SQL Serverセキュリティへの基本的なベスト・プラクティス

投稿日: 2013年6月22日 作成者: climb
このエントリーをはてなブックマークに追加
LINEで送る

●暗号化したデータベースのバックアップの重要性
データベースのバックアップは企業にとって非常に重要です。バックアップ・ファイルが暗号化されていなければ、他のSQL Serverにコピーし、リストアすることは非常に簡単です。DB管理者はMEDIAPASSWORD機能を使用してこれを回避することができます。

●不明なユーザを削除することでデータベース・バックアップ・フォルダの保護
DB管理者はデータベース・バックアップ・フォルダへのアクセスを制限し、本当に必要なユーザのみに許可を与えることです。データベース・バックアップ・フォルダへの許可されていないアクセスは、脆弱なリモート・サーバへコピーされる可能性があります。許可されていないアクセスは重要なバックアップ・ファイルを誤って削除される可能性もあります。

●SQL Server認証モードではなく、Windows認証を使用する
SQL Serverのセキュリティ・ベスト・プラクティスとして、1つはWindows認証を使用してSQL Serverへ接続することです。SQL ServerのWindows認証モードは社内全体のAD(Active Directory),アカウント、グループ、パスワード・ポリシーを利用することができます。もしSQL Serverへ接続でSQL Server認証モードを使用しなければならないときはシステム管理者（SA)アカウントを使用しないことを推奨します。もしSQL Server認証を使用していても、ユーザ・アカウントのパスワードを設定する時にWindowsパスワード・ポリシーを利用することができます。

●システム管理者アカウントのパスワードを複雑化させる
SQL Serverで異なったモードの認証を使用している場合はSAアカウントでは複雑にしたパスワードを使用します。ベスト・プラクティスとしてSAアカウントでWebアプリケーションからSQL Serverへ接続することは避けます。日々のメンテナンス業務の実行にSAアカウントの使用は避けるべきです。日常的な業務メンバーにはWindowsアカウントと適正なパスワードを使用させます。ベスト・プラクティスとしてSAアカウントのパスワード週ごとに変更すべきです。

●ログインの監査
SQL Serverセキュリティ・ベスト・プラクティスとして、いつもSQL Serverへ失敗したログインを監査すべきです。SQL Serverへのログイン監査ができれば、ログイン情報はSQLServerエラー・ログに書き込まれます。定期的に怪しい行動がないかモニターすることができます。

●SQL Serverのブラウザ・サービスの停止
もう1つのSQL Serverセキュリティのベスト・プラクティスとして、データベース管理者はSQL Serverののデフォルト・インスタンスを稼働させている時にはSQL Serverブラウザ・サービスは停止させるべきです。ネームド・インスタンスを稼働させていても、SQL Serverのネームド・インスタンスに接続するアプリケーション・接続ストリング内でポートを明確に定義することができます。

●SQL Serverでの未使用な機能の無効化
未使用な機能の無効化することで外部からの攻撃を削減することができます。SQL Server 2005 では SQL Server Configuration Managerを使用してそれらを行うことができました。SQL Server 2008以上では「policy-based management」機能を使用して実行することができます。例：XP_CMDSHELL, OLE AUTOMATION, OPENROWSET, OPENDATASET

●SQL Serverサービス・アカウントのプリビレッジの削減
最期のベスト・プラクティスはデータベース管理者は、常に最小限のプリビレッジを持つローカル・ドメイン・アカウントでSQL Serverサービスを実行することです。SQL Serverサービスをローカル・システム、ローカル・管理者、ドメイン管理者アカウントの基で稼働させることは避けるべきです。その場合SQL Serverサービス・アカウントがデータ、ログ、リード/ライト用のバックアップ・ディレクトリへの「フルコントロール」パーミッションを確認ください。

ソース：SearchSQLServer.com

関連したトピックス

コメントを残す

メールアドレスが公開されることはありません。 ※ が付いている欄は必須項目です

このサイトはスパムを低減するために Akismet を使っています。コメントデータの処理方法の詳細はこちらをご覧ください。