none
INVASÃO DO MEU SQL SERVER EXPRESS 2005 - PARTE II RRS feed

  • Pergunta

  •  

    Pessoal, preciso esclarecer uma coisa:

     

    - > O Leivio Fontenele escreveu que é preciso excluir ogrupo "BUILTIN\Administradores"

         Faço isso....eu dou um Drop nos outros grupos...deixando somente o sa cadastrado.

     

    -> O Junior Galvão escreveu que eu teria que ter um usuario cadastrado com somente leitura e gravacao.

        Veja bem junior o cara usou um usuario sa pra acessar....(provavelmente pegou o .mdf e abriu em outra maquina)

     

    -> O Gustavo Maia Aguiar escreveu que a empresa pegou os dados com o consentimento de meu cliente...

        É verdade....isto aconteceu....eles tiveram acesso ao servidor...

        O meu sistema tem a senha de acesso ao sql server compilado no executavel.. e quando eu instalo o servidor sql 

        server eu deixo somente o sa cadastrado.....excluindo todos os outros que o sql cria automaticamente....

        

        Resumindo: Eu achei que se somente eu tinha a senha do sa...e a minha senha de acesso esta no meu executavel...

                          e nenhum grupo de usuarios cadastrado.....somente eu tinha o controle do meu servidor sql....(mas nao

                          foi o que aconteceu.)  

    sexta-feira, 7 de novembro de 2008 11:11

Respostas

  • Olá Luiz,

     

    Eu diria que você foi até onde pode, mas existe uma frase na área de segurança que acho muito interessante:

     

    "Uma vulnerabilidade de rede permite que um usuário mal intencionado explore um host ou um aplicativo. Uma vulnerabilidade no host permite que um usuário mal intencionado explore uma rede ou um aplicativo. Uma vulnerabilidade do aplicativo permite que um usuário mal intencionado explore uma rede ou um host."

    – Carlos Lyons, Segurança Corporativa, Microsoft

     

    Acredito que você tem o controle total da sua aplicação, mas a menos que você entregue o hardware e a rede não há como proteger-se totalmente. Uma vez que o MDF e o LDF estão acessíveis, até a senha do SA é possível de ser quebrada. Uma vez que o servidor esteja acessível é possível colocar uma nova conta Windows como administrador do SQL Server, etc. Há várias maneiras de acessar uma vez que você não detém (e não pode deter) o controle sobre o servidor.

     

    O máximo que você poderia chegar é na criptografia dos dados, pois, aí o acesso dependeria somente da sua aplicação.

     

    [ ]s,

     

    Gustavo

    • Marcado como Resposta Richard Juhasz terça-feira, 27 de dezembro de 2011 17:52
    sexta-feira, 7 de novembro de 2008 11:57
  • Luiz,

     

    Respeito suas colocações e também sua opinião, mas a segurança de um banco de dados não é somente se preocupar com o que esta dentro do banco, mas sim o que isso poderá representar.

     

    Quando falamos de segurança devemos pensar como um todo, os servidores, os usuários, os data centers ou salas de servidores, controle de acesso, senhas para impedir acesso a determinadas áreas de informação.

     

    Em relação a senha de administrador no serviço, isso não representa necessáriamente o melhor dos mundos, pois a partir do momento que o serviço esta rodando isso representa que o mesmo poderá ser acessado, mas é claro existem algumas barreiras.

     

    No caso dos arquivos .mdf e .ldf isso não tem muito coisa a ser feita, pois tratam-se de arquivos que estão armazenados em locais definidos pelos administradores e se por acaso algum usuário tenha acesso e estes arquivos os mesmo poderá fazer uso, inclusive copiando para um pen-drive.

     

    Inicialmente poderiamos pensar em criar um plano de segurança ou um check list.

    • Marcado como Resposta Richard Juhasz terça-feira, 27 de dezembro de 2011 17:52
    sábado, 8 de novembro de 2008 13:21
    Moderador

Todas as Respostas

  • Olá Luiz,

     

    Eu diria que você foi até onde pode, mas existe uma frase na área de segurança que acho muito interessante:

     

    "Uma vulnerabilidade de rede permite que um usuário mal intencionado explore um host ou um aplicativo. Uma vulnerabilidade no host permite que um usuário mal intencionado explore uma rede ou um aplicativo. Uma vulnerabilidade do aplicativo permite que um usuário mal intencionado explore uma rede ou um host."

    – Carlos Lyons, Segurança Corporativa, Microsoft

     

    Acredito que você tem o controle total da sua aplicação, mas a menos que você entregue o hardware e a rede não há como proteger-se totalmente. Uma vez que o MDF e o LDF estão acessíveis, até a senha do SA é possível de ser quebrada. Uma vez que o servidor esteja acessível é possível colocar uma nova conta Windows como administrador do SQL Server, etc. Há várias maneiras de acessar uma vez que você não detém (e não pode deter) o controle sobre o servidor.

     

    O máximo que você poderia chegar é na criptografia dos dados, pois, aí o acesso dependeria somente da sua aplicação.

     

    [ ]s,

     

    Gustavo

    • Marcado como Resposta Richard Juhasz terça-feira, 27 de dezembro de 2011 17:52
    sexta-feira, 7 de novembro de 2008 11:57
  • Só pra vc entender Gustavo Maia,

     

    1 - A empresa usava um sistema em linux.....

    2 - Trocou pelo meu sistema em windows com sql server...

     

    Porem, ela nao consegui se adptar ao ambiente windows com mouse etc.....eles tavam acustumados

    com o ambiente tipo DOS...sem mouse.

     

    Ai a empresa voltou pra o sistema anterior....só que simplismente.....pegou o servidor....e tirou as informacoes....

     

    Entao...vc imagine que eu tenho empresas que só tem uma maquina....como frente de caixa e servidor...e com

    internet tudo ligado........como que eu vou dizer pro meu cliente que tem que comprar um servidor exclusivo e deixar em algum lugar na empresa que ninguem mexa....e compartilhe a maquina.....

     

    E uma empresa com 10 usuarios por exemplo....vc nao sabe se ninguem vai la no servidor copiar os mdf....

     

    Eu penso que se eu coloquei uma senha....no administrador do servico.....e ninguem tem acesso a esta senha....

    pela lógica ninguem mais teria acesso....ao servico sql ali rodando.....

     

    Não importando a onde ta a maquina...e que tipo estão usando a maquina......(servidor)

     

     

    sexta-feira, 7 de novembro de 2008 19:50
  • Luiz,

     

    Respeito suas colocações e também sua opinião, mas a segurança de um banco de dados não é somente se preocupar com o que esta dentro do banco, mas sim o que isso poderá representar.

     

    Quando falamos de segurança devemos pensar como um todo, os servidores, os usuários, os data centers ou salas de servidores, controle de acesso, senhas para impedir acesso a determinadas áreas de informação.

     

    Em relação a senha de administrador no serviço, isso não representa necessáriamente o melhor dos mundos, pois a partir do momento que o serviço esta rodando isso representa que o mesmo poderá ser acessado, mas é claro existem algumas barreiras.

     

    No caso dos arquivos .mdf e .ldf isso não tem muito coisa a ser feita, pois tratam-se de arquivos que estão armazenados em locais definidos pelos administradores e se por acaso algum usuário tenha acesso e estes arquivos os mesmo poderá fazer uso, inclusive copiando para um pen-drive.

     

    Inicialmente poderiamos pensar em criar um plano de segurança ou um check list.

    • Marcado como Resposta Richard Juhasz terça-feira, 27 de dezembro de 2011 17:52
    sábado, 8 de novembro de 2008 13:21
    Moderador