Considérations sur la sécurité pour une installation SQL Server

  • Article

La sécurité est importante pour chaque produit et chaque activité. En respectant les recommandations les plus simples, vous pouvez éviter de nombreuses failles de sécurité. Cette rubrique traite des recommandations qu'il est conseillé de prendre en considération en matière de sécurité avant d'installer SQL Server et après l'avoir installé SQL Server. Des conseils en matière de sécurité concernant des fonctionnalités spécifiques sont inclus dans les rubriques de référence de ces fonctionnalités.

Avant d'installer SQL Server

Suivez ces recommandations lors de la définition de l'environnement du serveur :

Renforcement de la sécurité physique

L'isolement au niveau physique et logique est à la base de la sécurité de SQL Server. Pour améliorer la sécurité de l'installation SQL Server au niveau physique, procédez comme suit :

  • Placez le serveur dans une pièce à laquelle seules les personnes autorisées peuvent accéder.

  • Placez les ordinateurs qui hébergent une base de données dans un lieu protégé physiquement, idéalement dans une salle fermée à clé, équipée de systèmes pour la détection et la lutte contre les inondations et les incendies.

  • Installez les bases de données dans une zone sécurisée de l'intranet d'entreprise, sans connecter vos serveurs SQL Server directement à Internet.

  • Sauvegardez régulièrement toutes les données et conservez les copies de sauvegarde dans un lieu sécurisé situé en dehors de l'entreprise.

Utilisation de pare-feu

Les pare-feu sont importants afin d'aider à sécuriser l'installation de SQL Server. Les pare-feu seront d'autant plus efficaces que vous suivrez ces directives :

  • Placez un pare-feu entre le serveur et Internet. Activez votre pare-feu. Si votre pare-feu est désactivé, activez-le. Si votre pare-feu est activé, ne le désactivez pas.

  • Divisez le réseau en zones de sécurité séparées par des pare-feu. Bloquez tout le trafic, puis sélectionnez uniquement ce qui est obligatoire.

  • Dans un environnement à plusieurs niveaux, utilisez plusieurs pare-feu pour créer des sous-réseaux filtrés.

  • Lorsque vous installez le serveur à l'intérieur d'un domaine Windows, configurez des pare-feu internes pour autoriser l'authentification Windows.

  • Si votre application utilise des transactions distribuées, vous devrez éventuellement configurer le pare-feu pour autoriser le trafic MS DTC (Microsoft Distributed Transaction Coordinator) entre des instances MS DTC distinctes. Vous devrez configurer également le pare-feu afin de permettre au trafic de s'écouler entre les instances MS DTC et les gestionnaires des ressources tels que SQL Server.

Pour plus d'informations sur le paramètres par défaut du Pare-feu Windows et obtenir une description des ports TCP qui affectent le Moteur de base de données, Analysis Services, Reporting Services et Integration Services, consultez Configurer le Pare-feu Windows pour autoriser l'accès à SQL Server.

Isolement des services

Le fait d'isoler les services réduit le risque qu'un service compromis soit utilisé pour en compromettre d'autres. Pour isoler des services, tenez compte des consignes suivantes :

Configurer un système de fichiers sécurisé

L'utilisation du système de fichiers correct accroît la sécurité. Pour les installations SQL Server, vous devez effectuer les tâches suivantes :

  • Utiliser le système de fichiers NTFS. NTFS est le système de fichiers par défaut pour les installations de SQL Server car il est plus stable et récupérable que les systèmes de fichiers FAT. NTFS active également des options de sécurité telles que les listes de contrôle d'accès de fichiers et de répertoires et le chiffrement de fichiers EFS (Encrypting File System). Pendant l'installation, SQL Server définit les listes de contrôle d'accès appropriées sur les clés de Registre et les fichiers s'il détecte NTFS. Ces autorisations ne doivent pas être modifiées. Il se peut que les versions futures de SQL Server ne prennent pas en charge l'installation sur des ordinateurs dotés de systèmes de fichiers FAT.

