Amenazas y Vulnerabilidad

http://technet.microsoft.com/es-es/library/bb895180.
aspx
Matriz de amenazas y vulnerabilidad (motor de base de datos)

Aunque SQL Server incluye varios mecanismos de seguridad, todo sistema tiene caractersticas que se podran aprovechar con fines malintencionados. Cualquier caracterstica que exponga datos u otra informacin puede constituir un riesgo si se implementa incorrectamente. Aunque cualquier caracterstica podra representar un riesgo, no todos los riesgos son iguales. Algunos requieren un cambio de procedimiento, otros de configuracin y algunos de cdigo. En las tablas siguientes se explican los riesgos y los pasos proactivos que se pueden dar para disminuirlos.
Amenazas y vulnerabilidades de los procesos

Amenaza o vulnerabilidad Directivas de seguridad Definicin Una directiva de seguridad es un registro de los procesos y procedimientos que debe seguir una organizacin para evitar, realizar un seguimiento y responder a las amenazas de seguridad. Contiene directivas relacionadas con el acceso adecuado a los sistemas, la aplicacin de revisiones y los firewalls, as como mecanismos de prevencin antivirus. Segn el principio de "privilegios mnimos", un sistema slo debera permitir el nivel de acceso necesario a un objeto protegible. Adems, el acceso slo debera estar habilitado para quienes tienen una necesidad directa y slo durante un tiempo especificado. Las aplicaciones pueden estar codificadas para proporcionar ms acceso del necesario y las cuentas podran tener demasiado acceso. Microsoft publica informacin de seguridad tan pronto como se comprueba y se prueba en distintas plataformas. Las organizaciones que no estn al corriente de estos boletines ponen en peligro sus sistemas al no implementar las instrucciones de seguridad adecuadas. Mitigacin Cree, revise, distribuya y mantenga una directiva de seguridad efectiva. Para obtener ms informacin acerca de cmo crear una directiva de seguridad, vea Proteger SQL Server.
Principio de "privilegios mnimos"
Revise e implemente la seguridad de acuerdo con el principio de privilegios mnimos. Para obtener ms informacin sobre cmo desarrollar aplicaciones que utilizan los conceptos de privilegios mnimos, vea el tema relativo a procedimientos recomendados en un entorno con privilegios mnimos en MSDN. Revise y haga un seguimiento de los boletines de seguridad de SQL Server. Para obtener ms informacin, vea la bsqueda de boletines de seguridad de Microsoften TechNet.
Boletines de seguridad
Amenazas y vulnerabilidades de la plataforma

Amenaza o vulnerabilidad El sistema no est actualizado (no se han aplicado las actualizaciones de software) Definicin Microsoft publica actualizaciones de software para mejorar la seguridad de SQL Server. Si no se siguen o se aplican estas actualizaciones de software, el sistema ser ms vulnerable a los ataques. Mitigacin Revise y aplique todos los Service Packs y todas las revisiones en cuanto estn disponibles. Para obtener ms informacin, consulte la pgina de descargas en SQL Server TechCenter.
Vulnerabilidades de seguridad de los puertos de red
La red es la principal va de acceso para los ataques contra SQL Server. Si los puertos estndar estn abiertos a Internet, se favorecern los ataques.
Utilice un firewall en el servidor si est expuesto a Internet y utilice la herramienta Administrador de configuracin de SQL Server para establecer la configuracin de la red. Considere tambin la posibilidad de utilizar SSL (Capa de sockets seguros) para aumentar an ms la seguridad. Para obtener ms informacin acerca de los firewalls y SQL Server, vea Cmo configurar Firewall de Windows para el acceso al motor de base de datos. Para obtener ms informacin acerca de cmo cambiar la configuracin de la red, vea Administrador de configuracin de SQL Server. Para obtener ms informacin acerca de cmo utilizar SSL en SQL Server, vea Cifrar conexiones a SQL Server. Las cuentas de servicio de SQL Server deberan funcionar bajo el principio de privilegios mnimos y deberan tener contraseas seguras. Para obtener ms informacin acerca de las cuentas de servicio, vea Configurar cuentas de servicio de Windows. Para obtener ms informacin acerca de las contraseas, vea Contraseas seguras. Use el Administrador de configuracin de SQL Server y la Administracin basada en directiva para controlar las caractersticas y los dems componentes. Para obtener ms informacin, vea Descripcin de la configuracin del rea expuesta. No habilite los procedimientos almacenados que permiten el acceso al sistema operativo o al registro si no es completamente necesario. Para obtener ms informacin, vea Descripcin de la configuracin del rea expuesta.
Configuracin incorrecta de las cuentas de servicio
Las cuentas de servicio de SQL Server suelen tener ms acceso a la plataforma o a la red del que necesitan.
rea expuesta demasiado grande
Las caractersticas y capacidades de SQL Server pueden estar expuestas cuando no es necesario. Algunos procedimientos almacenados extendidos permiten el acceso al sistema operativo o al registro.
Procedimientos almacenados innecesarios habilitados
Amenazas y vulnerabilidades de autenticacin

