Partager via

Considérations relatives à la sécurité pour une installation de SQL Server

S’applique à :SQL Server sur Windows

La sécurité est importante pour chaque produit et chaque activité. En respectant les recommandations les plus simples, vous pouvez éviter de nombreuses failles de sécurité. Cet article traite des recommandations de sécurité qu’il est conseillé de suivre avant d’installer SQL Server et après avoir installé SQL Server. Des conseils en matière de sécurité concernant des fonctionnalités spécifiques sont inclus dans les articles de référence de ces fonctionnalités.

Avant d’installer SQL Server

Suivez ces recommandations lors de la définition de l'environnement du serveur :

Améliorer la sécurité physique

L’isolation physique et logique constitue la base de la sécurité SQL Server. Pour améliorer la sécurité physique de l’installation de SQL Server, effectuez les tâches suivantes :

  • Placez le serveur dans une pièce à laquelle seules les personnes autorisées peuvent accéder.

  • Placez les ordinateurs qui hébergent une base de données dans un lieu protégé physiquement, idéalement dans une salle fermée à clé, équipée de systèmes pour la détection et la lutte contre les inondations et les incendies.

  • Installez des bases de données dans la zone sécurisée de l’intranet d’entreprise et ne connectez pas vos instances SQL Server directement à Internet.

  • Sauvegardez régulièrement toutes les données et conservez les copies de sauvegarde dans un lieu sécurisé situé en dehors de l'entreprise.

Utiliser des pare-feu

Les pare-feu sont importants pour sécuriser l’installation de SQL Server. Les pare-feu sont les plus efficaces si vous suivez ces instructions :

  • Placez un pare-feu entre le serveur et Internet. Activez votre pare-feu. Si votre pare-feu est désactivé, activez-le. Si votre pare-feu est activé, ne le désactivez pas.

  • Divisez le réseau en zones de sécurité séparées par des pare-feu. Bloquez tout le trafic, puis sélectionnez uniquement ce qui est obligatoire.

  • Dans un environnement multiniveau, utilisez plusieurs pare-feu pour créer des sous-réseaux filtrés.

  • Lorsque vous installez le serveur à l’intérieur d’un domaine Windows, configurez les pare-feu intérieurs pour autoriser l’authentification Windows.

  • Si votre application utilise des transactions distribuées, vous devrez éventuellement configurer le pare-feu pour autoriser le trafic MS DTC ( Microsoft Distributed Transaction Coordinator) entre des instances MS DTC distinctes. Vous devez également configurer le pare-feu pour autoriser le trafic à circuler entre ms DTC et les gestionnaires de ressources tels que SQL Server.

Pour plus d’informations sur les paramètres par défaut du Pare-feu Windows et pour obtenir une description des ports TCP qui affectent le Moteur de base de données, Analysis Services, Reporting Services et les Services d’intégration, consultez Configurer le Pare-feu Windows pour autoriser l’accès à SQL Server.

Isoler les services

Le fait d'isoler les services réduit le risque qu'un service compromis soit utilisé pour en compromettre d'autres. Pour isoler des services, tenez compte des consignes suivantes :

Configurer un système de fichiers sécurisé

L'utilisation du système de fichiers correct accroît la sécurité. Pour les installations de SQL Server, effectuez les tâches suivantes :

Utilisez le système de fichiers NTFS ou ReFS. NTFS et ReFS sont les systèmes de fichiers recommandés pour les installations de SQL Server, car ils sont plus stables et récupérables que les systèmes de fichiers FAT32. Les systèmes de fichiers NTFS et ReFS permettent également d’utiliser des options de sécurité telles que les listes de contrôle d’accès aux fichiers et aux répertoires. NTFS prend également en charge le système de fichiers de chiffrement (EFS) - le chiffrement de fichiers. Lors de l’installation, SQL Server définit les listes de contrôle d’accès appropriées sur les clés et les fichiers de Registre si elle détecte NTFS. Ne modifiez pas ces autorisations. Il se peut que les versions futures de SQL Server ne prennent pas en charge l'installation sur des ordinateurs dotés de systèmes de fichiers FAT.

Note

Si vous utilisez EFS, les fichiers de base de données sont chiffrés sous l’identité du compte exécutant SQL Server. Seul ce compte peut déchiffrer les fichiers. Si vous devez modifier le compte qui exécute SQL Server, commencez par déchiffrer les fichiers sous l’ancien compte, puis les chiffrer à nouveau sous le nouveau compte de service.

