Partilhar via

Considerações de segurança para uma instalação do SQL Server

Aplica-se a:SQL Server para Windows

A segurança é importante para todos os produtos e todos os negócios. Seguindo práticas recomendadas simples, você pode evitar muitas vulnerabilidades de segurança. Este artigo discute algumas práticas recomendadas de segurança que você deve considerar antes de instalar o SQL Server e depois de instalar o SQL Server. As orientações de segurança para funcionalidades específicas estão incluídas nos artigos de referência para essas funcionalidades.

Antes de instalar o SQL Server

Siga estas práticas recomendadas ao configurar o ambiente de servidor:

Aumente a segurança física

O isolamento físico e lógico constituem a base da segurança do SQL Server. Para melhorar a segurança física da instalação do SQL Server, execute as seguintes tarefas:

  • Coloque o servidor em uma sala acessível apenas a pessoas autorizadas.

  • Coloque os computadores que hospedam um banco de dados em um local fisicamente protegido, idealmente uma sala de computadores trancada com sistemas monitorados de deteção de inundação e deteção ou supressão de incêndio.

  • Instale bancos de dados na zona segura da intranet corporativa e não conecte suas instâncias do SQL Server diretamente à Internet.

  • Faça backup de todos os dados regularmente e proteja os backups em um local externo.

Usar corta-fogos

Os firewalls são importantes para ajudar a proteger a instalação do SQL Server. Os firewalls são mais eficazes se você seguir estas diretrizes:

  • Coloque um firewall entre o servidor e a Internet. Ative o firewall. Se o firewall estiver desligado, ative-o. Se o firewall estiver ativado, não o desative.

  • Divida a rede em zonas de segurança separadas por firewalls. Bloqueie todo o tráfego e, em seguida, admita seletivamente apenas o que é necessário.

  • Em um ambiente de várias camadas, use vários firewalls para criar sub-redes filtradas.

  • Ao instalar o servidor dentro de um domínio do Windows, configure firewalls internos para permitir a Autenticação do Windows.

  • Se seu aplicativo usa transações distribuídas, talvez seja necessário configurar o firewall para permitir que o tráfego do Microsoft Distributed Transaction Coordinator (MS DTC) flua entre instâncias separadas do MS DTC. Você também deve configurar o firewall para permitir que o tráfego flua entre o MS DTC e os gerenciadores de recursos, como o SQL Server.

Para obter mais informações sobre as configurações padrão do Firewall do Windows e uma descrição das portas TCP que afetam o Mecanismo de Banco de Dados, o Analysis Services, o Reporting Services e o Integration Services, consulte Configurar o Firewall do Windows para permitir o acesso ao SQL Server.

Segregar serviços

O isolamento de serviços reduz o risco de que um serviço comprometido possa ser usado para comprometer outros. Para isolar serviços, considere as seguintes diretrizes:

  • Execute serviços separados do SQL Server em contas separadas do Windows. Sempre que possível, use contas de usuário locais ou do Windows separadas e de baixo direito para cada serviço do SQL Server. Para obter mais informações, consulte Configurar contas de serviço e permissões do Windows.

Configurar um sistema de arquivos seguro

Usar o sistema de arquivos correto aumenta a segurança. Para instalações do SQL Server, você deve executar as seguintes tarefas:

Use o sistema de arquivos NT (NTFS) ou o sistema de arquivos resiliente (ReFS). NTFS e ReFS são o sistema de arquivos recomendado para instalações do SQL Server porque é mais estável e recuperável do que os sistemas de arquivos FAT32. NTFS ou ReFS também permitem opções de segurança, como listas de controle de acesso a arquivos e diretórios (ACLs). NTFS também suporta Encrypting File System (EFS) - encriptação de ficheiros. Durante a instalação, o SQL Server define ACLs apropriadas em chaves e ficheiros do Registro se detetar o sistema de ficheiros NTFS. Essas permissões não devem ser alteradas. Versões futuras do SQL Server podem não oferecer suporte à instalação em computadores com sistemas de arquivos FAT.

Observação

Se você usar o EFS, os arquivos de banco de dados serão criptografados sob a identidade da conta que executa o SQL Server. Apenas esta conta é capaz de desencriptar os ficheiros. Se tiver de alterar a conta que executa o SQL Server, tem primeiro de desencriptar os ficheiros na conta antiga e, em seguida, encriptar novamente na nova conta de serviço.

