Jak utwardzić MS SQL Server 2008: 11 sposobów
Jako flagowe rozwiązanie RDBMS firmy Redmond, SQL Server zapewnia podstawową platformę danych dla szerokiej gamy rozwiązań korporacyjnych firmy Microsoft — od Sharepoint po BizTalk Server. To oczywiście sprawia, że wzmocnienie zabezpieczeń programu SQL Server jest krytyczną koniecznością dla ochrony infrastruktur skoncentrowanych na użytkownikach MS przed atakami. W tym celu przedstawiamy 11 sposobów na wzmocnienie zabezpieczeń MS SQL Server 2008.
1. Wyłącz konto \BUILTIN\Administrators, aby zwiększyć bezpieczeństwo
Na początek konto \BUILTIN\Administrators powinno zostać usunięte, a konto administratora systemu (sa) powinno być wyłączone. Ogólnie rzecz biorąc, uprawnienia administratora systemu powinny być mocno ograniczone; Zamiast tego użyj ról serwera, aby nadać uprzywilejowanym użytkownikom niezbędne uprawnienia do wykonywania określonych zadań na poziomie serwera.
2. Tworzenie grup zabezpieczeń w celu wprowadzania określonych modyfikacji programu SQL Server 2008
Poszczególne konta użytkowników nigdy nie powinny mieć dostępu do programu SQL Server. Zamiast tego należy najpierw utworzyć grupy zabezpieczeń w usłudze Active Directory (AD) dla określonych serwerów i zestawów uprawnień. Poszczególne konta użytkowników należy następnie dodać do odpowiednich grup zgodnie z wymaganiami.
3. Używanie portów TCP/IP innych niż domyślne w celu uzyskania dostępu do programu SQL Server 2008
Domyślne porty TCP/IP są powszechnie znane i w dużym stopniu wykorzystywane przez osoby atakujące zdalnie. Na przykład program SQL Server 2008 domyślnie nasłuchuje połączeń przychodzących na porcie TCP 1433. Ten i inne otwarte porty dostępu do bazy danych powinny być zatem zasłonięte niekonwencjonalnymi numerami portów.
4. Zainstaluj tylko wymagane składniki programu SQL Server 2008 i odinstaluj te, które nie są używane
SQL Server 2008 zawiera mnóstwo przydatnych, ale w większości niepotrzebnych komponentów, które zwiększają ogólną powierzchnię ataku. Dlatego takie elementy należy odinstalować lub całkowicie pominąć podczas początkowej instalacji. W razie potrzeby zawsze można je zainstalować później. SQL Server Analysis Services (SSAS), SQL Server Integration Services (SSIS) i Full-Text Engine/Filter Daemon Launcher to tylko kilka przykładów takich składników.
5. Wyłącz opcję xp_cmdshell
Ta wartość jest domyślnie wyłączona, ale mimo to należy sprawdzić, czy tak jest zawsze. Każdy proces systemu Windows utworzony przez xp_cmdshell uzyskuje takie same prawa zabezpieczeń jak konto usługi SQL Server.
6. Wyłącz nazwane potoki lub TCP/IP dla nawiązywania połączenia z SQL Server 2008
Oznacza to, że wybierz jedną lub drugą opcję nawiązywania połączenia z bazą danych, ale nie oba. Wybierz protokół, który najlepiej odpowiada Twoim potrzebom, i wyłącz drugi, ponieważ będzie on potrzebny tylko do nawiązywania połączenia z programem SQL Server 2008.
7. Zainstaluj usługi SQL Server Reporting Services (SSRS) i serwer bazy danych na oddzielnych serwerach
Usługi SSRS udostępniają pełną funkcjonalność serwera raportów za pośrednictwem usługi sieci Web serwera raportów, która niestety pozostawia lukę w warstwie zabezpieczeń bazy danych. Oddzielając usługi SSRS od serwera bazy danych, skutecznie zamykasz ten wektor ataku.
8. Wyłącz usługę zapisywania usługi SQL Server VSS
Usługa kopiowania woluminów w tle (VSS) jest jedyną usługą, która korzysta z usługi zapisywania VSS, więc jeśli nie używasz aplikacji, które wykorzystują usługę VSS do tworzenia kopii zapasowych baz danych SQL, możesz (i powinieneś) bezpiecznie wyłączyć usługę zapisywania VSS w celu wyeliminowania powiązanych wektorów ataków.
9. Wyłącz (lub pozostaw wyłączoną) usługę przeglądarki SQL Server Wyłączone
Ta usługa odpowiada na żądania zasobów SQL Server z odpowiednim portem, którego dotyczy problem. Ponownie - podobnie jak w punkcie #3 - zasłanianie portów jest kluczową strategią wzmacniania zabezpieczeń MS SQL Server 2008. Usługa SQL Server Browser zwykle nie jest wymagana i powinna być wyłączona w celu ukrycia portów związanych ze składnikami SQL Server.
10. Wyłącz lub zmień nazwę użytkownika bazy danych gościa
Bazy danych programu SQL Server 2008 zawierają użytkownika bazy danych gościa, którego nie można usunąć. To konto służy jako rodzaj ogólnego użytkownika dla loginów, które nie są mapowane na określonego użytkownika bazy danych. Ponieważ istnieje on domyślnie i nie można go usunąć, należy zmienić jego nazwę lub wyłączyć go, aby zapobiec jego wykorzystaniu.
11. Usuń wszystkie przykładowe bazy danych
Przykładowe bazy danych (np. Northwind i Pubs), które są fabrycznie zainstalowane z programem SQL Server 2008, są całkowicie niepotrzebne i powinny zostać usunięte, aby wyeliminować możliwość wykorzystania luki w zabezpieczeniach.
Krótko mówiąc, te 11 wskazówek dotyczących wzmacniania zabezpieczeń może skierować Cię na właściwą drogę do zwiększenia odporności programu SQL Server 2008 na cyberataki. Jeśli szukasz sposobu na automatyczne skanowanie w poszukiwaniu tych i innych luk w środowisku Windows, nie szukaj dalej — UpGuard może to zrobić automatycznie za pomocą kilku kliknięć myszą. Daj mu jazdę próbną już dziś, pierwsze 10 węzłów jest po nas.