Considérations sur la sécurité pour une installation SQL Server

  • Article

S’applique à :SQL Server - Windows uniquement

La sécurité est importante pour chaque produit et chaque activité. En respectant les recommandations les plus simples, vous pouvez éviter de nombreuses failles de sécurité. Cet article traite des recommandations de sécurité qu’il est conseillé de suivre avant d’installer SQL Server et après avoir installé SQL Server. Des conseils en matière de sécurité concernant des fonctionnalités spécifiques sont inclus dans les articles de référence de ces fonctionnalités.

Avant d’effectuer l’installation SQL Server

Suivez ces recommandations lors de la définition de l'environnement du serveur :

Renforcez la sécurité physique.

L'isolement au niveau physique et logique est à la base de la sécurité de SQL Server . Pour améliorer la sécurité de l'installation SQL Server au niveau physique, procédez comme suit :

  • Placez le serveur dans une pièce à laquelle seules les personnes autorisées peuvent accéder.

  • Placez les ordinateurs qui hébergent une base de données dans un lieu protégé physiquement, idéalement dans une salle fermée à clé, équipée de systèmes pour la détection et la lutte contre les inondations et les incendies.

  • Installez les bases de données dans la zone de sécurisation de l'intranet de l'entreprise et ne connectez pas vos instances SQL Server directement à l'internet.

  • Sauvegardez régulièrement toutes les données et conservez les copies de sauvegarde dans un lieu sécurisé situé en dehors de l'entreprise.

Utilisez des pare-feu.

Les pare-feu sont importants afin d'aider à sécuriser l'installation de SQL Server . Les pare-feu seront d'autant plus efficaces que vous suivrez ces directives :

  • Placez un pare-feu entre le serveur et Internet. Activez votre pare-feu. Si votre pare-feu est désactivé, activez-le. Si votre pare-feu est activé, ne le désactivez pas.

  • Divisez le réseau en zones de sécurité séparées par des pare-feu. Bloquez tout le trafic, puis sélectionnez uniquement ce qui est obligatoire.

  • Dans un environnement à plusieurs niveaux, utilisez plusieurs pare-feu pour créer des sous-réseaux filtrés.

  • Lorsque vous installez le serveur à l'intérieur d'un domaine Windows, configurez des pare-feu internes pour autoriser l'authentification Windows.

  • Si votre application utilise des transactions distribuées, vous devrez éventuellement configurer le pare-feu pour autoriser le trafic MS DTC ( Microsoft Distributed Transaction Coordinator) entre des instances MS DTC distinctes. Vous devrez configurer également le pare-feu afin de permettre au trafic de s'écouler entre les instances MS DTC et les gestionnaires des ressources tels que SQL Server.

Pour plus d’informations sur les paramètres par défaut du Pare-feu Windows et pour obtenir une description des ports TCP qui affectent le Moteur de base de données, Analysis Services, Reporting Serviceset Integration Services, consultez Configurer le Pare-feu Windows pour autoriser l’accès à SQL Server.

Isolez les services.

Le fait d'isoler les services réduit le risque qu'un service compromis soit utilisé pour en compromettre d'autres. Pour isoler des services, tenez compte des consignes suivantes :

Configurez un système de fichiers sécurisé

L'utilisation du système de fichiers correct accroît la sécurité. Pour les installations SQL Server , vous devez effectuer les tâches suivantes :

Utilisez le système de fichiers NTFS ou ReFS. Les systèmes de fichiers NTFS et ReFS sont recommandés pour les installations SQL Server, car ils sont plus stables et récupérables que les systèmes de fichiers FAT32. Les systèmes de fichiers NTFS et ReFS permettent également d’utiliser des options de sécurité telles que les listes de contrôle d’accès aux fichiers et aux répertoires. NTFS prend également en charge le chiffrement de fichiers EFS. Pendant l'installation, SQL Server définit les listes de contrôle d'accès appropriées sur les clés de Registre et les fichiers s'il détecte NTFS. Ces autorisations ne doivent pas être modifiées. Il se peut que les versions futures de SQL Server ne prennent pas en charge l'installation sur des ordinateurs dotés de systèmes de fichiers FAT.

