Grundlæggende om SQL Server-sikkerhed

SQL-databaseserver er ligesom andre databaseservere et nøgleaktiv i de fleste organisationer. Mange databrud, der forekommer i dag, kan spores til dårligt sikrede databaseservere

Uden de rette sikkerhedsforanstaltninger kan en database nemt fungere som gateway for cyberangreb. En enkelt uagtsom handling kan kompromittere sikkerheden og sikkerheden i din organisations SQL-database. Det kan angribere injicere ondsindede koder , og kompromittere integriteten, fortroligheden og tilgængeligheden af ​​databasen.

Implementering af de rigtige sikkerhedsforanstaltninger vil gå langt i at beskytte dine databaseservere og minimere din eksponering for forretnings- og sikkerhedsrisici. Denne artikel skitserer nogle grundlæggende SQL Server-sikkerhedsgrundlag og bedste praksis, herunder nogle af de bedste værktøjer til administration af SQL Server-sikkerhed og -ydelse.

Fysisk sikkerhed

Informationssikkerhed kan ikke opnås fuldstændigt uden ordentlig fysisk sikkerhed. Fysisk sikkerhed bør være den første forsvarslinje og skal omfatte forebyggelse af uautoriseret adgang til den facilitet, hvor SQL Serveren er hostet. Fysisk sikkerhed beskæftiger sig med adgangskontrol til faciliteter og personale, mekanismer til beskyttelse af eksterne grænser, indtrængningsdetektion og korrigerende handlinger. Det beskytter blandt andet dine aktiver mod ubudne gæster, tyveri, miljøtrusler, fysisk skade.

Fysisk sikkerhed bør implementeres ved at bruge en lagdelt forsvarstilgang. Tanken er, at hvis en angriber bryder igennem ét kontrollag, vil der være mange andre i vejen, før han eller hun kan få fuld adgang. Ethvert brud på din databaseservers fysiske sikkerhed kan resultere i tab af produktivitet, omdømme og kundetillid.

For at forbedre den fysiske sikkerhed af SQL Server anbefaler Microsoft, at du gør følgende:

• Placer serveren i et rum, der kun er tilgængeligt for autoriserede personer.
• Placer computere, der er vært for en database, på et fysisk beskyttet sted, ideelt set et aflåst computerrum med overvåget oversvømmelsesdetektion og branddetekterings- eller slukningssystemer.
• Installer databaser i den sikre zone på virksomhedens intranet og tilslut ikke dine SQL-servere direkte til internettet.
• Sikkerhedskopier alle data regelmæssigt, og beskyt sikkerhedskopierne på en ekstern placering.

Netværkssikkerhed

Netværkssikkerhed handler om beskyttelsen af ​​den underliggende netværksinfrastruktur på din databaseserver mod uautoriseret adgang. Det kombinerer flere lag af forsvar, der implementerer politikker og kontroller ved kanten og i netværket. Autoriserede brugere får adgang til databasen via netværket, mens uautoriserede brugere nægtes adgang. En netværksinfrastruktur designet med sikkerhed i tankerne omkring din databaseserver beskytter databasen mod tab, der opstår som følge af netværkssikkerhedshændelser.

Implementering af netværkssikkerhed starter med at holde uautoriserede brugere væk fra netværket. Det er her netværks firewalls kommer i spil. Firewalls spiller en vigtig rolle i sikringen af ​​SQL Server-applikationen. Ved at placere din database bag en firewall opretter du endnu et sikkerhedslag, der forhindrer ondsindet trafik i at nå din server. Firewalls kan også hjælpe med at forhindre ondsindet udgående trafik såsom dataeksfiltrering.

Firewalls vil være mest effektive, hvis du overholder følgende anbefalede retningslinjer fra Microsoft:

• Sæt en firewall mellem serveren og internettet. Aktiver din firewall. Hvis din firewall er slået fra, skal du tænde den. Hvis din firewall er tændt, skal du ikke slukke den.
• Opdel netværket i sikkerhedszoner adskilt af firewalls. Bloker al trafik, og indrøm derefter selektivt kun det, der kræves.
• I et flerlagsmiljø skal du bruge flere firewalls til at oprette screenede undernet.
• Når du installerer serveren i et Windows-domæne, skal du konfigurere indvendige firewalls til at tillade Windows-godkendelse.
• Hvis din applikation bruger distribuerede transaktioner, skal du muligvis konfigurere firewallen til at tillade trafik fra Microsoft Distributed Transaction Coordinator (MS DTC) at flyde mellem separate MS DTC-instanser. Du bliver også nødt til at konfigurere firewallen til at tillade trafik at flyde mellem MS DTC og ressourceadministratorer såsom SQL Server.
• Deaktiver alle unødvendige porte og protokoller inklusive NetBIOS og Server Message Block på din SQL Server, webservere og Domain Name System (DNS) for at reducere angrebsoverfladen. Tillad kun protokoller og porte, der er essentielle for SQL-serverens funktion, såsom TCP 1433 (databasemotor), 2383 (analysetjenester), 4022 (servicemægler) og UDP 1343 (browseradgang).

