Zabezpieczenia w SQL Server 2005
W styczniu 2002 firma Microsoft ogłosiła inicjatywę
Trustworthy Computing, której celem jest zwiększenie poziomu
bezpieczeństwa, poufności, niezawodności oraz przejrzystości
biznesowej. Elementem tej inicjatywy jest tworzenie bardziej
bezpiecznych aplikacji już od fazy projektowania (ang. secure by
design), zachowanie bezpieczeństwa w ustawieniach i konfiguracji
(ang. secure by default) oraz bezpieczeństwo we wdrażaniu (ang.
secure in deployment). Zespół programistów SQL Server włączył te
procesy do opracowania SQL Server 2005.

Inicjatywa
Trustworthy Computing i SQL Server 2005
Inicjatywa Trustworthy Computing określa metodykę definiującą
kroki, które należy wykonać, aby ułatwić zapewnienie
bezpiecznego środowiska komputerowego oraz środki pomocne przy
wdrażaniu i konserwacji takiego środowiska. Te kroki
przyczyniają się do ochrony poufności, wiarygodności oraz
dostępności systemów danych na każdym etapie cyklu życia
oprogramowania — od projektu po dostarczenie i konserwację. Cele
firmy Microsoft określone w inicjatywie Trustworthy Computing
to:
-
Ograniczenie potencjalnych problemów z
zabezpieczeniami dzięki właściwemu projektowi i testowaniu;
-
Ograniczenie obszaru potencjalnego ataku
poprzez wyłączenie niepotrzebnych funkcji. Zapewnienie, że w
czasie instalacji produkt wybierze właściwy zestaw wartości
konfiguracyjnych dla wszystkich opcji, tak aby domyślnie po
instalacji system znajdował się w bezpiecznym stanie;
-
Zapewnienie narzędzi i wytycznych
pomagających w utrzymaniu ciągłego zabezpieczania,
wykrywania prób włamań, obrony, odzyskiwania danych i ich
konserwacji;
-
Utworzenie dokumentacji i regularne
udostępnianie klientom najnowszych informacji dotyczących
zabezpieczeń w celu udzielania im pomocy przy konserwacji
zabezpieczeń oraz utrzymaniu wiarygodności środowiska SQL
Server;
Aby umacniać cztery filary inicjatywy
Trustworthy Computing, przez firmę Microsoft oraz zespół
programistów SQL Server zostały podjęte następujące kroki:
-
Bezpieczeństwo podczas projektowania. Zespół
programistów SQL Server przeprowadził wiele inspekcji
zabezpieczeń, spędzając ponad dwa miesiące na badaniu
składników SQL Server i ich interakcji. W odniesieniu do
każdego zagrożenia bezpieczeństwa wykonano analizę, aby
określić skalę problemu. Wykonano także dodatkowe prace
projektowe i testowanie w celu zneutralizowania
potencjalnych problemów z zabezpieczeniami. W efekcie tych
wysiłków projektowych SQL Server 2005 zawiera wiele nowych
funkcji zabezpieczających serwer.
-
Bezpieczeństwo w ustawieniach i
konfiguracji. W czasie instalacji SQL Server 2005 wybiera
właściwy zestaw wartości konfiguracyjnych dla wszystkich
opcji instalacyjnych, co pozwala upewnić się, że nowo
zainstalowany system będzie domyślnie w bezpiecznym stanie.
-
Bezpieczeństwo we wdrażaniu. Firma Microsoft
stworzyła dokumentację pomocną firmom przy wdrażaniu SQL
Server. Zawiera ona odpowiednie poświadczenia bezpieczeństwa
oraz umożliwia pełne zrozumienie niezbędnych kroków i
uprawnień. Narzędzia wdrażania SQL Server dostarczają
informacje niezbędne do zrozumienia sensu decyzji
podejmowanych podczas wdrażania. Dodatkowo wyszukiwanie i
instalacja aktualizacji zabezpieczeń jest prostym zadaniem —
a przy wybraniu stosownej opcji aktualizacje są instalowane
automatycznie. Narzędzia są także dostępne i pomocne podczas
oceny i zarządzania ryzykiem.
-
Przekazywanie informacji. Aby zapewnić
ciągłe wsparcie wdrożenia SQL Server, firma Microsoft
oferuje dostęp do informacji na temat zabezpieczeń. Strona
Security Resources służy jako centralna lokalizacja
wszystkich informacji dotyczących zabezpieczeń SQL Server, w
tym istniejących zagrożeń, a także poprawek i narzędzi
niezbędnych do eliminowania tych zagrożeń.
SQL Server 2005 będzie zawierać ulepszenia
zabezpieczeń i funkcje realizujące cele inicjatywy Trustworthy
Computing. Ogólnie mówiąc, te funkcje i ulepszenia dotyczą
następujących dziedzin:
-
Ograniczenie dostępu użytkownika do danych w
SQL Server 2005 będzie zapewniać większą kontrolę dostępu do
serwera oraz umożliwi administratorom kontrolowanie dostępu
za pośrednictwem reguł.
-
Wyłączanie usług i ograniczanie konfiguracji
usług. Administratorzy będą w stanie ograniczać dostęp do
zasobów SQL Server w określonym przez nich zakresie i przy
bardzo drobnej ziarnistości danych. Będą oni także
dysponować dającym się zarządzać systemem, który nie narusza
zasady najmniejszych uprawnień. Dzięki domyślnemu wyłączeniu
niektórych usług w nowych instalacjach serwera,
administratorzy będą aktywniej zaangażowani w podejmowanie
decyzji, które z dodatkowych usług chcą włączyć.
-
Ograniczenie obszaru ataku w odniesieniu do
nowych funkcji. Poczynając od instalacji i konfiguracji SQL
Server, obszar ataku będzie zminimalizowany. Nowe funkcje
były analizowane i testowane pod kątem bezpieczeństwa, aby
ograniczyć obszar ataku.
|