Considerazioni sulla protezione per un'installazione di SQL Server

La protezione di SQL Server è basata sull'isolamento fisico e logico. Per ottimizzare la protezione fisica dell'installazione di SQL Server, eseguire le operazioni seguenti:

• Collocare il server in un'area accessibile solo a persone autorizzate.

• Posizionare i computer che ospitano un database in un luogo fisicamente protetto. La soluzione ideale è rappresentata da una sala computer chiusa, con monitoraggio e rilevamento di allagamenti e sistemi di rilevamento e spegnimento incendi.

• Installare i database in un'area protetta della rete Intranet aziendale e non connettere i computer SQL Server direttamente a Internet.

• Eseguire regolarmente il backup di tutti i dati e archiviare tali backup in un luogo protetto fuori sede.

I firewall costituiscono un elemento importante ai fini della protezione dell'installazione di SQL Server e garantiscono la massima efficienza se vengono rispettate le linee guida seguenti:

• Inserire un firewall tra il server e Internet. Attivare il firewall. Se il firewall è disattivato, attivarlo. Se il firewall è attivato, non disattivarlo.

• Dividere la rete in aree di protezione separate da firewall. Bloccare tutto il traffico e quindi ammettere selettivamente soltanto il traffico necessario.

• In un ambiente multilivello utilizzare più firewall per creare subnet schermate.

• Se il server viene installato all'interno di un dominio Windows, configurare firewall interni per consentire l'autenticazione di Windows.

• Se l'applicazione utilizza transazioni distribuite, potrebbe essere necessario configurare il firewall in modo da consentire il flusso del traffico Microsoft Distributed Transaction Coordinator (MS DTC) tra istanze MS DTC separate. Sarà inoltre necessario configurare il firewall per consentire il flusso del traffico tra MS DTC e i gestori di risorse, ad esempio SQL Server.

Per ulteriori informazioni sulle impostazioni predefinite di Windows Firewall e per una descrizione delle porte TCP che interessano il Motore di database, Analysis Services, Reporting Services e Integration Services, vedere Configurazione di Windows Firewall per consentire l'accesso a SQL Server.

L'isolamento dei servizi riduce il rischio che un servizio compromesso venga utilizzato per comprometterne altri. Per isolare i servizi, osservare le linee guida seguenti:

• Eseguire servizi separati di SQL Server con account di Windows separati. Laddove possibile, utilizzare account di Windows o account utente locale con diritti minimi distinti per ogni servizio di SQL Server. Per ulteriori informazioni, vedere Impostazione di account di servizio Windows.

L'utilizzo del file system corretto garantisce una maggiore protezione. Per le installazioni di SQL Server, è necessario effettuare le operazioni seguenti:

• Utilizzare il file system NTFS. NTFS è il file system più appropriato per le installazioni di SQL Server in quanto è più stabile e ripristinabile rispetto ai file system FAT. NTFS supporta inoltre opzioni di protezione quali gli elenchi di controllo di accesso (ACL) a file e directory e la crittografia file Encrypting File System (EFS). Durante l'installazione, SQL Server imposterà elenchi di controllo di accesso appropriati nelle chiavi del Registro di sistema e nei file se rileva il file system NTFS. Queste autorizzazioni non devono essere modificate. Per le versioni successive di SQL Server potrebbe non essere supportata l'installazione nei computer con file system di tipo FAT.

  [!NOTA]

  Se si utilizza EFS, i file di database verranno crittografati utilizzando l'identità dell'account che esegue SQL Server. Solo questo account potrà decrittografare i file. Se è necessario modificare l'account che esegue SQL Server, è innanzitutto necessario decrittografare i file utilizzando l'account precedente e quindi crittografarli nuovamente con il nuovo account.

• Utilizzare un Redundant Array of Independent Disks (RAID) per i file di dati critici.

È consigliabile disabilitare tutti i protocolli non necessari sui server della rete perimetrale, ad esempio NetBIOS e SMB (Server Message Block).

NetBIOS utilizza le porte seguenti:

• UDP/137 (servizio nomi NetBIOS)

• UDP/138 (servizio datagrammi NetBIOS)

• TCP/139 (servizio di sessione NetBIOS)

SMB utilizza le porte seguenti:

• TCP/139

• TCP/445

I server Web e DNS (Domain Name System) non necessitano di NetBIOS o SMB. In tali server disattivare entrambi i protocolli per ridurre il rischio di enumerazione degli utenti.