Applikation og datasikkerhed

Microsoft SQL Server giver flere indbyggede funktioner, der muliggør sikkerheden af ​​applikationen og de data, der er indeholdt i den. Databaseadministratoren kan udnytte disse funktioner eller bruge yderligere sikkerhedsforanstaltninger efter behov for at imødekomme sikkerhedsbehovene for SQL-applikationen og dataene.

Nogle af de yderligere sikkerhedsforanstaltninger kan blandt andet omfatte:

• Beskyttelse mod SQL og andre Injection-angreb Ligesom navnet antyder, er SQL-injektion et angreb, hvor ondsindet kode eller kommandoer injiceres i forespørgselsstrenge. Disse kommandoer kan beskadige eller ødelægge databasen eller blive brugt til at eksfiltrere følsomme data. Du kan forhindre SQL-injektionsangreb ved at rense alle databaseinput for at sikre, at de ikke indeholder tegn, der kan bruges til at udføre kode. Det er bedste praksis at bruge lagrede procedurer og parameteriserede kommandoer, mens du undgår dynamisk SQL og begrænser tilladelser for alle brugere. Du skal også beskytte dig mod indsprøjtning af forbindelsesstrenge, der opstår under SQL Server-login. Hvis en SQL Server-loginstreng ikke er kontrolleret for gyldige nøgleordspar, kan en angriber tilføje ekstra tegn, der kan udføre uautoriserede handlinger på serveren. Du kan mindske denne risiko ved at bruge SqlConnectionStringBuilder til at oprette og validere forbindelsesstrenge under kørsel, eller bruge den mere sikre Windows-godkendelse, hvor det er muligt.
• Udførlige fejludnyttelse SQL Server genererer alle slags logfiler såsom fejllogfiler, systemhændelseslogfiler, ydeevnetællerdata, blandt andre. Du skal finde en måde at sikre, at disse fejl ikke falder i de forkerte hænder. Ellers kan angribere bruge det til at identificere iboende sårbarheder, som de måske ønsker at udnytte. Sørg for, at al procedurekode bruger fejlhåndtering for at forhindre disse standard SQL Server-fejlmeddelelser i at nå brugeren.
• Privilegium-eskaleringsangreb Disse angreb opstår, når brugere på en eller anden måde påtager sig privilegierne for en betroet konto, såsom en kontoejer eller en administrator. Dette gør dem i stand til at få uautoriseret adgang til data og databasefunktioner. For at mindske denne risiko skal du altid køre brugere som mindst privilegerede konti, kun tildele nødvendige tilladelser og blokere muligheden for at udføre kode fra administrator- eller ejerkonti. Dette begrænser mængden af ​​skade, der kan opstå, hvis et angreb lykkes. Hvis en bruger kræver ekstra tilladelser for at udføre en opgave, skal du kun bruge certifikater til at underskrive lagrede procedurer eller personefterligning i hele opgavens varighed.
• Distribuerede denial of service (DDoS) angreb Produktions SQL Server-databaser kan være genstand for DDoS-angreb, hvor angribere oversvømmer databasen med falske forespørgsler, hvilket forsinker ydeevnen for legitime brugere og i sidste ende resulterer i nedetid. Hvis du kører SQL Server i skyen, kan du udnytte DDoS-beskyttelsestjenester, som kan fange og aflede ondsindet trafik væk fra din database.

Bedste praksis for SQL Server-sikkerhed

Følgende er nogle vigtige SQL Server-sikkerhedsmetoder, der kan forbedre sikkerheden i din SQL-database:

• Sikkerhedskopier regelmæssigt Behovet for regelmæssig backup af din database kan ikke overbetones. Sikkerhedskopier beskytter tilgængeligheden af ​​data og sikrer, at din database forbliver robust over for databrud, ransomware eller lammelsesangreb. Overvej at investere i en god SQL Server backup-løsning som en del af din sikkerhedsstrategi. Dette giver dig en livline til at gendanne missionskritiske data i tilfælde af et angreb.

