Partilhar via

Considerações de segurança para uma instalação do SQL Server

Aplica-se a:SQL Server no sistema Windows

A segurança é importante para todos os produtos e todos os negócios. Seguindo práticas recomendadas simples, você pode evitar muitas vulnerabilidades de segurança. Este artigo discute algumas boas práticas de segurança que deve considerar tanto antes de instalar o SQL Server como depois de instalar o SQL Server. As orientações de segurança para funcionalidades específicas estão incluídas nos artigos de referência para essas funcionalidades.

Antes de instalar o SQL Server

Siga estas práticas recomendadas ao configurar o ambiente de servidor:

Aumente a segurança física

O isolamento físico e lógico constitui a base da segurança do SQL Server. Para melhorar a segurança física da instalação do SQL Server, complete as seguintes tarefas:

  • Coloque o servidor em uma sala acessível apenas a pessoas autorizadas.

  • Coloque os computadores que hospedam um banco de dados em um local fisicamente protegido, idealmente uma sala de computadores trancada com sistemas monitorados de deteção de inundação e deteção ou supressão de incêndio.

  • Instale bases de dados na zona segura da intranet corporativa e não ligue as suas instâncias do SQL Server diretamente à Internet.

  • Faça backup de todos os dados regularmente e proteja os backups em um local externo.

Usar corta-fogos

Os firewalls são importantes para proteger a instalação do SQL Server. Os firewalls são mais eficazes se você seguir estas diretrizes:

  • Coloque um firewall entre o servidor e a Internet. Ative o firewall. Se o firewall estiver desligado, ative-o. Se o firewall estiver ativado, não o desative.

  • Divida a rede em zonas de segurança separadas por firewalls. Bloqueie todo o tráfego e, em seguida, admita seletivamente apenas o que é necessário.

  • Num ambiente multinível, use múltiplos firewalls para criar sub-redes rastreadas.

  • Quando instalar o servidor dentro de um domínio Windows, configure firewalls internos para permitir a Windows Authentication.

  • Se seu aplicativo usa transações distribuídas, talvez seja necessário configurar o firewall para permitir que o tráfego do Microsoft Distributed Transaction Coordinator (MS DTC) flua entre instâncias separadas do MS DTC. Também deve configurar o firewall para permitir que o tráfego flua entre o MS DTC e gestores de recursos como o SQL Server.

Para mais informações sobre as definições padrão do Firewall do Windows e uma descrição das portas TCP que afetam o Database Engine, Analysis Services, Reporting Services e Integration Services, consulte Configure o Windows Firewall para permitir SQL Server access.

Segregar serviços

O isolamento de serviços reduz o risco de que um serviço comprometido possa ser usado para comprometer outros. Para isolar serviços, considere as seguintes diretrizes:

  • Executa serviços SQL Server separados em contas Windows separadas. Sempre que possível, utilize contas de utilizador separadas e de baixo direito, Windows ou Local, para cada serviço SQL Server. Para obter mais informações, consulte Configurar contas de serviço e permissões do Windows.

Configurar um sistema de arquivos seguro

Usar o sistema de arquivos correto aumenta a segurança. Para instalações do SQL Server, complete as seguintes tarefas:

Use o sistema de arquivos NT (NTFS) ou o sistema de arquivos resiliente (ReFS). NTFS e ReFS são os sistemas de ficheiros recomendados para instalações de SQL Server porque são mais estáveis e recuperáveis do que os sistemas de ficheiros FAT32. O NTFS ou o ReFS também permitem opções de segurança como listas de controlo de acesso de ficheiros e diretórios (ACLs). NTFS também suporta Encrypting File System (EFS) - encriptação de ficheiros. Durante a instalação, o SQL Server define ACLs apropriadas nas chaves e ficheiros do registo se detetar NTFS. Não mudes estas permissões. Futuras versões do SQL Server podem não suportar a instalação em computadores com sistemas de ficheiros FAT.

Observação

Se usar EFS, os ficheiros da base de dados são encriptados sob a identidade da conta que corre o SQL Server. Só esta conta pode desencriptar os ficheiros. Se tiver de mudar a conta que executa o SQL Server, primeiro desencripte os ficheiros sob a conta antiga e depois volte a encriptá-los na nova conta de serviço.

