Sql Server 2000

http://www.informatizate.net
Seguridad en SQL Server 2000
Robert G. Ancajima Rojas
Area de Desarrollo e Inteligencia de
robert_ancajima(at)
Negocios
informatizate(dot)net
GRUPO GESFOR OSMOS PERU S.A.
Mayo 30 del 2004.
Microsoft Certified System Engineer
Microsoft Certified Systems Administrator
Microsoft Certified DataBase Administrator

Asegurar nuestra base de datos puede ser unaardua tarea, pero muy gratificante.
Nada puede hacernos sentir mas orgullosos que tener nuestro servidor con un
optimo nivel de seguridad. El presente artículo propone una serie de
consideraciones de seguridad de SQL Server 2000 que pueden ser aplicados de
acuerdo a la naturaleza del ambiente de trabajo en el que nos desarrollamos.
SEGURIDAD FISICA DEL SERVIDOR
Restringir el acceso físico alservidor SQL Server únicamente al personal
autorizado. Además, también debemos tener en cuenta la seguridad física del
lugar donde está almacenado o dispuesto el servidor, es decir, en un lugar
ventilado adecuadamente, un lugar con los dispositivos ante alguna contingencia,
como por ejemplo:
•
•

Extintores, antes los incendios o corto circuitos.
Ubicación adecuada del servidor, porejemplo si existen
inundación, tal vez podríamos ubicarlo en un lugar elevado.

•

El cableado debe estar adecuado al lugar para evitar problemas con el
fluido eléctrico.
UPS o sistema de alimentación continua de energía.

•

riesgos

de

AUTENTICACION DE USUARIO DE SQL SERVER
La autenticación ocurre de 2 formas:
a) Autenticación de Modo Mixto
b) Autenticación Windows
El problema conla autenticación de Modo Mixto es que las combinaciones de
nombre de usuario y contraseña son pasados como un texto libre al SQL Server. En
la Autenticación Windows, la parte de autenticación es manejada por el sistema
operativo de red y por lo tanto es mucho mas seguro. Siempre que fuera posible
elegir Autenticación de Windows en lugar de Autenticación de Modo Mixto. Si es
inevitableutilizar la Autenticación de Modo Mixto por razones de compatibilidad
con versiones anteriores de SQL u otro motivo, utilizar contraseñas complejas
para el login SA y todos los demás logins.

ROL DE SERVIDOR SYSTEM ADMINISTRATOR
Elegir cuidadosamente los miembros del rol de servidor "System Administrator",
por el hecho de que este rol permite realizar cualquier acción dentro del
servidor SQLServer. Por defecto, el grupo de administradores locales de Windows
NT o 2000 BUILTIN\ADMINISTRATORS forman parte del rol de servidor "sysadmin".
REMOVER CUENTA BUILTIN\ADMINISTRATORS
Por lo general, los administradores de red no necesitan tener derechos de System
Administrator en nuestro servidor de base de datos. En el caso de que existiera
esta necesidad por parte de alguno de ellos, crear unnuevo grupo NT e incluir
solo a los usuarios que necesiten tener derecho de System Administrator.
CUENTAS Y CONTRASEÑAS
•

Nunca usar contraseñas en blanco o escribir las contraseñas en alguna
aplicación. Para detectar los usuarios de SQL Server que tienen
contraseñas en blanco podemos utilizar el siguiente script:
USE MASTER
GO
SELECT NAME, PASSWORD FROM SYSLOGINS WHERE PASSWORD ISNULL AND NAME IS
NOT NULL

•

Es recomendable tener contraseñas mixtas que comiencen con uno o varios
números seguido por una combinación de letras y caracteres especiales para
contrarrestar los ataques producidos por los hackers.

•

Renombrar la cuenta Administrator del servidor SQL Server para evitar que
personas
malintencionadas
intenten
adivinar
la
contraseña
delAdministrador.

•

Deshabilitar la cuenta de usuario de Windows "Invitado". Quitar el usuario
Invitado de las Bases de Datos de producción.

SEGURIDAD DE CARPETAS Y ARCHIVOS DE DATOS
•

Instalar siempre SQL Server en una partición NTFS, para poder establecer
seguridad principalmente a la carpeta "Microsoft SQL Server" y a los
archivos de base de datos *.mdf, *.ndf y *.ldf.

•

Asegurar todos...