• Regelmæssige sikkerhedsrevisioner Sikkerhedsrevision er et lovkrav for de fleste brancher. Men derudover hjælper SQL Server-sikkerhedsaudit med at forhindre potentielle angreb og med at opretholde en sund SQL-database. Indsatsen bør rettes mod at identificere manglende databaseobjekter, gentagne serverloginfejl og tilladelser eller konfigurationsændringer. Microsoft leverer et indbygget værktøj kaldet SQL Server Audit, som kan bruges til at oprette revisioner på server- og databaseniveau.

• Følg princippet om mindst privilegium Dette er et gennemprøvet princip, der hjælper med at sænke din aktiveksponering for risiko. Planen er kun at give SQL Server-tjenester og -brugere de nødvendige rettigheder til at udføre en opgave og ikke mere. For servicekonti skal du køre og tilknytte SQL Server-tjenester ved at bruge de lavest mulige tilladelser og privilegier.

• Har en stærk adgangskodepolitik At angive en stærk adgangskode eller helst en adgangskode, der er svær at gætte, er afgørende for din databases sikkerhed. Overvej at bruge Kerberos-godkendelse, Windows-godkendelse til forbindelser til SQL Server og en adgangskodeadministrator for bedre adgangskodestyring.
• Anvend opdateringer regelmæssigt Betydningen af ​​regelmæssige opdateringer kan ikke understreges nok. OS- og SQL Server-opdateringerne indeholder vigtige sikkerhedsforbedringer, der opretholder din databases sundhed og sikkerhed. Test disse opdateringer og anvend dem på din produktionsserver så hurtigt som muligt.
• Brug kryptering Den indbyggede SSL/TLS og Windows Data Protection API (DPAPI) krypteringsprotokol muliggør kryptering af henholdsvis data i transit og data i hvile. Dette beskytter din databases fortrolighed.
• Brug SQL-overvågningsværktøjer SQL-overvågningsværktøjer giver et automatiseret middel til at styre sikkerheden og ydeevnen på din databaseserver. Værktøjet skal være i stand til at scanne og registrere ændringer i serverindstillinger.

De bedste værktøjer til SQL Server-sikkerhed

Flere værktøjer på markedet kan automatisere styringen af ​​sikkerheden og ydeevnen på din SQL Server. Nedenfor er en gennemgang af nogle af de bedste værktøjer til styring af SQL Server-sikkerhed og ydeevne. Forhåbentlig vil dette guide dig i processen med at vælge den rigtige løsning til din virksomhed.

1. SolarWinds Security Event Manager (GRATIS PRØVE)

SolarWinds Security Event Manager (SEM)gør det muligt for databaseadministratorer at overvåge serverlogfiler, spore databasefejlfrekvenser, revidere SQL-brugerlogin, vedligeholde SQL Server-sikkerhed og opdage cyberangreb. Med SEM kan du spore, rapportere og advare om specifikke hændelser udført mod en SQL-database, der kan signalere potentielle trusler, og generere SQL Server-revisionslograpporter til overholdelsesformål. SEM leverer out-of-the-box hændelseskorrelationsregler, der studerer databasetransaktioner, opdager kendte trusler og sporer ondsindede og ikke-pålidelige aktiviteter.

SEM understøtter forskellige sikkerhedsvurderingsprotokoller og -applikationer for at hjælpe dig med at forsvare dig mod SQL-injektionsangreb og vedligeholde en sikker database. SEM udnytter sine forudbyggede SQL-injektionsregler og advarsler til at holde dig informeret. Det kan detektere og deaktivere ondsindede brugere og processer samt udføre andre automatiske trusselsreaktioner for at hjælpe med at sikre din database, når SQL-injektionsindikatorer detekteres. En gratis prøveversion er tilgængelig til download, så du kan afgøre, om den er rigtig for din virksomhed.

PrøveSolarWinds Security Event Manager (SEM)med en fuldt funktionel 30-dages gratis prøveperiode.

SolarWinds Security Event Manager (SEM) Download 30-dages GRATIS prøveversion

2. Paessler PRTG Network Monitor (GRATIS PRØVE)

Paessler PRTGer et agentløst netværksovervågningsværktøj, der lader dig overvåge dit netværk, routere, switches og servere. Med PRTG kan du måle den tid en SQL-forespørgsel skal bruge til hele sin anmodning, inklusive etablering af forbindelsen, udførelsen af ​​forespørgslen, håndteringen af ​​transaktionen og afbrydelsen af ​​forbindelsen, som alt sammen kan visualiseres på PRTG dashboardet. PRTG-licensmodellen er baseret på sensorer (parametre, der kan overvåges på en enhed, såsom CPU-belastning, portstatus eller netværkstrafik); og leveres med prækonfigurerede sensorer til alle større databaser. Til Microsoft SQL tilbyder PRTG Microsoft SQL v2 Sensor, som overvåger responstiden for en hel forespørgsel samt responstiden for en individuelt defineret forespørgsel.