Advertência

Usar encriptação de ficheiros através do EFS pode levar a um desempenho de E/S mais lento, pois a encriptação faz com que as E/S assíncronas se tornem síncronas. Consulte No Windows, a E/S de disco assíncrona aparenta ser síncrona. Em vez disso, considere usar tecnologias de encriptação SQL Server como Transparent data encryption (TDE), Always Encrypted e encriptação ao nível de colunas Funções criptográficas.

Desativar NetBIOS e Bloco de Mensagens do Servidor

Desative todos os protocolos desnecessários nos servidores da rede perimetral, incluindo NetBIOS e bloqueio de mensagens do servidor (SMB).

NetBIOS usa as seguintes portas:

  • UDP/137 (serviço de nomes NetBIOS)
  • UDP/138 (serviço de datagrama NetBIOS)
  • TCP/139 (serviço de sessão NetBIOS)

O SMB usa as seguintes portas:

  • TCP/139
  • TCP/445

Os servidores Web e os servidores DNS (Sistema de Nomes de Domínio) não requerem NetBIOS ou SMB. Nesses servidores, desative ambos os protocolos para reduzir a ameaça de enumeração de usuários.

Instale o SQL Server num controlador de domínio

Por razões de segurança, não instales o SQL Server num controlador de domínio. O SQL Server Setup não bloqueia a instalação num computador que seja controlador de domínio, mas aplicam-se as seguintes limitações:

  • Não podes executar serviços SQL Server num controlador de domínio com uma conta de serviço local.

  • Depois de instalar o SQL Server num computador, não pode mudar o computador de um membro de domínio para um controlador de domínio. Deve desinstalar o SQL Server antes de mudar o computador anfitrião para um controlador de domínio.

  • Depois de instalar o SQL Server num computador, não pode mudar o computador de controlador de domínio para membro de domínio. Deve desinstalar o SQL Server antes de mudar o computador anfitrião para um membro de domínio.

  • As instâncias de clusters de failover do SQL Server não são suportadas onde os nós do cluster são controladores de domínio.

  • O SQL Server Setup não consegue criar grupos de segurança ou contas de serviço SQL Server num controlador de domínio apenas de leitura. Nesse cenário, a instalação falha.

Garantir que os direitos de usuário necessários sejam atribuídos para uma instalação bem-sucedida

A configuração exige que os seguintes direitos de utilizador sejam concedidos à conta sob a qual o SQL Server está instalado:

  • Backup de arquivos e diretórios
  • Depurar programas
  • Gerir o registo de auditoria e segurança

Esses privilégios de usuário geralmente são concedidos por padrão ao grupo de administradores locais (BUILTIN\Administrators). Na maioria dos casos, não é necessário tomar qualquer ação para os atribuir. No entanto, se uma política de segurança revogar estes privilégios, certifique-se de que estão corretamente atribuídos, ou se o SQL Server Setup falhar com o seguinte erro:

The account that is running SQL Server Setup doesn't have one or all of the following rights: the right to back up files and directories, the right to manage auditing and the security log and the right to debug programs. To continue, use an account with both of these rights.

Durante ou após a instalação do SQL Server

Após a instalação, melhore a segurança da instalação do SQL Server seguindo estas melhores práticas relativamente a contas e modos de autenticação:

Contas de serviço

  • Execute os serviços do SQL Server usando as permissões mais baixas possíveis.

  • Associe serviços SQL Server a contas de utilizador locais Windows de baixo privilégio ou contas de utilizador de domínio.

  • Para obter mais informações, consulte Configurar contas de serviço e permissões do Windows.

Modo de autenticação

Palavras-passe fortes

  • Atribua sempre uma palavra-passe forte à conta sa .
  • Habilite sempre a verificação da política de senha quanto à força e expiração da senha.
  • Use sempre palavras-passe fortes para todos os logins do SQL Server.

Importante

Durante a configuração do SQL Server Express é adicionado um login para o grupo BUILTIN\Users. Este grupo concede a todos utilizadores do computador acesso à instância do SQL Server Express como membro da função pública. Pode remover em segurança o grupo BUILTIN\Users para restringir Database Engine access a utilizadores de computador que tenham login individual ou sejam membros de outros grupos Windows com logins.

Conteúdo relacionado

  • Last updated on