Penilaian kerentanan untuk SQL Server

Berlaku untuk:SQL Server

Penilaian kerentanan SQL adalah alat yang mudah digunakan yang dapat membantu Anda menemukan, melacak, dan memulihkan potensi kerentanan database. Gunakan untuk secara proaktif meningkatkan keamanan database Anda.

Catatan

Alat penilaian kerentanan tersedia di SQL Server Management Studio (SSMS) sebelum 19.1, untuk SQL Server 2012 (11.x) dan versi yang lebih baru.

Penghapusan Penilaian Kerentanan SQL di SQL Server Management Studio 19.1

Penilaian Kerentanan SQL di SSMS menyediakan cara untuk memindai dan melaporkan kemungkinan kesalahan konfigurasi keamanan pada database SQL Server Anda dengan cara yang terputus, pada SQL Server 2012 (11.x) dan versi yang lebih baru. Kemampuan ini dikonsolidasikan ke dalam paket keamanan database yang komprehensif, yang disebut Pertahanan Microsoft untuk SQL, yang memungkinkan Anda melakukan pemindaian penilaian kerentanan dan mengidentifikasi serangan real time pada database Anda dalam skala besar di seluruh sumber daya cloud dan lokal. Defender untuk SQL memberi pelanggan pembaruan terbaru untuk memindai aturan dan algoritma perlindungan ancaman yang diperbarui.

Sebaliknya, Penilaian Kerentanan SQL di SSMS tidak menggunakan temuan dari Defender untuk Cloud, juga tidak dapat menemukan dari pemindaian lokal yang diunggah. Selain itu, Penilaian Kerentanan SQL pada SSMS tidak menerima pembaruan secara real time, yang dapat menyebabkan inkonsistensi dibandingkan dengan temuan yang diperbarui dari Defender untuk Cloud. Untuk mencegah kebingungan dan inkonsistensi lebih lanjut dalam pengalaman keamanan database pelanggan, kami telah menghapus Penilaian Kerentanan SQL dari SSMS pada versi 19.1. Meskipun Penilaian Kerentanan SQL tetap tersedia dalam versi SSMS yang lebih lama, disarankan untuk menggunakan Pertahanan Microsoft untuk SQL untuk mengevaluasi konfigurasi keamanan lingkungan Anda, terlepas dari versi SQL atau SQL Anda.

Untuk informasi selengkapnya, lihat Mengaktifkan Pertahanan Microsoft untuk SQL Server pada komputer dan Memindai kerentanan SQL Server Anda.

Untuk Azure SQL Database, Azure Synapse Analytics, dan SQL Managed Instance, gunakan Pertahanan Microsoft untuk SQL Database.

Fitur penilaian kerentanan

Penilaian kerentanan SQL (VA) adalah layanan yang memberikan visibilitas ke dalam status keamanan Anda, dan mencakup langkah-langkah yang dapat ditindaklanjuti untuk mengatasi masalah keamanan dan meningkatkan keamanan database Anda. Ini dapat membantu Anda:

• Memenuhi persyaratan kepatuhan yang memerlukan laporan pemindaian database
• Memenuhi standar privasi data
• Memantau lingkungan database dinamis di mana perubahan sulit dilacak

Layanan VA menjalankan pemindaian langsung di database Anda. Layanan ini menggunakan basis pengetahuan aturan yang menandai kerentanan keamanan dan menyoroti penyimpangan dari praktik terbaik, seperti kesalahan konfigurasi, izin berlebihan, dan data sensitif yang tidak terlindungi. Aturan ini didasarkan pada praktik terbaik microsoft yang direkomendasikan, dan fokus pada masalah keamanan yang menyajikan risiko terbesar bagi database Anda dan data berharganya. Aturan ini juga mewakili banyak persyaratan dari berbagai badan pengatur untuk memenuhi standar kepatuhan mereka.

Hasil pemindaian mencakup langkah-langkah yang dapat diambil untuk menyelesaikan setiap masalah dan menyediakan skrip remediasi yang disesuaikan jika berlaku. Laporan penilaian dapat disesuaikan untuk lingkungan Anda, dengan mengatur garis besar yang dapat diterima untuk konfigurasi izin, konfigurasi fitur, dan pengaturan database.

Prasyarat

Fitur ini hanya tersedia di SQL Server Management Studio (SSMS) v17.4 atau yang lebih baru. Anda dapat menemukan versi terbaru di sini.

Mulai

Untuk menjalankan pemindaian kerentanan pada database Anda, ikuti langkah-langkah berikut:

1. Buka SQL Server Management Studio.

2. Koneksi ke instans SQL Server Database Engine atau localhost.

3. Perluas Database, klik kanan database, arahkan ke Tugas, pilih Penilaian kerentanan, dan pilih Pindai Kerentanan...

4. Anda dapat menjalankan pemindaian yang memeriksa masalah tingkat server dengan memindai salah satu database sistem. Perluas Database Sistem, klik master kanan database, arahkan ke Tugas, pilih Penilaian Kerentanan, dan pilih Pindai Kerentanan...

