Pertimbangan Keamanan untuk Penginstalan SQL Server

  • Artikel

Berlaku untuk:SQL Server - Hanya Windows

Keamanan penting untuk setiap produk dan setiap bisnis. Dengan mengikuti praktik terbaik sederhana, Anda dapat menghindari banyak kerentanan keamanan. Artikel ini membahas beberapa praktik terbaik keamanan yang harus Anda pertimbangkan sebelum menginstal SQL Server dan setelah Menginstal SQL Server. Panduan keamanan untuk fitur tertentu disertakan dalam artikel referensi untuk fitur tersebut.

Sebelum Menginstal SQL Server

Ikuti praktik terbaik ini saat Anda menyiapkan lingkungan server:

Tingkatkan Keamanan Fisik

Isolasi fisik dan logis membentuk fondasi keamanan SQL Server. Untuk meningkatkan keamanan fisik penginstalan SQL Server, lakukan tugas berikut:

  • Tempatkan server di ruangan yang hanya dapat diakses oleh orang yang berwenang.

  • Tempatkan komputer yang menghosting database di lokasi yang dilindungi secara fisik, idealnya ruang komputer terkunci dengan deteksi banjir yang dipantau dan sistem deteksi kebakaran atau penindasan.

  • Instal database di zona aman intranet perusahaan dan jangan sambungkan instans SQL Server Anda langsung ke Internet.

  • Cadangkan semua data secara teratur dan amankan cadangan di lokasi di luar situs.

Menggunakan Firewall

Firewall penting untuk membantu mengamankan penginstalan SQL Server. Firewall akan paling efektif jika Anda mengikuti panduan berikut:

  • Letakkan firewall antara server dan Internet. Aktifkan firewall Anda. Jika firewall Anda dimatikan, aktifkan. Jika firewall Anda diaktifkan, jangan matikan.

  • Bagi jaringan menjadi zona keamanan yang dipisahkan oleh firewall. Blokir semua lalu lintas, lalu secara selektif hanya mengakui apa yang diperlukan.

  • Di lingkungan multi-tingkat, gunakan beberapa firewall untuk membuat subnet yang disaring.

  • Ketika Anda menginstal server di dalam domain Windows, konfigurasikan firewall interior untuk mengizinkan Autentikasi Windows.

  • Jika aplikasi Anda menggunakan transaksi terdistribusi, Anda mungkin harus mengonfigurasi firewall untuk memungkinkan lalu lintas Koordinator Transaksi Terdistribusi Microsoft (MS DTC) mengalir di antara instans MS DTC terpisah. Anda juga harus mengonfigurasi firewall untuk memungkinkan lalu lintas mengalir antara MS DTC dan manajer sumber daya seperti SQL Server.

Untuk informasi selengkapnya tentang pengaturan firewall Windows default, dan deskripsi port TCP yang memengaruhi Mesin Database, Analysis Services, Reporting Services, dan Layanan Integrasi, lihat Mengonfigurasi Windows Firewall untuk Mengizinkan Akses SQL Server.

Isolasi Layanan

Mengisolasi layanan mengurangi risiko bahwa satu layanan yang disusupi dapat digunakan untuk membahayakan orang lain. Untuk mengisolasi layanan, pertimbangkan panduan berikut:

  • Jalankan layanan SQL Server terpisah di bawah akun Windows terpisah. Jika memungkinkan, gunakan akun pengguna Windows atau Lokal terpisah dengan hak rendah untuk setiap layanan SQL Server. Untuk informasi selengkapnya, lihat Mengonfigurasi Akun dan Izin Layanan Windows.

Mengonfigurasi Sistem File Aman

Menggunakan sistem file yang benar meningkatkan keamanan. Untuk penginstalan SQL Server, Anda harus melakukan tugas berikut:

Gunakan sistem file NT (NTFS) atau Sistem File Tangguh (ReFS). NTFS dan ReFS adalah sistem file yang direkomendasikan untuk penginstalan SQL Server karena lebih stabil dan dapat dipulihkan daripada sistem file FAT32. NTFS atau ReFS juga mengaktifkan opsi keamanan seperti daftar kontrol akses file dan direktori (ACL). NTFS juga mendukung Sistem File Enkripsi (EFS) - enkripsi file. Selama penginstalan, SQL Server akan mengatur ACL yang sesuai pada kunci registri dan file jika mendeteksi NTFS. Izin ini tidak boleh diubah. Rilis SQL Server di masa mendatang mungkin tidak mendukung penginstalan pada komputer dengan sistem file FAT.