Notes

Si vous utilisez le chiffrement EFS, les fichiers de base de données seront chiffrés sous l'identité du compte qui exécute SQL Server. Seul ce compte sera en mesure de déchiffrer les fichiers. Si vous devez modifier le compte qui exécute SQL Server, vous devez d’abord déchiffrer les fichiers sous l’ancien compte, puis les rechiffrer sous le nouveau compte de service.

Avertissement

L’utilisation du chiffrement de fichier via EFS peut entraîner de moins bonnes performances d’E/S, car le chiffrement rend synchrones les E/S asynchrones. Voir Les E/S de disque asynchrones apparaissent comme étant synchrones sur Windows. Au lieu de cela, vous pouvez utiliser des technologies de chiffrement SQL Server comme Transparent Data Encryption (TDE), Always Encrypted et les fonctions T-SQL de chiffrement au niveau des colonnes.

Désactivation des protocoles NetBIOS et SMB (Server Message Block)

Les protocoles non nécessaires doivent tous être désactivés sur les serveurs du réseau de périmètre, y compris les protocoles NetBIOS et SMB.

Le protocole NetBIOS utilise les ports suivants :

  • UDP/137 (service de noms NetBIOS)

  • UDP/138 (service de datagrammes NetBIOS)

  • TCP/139 (service de sessions NetBIOS)

Le protocole SMB utilise les ports suivants :

  • TCP/139

  • TCP/445

Les serveurs Web et les serveurs DNS (Domain Name System) ne nécessitent pas l'utilisation du protocole NetBIOS ou SMB. Désactivez ces protocoles sur ces serveurs afin de réduire le risque lié à l'énumération utilisateur.

Installation de SQL Server sur un contrôleur de domaine

Pour des raisons de sécurité, nous recommandons de ne pas installer SQL Server sur un contrôleur de domaine. SQL Server ne bloquera pas l'installation sur un ordinateur qui est contrôleur de domaine, mais les limitations suivantes s'appliquent :

  • Vous ne pouvez pas exécuter les services SQL Server sur un contrôleur de domaine sous un compte de service local.

  • Après avoir installé sur un ordinateur SQL Server , vous ne pouvez pas modifier l'ordinateur d'un membre de domaine en un contrôleur de domaine. Vous devez désinstaller SQL Server avant de modifier l'ordinateur hôte en un contrôleur de domaine.

  • Après avoir installé sur un ordinateur SQL Server , vous ne pouvez pas modifier l'ordinateur d'un contrôleur de domaine en un membre de domaine. Vous devez désinstaller SQL Server avant de modifier l'ordinateur hôte en un membre de domaine.

  • Les instances de cluster de basculementSQL Server ne sont pas prises en charge quand les nœuds du cluster sont des contrôleurs de domaine.

  • Le programme d'installation deSQL Server ne peut pas créer de groupes de sécurité ni configurer de comptes de service SQL Server sur un contrôleur de domaine en lecture seule. Dans ce scénario, le programme d'installation échoue.

Pendant ou après l’installation de SQL Server

Après l'installation, vous pouvez renforcer la sécurité de l'installation SQL Server en suivant les recommandations suivantes pour les comptes et les modes d'authentification :

Comptes de service

  • Exécutez les services SQL Server en utilisant les autorisations les plus basses possibles.

  • Associez les services SQL Server à des comptes d'utilisateurs locaux Windows à faibles privilèges ou à des comptes d'utilisateurs de domaine.

  • Pour plus d’informations, consultez Configurer les comptes de service Windows et les autorisations.

Mode d'authentification

Mots de passe forts

  • Affectez toujours un mot de passe fort au compte sa .

  • Toujours activez la vérification de la stratégie de mot de passe pour vérifier la robustesse et l'expiration du mot de passe.

  • Utilisez toujours des mots de passe forts pour toutes les connexions SQL Server .

Important

Lors de l'installation de SQL Server Express une connexion est ajoutée pour le groupe BUILTIN\Users. Cela permet à tous les utilisateurs authentifiés sur l'ordinateur d'accéder à l'instance de SQL Server Express en tant que membres du rôle public. La connexion BUILTIN\Users peut être supprimée sans risque pour restreindre l'accès au Moteur de base de données aux utilisateurs de l'ordinateur qui disposent de connexions ou qui sont membres d'autres groupes Windows avec des connexions.

Voir aussi

Configurations matérielle et logicielle requises pour l’installation de SQL Server
Protocoles réseau et bibliothèques réseau
Inscrire un nom de principal du service pour les connexions Kerberos