Boas práticas de segurança para SQL Server 2008/2008 R2 - Revista SQL Magazine 90

Informação é o bem mais valioso de uma organização, é com base nas suas informações que ela irá planejar seus passos rumo ao seu objetivo. Toda organização tem um objetivo, seja ela uma empresa privada que visa o lucro, estatal que provê serviços aos cidadãos ou filantrópica que busca ajudar questões sociais ou ambientais sem a obtenção de lucro.

Ter suas informações roubadas, sabotadas, espionadas ou destruídas pode ocorrer em qualquer lugar, desde o usuário doméstico até as grandes empresas mundiais. Ter os dados de seus clientes roubados é algo tão desastroso para a imagem de uma organização que as grandes empresas investem milhões na segurança da informação e mesmo assim ainda são alvos de hackers.

É por isso que a segurança da informação é tão importante. E ela deve atender aos seguintes requisitos: confiabilidade, autenticidade, integridade, disponibilidade. Não vamos entrar em detalhes sobre esses requisitos. Nosso objetivo é falarmos sobre algumas das boas práticas de segurança no SQL Server 2008.

Claro que isso é somente uma proposta para aumentar a segurança no seu ambiente de banco de dados. É altamente aconselhável que toda alteração que você faça seja discutida entre sua equipe, fornecedores, e seus clientes (desenvolvedores e parceiros), documentada e homologada antes de aplicá-los em produção.

Segurança física

Uma das primeiras preocupações quando falamos de segurança da informação é a segurança física de seus servidores e equipamentos. Isso ainda é mais crítico quando tratamos de banco de dados, pois é onde as informações de uma empresa estão armazenadas.

O acesso físico deve ser restringido a pessoas não autorizadas aos servidores de seu banco de dados, a fim de evitar o comprometimento de hardware causado por acidentes, roubos, danos aos equipamentos, sabotagens, dentre outros incidentes. Um exemplo clássico de problemas causados por livre acesso ao servidor é o da faxineira que ao limpar a sala esbarra em um cabo elétrico e desliga o servidor. Esse exemplo é um incidente sem má intenção, mas que comprometeu a disponibilidade de informação. Não queremos que este tipo de problema pare os serviços de uma empresa. Por isso devemos adotar medidas para melhorar a segurança física dos servidores.

Muitas empresas não têm condições de arcar com os altos custos de um Data Center, que provê uma série de medidas de segurança, tais como, no-breaks, sistemas anti-incêndio, refrigeração, controle de acesso físico e cofres para as mídias de backup.

Neste contexto, sugerimos aqui algumas boas práticas para segurança física:

• Procure manter seu servidor de banco de dados em uma sala, onde somente as pessoas autorizadas possam ter acesso;

• Mantenha sistemas de fornecimento de energia alternativo, tais como, no-breaks (documente e tenha um plane B, sobre o que fazer caso o tempo de falta de energia exceda a capacidade do no-break);

• Tenha sistemas de refrigeração para evitar o super aquecimento dos equipamentos;

• Mantenha backups de seus dados e guarde as mídias em um local seguro e diferente de onde o servidor esteja;

• Sempre acompanhe procedimentos de fornecedores, caso necessitem acessar o local onde o servidor esteja;

• Organize os cabos de rede e os etiquete para evitar desconectar cabos errados quando estiver fazendo algum procedimento.

Surface area reduction

Surface Area Reduction são medidas de segurança que consistem em desabilitar os serviços e recursos que não são usados. Ajudando a reduzir os pontos de potenciais ataques ao seu sistema, ou seja, se o serviço ou recurso não estiver disponível ou habilitado, um ataque não poderá ser feito por meio destes.

Durante a instalação do SQL Server 2008 você pode optar por instalar os seguintes serviços:

• Database Engine;

• Analysis Services Engine;

• Reporting Services;

• Integration Services;

• Tools;

• Documentation.