woj. małopolskie
Administracja MS SQL
Kraków
Serwer bazy odpowiada z internetu na domyślnym porcie, bo kiedyś ktoś potrzebował dostępu z domu. Wszyscy pracują na koncie z uprawnieniami administratora, a hasło jest wspólne i nie zmieniało się od wdrożenia. Każdy z tych punktów osobno jest ryzykowny. Razem wystarczy jedno przypadkowe zdarzenie, żeby dane zostały zaszyfrowane.
Bezpieczeństwo bazy
Obraz, który widzimy bardzo często
W wielu firmach z Krakowa serwer bazy został skonfigurowany przy wdrożeniu systemu i od tego czasu nikt nie patrzył na jego zabezpieczenia. Działał, więc nie było powodu. Tymczasem przez lata doszły dostępy z zewnątrz, nowe osoby i nowe aplikacje.
Typowy zestaw wygląda tak: serwer dostępny z internetu na domyślnym porcie, wszystkie aplikacje i użytkownicy na jednym koncie z pełnymi uprawnieniami, hasło znane kilkunastu osobom, w tym byłym pracownikom i dawnym wykonawcom, kopie niezaszyfrowane.
Porządkujemy to według zasady najmniejszych potrzebnych praw. Zamykamy dostęp z internetu albo ograniczamy go do konkretnych adresów, zakładamy osobne konta dla aplikacji i osób, zmieniamy hasła i szyfrujemy kopie. To zwykle kilka godzin pracy, które usuwają większość realnego ryzyka.
Zakres
Co obejmuje zabezpieczenie
Najpierw kopie, potem zmiany: żeby było do czego wrócić.
- Sprawdzenie, skąd serwer jest dostępny
- Zamknięcie dostępu z internetu lub lista dozwolonych adresów
- Bezpieczny dostęp z zewnątrz dla osób, które go potrzebują
- Osobne konta dla aplikacji i użytkowników
- Uprawnienia według faktycznych potrzeb
- Zmiana wspólnych i domyślnych haseł
- Szyfrowanie kopii zapasowych
- Spis kont i dostępów przekazany firmie
- Nie zmieniamy haseł bez sprawdzenia, co z nich korzysta
- Nie zamykamy dostępu bez alternatywy dla osób pracujących z zewnątrz
- Nie wprowadzamy zmian przed sprawdzeniem kopii
Luki
Najczęstsze luki i ich naprawa
Poniżej punkty, które sprawdzamy na każdym serwerze.
| Luka | Ryzyko | Naprawa |
|---|---|---|
| Serwer dostępny z internetu | próby włamania z całego świata | zamknięcie lub lista adresów |
| Domyślny port | łatwy cel automatycznych skanów | zamknięcie dostępu z zewnątrz |
| Wszyscy na koncie administratora | jeden błąd niszczy wszystko | osobne konta i uprawnienia |
| Wspólne hasło od lat | znają je byli pracownicy i wykonawcy | zmiana i osobne hasła |
| Aplikacje na koncie administratora | przejęcie aplikacji to przejęcie bazy | konto z ograniczonymi prawami |
| Kopie niezaszyfrowane | wyciek danych z pliku kopii | szyfrowanie kopii |
| Brak spisu dostępów | nie wiadomo, kto ma dostęp | spis przekazany firmie |
Wspólne hasło administratora bywa wpisane w kilku aplikacjach, raportach i zadaniach. Przed zmianą sprawdzamy, co z niego korzysta, żeby rano nic nie przestało działać.
Wynik
Co dostajecie
Bazę, do której dostęp mają tylko ci, którzy powinni.
- Zamknięty dostęp: Serwer niewidoczny z internetu.
- Osobne konta: Uprawnienia według potrzeb.
- Spis dostępów: Wiadomo, kto i do czego ma dostęp.
Kraków w praktyce
Czego nauczyły nas zabezpieczenia baz w Krakowie
Pierwsza rzecz: dostęp z internetu zwykle został otwarty dla jednej osoby lub jednego wykonawcy lata temu. Dziś nikt z niego nie korzysta, a port jest skanowany codziennie.
Druga: najwięcej pracy wymaga ustalenie, które aplikacje korzystają ze wspólnego konta. Raporty, integracje, zadania zaplanowane: każde trzeba przepiąć na własne konto.
Trzecia: osoby pracujące z zewnątrz nie muszą tracić dostępu. Bezpieczne połączenie z siecią firmy zamiast otwartego portu bazy rozwiązuje sprawę.
Na start
Czego potrzebujemy na start
Najważniejsza jest lista tego, co korzysta z bazy.
- Wersja MS SQL i system operacyjny serwera
- Aplikacje i raporty korzystające z bazy
- Osoby i firmy z dostępem z zewnątrz
- Dostęp administracyjny do serwera
- Kontakt do osoby od sieci i zapory
- Okno serwisowe na zmiany
Współpraca
Jak pracujemy
Zaczynamy od przeglądu: skąd serwer jest dostępny, jakie są konta i co z nich korzysta. Sprawdzamy kopie przed zmianami.
Wprowadzamy zmiany w oknie serwisowym: dostęp, konta, uprawnienia, hasła, szyfrowanie. Pracujemy zdalnie.
Przekazujemy spis dostępów. W ramach opieki pilnujemy, żeby nowe konta i dostępy powstawały według tych samych zasad.
Zasięg
Gdzie dokładnie pracujemy
Serwery MS SQL zabezpieczamy dla firm z Krakowa zdalnie.
Pracujemy też dla firm z Wieliczki, Niepołomic, Skawiny, Zabierzowa, Myślenic i Krzeszowic.
- Stare Miasto
- Grzegórzki
- Krowodrza
- Bronowice
- Zwierzyniec
- Dębniki
- Podgórze
- Prądnik Biały
- Prądnik Czerwony
- Czyżyny
- Bieżanów-Prokocim
- Nowa Huta
Poza samym miastem pracujemy też w okolicy: Wieliczka, Skawina, Zabierzów, Niepołomice, Krzeszowice, Michałowice, Mogilany. Dla nas to ten sam wyjazd, a dla wyszukiwarki osobny zestaw zapytań, o który mało kto konkuruje świadomie.
Współpraca
Od otwartego portu do bazy za zamkniętymi drzwiami
Przegląd
Dostęp, konta, hasła.
Kopie
Sprawdzone przed zmianami.
Co korzysta z bazy
Aplikacje, raporty, zadania.
Zmiany
W oknie serwisowym.
Spis dostępów
Przekazany firmie.
Opieka
Nowe konta według zasad.
Pytania
Zanim zapytasz
Zwykle nie. Dostęp z zewnątrz da się zapewnić bezpieczniej.
Nie, jeśli wcześniej sprawdzimy, co z niego korzysta.
Zwykle kilka godzin pracy.
Tak, to część zabezpieczenia.
Nie. Zapewniamy bezpieczne połączenie z siecią firmy.
Większość nie. Zmiany robimy w oknie serwisowym.
Ta sama okolica
Pozostałe usługi w Krakowie
Ta sama usługa
Bazy danych MS SQL w innych miastach
Sprawdźmy, kto ma dostęp do Waszej bazy
Napiszcie, jakiej wersji MS SQL używacie i czy ktoś łączy się z bazą spoza firmy. Zaczniemy od przeglądu.