Amenaza o vulnerabilidad Contraseas no seguras Definicin Las contraseas sencillas estn expuestas a los ataques por fuerza bruta o de diccionario. Los usuarios (entidades de seguridad) a menudo cambian de puesto o dejan la organizacin. Si no se cambia el acceso a una cuenta de usuario, se puede seguir teniendo acceso al sistema con el nivel de permisos anterior. Mitigacin Utilice siempre contraseas seguras y complejas. Para obtener ms informacin, vea Contraseas seguras. Tambin vea las opcionesCHECK_POLICY y CHECK_EXPIRATION en las instrucciones CREATE LOGIN (Transact-SQL) y ALTER LOGIN (Transact-SQL). Las cuentas de usuario se deberan auditar con frecuencia para asegurarse de que se tiene habilitado el acceso adecuado a los servidores y los objetos de las bases de datos. Para obtener ms informacin acerca de cmo auditar el acceso a SQL Server, vea Supervisar los registros de errores.
Cuentas de usuario sin auditar
Amenazas y vulnerabilidades de programacin

Amenaza o vulnerabilidad Inyeccin de cdigo SQL Contraseas incrustadas Definicin Consiste en incrustar una consulta malintencionada en una legtima. Algunas aplicaciones guardan las cadenas de conexin en el programa o en archivos de configuracin. Mitigacin Para obtener ms informacin acerca de cmo actuar ante los ataques por inyeccin de cdigo SQL, vea Inyeccin de cdigo SQL. No guarde las contraseas ni la informacin confidencial de conexin en un programa, en el registro ni en un archivo de configuracin. Para obtener ms informacin, veaDirectiva de contraseas.
Amenazas y vulnerabilidades de acceso a los datos

Amenaza o vulnerabilidad Cifrado aplicado incorrectamente Certificados aplicados incorrectamente Definicin El cifrado ofusca los datos o la informacin de conexin en SQL Server. No cifrar los datos cuando es necesario o hacerlo cuando no lo es, supone un riesgo y una complejidad innecesarios. Los certificados son un mecanismo para comprobar la autenticacin. SQL Server puede utilizar los certificados para diversos propsitos, desde las conexiones a los datos. El uso inadecuado de los certificados autofirmados y los perodos de validacin extendidos reducen la eficacia de la seguridad global. Una instancia de SQL Server y las bases de datos que contiene pueden tener claves que se utilizan para distintos propsitos de seguridad. Esto incluye el cifrado. Mitigacin Conozca e implemente correctamente el cifrado en SQL Server. Para obtener ms informacin, vea Cifrado de SQL Server. Conozca e implemente correctamente los certificados de SQL Server. Para obtener ms informacin, vea Certificados y claves asimtricas de SQL Server.
Claves de SQL Server sin copias de seguridad
Se deberan hacer copias de seguridad de las claves del servidor (tambin conocidas como claves maestras de servicio) y de las claves de las bases de datos, y guardarlas en lugar seguro. Tambin se deberan cambiar peridicamente. Para obtener ms informacin, veaSQL Server y claves de cifrado de base de datos (motor de base de datos).
Vea tambin
Conceptos Seguridad y proteccin (motor de base de datos) Proteger SQL Server Identidad y control de acceso (motor de base de datos) Desarrollo seguro (motor de base de datos) Implementacin segura (motor de base de datos) Operacin segura (motor de base de datos) Otros recursos Planeacin de la seguridad

Amenazas y Vulnerabilidad

Cargado por

Copyright:

Formatos disponibles

Amenazas y Vulnerabilidad

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Amenazas y Vulnerabilidad

Cargado por

Copyright:

Formatos disponibles

http://technet.microsoft.com/es-es/library/bb895180.

Matriz de amenazas y vulnerabilidad (motor de base de datos)

Amenazas y vulnerabilidades de los procesos

Principio de "privilegios mnimos"

Amenazas y vulnerabilidades de la plataforma

Vulnerabilidades de seguridad de los puertos de red

Configuracin incorrecta de las cuentas de servicio

rea expuesta demasiado grande

Procedimientos almacenados innecesarios habilitados

Amenazas y vulnerabilidades de autenticacin

Cuentas de usuario sin auditar

Amenazas y vulnerabilidades de programacin

Amenazas y vulnerabilidades de acceso a los datos

Claves de SQL Server sin copias de seguridad

También podría gustarte