Partage via

Considérations relatives à la sécurité pour une installation de SQL Server

S’applique à :SQL Server sur Windows

La sécurité est importante pour chaque produit et chaque activité. En respectant les recommandations les plus simples, vous pouvez éviter de nombreuses failles de sécurité. Cet article traite des recommandations de sécurité qu’il est conseillé de suivre avant d’installer SQL Server et après avoir installé SQL Server. Des conseils en matière de sécurité concernant des fonctionnalités spécifiques sont inclus dans les articles de référence de ces fonctionnalités.

Avant d’installer SQL Server

Suivez ces recommandations lors de la définition de l'environnement du serveur :

Améliorer la sécurité physique

L'isolement au niveau physique et logique est à la base de la sécurité de SQL Server . Pour améliorer la sécurité de l'installation SQL Server au niveau physique, procédez comme suit :

  • Placez le serveur dans une pièce à laquelle seules les personnes autorisées peuvent accéder.

  • Placez les ordinateurs qui hébergent une base de données dans un lieu protégé physiquement, idéalement dans une salle fermée à clé, équipée de systèmes pour la détection et la lutte contre les inondations et les incendies.

  • Installez des bases de données dans la zone sécurisée de l’intranet d’entreprise et ne connectez pas vos instances SQL Server directement à Internet.

  • Sauvegardez régulièrement toutes les données et conservez les copies de sauvegarde dans un lieu sécurisé situé en dehors de l'entreprise.

Utiliser des pare-feu

Les pare-feu sont importants afin d'aider à sécuriser l'installation de SQL Server . Les pare-feu sont les plus efficaces si vous suivez ces instructions :

  • Placez un pare-feu entre le serveur et Internet. Activez votre pare-feu. Si votre pare-feu est désactivé, activez-le. Si votre pare-feu est activé, ne le désactivez pas.

  • Divisez le réseau en zones de sécurité séparées par des pare-feu. Bloquez tout le trafic, puis sélectionnez uniquement ce qui est obligatoire.

  • Dans un environnement à plusieurs niveaux, utilisez plusieurs pare-feu pour créer des sous-réseaux filtrés.

  • Lorsque vous installez le serveur à l’intérieur d’un domaine Windows, configurez les pare-feu intérieurs pour autoriser l’authentification Windows.

  • Si votre application utilise des transactions distribuées, vous devrez éventuellement configurer le pare-feu pour autoriser le trafic MS DTC ( Microsoft Distributed Transaction Coordinator) entre des instances MS DTC distinctes. Vous devez également configurer le pare-feu pour autoriser le trafic à circuler entre ms DTC et les gestionnaires de ressources tels que SQL Server.

Pour plus d’informations sur les paramètres par défaut du Pare-feu Windows et pour obtenir une description des ports TCP qui affectent le Moteur de base de données, Analysis Services, Reporting Services et les Services d’intégration, consultez Configurer le Pare-feu Windows pour autoriser l’accès à SQL Server.

Isoler les services

Le fait d'isoler les services réduit le risque qu'un service compromis soit utilisé pour en compromettre d'autres. Pour isoler des services, tenez compte des consignes suivantes :

Configurer un système de fichiers sécurisé

L'utilisation du système de fichiers correct accroît la sécurité. Pour les installations SQL Server , vous devez effectuer les tâches suivantes :

Utilisez le système de fichiers NTFS ou ReFS. NTFS et ReFS sont le système de fichiers recommandé pour les installations de SQL Server, car il est plus stable et récupérable que les systèmes de fichiers FAT32. Les systèmes de fichiers NTFS et ReFS permettent également d’utiliser des options de sécurité telles que les listes de contrôle d’accès aux fichiers et aux répertoires. NTFS prend également en charge le chiffrement de fichiers EFS. Lors de l’installation, SQL Server définit les listes de contrôle d’accès appropriées sur les clés et les fichiers de Registre si elle détecte NTFS. Ces autorisations ne doivent pas être modifiées. Il se peut que les versions futures de SQL Server ne prennent pas en charge l'installation sur des ordinateurs dotés de systèmes de fichiers FAT.

Notes

Si vous utilisez EFS, les fichiers de base de données sont chiffrés sous l’identité du compte exécutant SQL Server. Seul ce compte est en mesure de déchiffrer les fichiers. Si vous devez modifier le compte qui exécute SQL Server, vous devez d’abord déchiffrer les fichiers sous l’ancien compte, puis les rechiffrer sous le nouveau compte de service.