Tutorial

Gunakan langkah-langkah berikut untuk menjalankan dan mengelola penilaian kerentanan pada database Anda.

1. Jalankan pemindaian

Dialog Pindai Kerentanan memungkinkan Anda menentukan lokasi tempat pemindaian disimpan. Anda dapat meninggalkan lokasi default atau memilih Telusuri... untuk menyimpan hasil pemindaian ke lokasi lain.

Saat Anda siap untuk memindai, pilih OK untuk memindai database Anda untuk kerentanan.

Catatan

Proses pemindaian cepat dan aman. Dibutuhkan beberapa detik untuk dijalankan, dan sepenuhnya baca-saja. Tindakan ini tidak membuat perubahan apa pun pada database Anda.

2. Lihat laporan

Setelah pemindaian selesai, laporan pemindaian Anda secara otomatis ditampilkan di panel SSMS utama. Laporan ini menyajikan gambaran umum status keamanan Anda; berapa banyak masalah yang ditemukan, dan tingkat keparahan masing-masing. Hasilnya termasuk peringatan tentang penyimpangan dari praktik terbaik, serta rekam jepret pengaturan terkait keamanan Anda. Pengaturan ini mencakup prinsipal dan peran database, dan izin terkaitnya. Laporan pemindaian juga menyediakan peta data sensitif yang ditemukan di database Anda, dan menyertakan rekomendasi metode bawaan yang tersedia untuk melindunginya.

3. Menganalisis hasil dan mengatasi masalah

Tinjau hasil Anda dan tentukan temuan mana dalam laporan yang merupakan masalah keamanan sejati di lingkungan Anda. Telusuri paling detail setiap hasil yang gagal untuk memahami dampak temuan, dan mengapa setiap pemeriksaan keamanan gagal. Gunakan informasi remediasi yang dapat ditindaklanjuti yang disediakan oleh laporan untuk mengatasi masalah tersebut.

4. Atur Garis Besar Anda

Saat meninjau hasil penilaian, Anda dapat menandai hasil tertentu sebagai Garis Besar yang dapat diterima di lingkungan Anda. Garis besar pada dasarnya adalah penyesuaian terkait cara pelaporan hasil penilaian. Hasil yang cocok dengan garis besar dianggap lolos dalam pemindaian berikutnya.

Setelah Anda menetapkan status keamanan garis dasar Anda, VA hanya melaporkan penyimpangan dari garis besar, dan Anda dapat memfokuskan perhatian Anda pada masalah yang relevan.

5. Jalankan pemindaian baru untuk melihat laporan pelacakan yang disesuaikan

Setelah Anda selesai menyiapkan Garis Besar Aturan, jalankan pemindaian baru untuk melihat laporan yang dikustomisasi. VA sekarang melaporkan hanya masalah keamanan yang gagal yang menyimpang dari status garis besar yang disetujui.

6. Buka pemindaian yang dijalankan sebelumnya

Anda dapat melihat hasil penilaian kerentanan yang dijalankan sebelumnya kapan saja dengan membuka pemindaian yang ada. Lakukan dengan mengklik kanan database, menunjuk ke Tugas, memilih Penilaian Kerentanan, dan memilih Buka Pemindaian yang Ada.... Pilih file hasil pemindaian yang ingin Anda lihat dan pilih Buka.

Anda juga dapat membuka hasil pemindaian yang ada melalui menu Buka File>. Pilih Penilaian Kerentanan... dan buka direktori pemindaian untuk menemukan hasil pemindaian yang ingin Anda lihat.

VA sekarang dapat digunakan untuk memantau bahwa database Anda mempertahankan tingkat keamanan yang tinggi setiap saat, dan bahwa kebijakan organisasi Anda terpenuhi. Jika laporan kepatuhan diperlukan, laporan VA dapat membantu untuk memfasilitasi proses kepatuhan.

Mengelola penilaian kerentanan menggunakan PowerShell

Anda dapat menggunakan cmdlet PowerShell untuk mengelola penilaian kerentanan secara terprogram untuk instans SQL Server Anda. Cmdlet dapat digunakan untuk menjalankan penilaian secara terprogram, mengekspor hasil dan mengelola garis besar. Untuk memulai, unduh modul PowerShell SqlServer terbaru dari situs Galeri PowerShell. Pelajari lebih lanjut di sini:

Langkah berikutnya

• Menjalankan pemindaian penilaian kerentanan di Azure SQL Database
• Video Channel 9 yang menunjukkan penggunaan penilaian kerentanan