Сравнительный анализ моделей безопасности в SQL Server 2000 и SQL Server 2005

Server 2005
Андрей Синкин
Системный инженер
Microsoft

Мартин Рахманов
Старший инженер-программист
Рексофт

резервных копий БД
Механизмы отказоустойчивости (Log Shipping, MSCS)
Графические средства администрирования и

отладки
Утилиты настройки и оптимизации
Службы репликации
Службы формирования отчетов (Reporting Services)
Cлужбы оповещения (Notification Services)
Службы анализа данных (OLAP, DataMining)
Инструменты управления (Management tools)
Программные интерфейсы доступа и разработки
ODBC, OLE DB, ADO, OLE DB for OLAP, ADO MD, ADOX, интерфейсы дистрибутора и согласования, SQL DMO, DSO, …

Это послужило причиной внесения в сервер SQL Server 2000 новых значительных

улучшений системы безопасности, не только обеспечивающих наиболее высокий в отрасли уровень безопасности, но также упрощающих применение средств, необходимых для достижения этого уровня. Прежде всего, SQL Server 2000 устанавливается по умолчанию с более высоким уровнем безопасности, при этом используются средства, встроенные в новейшую интегрированную систему безопасности операционной системы Windows 2000. Это упрощает и ускоряет изоляцию сервера в производственной среде.
SQL Server 2000 также включает в себя набор новых средств обеспечения безопасности: мощную и гибкую систему безопасности сервера на ролевой основе, профили БД и приложений, интегрированные средства аудита безопасности (отслеживающие 18 различных видов событий и дополнительные события), поддержку шифрования файлов и сетевых сообщений (включая SSL), а также поддержку протокола Kerberos и возможность делегирования полномочий. SQL Server 2000 прошел проверку в рамках программы правительства США Trusted Product Evaluation Program и Агентство национальной безопасности подтвердило его соответствие уровню безопасности C2

Standart Edition
SQL Server 2005 Workgroup Edition
SQL Server 2005 Express Edition

(Free)
SQL Server 2005 Developer Edition

database user, Add/remove database role member, Password change, GRD -

statement perms, GRD – object perms, ...
Для каждого записывается время, пользователь, хост, успех/неудача и т.д.
Шифрация трафика для всех сетевых библиотек при помощи SSL / TLS
Поддержка делегирования на основе Kerberos, интеграция с Active Directory

EE
SQL Server 2005 EE
SQL Server 2005 EE
Общий дисковый массив
Fiber Channel

T-LOG
WITH STANDBY
T-Log
Dump
Сервер мониторинга
2. Log COPY (“Pulled”)
Запланированные по расписанию работы

в SQL Agent

потоках
Линейная масштабируемость в зависимости от числа процессоров
Каждый поток получает свой

диапазон значений
На основе известной статистики распределения индексных ключей поддерживается баланс нагрузки между потоками
На заключительном этапе поддеревья объединяются в единый индекс

Параллельное сканирование по диапазонам

A-H

I-R

S-Z

A-Z

Поток

оператора SELECT
Чтобы обращаться к нему как к якобы таблице
Хранится только

определение SQL-запроса, который выполняется всякий раз при обращении к представлению
Как только над представлением создается индекс, его результаты «материализуются»
И обновляются при модификации данных в исходных таблицах
Т.е. ведут себя как все приличные индексы
Представление может содержать агрегаты, операторы связывания таблиц или их комбинацию
Первый индекс над представлением должен быть
Кластерным -> для сохранения представления как таблицы
Уникальным -> для поддержки индекса актуальным при внесении изменений в таблицы

Кто выигрывает от индексированных представлений
Приложения, изобилующие запросами с многочисленными операторами связывания, группировки, агрегации
Т.е. OLAP-приложения
Оптимизатор может использовать индекс над представлением, даже если оно явно не фигурирует в запросе
Кто не выигрывает
Приложения, для которых характерны постоянные обновления в БД
Т.е. OLTP-приложения
Т.к. частая коррекция представлений снижает производительность
Группировки по высокоселективным полям
Т.к. размер представления будет ненамного меньше самой таблицы

SQL
OpenXML в T-SQL
UpdateGrams
XML-описание операций INSERT, UPDATE, DELETE
Bulk Load XML-файлов

в БД
XML View Mapper
Отображение XML-документа на таблицу

их устранения
Рекомендации по настройке
Что нового в SQL Server 2005?
Новая модель

разрешений
Безопасность метаданных
Более гранулярные разрешения
Покрывающие разрешения
Разделение схемы и владельца
Контекст выполнения хранимого кода

Server

Авторизация
Проверки разрешений на доступ к объектам и на выполнение операций

Аудит
Трассировка,

журналы сервера и системы

к SQL Server
Переход к БД и проверка прав
Попытка выполнить действия

бюджета Windows NT®/ Windows 2000/2003
Обеспечивает единую регистрацию
Mixed security
Принимает доступ под

