Lista de comprobación: Mejorar la seguridad de las conexiones del motor de base de datos

Esta lista de comprobación revisa las opciones clave que se van a usar al conectarse con SQL Server Database Engine (Motor de base de datos de SQL Server). Use esta lista de comprobación para revisar el entorno con el fin de asegurarse de que las conexiones realizadas con Motor de base de datos tienen la seguridad necesaria para satisfacer las necesidades empresariales.

Configuración del motor de base de datos

...	Descripción
	¿Motor de base de datos está configurado para escuchar en los protocolos requeridos y no en otros? Sugerencia Use el Administrador de configuración de SQL Server para habilitar TCP/IP o las canalizaciones con nombre solo si lo requieren los clientes. Para obtener más información, vea Elegir un protocolo de red y Cómo habilitar o deshabilitar un protocolo de red de servidor (Administrador de configuración de SQL Server).
	¿Service Broker, HTTP y los extremos de la creación de reflejo de la base de datos solo se crean si es necesario? Sugerencia Para obtener más información, vea Protocolos de red y extremos TDS.
	¿Las conexiones se realizan con la autenticación de Windows siempre que sea posible? Sugerencia Para obtener más información, vea Elegir un modo de autenticación.
	¿Motor de base de datos está configurado para usar un certificado de una autoridad en que se confía con el fin de proteger las comunicaciones? Sugerencia La configuración predeterminada que usa un certificado autofirmado es menos segura. Use la herramienta de certificados de Windows (certmgr.msc) y, a continuación, el Administrador de configuración de SQL Server para instalar un certificado. Para obtener más información, vea Cómo habilitar conexiones cifradas en el motor de base de datos (Administrador de configuración de SQL Server).
	¿SQL Server está configurado para permitir solo conexiones seguras en la red? Sugerencia Use la configuración del servidor Forzar cifrado del Administrador de configuración de SQL Server. Para obtener más información, vea Cómo habilitar conexiones cifradas en el motor de base de datos (Administrador de configuración de SQL Server).
	Siempre que sea posible, ¿SQL Server usa la autenticación Kerberos para los clientes de autenticación de Windows? Sugerencia Para obtener más información, vea Autenticación Kerberos y SQL Server.
	En Windows Server 2003 y Windows XP, ¿Motor de base de datos se ejecuta en una cuenta de dominio que no la usa ningún otro servicio? Sugerencia El uso de cuentas independientes para los servicios evita que un servicio cuya seguridad se haya vulnerado obtenga acceso a otros servicios.
	Si Motor de base de datos se ejecuta en una cuenta de dominio, ¿se cambia la contraseña de la cuenta regularmente? Sugerencia En Windows 7 y Windows Server 2008 R2, considere ejecutar Motor de base de datos en una cuenta de servicio administrada para que el dominio administre la contraseña. Servicio de red es una buena opción. Para obtener más información sobre cuentas de servicio administradas, vea la Guía paso a paso de las cuentas de servicio.
	¿Las instancias con nombre de Motor de base de datos se configuran para escuchar en un puerto fijo? Sugerencia Los puertos fijos permiten abrir solo el puerto correcto en el firewall. Use el Administrador de configuración de SQL Server para configurar puertos fijos. Para obtener más información, vea Configuring a Fixed Port.
	¿Se configuró la auditoria de inicio de sesión para conservar un registro de los errores de inicio de sesión? Sugerencia Realice la configuración mediante el uso de Propiedades del servidor (página Seguridad) de SQL Server Management Studio.
	¿Ha configurado la auditoría de SQL Server para auditar inicios de sesión erróneos? Sugerencia Para obtener más información, vea Descripción de SQL Server Audit.
	¿Se han quitado los inicios de sesión innecesarios u obsoletos de Motor de base de datos? Sugerencia Esto quizá requiera revisiones manuales periódicas. Si habilita el acceso principalmente a través de los grupos de Windows, esta tarea puede ser más fácil.

Configuración de cliente

...	Descripción
	¿Los clientes están configurados para conectase solo con la capa de sockets seguros (SSL)? Sugerencia Use la configuración de cliente Forzar cifrado de protocolo del Administrador de configuración de SQL Server. Para obtener más información, vea Cómo habilitar conexiones cifradas en el motor de base de datos (Administrador de configuración de SQL Server).
	¿Los clientes están configurados para conectarse mediante cuentas con los privilegios mínimos necesarios para satisfacer las necesidades empresariales? Sugerencia Las aplicaciones no se deben conectar mediante cuentas que sean miembro del rol fijo de servidor sysadmin o miembros del rol de base de datos dbo_owner. Si se configuran las aplicaciones para conectarse con cuentas que tienen privilegios limitados, se reduce el riesgo de que se produzcan problemas con aplicaciones, como la inyección de código SQL.
	¿Los administradores se conectan mediante inicios de sesión de Windows en vez de mediante la cuenta sa? Sugerencia Las cuentas de Windows que son miembros del rol fijo de servidor sysadmin tienen los mismos privilegios que la cuenta sa. Los administradores se siguen identificando individualmente cuando usan inicios de sesión de Windows y se pueden auditar. Cuando se usa la cuenta sa, quizá no quede claro el administrador que realizó una acción. Considere deshabilitar la cuenta sa cuando use autenticación de modo mixto.
	¿Los administradores se conectan mediante cuentas con menos privilegios cuando no realizan acciones administrativas? Sugerencia Si se reduce el número de conexiones de administrador, se reduce el riesgo de errores y acciones malintencionadas. Considere crear cuentas con menos privilegios para los usuarios que prácticamente nunca requieran acceso administrativo.

Configuración del sistema operativo

...	Descripción
	¿El equipo de SQL Server está protegido por un firewall únicamente con las excepciones necesarias? Sugerencia Use wf.msc (o firewall.cpl) para configurar el Firewall de Windows. Para obtener más información, vea Configurar Firewall de Windows para permitir el acceso a SQL Server.
	¿Los sistemas operativos de servidor y cliente están configurados para usar la protección ampliada para la autenticación? Sugerencia Para obtener más información, vea Conectar al motor de base de datos con protección ampliada y Protección ampliada para la autenticación.

Vea también

Conceptos

Lista de comprobación: Configuración de seguridad del motor de base de datos

Lista de comprobación: Limitar el acceso a datos

Lista de comprobación: Cifrar datos confidenciales