none
Bloquear Acesso externo ao SQL - Problema com tentativas Bruteforce IP Externo RRS feed

  • Pergunta

  • Pessoal, Boa Tarde!

    Analisando os logs do SQL, verifiquei e existiram várias tentativas sem sucesso de acesso ao SQL. Todas por IP externos.

    Aqui temos um IP Fixo, onde o roteador faz o redirecionamento da porta para o SQL. Já deixei desativado o redirecionamento para o SQL por algum tempo, mas tive a necessidade de reativar novamente. Neste tempo, percebi muitas tentativas de acesso.

    Alguma sugestão? Pessoal que tem mais experiência em SQL, que possam me dar alguma dica, para bloquear algum acesso externo pelo sql?

    Abaixo um dos logs de tentativa de acesso:

    Date 23/3/2013 10:11:30
    Log SQL Server (Current - 23/3/2013 10:20:00)

    Source Logon

    Message
    Login failed for user 'sa'. Reason: Password did not match that for the login provided. [CLIENT: 112.90.220.110]


    Date 23/3/2013 10:11:30
    Log SQL Server (Current - 23/3/2013 10:20:00)

    Source Logon

    Message
    Error: 18456, Severity: 14, State: 8.

    

    sábado, 23 de março de 2013 16:32

Respostas

  • Meu caro,

    É muito difícil restringir o acesso ao SQL por IP porque muitas vezes o usuário está atrás de um IP dinâmico. Uma excelente forma de resolver esta questão é criar uma VPN client to site. Aí você libera o acesso ao SQL somente para IPs do range do DHCP da VPN que você mesmo configura.

    Uma outra sugestão, caso você tenha condições de alterar a string de conexão das aplicações, seria alterar a porta do SQL para uma outra porta diferente da padrão.

    Veja as configurações do teu roteador, procure pelo manual, geralmente possuem o recurso de VPN e a regra de roteamento para a porta 1433 também deve ter um filtro pra você especificar IPs ou range de IPs de origem.

    Espero ter ajudado, abs!


    Luiz Mercante
    MCITP SQL 2008 | MCTS SQL 2008 | MCTS Windows Apps | MCTS Windows Network | MCP 2003
    sqldicas@outlook.com
    http://sqldicas.com.br


    Se a resposta foi útil de alguma forma, classifique.

    • Sugerido como Resposta Luiz Mercante segunda-feira, 29 de abril de 2013 01:06
    • Marcado como Resposta Rodrigo_Rodrigues terça-feira, 19 de novembro de 2013 15:27
    segunda-feira, 22 de abril de 2013 02:23

Todas as Respostas

  • Rodrigo,

    Voce precisa deixar seu sql com acesso externo? Voce consegue na pior das hipoteses criar uma trigger de logon na instancia SQL, caso o IP de login nao seja de sua rede é feito um disconect, o problema disso é que a cada novo IP (Ou novo padrão de IP, como nova range por exemplo) que for adicionado em sua rede terá de ser tratado na sua trigger.


    Fabrizzio A. Caputo
    MCT
    Certificações:
    Oracle OCA 11g
    MCITP SQL Server 2008 Implementation and Maintenance
    MCITP SQL Server 2008 Developer
    ITIL V3 Foundation
    Blog Pessoal: www.fabrizziocaputo.wordpress.com
    Twitter: @FabrizzioCaputo
    Email: fabrizzio.antoniaci@gmail.com

    segunda-feira, 25 de março de 2013 11:19
    Moderador
  • Complementando a resposta do Fabrizzio.

    Outra alternativa seria você bloquear através do firewall e liberar somente os IP's que realmente devem ter acesso ao SQL Server.

    segunda-feira, 25 de março de 2013 16:23
  • Ridley,

    Acredito que esta seria a melhor forma, liberar a porta por IP específico dentro da sua Range.


    Pedro Antonio Galvão Junior [MVP | Microsoft Evangelist | Microsoft Partner | Engenheiro de Softwares | Especialista em Banco de Dados | SorBR.Net | Professor Universitário | MSIT.com]

    segunda-feira, 25 de março de 2013 17:45
    Moderador
  • Meu caro,

    É muito difícil restringir o acesso ao SQL por IP porque muitas vezes o usuário está atrás de um IP dinâmico. Uma excelente forma de resolver esta questão é criar uma VPN client to site. Aí você libera o acesso ao SQL somente para IPs do range do DHCP da VPN que você mesmo configura.

    Uma outra sugestão, caso você tenha condições de alterar a string de conexão das aplicações, seria alterar a porta do SQL para uma outra porta diferente da padrão.

    Veja as configurações do teu roteador, procure pelo manual, geralmente possuem o recurso de VPN e a regra de roteamento para a porta 1433 também deve ter um filtro pra você especificar IPs ou range de IPs de origem.

    Espero ter ajudado, abs!


    Luiz Mercante
    MCITP SQL 2008 | MCTS SQL 2008 | MCTS Windows Apps | MCTS Windows Network | MCP 2003
    sqldicas@outlook.com
    http://sqldicas.com.br


    Se a resposta foi útil de alguma forma, classifique.

    • Sugerido como Resposta Luiz Mercante segunda-feira, 29 de abril de 2013 01:06
    • Marcado como Resposta Rodrigo_Rodrigues terça-feira, 19 de novembro de 2013 15:27
    segunda-feira, 22 de abril de 2013 02:23