бюджетом Windows
Принимает доступ через авторизацию на SQL Server
Сложнее поддается защите

в БД master
Относится к серверу в целом
Сама по себе не

дает прав
Исключение: Членство в фиксированной серверной роли
Пользователь (user) БД ассоциируется с правами
С ним ассоциируется схема (коллекция объектов БД)
Права назначаются пользователям БД
Действует в рамках конкретной БД

БД
Пользовательские роли БД
Пользовательские комбинации прав
Прикладные роли
Ассоциация прав с приложением, а

не с пользователем

Control Language - DCL):
GRANT назначает разрешение
DENY запрещает разрешение
REVOKE отзывает сделанное

ранее при помощи GRANT или DENY действие

их устранения
Рекомендации по настройке
Что нового в SQL Server 2005?
Новая модель

разрешений
Безопасность метаданных
Более гранулярные разрешения
Покрывающие разрешения
Разделение схемы и владельца
Контекст выполнения хранимого кода

Неограничен доступ к метаданным для любого пользователя БД. Решение: разрабатывать

приложение так, чтобы доступ к хранимому коду на стороне SQL Server не позволил злоумышленнику нанести существенный ущерб
2. Невозможно назначить пользователю БД разрешения на выполнение определённых команд без повышения уровня его привилегий. Решение: в SQL2k решение отсутствует
3. По умолчанию непривилегированный пользователь может выполнить ряд расширенных хранимых процедур, предоставляющих доступ к важной информации. Решение: отозвать разрешения на выполнение ряда хранимых процедур для встроенной группы public
4. Отсутствуют встроенные средства шифрования данных. Решение: использовать средства сторонних производителей
5. Нет возможности ограничить количество попыток соединения с сервером при указании неверной пары учётная запись/пароль для учётных записей SQL Server. Решение: использовать для соединения с сервером только учётные записи Windows, либо использовать средства сторонних производителей

их устранения
Рекомендации по настройке
Что нового в SQL Server 2005?
Новая модель

разрешений
Безопасность метаданных
Более гранулярные разрешения
Покрывающие разрешения
Разделение схемы и владельца
Контекст выполнения хранимого кода

сетевые протоколы
Включить протоколирование (аудит) неудачных попыток подключения
Разместить файлы данных на

файловой системе NTFS и настроить доступ к ним
Использовать только аутентификацию Windows
Указать сложные пароли для учётных записей SQL Server
Использовать непривилегированные (не административные, как минимум) учётные записи для запуска службы mssqlserver и службы SQL Server Agent.
Подробнее в разделе “SQLSecurity Checklist” на сайте www.sqlsecurity.com

роль sysadmin
Права на выполнение CmdExec дано не только роли sysadmin
Пустой

или простой пароль
Администраторы Windows входят в роль sysadmin?
Некорректные разрешения (ACLs) на папки данных SQL Server
В логах установки остается пароль sa (sqlstp.log и др.)
Пользователь guest по умолчанию наделен излишними правами
SQL Server запущен на контроллере домена
Доступ на чтение определенных ключей реестра для группы Everyone
Наделение учетной записи для запуска SQL Server излишними полномочиями
Отсутствие пакетов исправлений и обновлений

http://www.microsoft.com/technet/security/tools/mbsahome.mspx

Service Pack Installation May Save Standard Security Password in File

их устранения
Рекомендации по настройке
Что нового в SQL Server 2005?
Новая модель

разрешений
Безопасность метаданных
Более гранулярные разрешения
Покрывающие разрешения
Разделение схемы и владельца
Контекст выполнения хранимого кода

Recovery
Highly-available Upgrade
Online Index Operations
Online Restore
Parallel DBCC
Parallel Index Operations
Management Tools
MDX Query

Editor
MDX Intellisense
T-SQL Intellisense
Version Control Support
XML/A
SQLCMD Command Line Tool
Performance Tuning
Profiler Enhancements
Profiling Analysis Services
Exportable Showplan
Exportable Deadlock Traces
Full-text Search
Indexing of XML Datatype
MDAC
Side by Side installation
Microsoft Installer base setup
Support for Active Directory Deployment
SQL Client .NET Data Provider
Server Cursor Support
Asynch
Security
All Permissions Grantable
Fine Grain Administration Rights
Separation of Users and Schema

