          AND original_login_name = 'sa'
          AND client_net_address = @ClientIP
          AND login_time >= DATEADD(MINUTE, -10, GETDATE())
        GROUP BY client_net_address, original_login_name
        HAVING COUNT(*) > 5
    )
    BEGIN
        ROLLBACK; -- 阻止本次登录
    END
END;

• 长期安全加固：
  • 给sa账户改个非默认名称，比如改成Admin_SQL_Prod，减少被攻击的目标；
  • 如果不需要使用sa账户，直接禁用它：ALTER LOGIN sa DISABLE;；
  • 优先启用SQL Server的Windows身份验证，尽量避免使用SQL Server身份验证，减少账户暴露风险。

附错误日志 #

2020-01-19 16:28:39.47 Logon Error: 18456, Severity: 14, State: 7.
2020-01-19 16:28:39.47 Logon Login failed for user 'sa'. Reason: An error occurred while evaluating the password. [CLIENT: 45.252.80.5]
2020-01-19 16:28:39.55 Logon Error: 18456, Severity: 14, State: 7.
2020-01-19 16:28:39.55 Logon Login failed for user 'sa'. Reason: An error occurred while evaluating the password. [CLIENT: 45.119.9.117]
2020-01-19 16:28:39.67 Logon Error: 18456, Severity: 14, State: 7.
2020-01-19 16:28:39.67 Logon Login failed for user 'sa'. Reason: An error occurred while evaluating the password. [CLIENT: 45.119.9.117]
2020-01-19 16:28:39.76 Logon Error: 18456, Severity: 14, State: 7.
2020-01-19 16:28:39.76 Logon Login failed for user 'sa'. Reason: An error occurred while evaluating the password. [CLIENT: 45.119.9.117]
2020-01-19 16:28:39.82 Logon Error: 18456, Severity: 14, State: 7.
2020-01-19 16:28:39.82 Logon Login failed for user 'sa'. Reason: An error occurred while evaluating the password. [CLIENT: 45.119.15.184]
...

内容的提问来源于stack exchange，提问作者trantoan09