Catatan

Jika Anda menggunakan EFS, file database akan dienkripsi di bawah identitas akun yang menjalankan SQL Server. Hanya akun ini yang dapat mendekripsi file. Jika Anda harus mengubah akun yang menjalankan SQL Server, Anda harus terlebih dahulu mendekripsi file di bawah akun lama lalu mengenkripsi ulang di bawah akun layanan baru.

Peringatan

Menggunakan enkripsi file melalui EFS dapat menyebabkan performa I/O yang lebih lambat karena enkripsi menyebabkan I/O asinkron menjadi sinkron. Lihat I/O disk asinkron muncul sebagai sinkron di Windows. Sebagai gantinya, Anda dapat sonsider menggunakan teknologi enkripsi SQL Server seperti fungsi T-SQL Enkripsi Data Transparan (TDE), Always Encrypted, dan enkripsi tingkat kolom.

Nonaktifkan NetBIOS dan Blok Pesan Server

Server di jaringan perimeter harus menonaktifkan semua protokol yang tidak perlu, termasuk NetBIOS dan blok pesan server (SMB).

NetBIOS menggunakan port berikut:

  • UDP/137 (layanan nama NetBIOS)

  • UDP/138 (layanan datagram NetBIOS)

  • TCP/139 (layanan sesi NetBIOS)

SMB menggunakan port berikut:

  • TCP/139

  • TCP/445

Server web dan server Sistem Nama Domain (DNS) tidak memerlukan NetBIOS atau SMB. Di server ini, nonaktifkan kedua protokol untuk mengurangi ancaman enumerasi pengguna.

Menginstal SQL Server pada pengendali domain

Untuk alasan keamanan, kami sarankan Anda tidak menginstal SQL Server pada pengendali domain. Penyetelan SQL Server tidak akan memblokir penginstalan di komputer yang merupakan pengendali domain, tetapi batasan berikut berlaku:

  • Anda tidak dapat menjalankan layanan SQL Server pada pengendali domain di bawah akun layanan lokal.

  • Setelah SQL Server diinstal pada komputer, Anda tidak dapat mengubah komputer dari anggota domain menjadi pengendali domain. Anda harus menghapus instalan SQL Server sebelum mengubah komputer host ke pengendali domain.

  • Setelah SQL Server diinstal di komputer, Anda tidak dapat mengubah komputer dari pengendali domain menjadi anggota domain. Anda harus menghapus instalan SQL Server sebelum mengubah komputer host menjadi anggota domain.

  • Instans kluster failover SQL Server tidak didukung di mana node kluster adalah pengendali domain.

  • Penyetelan SQL Server tidak dapat membuat grup keamanan atau menyediakan akun layanan SQL Server pada pengontrol domain baca-saja. Dalam skenario ini, Penyetelan akan gagal.

Selama atau Setelah Penginstalan SQL Server

Setelah penginstalan, Anda dapat meningkatkan keamanan penginstalan SQL Server dengan mengikuti praktik terbaik ini mengenai akun dan mode autentikasi:

Akun layanan

  • Jalankan layanan SQL Server dengan menggunakan izin serendah mungkin.

  • Kaitkan layanan SQL Server dengan akun pengguna lokal Windows dengan hak istimewa rendah, atau akun pengguna domain.

  • Untuk informasi selengkapnya, lihat Mengonfigurasi Akun dan Izin Layanan Windows.

Mode autentikasi

Kata sandi yang kuat

  • Selalu tetapkan kata sandi yang kuat ke akun sa .

  • Selalu aktifkan pemeriksaan kebijakan kata sandi untuk kekuatan kata sandi dan kedaluwarsa.

  • Selalu gunakan kata sandi yang kuat untuk semua login SQL Server.

Penting

Selama penyiapan SQL Server Express, login ditambahkan untuk grup BUILTIN\Users. Ini memungkinkan semua pengguna komputer yang diautentikasi untuk mengakses instans SQL Server Express sebagai anggota peran publik. Login BUILTIN\Users dapat dihapus dengan aman untuk membatasi akses Mesin Database ke pengguna komputer yang memiliki login individual atau merupakan anggota grup Windows lainnya dengan login.

Lihat Juga

Persyaratan Perangkat Keras dan Perangkat Lunak untuk Menginstal SQL Server
Protokol Jaringan dan Pustaka Jaringan
Mendaftarkan Nama Perwakilan Layanan untuk Koneksi Kerberos