Advertência

O uso da criptografia de arquivos via EFS pode levar a um desempenho de E/S mais lento porque a criptografia faz com que a E/S assíncrona se torne síncrona. Consulte No Windows, a E/S de disco assíncrona aparenta ser síncrona. Em vez disso, você pode considerar o uso de tecnologias de criptografia do SQL Server, como TDE (criptografia de dados transparente),sempre criptografada e funções criptográficas de criptografia no nível de coluna.

Desativar NetBIOS e Bloco de Mensagens do Servidor

Os servidores na rede de perímetro devem ter todos os protocolos desnecessários desativados, incluindo NetBIOS e bloco de mensagens do servidor (SMB).

NetBIOS usa as seguintes portas:

  • UDP/137 (serviço de nomes NetBIOS)
  • UDP/138 (serviço de datagrama NetBIOS)
  • TCP/139 (serviço de sessão NetBIOS)

O SMB usa as seguintes portas:

  • TCP/139
  • TCP/445

Os servidores Web e os servidores DNS (Sistema de Nomes de Domínio) não requerem NetBIOS ou SMB. Nesses servidores, desative ambos os protocolos para reduzir a ameaça de enumeração de usuários.

Instalar o SQL Server em um controlador de domínio

Por motivos de segurança, recomendamos que você não instale o SQL Server em um controlador de domínio. A Instalação do SQL Server não bloqueia a instalação em um computador que seja um controlador de domínio, mas as seguintes limitações se aplicam:

  • Não é possível executar serviços do SQL Server em um controlador de domínio em uma conta de serviço local.

  • Depois que o SQL Server é instalado em um computador, você não pode alterar o computador de um membro do domínio para um controlador de domínio. Você deve desinstalar o SQL Server antes de alterar o computador host para um controlador de domínio.

  • Depois que o SQL Server é instalado em um computador, você não pode alterar o computador de um controlador de domínio para um membro do domínio. Você deve desinstalar o SQL Server antes de alterar o computador host para um membro do domínio.

  • Não há suporte para instâncias de cluster de failover do SQL Server em que os nós de cluster são controladores de domínio.

  • A configuração do SQL Server não pode criar grupos de segurança nem provisionar contas de serviço do SQL Server em um controlador de domínio de leitura única. Nesse cenário, a instalação falha.

Garantir que os direitos de usuário necessários sejam atribuídos para uma instalação bem-sucedida

A Instalação requer que os seguintes direitos de usuário sejam concedidos à conta na qual o SQL Server está instalado:

  • Backup de arquivos e diretórios
  • Depurar programas
  • Gerir o registo de auditoria e segurança

Esses privilégios de usuário geralmente são concedidos por padrão ao grupo de administradores locais (BUILTIN\Administrators). Na maioria dos casos, nenhuma ação é necessária para atribuí-los. No entanto, se uma diretiva de segurança revogar esses privilégios, verifique se eles foram atribuídos corretamente ou a Instalação do SQL Server falhará com o seguinte erro:

The account that is running SQL Server Setup doesn't have one or all of the following rights: the right to back up files and directories, the right to manage auditing and the security log and the right to debug programs. To continue, use an account with both of these rights.

Durante ou após a instalação do SQL Server

Após a instalação, você pode melhorar a segurança da instalação do SQL Server seguindo estas práticas recomendadas em relação a contas e modos de autenticação:

Contas de serviço

  • Execute os serviços do SQL Server usando as permissões mais baixas possíveis.

  • Associe os serviços do SQL Server a contas de usuário locais do Windows com privilégios baixos ou contas de usuário de domínio.

  • Para obter mais informações, consulte Configurar contas de serviço e permissões do Windows.

Modo de autenticação

Palavras-passe fortes

  • Atribua sempre uma palavra-passe forte à conta sa .
  • Habilite sempre a verificação da política de senha quanto à força e expiração da senha.
  • Sempre use senhas fortes para todos os logons do SQL Server.

Importante

Durante a instalação do SQL Server Express, um logon é adicionado para o BUILTIN\Users grupo. Isso permite que todos os usuários autenticados do computador acessem a instância do SQL Server Express como membro da função pública. O BUILTIN\Users logon pode ser removido com segurança para restringir o acesso do Mecanismo de Banco de Dados a usuários de computador que tenham logons individuais ou sejam membros de outros grupos do Windows com logons.

Conteúdo relacionado

  • Last updated on