SQL Server 2005

.NET Framework
Common Language Runtime Integration
User-defined Aggregates
User-defined Data Types
User-defined Functions
SQL Server In-Proc Data Provider
Extended Triggers
Data Types
File Stream Storage Attribute
Managed SQL Types
New XML Datatype
SQL Server Engine
New Message Service Broker
HTTP Support (Native HTTP)
Database Tuning Advisor
Enhanced Read ahead & scan
Extended Indexes
Multiple Active Result Sets
Persisted Computed Columns
Queuing Support
Snapshot Isolation Level
Scale Up Partitioning
VIA support
NUMA support
Database Failure and Redundancy
Fail-over Clustering (up to 8 node)
Enhanced Multi-instance Support
Database Mirroring
Database Viewpoints
XML
XQUERY Support (Server & Mid Tier)
XML Data Manipulation Language
FOR XML Enhancements
XML Schema (XSD) Support
MSXML 6.0 (Native)
XQuery Designer

Replication
Auto-tuning Replication Agents
Oracle Publication
Improved Blob Change Tracking
OLAP and Data Mining
Analysis Management Objects
Windows Integrated Backup and Restore
Web Services/XML for Analysis
DTS and DM Integration
Eight new DM algorithms
Auto Packaging and Deployment
Data Transformation Services
New Architecture (DTR + DTP)
Complex Control Flows
Control Flow Debugging
For Each Enumerations
Property Mappings
Full Data Flow Designer
Full DTS Control Flow Designer
Graphical Presentation of Pkg Execution
Immediate Mode and Project Mode
Package (Advanced) Deployment Tools
Custom Tasks and Transformations
Reporting Services
Multiple Output Formats
Parameters (Static, Dynamic, Hierarchical)
Bulk Delivery of Personalized Content
Support Multiple Data Sources
Sharepoint Support
Visual Design Tool
Charting, Sorting, Filtering, Drill-Through
Scheduling, Caching
Complete Scripting Engine
Scale Out architecture
XML Report Definition

по умолчанию
Сокрытие метаданных
Парольная политика
Новые разрешения и уровни разрешений
Разделение схемы и

владельца
Контекст выполнения хранимого кода
Безопасность .NET кода
Встроенное шифрование данных
Триггеры на DDL

Service Broker Network Connectivity
Analysis Services http connectivity
Следующие службы находятся в

режиме запуска Manual
SQL Server Agent
full-text search
Новый сервис Data Transformation Services

При установке требуется задание пароля учётной записи sa
даже если сервер будет применять исключительно режим
аутентификации Windows

– замена и расширение системных таблиц, данные из Catalog Views

фильтруются в зависимости от того, кто делает запрос
Разрешение VIEW DEFINITION позволяет обойти сокрытие метаданных и его можно выдать на трех уровнях: базы, схемы, объекта
Шифрование хранимого кода стало надёжным

команды CREATE/ALTER LOGIN:
Необходимость сменить пароль при первом соединении с сервером

(MUST_CHANGE)
Необходимость проверки срока действия пароля (CHECK_EXPIRATION)
Необходимость применения локальной парольной политики Windows (CHECK_POLICY)
CHECK_EXPIRATION и CHECK_POLICY работают полноценно на Windows 2003 Server и более новых системах, а на Windows 2000 это сводится к проверке жестко зашитых правил

сервера и уровня базы данных можно получить через опрос представлений

sys.server_permissions и sys.database_permissions

их устранения
Рекомендации по настройке
Что нового в SQL Server 2005?
Новая модель

разрешений
Безопасность метаданных
Более гранулярные разрешения
Покрывающие разрешения
Разделение схемы и владельца
Контекст выполнения хранимого кода

к необходимости изменения кода приложения!

App2
OrdersTable

InsertOrderProc
SELECT custID FROM User2.OrdersTable
Exec User1.InsertOrderProc (@orderid)
Exec User2.InsertOrderProc (@orderid)

Пользователь = User1

SCHEMA = User1

Пользователь = User2
SCHEMA = User2

имеет только одного владельца – пользователя или роль
Каждый пользователь имеет

схему по умолчанию
Большинство объектов БД находятся в схемах
Создание объекта внутри схемы требует полномочий CREATE и полномочий ALTER или CONTROL на эту схему
Цепочка владения по-прежнему основана на владельцах, а не на схемах

владеет

имеет схему по умолчанию

владеет

владеет

Схема 3

База данных

изменения кода приложения

User1.OrdersTable
OrdersTable

InsertOrderProc
Exec User1.InsertOrderProc (@orderid)

Владелец = User1
SCHEMA = User1
Владелец = User2

SCHEMA = User1

которой защищают объекты
Доступны через представление sys.database_principals
Схема (Schema)
Контейнер объектов; 3-я часть

полного наименования
Доступны через представление sys.schemas
Понятие схемы по умолчанию
Присуще пользователю или роли приложения
Используется при разрешении имен; механизм для поиска объектов
Содержится в представлении sys.database_principals
Удаление пользователя не требует изменения кода приложения