Avertissement

L’utilisation du chiffrement de fichiers via EFS peut entraîner des performances d’E/S plus lentes, car le chiffrement entraîne la synchronisation des E/S asynchrones. Voir Les E/S de disque asynchrones apparaissent comme étant synchrones sur Windows. Au lieu de cela, vous pouvez envisager d’utiliser des technologies de chiffrement SQL Server telles que Transparent Data Encryption (TDE),Always Encrypted et les fonctions de chiffrement au niveau des colonnes.

Désactivation des protocoles NetBIOS et SMB (Server Message Block)

Les protocoles non nécessaires doivent tous être désactivés sur les serveurs du réseau de périmètre, y compris les protocoles NetBIOS et SMB.

Le protocole NetBIOS utilise les ports suivants :

  • UDP/137 (service de noms NetBIOS)
  • UDP/138 (service de datagrammes NetBIOS)
  • TCP/139 (service de sessions NetBIOS)

Le protocole SMB utilise les ports suivants :

  • TCP/139
  • TCP/445

Les serveurs web et les serveurs DNS (Domain Name System) ne nécessitent pas NetBIOS ou SMB. Désactivez ces protocoles sur ces serveurs afin de réduire le risque lié à l'énumération utilisateur.

Installer SQL Server sur un contrôleur de domaine

Pour des raisons de sécurité, nous recommandons de ne pas installer SQL Server sur un contrôleur de domaine. SQL Server ne bloque pas l'installation sur un ordinateur qui est contrôleur de domaine, mais les limitations suivantes s'appliquent :

  • Vous ne pouvez pas exécuter les services SQL Server sur un contrôleur de domaine sous un compte de service local.

  • Après avoir installé SQL Server sur un ordinateur, vous ne pouvez pas modifier l'ordinateur d'un membre de domaine en un contrôleur de domaine. Vous devez désinstaller SQL Server avant de modifier l'ordinateur hôte en un contrôleur de domaine.

  • Après avoir installé SQL Server sur un ordinateur, vous ne pouvez pas modifier l'ordinateur d'un contrôleur de domaine en un membre de domaine. Vous devez désinstaller SQL Server avant de modifier l'ordinateur hôte en un membre de domaine.

  • Les instances de cluster de basculement SQL Server ne sont pas prises en charge quand les nœuds de cluster sont des contrôleurs de domaine.

  • Le programme d'installation de SQL Server ne peut pas créer de groupes de sécurité ni configurer de comptes de service SQL Server sur un contrôleur de domaine en lecture seule. Dans ce scénario, le programme d'installation échoue.

Vérifiez que les droits utilisateur requis sont attribués pour une installation réussie

Le programme d’installation nécessite que les droits utilisateur suivants soient accordés au compte sous lequel SQL Server est installé :

  • Fichiers et répertoires de sauvegarde
  • Déboguer des programmes
  • Gérer le journal d'audit et de sécurité

Ces privilèges utilisateur sont généralement accordés par défaut au groupe d’administrateurs local (BUILTIN\Administrators). Dans la plupart des cas, aucune action n’est nécessaire pour les affecter. Toutefois, si une stratégie de sécurité révoque ces privilèges, vous devez vous assurer qu’ils sont correctement attribués ou que le programme d’installation de SQL Server échoue avec l’erreur suivante :

The account that is running SQL Server Setup doesn't have one or all of the following rights: the right to back up files and directories, the right to manage auditing and the security log and the right to debug programs. To continue, use an account with both of these rights.

Pendant ou après l’installation de SQL Server

Après l'installation, vous pouvez renforcer la sécurité de l'installation SQL Server en suivant les recommandations suivantes pour les comptes et les modes d'authentification :

Comptes de service

  • Exécutez les services SQL Server en utilisant les autorisations les plus basses possibles.

  • Associez les services SQL Server à des comptes d'utilisateurs locaux Windows à faibles privilèges ou à des comptes d'utilisateurs de domaine.

  • Pour plus d’informations, consultez Configurer les comptes de service Windows et les autorisations.

Mode d'authentification

Mots de passe forts

  • Affectez toujours un mot de passe fort au compte sa .
  • Toujours activez la vérification de la stratégie de mot de passe pour vérifier la robustesse et l'expiration du mot de passe.
  • Utilisez toujours des mots de passe forts pour toutes les connexions SQL Server .

Important

Lors de l’installation de SQL Server Express, une connexion est ajoutée pour le BUILTIN\Users groupe. Cela permet à tous les utilisateurs authentifiés sur l'ordinateur d'accéder à l'instance de SQL Server Express en tant que membres du rôle public. La connexion BUILTIN\Users peut être supprimée en toute sécurité pour restreindre l'accès au moteur de base de données aux utilisateurs d’ordinateur qui ont des identifiants individuels ou qui sont membres d’autres groupes Windows avec des comptes de connexion.

Contenu connexe

  • Last updated on