談 SQL Server 安全管理大搜集

Size: px

Start display at page:

Download "談 SQL Server 安全管理大搜集"

荧董
4 years ago
Views:

1 談 SQL Server 安全管理大搜集胡百敬 ( 精誠公司恆逸資訊

2 2009/9/1 新聞

3 深度防禦利用多層次防禦 : 增加攻擊者事蹟敗露的風險減少攻擊者成功的可能性資料應用程式 Host 內部網路防線實體安全安全性準則, 程序, 警醒權限, 加密, 安全的 metadata Execute As, signed procs, schemas SQLOS/SQLCLR 強化, Audit SSL, 會談鑰匙, 憑證安全防火牆, 封包過濾器, 不用預設的埠號警衛, 鎖, 追蹤裝置, 封條密碼安全性準則, 預設安全性

4 大綱認證加解密 Audit 原則管理 SQL Injection

5 認證 SQL 認證帳號 / 密碼傳遞加密後的密碼若通訊間未加密, 可能招到 replay 攻擊沒有交互認證 SQL Server 管理登入 DBA 建立登入帳號藉由 Windows 要求密碼原則伺服器間的 Security context 未必一致 WINDOWS 認證 Encrypted Token (Kerberos) Challenge-Response (NTLM) 密碼未在網路上傳遞不會招到 replay 攻擊 (Kerberos) 可透過 Kerberos 交互認證 Windows 管理登入 Windows/domain admin 建立登入帳號 Windows 要求密碼原則伺服器間的 Security context 是一致的 Windows 認證較 SQL 認證為佳

6 資料加密為何考慮加解密為安全加一層一些行業的律法要求 SQL Server 2000 需要協力廠商 SQL Server 2005 內建資料加密功能 : 對稱鑰匙非對稱鑰匙雜湊支援鑰匙管理 SQL Server 2008 為加密增加功能 Transparent Data Encryption Extensible Key Management

7 內建加解密資料加密 Cell-level 加密可以 DDL 建立對稱式非對稱式鑰匙以及憑證對稱鑰匙與私鑰一定以加密的方式儲存強化鑰匙自身安全以使用者的密碼為基礎自動架構在 SQL Server 鑰匙管理的架構中可選擇演算法包含 DES, TRIPLE_DES, AES(128, 192, 或 256)

8 資料加密最佳做法儘量考慮在應用程式層加 / 解密只對必要的資料加密使用對稱式加密小心規畫鑰匙管理非常重要了解既有程式碼所需的改變考慮鑰匙大小與演算法所需的 CPU 運算力

9 鑰匙階層

10 資料加密注意事項 SQL Server 不確認憑證的正確性過期日 CRL(Certificate Revocation List) 不加入 Public Key Infrastructure (PKI) 存放加密的資料類型需 Varbinary 跨資料庫的共用性備份 / 還原

11 鑰匙管理語法範例 --Service Master Key -- 備份 Service Master Key BACKUP SERVICE MASTER KEY TO FILE = 'path_to_file' ENCRYPTION BY PASSWORD = 'password --Database Master Key -- 以不同的保護密碼, 在建立一份 Database Master Key ALTER MASTER KEY ADD ENCRYPTION BY PASSWORD = 'SecondDBAP@ssword'; -- 刪掉另一份 Database Master Key ALTER MASTER KEY DROP ENCRYPTION BY PASSWORD = 'SecondDBAP@ssword';

12 鑰匙管理語法範例 -- 憑證 -- 備份憑證到硬碟成為檔案 BACKUP CERTIFICATE NorthwindCert TO FILE = 'C:\MyServerCert' WITH PRIVATE KEY (FILE = 'C:\MyServerCertKey', ENCRYPTION BY PASSWORD = 'password'); -- 還原先前的憑證 CREATE CERTIFICATE MyServerSert FROM FILE = 'C:\MyServerCert' WITH PRIVATE KEY (FILE = 'C:\MyServerCertKey', DECRYPTION BY PASSWORD = 'password');

13 鑰匙管理語法範例 -- 對稱鑰匙 -- 透過 KEY_SOURCE 和 IDENTITY_VALUE 建立對稱鑰匙, 所以它可重建 CREATE SYMMETRIC KEY key_demo_recreate WITH ALGORITHM = TRIPLE_DES, KEY_SOURCE = ' 鑰匙源 - 保護這個來源定義的秘密!', IDENTITY_VALUE = ' 鑰匙辨別碼 ' ENCRYPTION BY CERTIFICATE cert_demo