PRTG kommer i forskellige udgaver og varianter såsom:

• PRTG Enterprise Monitor – målrettet mod store netværk med tusindvis af enheder og systemer på tværs af flere lokationer.
• PRTG Hosted Monitor—askybaseret mulighedder giver dig mulighed for at overvåge fra skyen
• PRTG Desktop - giver dig mulighed for at administrere flere PRTG-servere.
• PRTG Mobile App - giver dig mulighed for at tjekke dit netværk, enheder og sensorer, mens du er på farten.

ENgratis 30-dages prøveperiodemed fuld adgang til alle funktionerne er tilgængelig for download.

Paessler PRTG Start 30-dages GRATIS prøveperiode

3. Microsoft Defender til SQL

Microsoft Defender til SQLer et SQL Server-sikkerhedsværktøj, der hjælper med at opdage og afbøde potentielle SQL-databasesårbarheder og unormale aktiviteter, der udgør en trussel mod din database.

Microsoft Defender til SQL består af to separate Microsoft Defender-planer:

• Microsoft Defender til Azure SQL-databaseservere: Denne plan er designet til at beskytte Azure SQL-database, Azure SQL-administreret forekomst og dedikeret SQL-pool i Azure synapse.
• Microsoft Defender til SQL-servere på maskiner: Denne plan udvider beskyttelsen for dine Azure-native SQL-servere til fuldt ud at understøtte hybridmiljøer og beskytte SQL-servere, der hostes i Azure og andre cloud-miljøer, og endda lokale maskiner: inklusive SQL Server på virtuelle maskiner og lokale SQL-servere:

Du kan aktivere disse planer på abonnementsniveau (fra Microsoft Defender til skyen eller via REST API, Azure CLI, PowerShell eller Azure Policy), eller du kan aktivere på ressourceniveau. Når du aktiverer en af ​​disse planer, er alle understøttede ressourcer, der findes i abonnementet (inklusive fremtidige ressourcer oprettet på det samme abonnement), beskyttet.

4. Datahund

Datahund er en agent-baseret on-premises og cloud-infrastrukturovervågningstjeneste til cloud-applikationer, servere, databaser, værktøjer og tjenester. Datadog bruger sin automatiske opdagelsestjeneste til at udforske og identificere applikationer, enheder og servere i dit netværk. Når alle enheder og links er blevet identificeret, kan du overskue al aktivitet fra Datadog-dashboardet, og eventuelle ændringer i netværket kan automatisk spottes.

Datadog giver ende-til-ende synlighed i sundheden og ydeevnen af ​​dine SQL Server-instanser. Det giver værktøjer og nøglemålinger til SQL Server-overvågning, herunder to out-of-the-box dashboards til SQL Server:

• Et screenboard, der giver dig et realtidsoverblik over dine SQL Server-instanser.
• Et timeboard, der er velegnet til at korrelere SQL Server-metrics med systemmetrics og hændelser.

EN gratis 14-dages prøveperiode med fuld adgang til alle funktionerne er tilgængelig for download. Derefter sælges softwaren generelt gennem månedlige abonnementsplaner baseret på værter, begivenheder eller logfiler

5. ManageEngine Applications Manager (APM)

APMer en agentfri applikations- og serverydelsesovervågningsløsning, der hjælper organisationer med at sikre optimal ydeevne af deres forretningskritiske applikationer såsom SQL-servere på tværs af fysiske, virtuelle og cloud-miljøer. APM tilbyder out-of-the-box opdagelse, tilgængelighed, sundheds- og ydeevnesporing og rapportering af SQL-servere og andre applikationer.

Med APM kan databaseadministratorer få synlighed i SQL-applikationer, spore ressourceforbrug, optimere ydeevnen af ​​SQL-servere, forhindre forekomst af fejl og vedligeholde databaseapplikationens overordnede tilstand.

ManageEngine APM er tilgængelig i følgende udgaver:

• Den gratis udgave Giver det meste af funktionaliteten i den professionelle udgave med nogle få begrænsninger og understøtter op til 5 skærme.
• Den professionelle udgave: Den inkluderer overvågnings-, advarsels- og rapporteringsfunktioner og er målrettet mod SMB'er, der ønsker at overvåge op til 500 applikationer baseret på belastning.
• Enterprise-udgave: Den inkluderer alle Professional-udgaven + distribuerede overvågnings- og failover-funktioner og er rettet mod store virksomheder, der ønsker at overvåge 500 eller flere applikationer.

EN 30 dages gratis prøveperiode er tilgængelig til download. Under installationen kan du vælge enten Professional- eller Enterprise-udgaven.