Considerazioni sulla sicurezza per un'installazione di SQL Server

Si applica a: SQL Server (tutte le versioni supportate) - Solo Windows

La sicurezza rappresenta un fattore importante per ogni prodotto e azienda. Con alcune semplici procedure consigliate è possibile evitare molte vulnerabilità di sicurezza. Questo articolo illustra alcune procedure consigliate per la sicurezza da considerare prima di installare SQL Server e dopo l'installazione di SQL Server. Le indicazioni sulla sicurezza per specifiche funzionalità sono riportate negli articoli di riferimento relativi a tali funzionalità.

Prima dell'installazione di SQL Server

Procedure consigliate da eseguire durante la configurazione dell'ambiente server:

Ottimizzazione della sicurezza fisica

L'isolamento fisico e logico costituisce la base della sicurezza di SQL Server. Per migliorare la sicurezza fisica dell'installazione di SQL Server, eseguire le attività seguenti:

  • Collocare il server in un'area accessibile solo a persone autorizzate.

  • Posizionare i computer che ospitano un database in un luogo fisicamente protetto. La soluzione ideale è rappresentata da una sala computer chiusa, con monitoraggio e rilevamento di allagamenti e sistemi di rilevamento e spegnimento incendi.

  • Installare i database in un'area protetta della rete Intranet aziendale e non connettere i computer SQL Server direttamente a Internet.

  • Eseguire regolarmente il backup di tutti i dati e archiviare tali backup in un luogo protetto fuori sede.

Utilizzo di firewall

I firewall sono importanti per proteggere l'installazione SQL Server. e garantiscono la massima efficienza se vengono rispettate le linee guida seguenti:

  • Inserire un firewall tra il server e Internet. Abilitare il firewall. Se il firewall è disabilitato, abilitarlo. Se il firewall è abilitato, non disabilitarlo.

  • Dividere la rete in aree di sicurezza separate da firewall. Bloccare tutto il traffico e quindi ammettere selettivamente soltanto il traffico necessario.

  • In un ambiente multilivello utilizzare più firewall per creare subnet schermate.

  • Se il server viene installato all'interno di un dominio Windows, configurare firewall interni per consentire l'autenticazione di Windows.

  • Se l'applicazione usa transazioni distribuite, potrebbe essere necessario configurare il firewall per consentire il flusso del traffico microsoft Distributed Transaction Coordinator (MS DTC) tra istanze MS DTC separate. Sarà anche necessario configurare il firewall per consentire il flusso del traffico tra MS DTC e i gestori di risorse, ad esempio SQL Server.

Per altre informazioni sulle impostazioni predefinite di Windows Firewall e per una descrizione delle porte TCP che interessano il motore di database, Analysis Services, Reporting Services e Integration Services, vedere Configurare Windows Firewall per consentire l'accesso a SQL Server.

Isolamento dei servizi

L'isolamento dei servizi riduce il rischio che un servizio compromesso venga utilizzato per comprometterne altri. Per isolare i servizi, osservare le linee guida seguenti:

Configurazione di un file system protetto

L'utilizzo del file system corretto garantisce una maggiore sicurezza. Per le installazioni di SQL Server, è necessario eseguire le attività seguenti:

Usare il file system NT (NTFS) o Il file system resiliente (ReFS). NTFS e ReFS sono il file system consigliato per le installazioni di SQL Server perché è più stabile e recuperabile rispetto ai file system FAT32. NTFS o ReFS abilitano anche opzioni di sicurezza come elenchi di controllo di accesso alle directory e ai file. NTFS supporta anche crittografia del file system (EFS) - crittografia dei file. Durante l'installazione, SQL Server imposterà gli ACL appropriati per le chiavi e i file del Registro di sistema se rileva NTFS. Queste autorizzazioni non devono essere modificate. Le versioni future di SQL Server potrebbero non supportare l'installazione nei computer con file system FAT.

Nota

Se si usa EFS, i file di database verranno crittografati con l'identità dell'account che esegue SQL Server. Solo questo account potrà decrittografare i file. Se è necessario modificare l'account che esegue SQL Server, è necessario prima decrittografare i file nell'account precedente e quindi crittografarli nuovamente nel nuovo account del servizio.

Avviso

L'uso della crittografia dei file tramite EFS può comportare un rallentamento delle prestazioni di I/O perché la crittografia causa la trasformazione sincrona di I/O asincrona. Vedi I/O su disco asincrono viene visualizzato come sincrono in Windows. È invece possibile usare SQL Server tecnologie di crittografia come Transparent Data Encryption (TDE),Always Encrypted e funzioni T-SQL di crittografia a livello di colonna.

Disabilitazione di NetBIOS e SMB

È consigliabile disabilitare tutti i protocolli non necessari sui server della rete perimetrale, ad esempio NetBIOS e SMB (Server Message Block).

NetBIOS utilizza le porte seguenti:

  • UDP/137 (servizio nomi NetBIOS)

  • UDP/138 (servizio datagrammi NetBIOS)

  • TCP/139 (servizio di sessione NetBIOS)

SMB utilizza le porte seguenti:

  • TCP/139

  • TCP/445

I server Web e DNS (Domain Name System) non necessitano di NetBIOS o SMB. In tali server disabilitare entrambi i protocolli per ridurre il rischio di enumerazione degli utenti.

Installazione di SQL Server in un controller di dominio

Per motivi di sicurezza, è consigliabile non installare SQL Server in un controller di dominio. SQL Server programma di installazione non blocca l'installazione in un computer che è un controller di dominio, ma si applicano le limitazioni seguenti:

  • Non è possibile eseguire SQL Server servizi in un controller di dominio con un account del servizio locale.

  • Dopo aver installato SQL Server in un computer, non è possibile modificare il computer da un membro di dominio a un controller di dominio. Prima di modificare il computer host in controller di dominio, è necessario disinstallare SQL Server.

  • Dopo aver installato SQL Server in un computer, non è possibile modificare il computer da un controller di dominio a un membro di dominio. Prima di modificare il computer host in membro di dominio, è necessario disinstallare SQL Server.

  • SQL Server istanze del cluster di failover non sono supportate in cui i nodi del cluster sono controller di dominio.

  • SQL Server programma di installazione non può creare gruppi di sicurezza o effettuare il provisioning degli account del servizio SQL Server in un controller di dominio di sola lettura. In questo scenario il programma di installazione non verrà completato.

Durante o dopo l'installazione di SQL Server

Dopo l'installazione, è possibile migliorare la sicurezza dell'installazione di SQL Server seguendo queste procedure consigliate relative agli account e alle modalità di autenticazione:

Account di servizio

Modalità di autenticazione

Password complesse

  • Assegnare sempre una password complessa all'account sa .

  • Abilitare sempre il controllo dei criteri password che consente di verificare la complessità e la scadenza della password.

  • Usare sempre password complesse per tutti gli account di accesso SQL Server.

Importante

Durante l'installazione di SQL Server Express viene aggiunto un account di accesso per il gruppo BUILTIN\Users. In questo modo tutti gli utenti autenticati del computer possono accedere all'istanza di SQL Server Express come membro del ruolo pubblico. L'account di accesso BUILTIN\Users può essere rimosso in modo sicuro per limitare l'accesso del motore di database agli utenti del computer che dispongono di account di accesso singoli o sono membri di altri gruppi di Windows con account di accesso.

Vedere anche

Requisiti hardware e software per l'installazione di SQL Server
Protocolli e librerie di rete
Registrazione di un nome dell'entità servizio per le connessioni Kerberos