14 Channel 加密 SQL Server 2000 後完整支援 SSL 加密 Clients: MDAC 2.6 or later Force encryption from client or server Login 封包加密不管加密設定為何, 都會使用自 2000 開始支援自 2005 可以自行產生憑證

15 Channel 加密安全重於效率時, 啟動 channel encryption 在伺服器端安裝憑證使用者端啟動強制通訊協定加密

16 透過 SQL Trace/Profiler 監控以可重用的範本為基礎建立追蹤最追蹤進行時, 可以監看追蹤結果將追蹤的結果存放在資料表可啟動暫停停止追蹤可重新執行追蹤的動作

17 以 DDL/DML 觸發追蹤當某些變更發生時, 執行追蹤建立變更歷程防止登入, 架構資料等變更可以在變更時執行商業邏輯

18 SQL Server Audit 追蹤和記錄系統發生的事件可追蹤伺服器或資料庫等級的變動可透過 Transact-SQL 管理追蹤失敗可以停止執行 SQL Server 服務要稽核 SELECT UPDATE 等行為在條件式內的資料值部分, 需上 Cumulative update package 3 for SQL Server 2008 Service Pack 1

19 以原則為基礎的管理容易地同時在多部伺服器上檢查有關安全的各項原則 msdb 資料庫中 PolicyAdministratorRole 資料庫角色的成員對於系統上的原則擁有完整控制權

20 一般常見的攻擊可能影響你的常見弱點 SQL Injection Cross-Site Scripting Buffer Overflows

21 SQL Injection 讓意圖不軌的使用者透過 SQL 語法控制系統技術門檻低, 容易實做, 透過網路搜尋可取得大量資料可以從各種地方攻擊資料庫後, 再由資料庫影響各種應用系統 (Web, client/server 等 ) Pattern: 針對無法信任的資料建立動態 SQL 語法!

22 SQL Injection 廣泛而著名的攻擊 March 2006 印度政府 July 2007 Microsoft UK August 2007 United Nations January 2008 大量的 SQL injection 攻擊, 10,000+ systems

23 程式碼哪裡有問題? Pattern: 針對無法信任的資料建立動態 SQL 語法! public void Sample(String NameStr) { String sqlquery = String.Format("SELECT * FROM [Table1] WHERE Name = '{0}'", NameStr); } SqlCommand sqlcmd = new SqlCommand(sqlQuery, new SqlConnection(connectionString));... NameStr = x ; DROP NameStr = TechEd Kevin TABLE Table1;-- SELECT * FROM [Table1] WHERE Name = x ; Kevin TechEd DROP TABLE Table1;--

24 防禦資料隱碼 (SQL Injection) 檢查所有輸入除非經過證實, 否則請將所有的使用者輸入視為是有害的請找尋有效的資料, 並拒絕其他的所有輸入請考慮使用規則運算式, 移除不需要的特殊字元或函數, 限制長度若是內部系統, 考慮限制可存取的來源電腦以最低需求的權限執行絕對不視為 sa 而執行限制對內建預存程序的存取使用預存程序及 SQL 參數化查詢來存取資料不要回應存取錯誤

25 SQL Injection 分析工具 Microsoft Code Analysis Tool.NET (CAT.NET) v1 CTP 二進位碼分析工具, 分析 Cross-Site Scripting (XSS), SQL Injection 和 XPath Injection milyid=0178e2ef-9da8-445e-9348-c93f24cc9f9d Microsoft Source Code Analyzer for SQL injection 對偵測 ASP 原始程式碼的 SQL injection 有幫助 July CTP: A599-4FCB-9AB4-A B6BA

26 參考資料 SQL Server 2008 White Papers( Cryptography in SQL Server( Auditing in SQL Server 2008( sql-server-audit-where.html

User Group SMTP

User Group SMTP SOP v1.00 2003 02 28 TrendMicro Control Manager V2.5 1 1... 3 2... 4 2.1... 4 2.2... 14 3... 24 3.1... 24 3.2... 29 3.3... 34 3.3.1... 34 3.3.2 User Group... 37 3.3.3... 40 3.4... 41 3.4.1... 41 3.4.2