Avertissement

L’utilisation du chiffrement de fichiers via EFS peut entraîner des performances d’E/S plus lentes, car le chiffrement entraîne la synchronisation des E/S asynchrones. Voir Les E/S de disque asynchrones apparaissent comme étant synchrones sur Windows. Au lieu de cela, envisagez d’utiliser des technologies de chiffrement SQL Server telles que le chiffrement transparent des données (TDE),Always Encrypted et les fonctions de chiffrement au niveau des colonnes.

Désactiver NetBIOS et Server Message Block (SMB)

Désactivez tous les protocoles inutiles sur les serveurs du réseau de périmètre, notamment NetBIOS et le bloc de messages serveur (SMB).

Le protocole NetBIOS utilise les ports suivants :

  • UDP/137 (service de noms NetBIOS)
  • UDP/138 (service de datagrammes NetBIOS)
  • TCP/139 (service de sessions NetBIOS)

Le protocole SMB utilise les ports suivants :

  • TCP/139
  • TCP/445

Les serveurs web et les serveurs DNS (Domain Name System) ne nécessitent pas NetBIOS ou SMB. Désactivez ces protocoles sur ces serveurs afin de réduire le risque lié à l'énumération utilisateur.

Installer SQL Server sur un contrôleur de domaine

Pour des raisons de sécurité, n'installez pas SQL Server sur un contrôleur de domaine. SQL Server ne bloque pas l'installation sur un ordinateur qui est contrôleur de domaine, mais les limitations suivantes s'appliquent :

  • Vous ne pouvez pas exécuter les services SQL Server sur un contrôleur de domaine sous un compte de service local.

  • Après avoir installé SQL Server sur un ordinateur, vous ne pouvez pas remplacer l’ordinateur d’un membre de domaine par un contrôleur de domaine. Vous devez désinstaller SQL Server avant de modifier l'ordinateur hôte en un contrôleur de domaine.

  • Après avoir installé SQL Server sur un ordinateur, vous ne pouvez pas remplacer l’ordinateur d’un contrôleur de domaine par un membre de domaine. Vous devez désinstaller SQL Server avant de modifier l'ordinateur hôte en un membre de domaine.

  • Les instances de cluster de basculement SQL Server ne sont pas prises en charge quand les nœuds de cluster sont des contrôleurs de domaine.

  • Le programme d’installation de SQL Server ne peut pas créer de groupes de sécurité ou de comptes de service SQL Server sur un contrôleur de domaine en lecture seule. Dans ce scénario, le programme d'installation échoue.

Vérifiez que les droits utilisateur requis sont attribués pour une installation réussie

Le programme d’installation nécessite que les droits utilisateur suivants soient accordés au compte sous lequel SQL Server est installé :

  • Fichiers et répertoires de sauvegarde
  • Déboguer des programmes
  • Gérer le journal d'audit et de sécurité

Ces privilèges utilisateur sont généralement accordés par défaut au groupe d’administrateurs local (BUILTIN\Administrators). Dans la plupart des cas, vous n’avez pas besoin de prendre des mesures pour les affecter. Toutefois, si une stratégie de sécurité révoque ces privilèges, vérifiez qu’ils sont correctement attribués ou que le programme d’installation de SQL Server échoue avec l’erreur suivante :

The account that is running SQL Server Setup doesn't have one or all of the following rights: the right to back up files and directories, the right to manage auditing and the security log and the right to debug programs. To continue, use an account with both of these rights.

Pendant ou après l’installation de SQL Server

Après l’installation, améliorez la sécurité de l’installation de SQL Server en suivant ces bonnes pratiques concernant les comptes et les modes d’authentification :

Comptes de service

  • Exécutez les services SQL Server en utilisant les autorisations les plus basses possibles.

  • Associez des services SQL Server à des comptes d’utilisateur locaux Windows à faible privilège ou à des comptes d’utilisateur de domaine.

  • Pour plus d’informations, consultez Configurer les comptes de service Windows et les autorisations.

Mode d'authentification

Mots de passe forts

  • Affectez toujours un mot de passe fort au compte sa .
  • Activez toujours le contrôle de la politique des mots de passe pour assurer la robustesse et l'expiration des mots de passe.
  • Utilisez toujours des mots de passe forts pour toutes les connexions SQL Server .

Important

Lors de l’installation de SQL Server Express, une connexion est ajoutée pour le BUILTIN\Users groupe. Ce groupe accorde à tous les utilisateurs de l’ordinateur l’accès à l’instance de SQL Server Express en tant que membre du rôle public. Vous pouvez supprimer en toute sécurité le groupe pour restreindre l’accès BUILTIN\Users au moteur de base de données aux utilisateurs d’ordinateur qui ont des connexions individuelles ou qui sont membres d’autres groupes Windows avec des connexions.

Contenu connexe

  • Last updated on