    [!REMARQUE]

    Si vous utilisez le chiffrement EFS, les fichiers de base de données seront chiffrés sous l'identité du compte qui exécute SQL Server. Seul ce compte sera en mesure de déchiffrer les fichiers. Si vous devez modifier le compte qui exécute SQL Server, vous devez d'abord déchiffrer les fichiers sous l'ancien compte, puis les rechiffrer sous le nouveau compte.

  • Utilisez la technologie RAID pour les fichiers de données critiques.

Désactivez les protocoles NetBIOS et SMB (Server Message Block)

Les protocoles non nécessaires doivent tous être désactivés sur les serveurs du réseau de périmètre, y compris les protocoles NetBIOS et SMB.

Le protocole NetBIOS utilise les ports suivants :

  • UDP/137 (service de noms NetBIOS)

  • UDP/138 (service de datagrammes NetBIOS)

  • TCP/139 (service de sessions NetBIOS)

Le protocole SMB utilise les ports suivants :

  • TCP/139

  • TCP/445

Les serveurs Web et les serveurs DNS (Domain Name System) ne nécessitent pas l'utilisation du protocole NetBIOS ou SMB. Désactivez ces protocoles sur ces serveurs afin de réduire le risque lié à l'énumération utilisateur.

Installation de SQL Server sur un contrôleur de domaine

Pour des raisons de sécurité, nous recommandons de ne pas installer SQL Server 2012 sur un contrôleur de domaine. Le programme d'installation SQL Server ne bloquera pas l'installation sur un ordinateur qui est contrôleur de domaine, mais les limitations suivantes s'appliquent :

  • Vous ne pouvez pas exécuter les services SQL Server sur un contrôleur de domaine sous un compte de service local.

  • Après avoir installé sur un ordinateur SQL Server, vous ne pouvez pas modifier l'ordinateur d'un membre de domaine en un contrôleur de domaine. Vous devez désinstaller SQL Server avant de modifier l'ordinateur hôte en un contrôleur de domaine.

  • Après avoir installé sur un ordinateur SQL Server, vous ne pouvez pas modifier l'ordinateur d'un contrôleur de domaine en un membre de domaine. Vous devez désinstaller SQL Server avant de modifier l'ordinateur hôte en un membre de domaine.

  • Les instances de cluster de basculement SQL Server ne sont pas prises en charge lorsque les nœuds du cluster sont des contrôleurs de domaine.

  • Le programme d'installation de SQL Server ne peut pas créer de groupes de sécurité ni configurer de comptes de service SQL Server sur un contrôleur de domaine en lecture seule. Dans ce scénario, le programme d'installation échoue.

Pendant ou après l'installation de SQL Server

Après l'installation, vous pouvez renforcer la sécurité de l'installation SQL Server en suivant les recommandations suivantes pour les comptes et les modes d'authentification :

Comptes de service

  • Exécutez les services SQL Server en utilisant les autorisations les plus basses possibles.

  • Associez les services SQL Server à des comptes d'utilisateurs locaux Windows à faibles privilèges ou à des comptes d'utilisateurs de domaine.

  • Pour plus d'informations, consultez Configurer les comptes de service Windows et les autorisations.

Mode d'authentification

Mots de passe forts

  • Affectez toujours un mot de passe fort au compte sa.

  • Toujours activez la vérification de la stratégie de mot de passe pour vérifier la robustesse et l'expiration du mot de passe.

  • Utilisez toujours des mots de passe forts pour toutes les connexions SQL Server.

Remarque relative à la sécuritéRemarque relative à la sécurité

Lors de l'installation de SQL Server Express une connexion est ajoutée pour le groupe BUILTIN\Users. Cela permet à tous les utilisateurs authentifiés sur l'ordinateur d'accéder à l'instance de SQL Server Express en tant que membres du rôle public. La connexion BUILTIN\Users peut être supprimée sans risque pour restreindre l'accès au Moteur de base de données aux utilisateurs de l'ordinateur qui disposent de connexions ou qui sont membres d'autres groupes Windows avec des connexions.

Voir aussi

Référence

Configurations matérielle et logicielle requises pour l'installation de SQL Server 2012

Protocoles réseau et bibliothèques réseau

Concepts

Inscrire un nom de principal du service pour les connexions Kerberos