умолчанию дает дополнительный контроль над разрешением имен

схемами
Один и тот же процесс разрешения имён для нескольких пользователей
Схема

dbo может является не обязательно единственной общей схемой в плане разрешения имен
Зачем это нужно?
для того, чтобы объект мог быть доступен из любого контекста, его не обязательно создавать в схеме dbo
Разрешение создания объектов в схеме dbo может привести к некоторому риску безопасности при использовании цепочек владения

их устранения
Рекомендации по настройке
Что нового в SQL Server 2005?
Новая модель

разрешений
Безопасность метаданных
Более гранулярные разрешения
Покрывающие разрешения
Разделение схемы и владельца
Контекст выполнения хранимого кода

Perms проверяются для User3
Нет проверки Perms для User3
‘EXECUTE AS ‘X’

’

Execute Perms проверяются для User3

Select Perms проверяются для ‘X’.
а не для User3

SQL 2005

SQL 2000

Контекст выполнения хранимого кода

единственным механизмом упрощающим назначение прав
Правила цепочек владения по-прежнему применимы
Разрешения проверяются

для тек.контекста
В отличие от цепочек владения применимо и к командам DDL
Применимо и к динамическому SQL

Контекст выполнения хранимого кода

(кроме inline table-valued) предусмотрено четыре выражения для указания контекста выполнения,

т.е. пользователя, который будет использоваться при проверке разрешений на объекты, на которые ссылается процедура или функция.

CALLER – выполнять под вызвавшим пользователем
SELF – под создавшим процедуру
USER = username - под указанным пользователем
OWNER – под текущим владельцем процедуры

username (отличного от своего) необходимо выполнение одного из условий:

Входить в

фиксированную серверную роль sysadmin
Входить в фиксированную роль базы данных db_owner
Обладать разрешением на имперсонализацию учетной записи, соответствующей пользователю username.

Можно использовать EXECUTE AS USER = username в качестве “обертки” команд, разрешения на которые нельзя передавать. Например так можно делегировать TRUNCATE.

Контекст выполнения хранимого кода

возможность делать усечение (truncate) ряда таблиц каждую ночь.
Проблема:
Truncate непередаваемое разрешение
Минимальное

покрывающее разрешение - ALTER, но оно дает больше прав чем нужно
Решение: нам поможет EXECUTE AS!
Создать процедуру, которая усекает нужные таблицы
Указать в строке execute as пользователя с правами ALTER
Дать разрешение на выполнение процедуры нужному пользователю
Результат:
Мы только что сделали Truncate назначаемым разрешением!

уровней безопасности при загрузке в SQL Server командой CREATE ASSEMBLY: SAFE

- доступ ко внешним ресурсам не допускается EXTERNAL_ACCESS – допускается доступ к файлам, сетевым ресурсам, реестру, переменным окружения UNSAFE - доступ ко всем ресурсам, в том числе к неуправляемому коду

Если сборка в процессе работы выйдет за указанные при ее загрузке пределы, то CLR сгенерирует исключение и выполнение прекратится.

подписи и верификации

Поддерживаемые типы ключей:
Симметричные ключи
RC4, RC2, DES, AES
Асимметричные ключи
Rivest-Shamir-Adelman

Encryption (RSA)

вести расширенный аудит. Создаются на базу
или сервер, не могут

быть INSTEAD OF.

соединение:

Клиент указывает номер порта
Сервер вычисляет Endpoint, который соответствует указанному порту
Сервер

проверят, что этот Endpoint правильно сконфигурирован
Сервер проверят, что указанные принципал имеет разрешение на соединение с данным Endpoint

пользу хранимых процедур или параметризованных запросов.
Использовать регулярные выражения для проверки

пользовательского ввода до того, как он будет отправлен в СУБД.
Использовать функции для экранирования специальных символов
Проверка пользовательского ввода
Соответствие типов
Никогда не строить T-SQL команды непосредственно из введенных пользователем данных
Использовать процедуры для проверки ввода либо вынести проверку на уровень приложения
Никогда не принимать строки, участвующие в создании имени файла и содержащие: AUX, CLOCK$, COM1, .., COM8, CON, CONFIG$, LPT1, .., LPT8, NUL и PRN

контроля доступа к информации

SQL Server 2005 – упростит жизнь разработчикам

и администраторам при создании и поддержке надежных и безопасных приложений

Server 2005
http://www.microsoft.com/sql/2005

Один из самых интересных сайтов, посвященных безопасности SQL Server
http://www.sqlsecurity.com

Российское

сообщество по SQL Server
http://www.sql.ru
Каждый месяц в Microsoft Russia проводится семинар, посвященный SQL Server (уже 18 - в Москве, 4 – в Питере, до 70 участников)

informational purposes only. MICROSOFT MAKES NO WARRANTIES, EXPRESS OR IMPLIED,

IN THIS SUMMARY.