Bagikan melalui

Pertimbangan Keamanan untuk Penginstalan SQL Server

  • Artikel

Keamanan penting untuk setiap produk dan setiap bisnis. Dengan mengikuti praktik terbaik sederhana, Anda dapat menghindari banyak kerentanan keamanan. Topik ini membahas beberapa praktik terbaik keamanan yang harus Anda pertimbangkan sebelum menginstal SQL Server dan setelah Menginstal SQL Server. Panduan keamanan untuk fitur tertentu disertakan dalam topik referensi untuk fitur tersebut.

Sebelum Menginstal SQL Server

Ikuti praktik terbaik ini saat Anda menyiapkan lingkungan server:

Tingkatkan Keamanan Fisik

Isolasi fisik dan logis membentuk fondasi keamanan SQL Server. Untuk meningkatkan keamanan fisik penginstalan SQL Server, lakukan tugas berikut:

  • Tempatkan server di ruangan yang hanya dapat diakses oleh orang yang berwenang.

  • Tempatkan komputer yang menghosting database di lokasi yang dilindungi secara fisik, idealnya ruang komputer terkunci dengan deteksi banjir yang dipantau dan sistem deteksi kebakaran atau penindasan.

  • Instal database di zona aman intranet perusahaan dan jangan sambungkan SQL Server Anda langsung ke Internet.

  • Cadangkan semua data secara teratur dan amankan cadangan di lokasi di luar situs.

Gunakan Firewall

Firewall penting untuk membantu mengamankan penginstalan SQL Server. Firewall akan paling efektif jika Anda mengikuti panduan berikut:

  • Letakkan firewall antara server dan Internet. Aktifkan firewall Anda. Jika firewall Anda dimatikan, aktifkan. Jika firewall Anda diaktifkan, jangan matikan.

  • Bagi jaringan menjadi zona keamanan yang dipisahkan oleh firewall. Blokir semua lalu lintas, lalu secara selektif hanya akui apa yang diperlukan.

  • Di lingkungan multi-tingkat, gunakan beberapa firewall untuk membuat subnet yang disaring.

  • Ketika Anda menginstal server di dalam domain Windows, konfigurasikan firewall interior untuk mengizinkan Autentikasi Windows.

  • Jika aplikasi Anda menggunakan transaksi terdistribusi, Anda mungkin harus mengonfigurasi firewall untuk memungkinkan lalu lintas Koordinator Transaksi Terdistribusi Microsoft (MS DTC) mengalir di antara instans MS DTC terpisah. Anda juga harus mengonfigurasi firewall untuk memungkinkan lalu lintas mengalir antara MS DTC dan manajer sumber daya seperti SQL Server.

Untuk informasi selengkapnya tentang pengaturan firewall Windows default, dan deskripsi port TCP yang memengaruhi Mesin Database, Analysis Services, Reporting Services, dan Layanan Integrasi, lihat Mengonfigurasi Windows Firewall untuk Mengizinkan akses SQL Server.

Mengisolasi Layanan

Mengisolasi layanan mengurangi risiko bahwa satu layanan yang disusupi dapat digunakan untuk membahayakan orang lain. Untuk mengisolasi layanan, pertimbangkan panduan berikut:

  • Jalankan layanan SQL Server terpisah di bawah akun Windows terpisah. Jika memungkinkan, gunakan akun pengguna Windows atau Lokal terpisah dengan hak rendah untuk setiap layanan SQL Server. Untuk informasi selengkapnya, lihat Mengonfigurasi Akun dan Izin Layanan Windows.

Mengonfigurasi Sistem File Aman

Menggunakan sistem file yang benar meningkatkan keamanan. Untuk penginstalan SQL Server, Anda harus melakukan tugas berikut:

  • Gunakan sistem file NTFS (NTFS). NTFS adalah sistem file pilihan untuk penginstalan SQL Server karena lebih stabil dan dapat dipulihkan daripada sistem file FAT. NTFS juga memungkinkan opsi keamanan seperti daftar kontrol akses file dan direktori (ACL) dan enkripsi file Encrypting File System (EFS). Selama penginstalan, SQL Server akan mengatur ACL yang sesuai pada kunci registri dan file jika mendeteksi NTFS. Izin ini tidak boleh diubah. Rilis SQL Server di masa mendatang mungkin tidak mendukung penginstalan pada komputer dengan sistem file FAT.

