Evaluación de vulnerabilidades de SQL Server

Se aplica a: SQL Server (todas las versiones admitidas)

La evaluación de vulnerabilidades de SQL es una herramienta fácil de usar que puede ayudarle a detectar posibles vulnerabilidades de la base de datos, realizar su seguimiento y corregirlas. Úsela para mejorar la seguridad de la base de datos de manera proactiva.

La herramienta de evaluación de vulnerabilidades está disponible en SQL Server Management Studio (SSMS) para SQL Server 2012 o versiones posteriores.

Características de la evaluación de vulnerabilidades

La evaluación de vulnerabilidades de SQL es un servicio que proporciona visibilidad sobre el estado de seguridad e incluye acciones recomendadas para resolver problemas de seguridad y mejorar la seguridad de la base de datos. En este sentido, le puede ayudar a:

• Satisfacer los requisitos de cumplimiento que requieren los informes de examen de base de datos
• Cumplir los estándares de privacidad de los datos
• Supervisar un entorno de base de datos dinámico donde resulta difícil realizar un seguimiento de los cambios

El servicio VA ejecuta un examen directamente en la base de datos. El servicio emplea una base de reglas de conocimientos que marcan las vulnerabilidades de seguridad y resaltan las desviaciones con respecto a los procedimientos recomendados, como errores de configuración, permisos excesivos y datos confidenciales sin protección. Las reglas se basan en procedimientos recomendados de Microsoft y se centran en los problemas de seguridad que presentan los riesgos más grandes para la base de datos y sus valiosos datos. Estas reglas también representan muchos de los requisitos que deben cumplir diversos organismos reguladores para satisfacer los estándares de cumplimiento.

Los resultados del examen incluyen pasos que requieren acción para corregir cada uno de los problemas y proporcionan scripts de solución personalizados donde sea aplicable. Un informe de evaluación se puede personalizar para el entorno y establecer una línea de base aceptable para las configuraciones de permisos, configuraciones de características y configuraciones de bases de datos.

Requisitos previos

Esta característica solo está disponible en la versión 17.4 de SQL Server Management Studio (SSMS) u otras posteriores. que podrá encontrar aquí.

Introducción

Para ejecutar un examen de vulnerabilidades en la base de datos, siga estos pasos:

1. Abra SQL Server Management Studio.

2. Conéctese a una instancia de Motor de base de datos de SQL Server o el localhost.

3. Expanda Bases de datos, haga clic con el botón derecho en una base de datos y seleccione Tareas, Evaluación de vulnerabilidad y Detectar vulnerabilidades…

4. Puede ejecutar un examen que compruebe si hay problemas en el nivel de servidor mediante el examen de una de las bases de datos del sistema. Expanda Bases de datos del sistema, haga clic con el botón derecho en la base de datos maestra, seleccione Tareas, seleccione Evaluación de vulnerabilidad y haga clic en Detectar vulnerabilidades...

Tutorial

Siga estos pasos para ejecutar y administrar las evaluaciones de vulnerabilidades en las bases de datos.

1. Ejecución de un examen

El cuadro de diálogo Detectar vulnerabilidades permite especificar la ubicación donde se guardarán los exámenes. Puede dejar la ubicación predeterminada o hacer clic en Examinar... para guardar los resultados del examen en una ubicación diferente.

Cuando esté listo para el examen, seleccione Aceptar para examinar la base de datos en busca de vulnerabilidades.

2. Visualización del informe

Una vez finalizado el examen, se muestra automáticamente el informe de esta operación en el panel principal de SSMS. El informe presenta información general sobre el estado de seguridad, cuántos problemas se encontraron y sus niveles de gravedad respectivos. Los resultados incluyen advertencias sobre las desviaciones con respecto a los procedimientos recomendados, así como una instantánea de la configuración relacionada con la seguridad, como las entidades de seguridad y los roles de base de datos y sus permisos asociados. El informe de examen también proporciona un mapa de datos confidenciales detectados en la base de datos e incluye recomendaciones de los métodos integrados disponibles para protegerlo.

3. Análisis de resultados y solución de problemas

Revise los resultados y determine qué hallazgos del informe son verdaderos problemas de seguridad en el entorno. Profundice hasta cada resultado con error para comprender el impacto del hallazgo y el motivo del error de cada comprobación de seguridad. Use la información de corrección que requiere acción que se proporciona en el informe para resolver el problema.

4. Establecimiento de la línea de base

Cuando revise los resultados de la evaluación, puede marcar los resultados específicos como una línea de base aceptable en su entorno. La línea de base es fundamentalmente una personalización de cómo se notifican los resultados. Los resultados que coinciden con la línea de base se consideran como correctos en análisis posteriores.

Una vez que ha establecido el estado de seguridad de línea de base, Evaluación de vulnerabilidad notifica únicamente las desviaciones con respecto a esta línea de base, y puede centrar su atención en los problemas importantes.

5. Ejecución de un nuevo examen para ver el informe de seguimiento personalizado

Después de completar la configuración de sus líneas de base de la regla, ejecute un examen nuevo para ver el informe personalizado. Ahora, Evaluación de vulnerabilidad solo notifica los problemas de seguridad incorrectos que se desvían del estado de línea de base aprobado.

6. Apertura de un examen ejecutado previamente

En cualquier momento puede ver los resultados de las evaluaciones de vulnerabilidades que ha ejecutado anteriormente con solo abrir un examen existente. Para ello, haga clic con el botón derecho en una base de datos, seleccione Tareas, Evaluación de vulnerabilidad y Open Existing Scan… (Abrir examen existente…). Seleccione el archivo de resultados de examen que quiere ver y seleccione Abrir.

También puede abrir un resultado de examen existente mediante el menú Archivo -> Abrir. Seleccione Evaluación de vulnerabilidad... y abra el directorio scans para buscar el resultado del examen que quiere ver.

Evaluación de vulnerabilidad puede usarse ahora para supervisar que las bases de datos mantengan un alto nivel de seguridad en todo momento y que se cumplan las directivas de la organización. Si se requieren informes de cumplimiento, los informes de Evaluación de vulnerabilidad pueden ser útiles para facilitar el proceso de cumplimiento.

Administración de las evaluaciones de vulnerabilidades con PowerShell

Puede usar cmdlets de PowerShell para administrar mediante programación las evaluaciones de vulnerabilidades de las instancias de SQL Server. Los cmdlets se pueden usar para ejecutar las evaluaciones mediante programación, exportar los resultados y administrar bases de referencia. Para comenzar, descargue la versión más reciente del módulo SqlServer PowerShell del sitio Galería de PowerShell. Puede obtener más información aquí.

Pasos siguientes

Puede obtener más información sobre la evaluación de vulnerabilidades de SQL en los siguientes recursos:

• Ejecución de un examen de evaluación de vulnerabilidades en Azure SQL Database
• Vídeo de Channel 9 en el que se muestra el uso de las evaluaciones de vulnerabilidades