Segurança e Auditoria com SQL Server

  • Article

A Governança Corporativa surgiu quando a complexidade das organizações aumentou. Quando por exemplo uma empresa deixa de ser administrada por sócios, e passa a negociar suas ações na bolsa, cria-se a necessidade de termos maior transparência sobre o que acontece dentro das paredes da companhia, já que você pode ser um acionista sem nunca ter colocado o pé dentro da empresa na qual investe.Várias fraudes foram descobertas na história... Fraudes que inclusive fizeram com que alguns acionistas perdessem o investimento de uma vida inteira ! Assim, os governos criaram sistemas de regras sob os quais as empresas devem estar para que, sendo monitoradas, possam garantir sua perenidade frente ao mercado, o que atrai cada vez mais investimentos e possibilita o crescimento da organização.Daí surge como uma ramificação, a Governança de TI, que garante que os sistemas de informação que geram e armazenam dados corporativos, são confiáveis.

 Por isso, no post de hoje vamos ver como o SQL Server 2012 pode auxiliar na governança do seu TI, já que se trata de uma plataforma segura e confiável tanto para proteger os dados da sua organização (o que é essencial em qualquer cenário de missão crítica por exemplo), como para constuir soluções de conformidade em auditorias.

Auditar um instância no SQL Server, envolve rastrear e registrar eventos que aconteceram no seu sistema.Com o SQL Server Audit, agora presente em TODAS as edições do produto, você pode por exemplo, criar triggers que previnam que uma tabela receba um DROP ou ALTER gravando essas tentativas automaticamente nos arquivos de log para análise posterior. Esses arquivos de log(Windows application log ou Windows Security Log), devem ser revisados e armazenados periódicamente garantindo que sempre haverá espaço suficiente para gravar novas auditorias. Leia mais a respeito aqui!

 

Estar dentro dos regulamentos legislacionais muitas vezes impacta de forma direta a maneira com que dados são armazenados e acessados, por isso, o SQL Server tem, desde versões anteriores, a capacidade de gerenciar dados atendendo a regulamentos como HIPPA, SOX e PCI.

A Parente Randolph, avaliou o SQL Server (na época na versão 2008) para auditoria PCI e forneceu um webcast e um whitepaper para guiar os usuários em auditorias desse tipo. Vale a pena conferir!

 

Outra coisa que precisamos estar atentos é quanto a algumas ações que devem ser tomadas antes da instalação e configuração do banco de dados que ajudarão a mitigar riscos. Por exemplo :

  • Assegure-se de que você tem uma base segura para instalação do SQL, ou seja, última versão do sistema operacional com os devidos services packs aplicados. No SQL 2012, você pode inclusive usar uma instalação Server Core do Windows o que por si só já diminui a “superfície de ataque” do seu banco.
  • Instale apenas as ferramentas que você vai precisar ! No SQL 2012 as features opcionais já não são instaladas por default.
  • Básico : Limitar o acesso dos usuários ! Crie database roles dando grant e deny de acordo com os encargos de cada usuário dentro do banco. Saiba mais..

O SQL Server foi eleito (2010) entre seus principais concorrentes, o SGBD mais seguro segundo o NIST.

E isso é graças aos investimentos pesados da Microsoft em garantir que o SQL esteja preparado para os mais diversos cenários. Agora os DBA´s podem varar a noite por quantidade de trabalho excessiva, mas não por preocupação com a segurança do nosso banco de dados favorito ! Já é um bom começo não ?! Hahahahahahaha Veja este artigo e saiba mais !

Interessado em ir mais a fundo em segurança e auditorias usando SQL ? Divirta-se lendo meu post sobre Certificação CC e estes outros links : https://www.microsoft.com/sqlserver/2008/en/us/compliance.aspx e https://pessoalex.wordpress.com/2012/06/03/seguranca-no-sql-server/