Compartir a través de

  • Artículo

Cambios de seguridad de SQL Server 2008

A partir de SQL Server 2005, se implementaron cambios significativos para asegurarse de que SQL Server es más seguro que las versiones anteriores. Entre los cambios se incluye una estrategia de "seguridad por diseño, seguridad de forma predeterminada y seguridad en la implementación" diseñada para ayudar a proteger la instancia del servidor y sus bases de datos de los ataques de seguridad.

SQL Server 2008 incluye mejoras de seguridad adicionales en los componentes de servidor y de base de datos. SQL Server 2008 también se aprovecha de los cambios en los sistemas operativos más recientes de Microsoft, como el control de cuentas de usuario (UAC) que se encuentra en Windows Vista y Windows Server 2008. Las mejoras siguientes de SQL Server 2008 disminuyen el área expuesta y el área de ataque de SQL Server, y sus bases de datos al instituir una directiva de "mínimos privilegios" y aumentar la separación entre los administradores de Windows y los administradores de SQL Server:

  • De forma predeterminada, el grupo local de Windows BUILTIN\Administrator ya no está incluido en la función fija de servidor sysadmin de SQL Server en las instalaciones nuevas de SQL Server 2008.

    Nota importanteImportante

    Si los procesos o el código dependen del acceso del grupo local BUILTIN\Administrator de Windows, debe conceder permiso explícitamente para iniciar sesión en SQL Server. Ya no se concede de forma automática a las cuentas el acceso a SQL Server debido a su pertenencia al grupo de administradores de Windows. Si no se incluye al menos a un usuario en la función sysadmin, se le impedirá el acceso a la instancia de SQL Server. Para obtener más información, vea Configuración del motor de base de datos: aprovisionamiento de cuentas y Configuración de Analysis Services - Aprovisionamiento de cuentas.

  • Los grupos de Windows que se crean para que los use el servicio SQL Server, como SQLServerMSSQLUser$ COMPUTERNAME $ INSTANCENAMEy SQLServerSQLAgentUser$ COMPUTERNAME $ INSTANCENAME, ya no están incluidos en la función fija de servidor sysadmin. En su lugar, se conceden individualmente los derechos de sysadmin en SQL Server a la cuenta de servicio que se utiliza para iniciar el servicio SQL Server y el servicio del Agente SQL Server. Cuando SQL Server se instala en los sistemas operativos Windows Server 2008 o Windows Vista, se proporciona un SID de servicio como miembro de la función fija de servidor sysadmin. Para obtener más información, vea Configurar cuentas de servicio de Windows.

  • Se ha quitado la herramienta Configuración de área expuesta (SAC) y se ha reemplazado por la característica de administración basada en directivas y los cambios efectuados en la herramienta Administrador de configuración de SQL Server.

  • Se ha expandido la compatibilidad con la autenticación Kerberos y ahora incluye canalizaciones con nombre y memoria compartida, además de TCP/IP.

Estos cambios afectarán al plan de la seguridad de SQL Server y permitirán crear un perfil de seguridad más completo para el sistema.

Cambios de grupos locales de Windows

Durante el proceso de instalación de SQL Server se crean varios grupos locales de Windows. Las cuentas de servicio que se usaban para iniciar servicios de SQL Server (o identificadores de servicio si estaban disponibles) se colocaban en estos grupos locales. Estos grupos de servicios se utilizan como mecanismo de control de acceso a los recursos propiedad de SQL Server; durante la instalación se les conceden los privilegios o derechos adecuados. Sólo al servicio SQL Server y a las cuentas de servicio del Agente SQL Server se les concede la pertenencia a la función fija de servidor sysadmin. Para obtener más información, vea Configurar cuentas de servicio de Windows.

Cambios de las herramientas de control del área expuesta

A partir de SQL Server 2005, la herramienta Configuración de área expuesta permitía habilitar o deshabilitar las características que concedían acceso a las opciones de configuración y componentes de SQL Server.

La herramienta Configuración de área expuesta se ha quitado en SQL Server 2008. Las características de la herramienta Configuración de área expuesta que controlan el comportamiento de SQL Server se han reemplazado, y se han mejorado en gran medida en la característica Administración basada en directiva. Esta característica permite crear directivas para los componentes de SQL Server y aplicarlas de forma particularizada a entidades de seguridad y funciones dentro de SQL Server. Para obtener más información sobre la característica Administración basada en directiva, vea Administrar servidores mediante administración basada en directivas.

Las características de administración de conectividad de la herramienta Configuración de área expuesta están disponibles mediante la herramienta Administrador de configuración. Para obtener más información sobre esta herramienta, vea Administrador de configuración de SQL Server.

Autenticación Kerberos

A partir de SQL Server 2008, se expandió la compatibilidad con la autenticación Kerberos para incluir canalizaciones con nombre y protocolos de memoria compartida. Además, Kerberos se puede utilizar sin requerir Windows Active Directory. Para obtener más información, vea Autenticación Kerberos y SQL Server.