Skonfiguruj swój obszar ataku w SQL Server

Wskazówki dotyczące SQL Server

Opublikowano: 27 maja 2009

Zabezpieczenie jest zadaniem tworzenia wystarczającej liczby barier w systemie, aby wysiłki związane z atakowaniem systemu przewyższały korzyści czerpane z dostępu do danych. Aby pokonać różne systemy ataków, opieramy się na podejściu „głębokiej obrony”, które umieszcza kilka barier na drodze atakującego.

Podczas instalowania swojej instancji mamy możliwość określenia dopuszczonego trybu uwierzytelniania. Jeśli dostęp do instancji zostanie ograniczony do samych tylko kont użytkowników Windows, możemy zapobiegać różnorodnym metodom ataku poprzez zapewnienie, że każdy użytkownik łączący się z daną instancją musi najpierw uwierzytelnić się w domenie Windows.

Kiedy instancja zostanie zainstalowana, można skonfigurować protokoły sieciowe, aby pozwolić na zdalne połączenia. Jeśli zdalne połączone nie zostały uaktywnione, atakujący musi najpierw uzyskać dostęp do komputera, na którym jest uruchomiona dana nasza instancja systemu. Konfiguracja zdalnych połączeń oraz trybu uwierzytelniania stanowią pierwsze warstwy zabezpieczeń naszych instancji.

Każda funkcja w SQL Server daje dostęp do funkcjonalności, lecz w tym samym czasie dostarcza atakującemu metodę znalezienia drogi do systemu. Najważniejszą możliwością dla atakującego instancję jest atak poprzez użycie funkcji wyświetlających zewnętrzny interfejs lub mających możliwości doraźnego wykonania. Kiedy instalujemy instancję SQL Server, wszelkie funkcje, które nie są potrzebne do działania głównego mechanizmu, są domyślnie wyłączone.

Możemy włączyć lub wyłączyć funkcje w swojej instancji, wykonując procedurę składowaną sp_configure. Chociaż sp_configure jest stosowana w kilku wewnętrznych funkcjach, na poniższej liście opisano, jak opcje mają zastosowanie do obszaru ataku naszej instancji. Jeśli specjalnie nie używamy jednej z tych funkcji, powinna być ona wyłączona:

Ad Hoc Distributed Queries (Rozproszone zapytania ad hoc)
Pozwala użytkownikowi wykonać OPENROWSET i OPENDATASOURCE. Hasła są osadzone w tekście zapytania, co powoduje odsłonięcie konta użytkownika i hasła atakującemu. Jeśli potrzebny jest częsty dostęp do zdalnych źródeł danych, trzeba użyć połączonego serwera.

CLR Enabled (Włączone CLR)
CLR (Common Language Runtime) włącza wyzwalacze, funkcje i składowane procedury, które zostały napisane w językach.NET, takich jak C#.NET, w celu ich wykonania w mechanizmie SQL. Jeśli CLR jest wyłączony, procedury CLR nie mogą być uruchomione.

Cross Database Ownership Chaining (CDOC)
Pozwala użytkownikom krzyżować bazy danych bez ponownego sprawdzania uprawnień, dopóki nie zostanie zerwany łańcuch własności.

Database Mail
Umożliwia stosowanie funkcji Database Mail.

External Key Management (Zarządzanie kluczem obcym)
Pozwala, aby przyjęte oprogramowanie do zarządzania kluczem obcym (EKM) zarządzało kluczami szyfrowania używanymi w naszej instancji.

Filestream Access Level (Poziom dostępu strumienia plikowego)
Uaktywnia możliwości FILESTREAM w naszej instancji. Kiedy opcja jest ustawiona na 1, można użyć T-SQL do manipulowania danymi FILESTREAM. Kiedy jest ustawiona na 2, można użyć Windows API do bezpośredniej interakcji z danymi FILESTREAM z naszej aplikacji.

OLE Automation Procedures (Procedury automatyzacji OLE)
Pozwala na wykonywanie procedur automatyzacji OLE. Można zastąpić dowolną procedurę OLE procedurą CLR, która jest bardziej elastyczna, a także bardziej stabilna.

Remote Admin Connections (Zdalne połączenia administratora)
Włącza możliwość zdalnego łączenia się z Dedicated Admin Connection (DAC). Jeśli zdalne połączenia administracyjne nie są włączone, trzeba przed utworzeniem połączenia z DAC najpierw połączyć się z pulpitem komputera, którym jest uruchomiona nasza instancja.

SQL Mail XPs
Włącza możliwości SQL Mail dla wstecznej zgodności. Wszystkie funkcje SQL Mail powinny być zastąpione przez Database Mail.

Xp_cmdshell
Włącza użycie xp_cmdshell, aby można wykonywać polecenia systemu operacyjnego.

Z książki wydawnictwa Microsoft Press, Mike Hotek, Microsoft SQL Server 2008 Step by Step.

Do początku strony