    Catatan

    Jika Anda menggunakan EFS, file database akan dienkripsi di bawah identitas akun yang menjalankan SQL Server. Hanya akun ini yang dapat mendekripsi file. Jika Anda harus mengubah akun yang berjalan SQL Server, Anda harus terlebih dahulu mendekripsi file di bawah akun lama lalu mengenkripsi ulang file tersebut di bawah akun baru.

  • Gunakan array redundan dari disk independen (RAID) untuk file data penting.

Nonaktifkan Blok Pesan NetBIOS dan Server

Server di jaringan perimeter harus menonaktifkan semua protokol yang tidak perlu, termasuk NetBIOS dan blok pesan server (SMB).

NetBIOS menggunakan port berikut:

  • UDP/137 (layanan nama NetBIOS)

  • UDP/138 (layanan datagram NetBIOS)

  • TCP/139 (layanan sesi NetBIOS)

SMB menggunakan port berikut:

  • TCP/139

  • TCP/445

Server web dan server Sistem Nama Domain (DNS) tidak memerlukan NetBIOS atau SMB. Di server ini, nonaktifkan kedua protokol untuk mengurangi ancaman enumerasi pengguna.

Menginstal SQL Server pada pengendali domain

Untuk alasan keamanan, kami sarankan Anda tidak menginstal SQL Server 2014 pada pengendali domain. penyetelan SQL Server tidak akan memblokir penginstalan pada komputer yang merupakan pengendali domain, tetapi batasan berikut berlaku:

  • Anda tidak dapat menjalankan layanan SQL Server pada pengendali domain di bawah akun layanan lokal.

  • Setelah SQL Server diinstal pada komputer, Anda tidak dapat mengubah komputer dari anggota domain menjadi pengendali domain. Anda harus menghapus SQL Server sebelum mengubah komputer host menjadi pengendali domain.

  • Setelah SQL Server diinstal pada komputer, Anda tidak dapat mengubah komputer dari pengendali domain menjadi anggota domain. Anda harus menghapus SQL Server sebelum mengubah komputer host menjadi anggota domain.

  • SQL Server instans kluster failover tidak didukung di mana node kluster adalah pengendali domain.

  • penyetelan SQL Server tidak dapat membuat grup keamanan atau menyediakan akun layanan SQL Server pada pengontrol domain baca-saja. Dalam skenario ini, Penyetelan akan gagal.

Selama atau Setelah Penginstalan SQL Server

Setelah penginstalan, Anda dapat meningkatkan keamanan penginstalan SQL Server dengan mengikuti praktik terbaik berikut mengenai akun dan mode autentikasi:

Akun layanan

  • Jalankan layanan SQL Server dengan menggunakan izin serendah mungkin.

  • Kaitkan layanan SQL Server dengan akun pengguna lokal Windows dengan hak istimewa rendah, atau akun pengguna domain.

  • Untuk informasi selengkapnya, lihat Mengonfigurasi Akun dan Izin Layanan Windows.

Mode autentikasi

Kata sandi yang kuat

  • Selalu tetapkan kata sandi yang kuat ke sa akun.

  • Selalu aktifkan pemeriksaan kebijakan kata sandi untuk kekuatan dan kedaluwarsa kata sandi.

  • Selalu gunakan kata sandi yang kuat untuk semua login SQL Server.

Penting

Selama penyiapan SQL Server Express login ditambahkan untuk grup BUILTIN\Users. Ini memungkinkan semua pengguna komputer yang diautentikasi untuk mengakses instans SQL Server Express sebagai anggota peran publik. Login BUILTIN\Users dapat dihapus dengan aman untuk membatasi akses Mesin Database ke pengguna komputer yang memiliki login individual atau merupakan anggota grup Windows lain dengan login.

Lihat juga

Persyaratan Perangkat Keras dan Perangkat Lunak untuk Menginstal SQL Server 2014
Protokol Jaringan dan Pustaka Jaringan
Mendaftarkan Nama Prinsipal Layanan untuk Koneksi Kerberos