Zabezpieczenia bazy SQL vs. Insert

[HotKey . 249]

Witam jestem na urlopie z ograniczonym dostępem do netu, ale właśnie złapałem lapka, to podzielę się z Wami problemem jaki mnie napotkał:

 

Otóż potrzebuję zabezpieczyć bazę SQL na której mam Inserta oraz Sello. W zasadzie już dawno miałem to zrobić, ale z braku czasu nie miałem jak się do tego zabrać. Dziś ustawiłem sobie hasło do usera "sa" i myślałem, że będzie git i po problemie, jednak SGT przestał mi się logować - pytając o hasło do usera "sa" no i tym jestem zaskoczony, myślałem, że na co dzień user "sa" nie jest potrzebny użytkownikom z ograniczeniami, no bo jaki ma sens zabezpieczanie bazy w Insercie, jeśli trzeba podać zwykłemu userowi hasło do SGT, oraz hasło do ... usera "sa" ?

 

 

Jak wy sobie radzicie z zabezpieczeniami:

- bazy SQL (i usera "sa")?

- zrzutów bazy (archiwizacji)?

 

 

Chodzi mi o to, żeby przypadkowy user (np serwisant) nie gwizdnął mi DUMPem na użytkowniku "sa" bazy z zawartością - to byłby definitywny koniec mojej firmy.

 

Jakieś porady?

[Bartosz Rosa 1 785]

Hasło do serwera SQL to jest wymóg/ficzer serwera SQL. Tak jak przy wszelakich kontach jest możliwość podania hasła tak i jest tutaj. Aby połączyć się z bazą musisz się jakoś zautoryzować - albo autoryzacją Windows, albo osobnym użytkownikiem z hasłem lub bez (w tym wypadku sa). Możesz też utworzyć niezależne konta na serwerze SQL i nimi logować się z programów, ale muszą one mieć wystarczające uprawnienia.

 

[HotKey . 249]

Aha no dobrze nie jestem specem od SQLa.

 

A czy przez takiego usera "sa" można zrobić zrzut całej bazy do pliku i tak próbować na boku wyciągnąć dane z bazy (nie znając hasła SZEFA) ?

 

A jeśli tak, to czy ma sens tworzenie innego usera (np sa-new), jeśli i tak ktoś mi zrobi DUMPa bazy przez takiego innego usera (sa-new)?

[Patryk Tworek 39]

Aha no dobrze nie jestem specem od SQLa.

 

A czy przez takiego usera "sa" można zrobić zrzut całej bazy do pliku i tak próbować na boku wyciągnąć dane z bazy (nie znając hasła SZEFA) ?

 

A jeśli tak, to czy ma sens tworzenie innego usera (np sa-new), jeśli i tak ktoś mi zrobi DUMPa bazy przez takiego innego usera (sa-new)?

 

SA może wszystko a z jakimi uprawnieniami założysz nowego usera to już od Ciebie zależy

 

Jak łączysz się przez sa to łączysz się do bazy, nie potrzebujesz wtedy hasła szefa. Na dobrą sprawę można takie hasło łatwo wyciągnąć/złamać z bazy, więc to żadne zabezpieczenie

 

Ja u nas zrobiłem "sztywne" połączenia do subiekta i poblokowałem foldery z plikami przed wejściem osób bez admina. Zawsze jakieś zabezpieczenie przed wyciągnięciem hasła do sa.

[HotKey . 249]

Hmmm nie ma zatem możliwości zabezpieczenia prosto bazy ehh

[Ks. Robak 314]

Można choć trochę zabezpieczyć bazę.

 

Ale jeżeli dasz serwisantowi komputer z bazą, to czy będą tacy użytkownicy czy inni, czy z hasłami czy bez, może sobie po prostu przegrać pliki z bazami na pendriva i w domu się do nich dostać.

 

Opcją jest szyfrowanie bazy. Ale to działa tylko z wersjami Enterprise i Business Intelligence.

 

W bezpieczeństwie komputerowym znanym problemem jest "Evil Maid Problem".

Czyli problem wrednej pokojówki.

 

Jeżeli ktoś ma dostęp fizyczny do komputera z danymi, należy liczyć się z tym, że uda mu się w jakiś sposób do tych danych dostać.

 

Tak czy inaczej można kombinować z założeniem kont na SQL Serverze, jak napisał Bartek, z minimalnymi uprawnieniami, tak aby działało, a żeby nie dało się np. zrobić backupu, skasować bazy, dodać użytkowników....

 

To taka ochrona przed użytkownikami, którzy nie mają dostępu do serwera SQL i plików z bazą / backupami.

[HotKey . 249]

No dobra będę kombinował.

Kolejnym problemem jest, że jak próbuję wejść w Archiwizację i zrobić zrzut bazy zabezpieczonej hasłem, to SQL odmawia takiej operacji ...  :o

[Ks. Robak 314]

No dobra będę kombinował.

Kolejnym problemem jest, że jak próbuję wejść w Archiwizację i zrobić zrzut bazy zabezpieczonej hasłem, to SQL odmawia takiej operacji ...  :o

 

Co masz na myśli mówiąc o bazie zabezpieczonej hasłem ?

Użytkownika sa z nadanym hasłem ?

[HotKey . 249]

Co masz na myśli mówiąc o bazie zabezpieczonej hasłem ?

Użytkownika sa z nadanym hasłem ?

 

 

Nie. Chodzi mi o archiwiację zabezpieczjącą plik archiwum hasłem np: szefa, zalogowanego użytkownika, albo hasłem dowolnym. Parę dni temu ktoś pisał, że to nie działa, podobno w SGT też jest różnie, no i faktycznie w Sello mi nie działa...

 

 

[Ks. Robak 314]

Tak jest.

 

https://forum.sello.pl/index.php?topic=10104.0

[HotKey . 249]

Tak jest.

 

https://forum.sello.pl/index.php?topic=10104.0

 

 

Kurde lipa, a czy można ustawić userowi w Sello uprawnienie, aby nie mógł zrobić archiwizacji bazy bez wiedzy szefa?

 

 

Póki co nie znalazłem takiego uprawnienia.

[Ks. Robak 314]

Za to bardziej odpowiada użytkownik SQL Servera.

 

Jak Twoi użytkownicy Sello pracują na sa, to będą mogli wykonać backup.

 

Pokombinuj z minimalnymi uprawnieniami użytkowników SQL Servera, tak aby można było pracować z Sello, ale bez uprawnienia do robienia backupu.

 

Jednakże tutaj

https://forum.sello.pl/index.php?topic=2591.0

 

Bartek zalecał nadanie użytkownikowi SQL uprawnienia db_owner, które umożliwia robienie backupów.

 

Tutaj nie pomogę za bardzo, bo nie rozgryzałem tego tematu. Trzeba pokombinować.

[HotKey . 249]

Pokombinuj z minimalnymi uprawnieniami użytkowników SQL Servera, tak aby można było pracować z Sello, ale bez uprawnienia do robienia backupu

 

 

Na pewno muszę spróbować z tymi uprawnieniami SQL.