Considérations sur la sécurité pour une installation SQL Server
La sécurité est importante, non seulement pour Microsoft SQL Server et Microsoft, mais aussi pour chaque produit et chaque activité. En respectant les recommandations les plus simples, vous pouvez éviter de nombreuses failles de sécurité. Cette rubrique traite des recommandations qu'il est conseillé de suivre en matière de sécurité avant d'installer SQL Server et après l'avoir installé. Des conseils en matière de sécurité concernant des fonctionnalités spécifiques sont inclus dans les rubriques de référence de ces fonctionnalités.
Avant d'installer SQL Server
Suivez ces recommandations lors de la définition de l'environnement du serveur :
- Renforcez la sécurité physique.
- Utilisez des pare-feu.
- Isolez les services.
- Créez des comptes de service avec des privilèges minimaux.
- Désactivation des protocoles NetBIOS et SMB (Server Message Block)
Renforcement de la sécurité physique
L'isolement au niveau physique et logique est à la base de la sécurité de SQL Server. Pour améliorer la sécurité de l'installation SQL Server au niveau physique, procédez comme suit :
- Placez le serveur dans une pièce à laquelle seules les personnes autorisées peuvent accéder.
- Placez les ordinateurs qui hébergent une base de données dans un lieu protégé physiquement, idéalement dans une salle fermée à clé, équipée de systèmes pour la détection et la lutte contre les inondations et les incendies.
- Installez les bases de données dans une zone sécurisée de l'intranet d'entreprise et jamais directement connectées à Internet.
- Sauvegardez régulièrement toutes les données et stockez les copies de sauvegarde dans un lieu sécurisé situé en dehors de l'entreprise.
Utilisation de pare-feu
Les pare-feu font partie intégrante de la sécurité d'une installation SQL Server. Les pare-feu seront d'autant plus efficaces que vous suivrez ces directives :
- Placez un pare-feu entre le serveur et Internet.
- Divisez le réseau en zones de sécurité séparées par des pare-feu. Bloquez tout le trafic, puis sélectionnez uniquement ce qui est obligatoire.
- Dans un environnement à plusieurs niveaux, utilisez plusieurs pare-feu pour créer des sous-réseaux filtrés.
- Lorsque vous installez le serveur à l'intérieur d'un domaine Windows, configurez des pare-feu internes pour autoriser l'authentification Windows.
- Dans un domaine Windows au sein duquel toutes les versions de Windows sont Windows XP ou Windows Server 2003 ou version ultérieure, désactivez l'authentification NTLM.
- Si votre application utilise des transactions distribuées, vous devrez éventuellement configurer le pare-feu pour autoriser le trafic MS DTC (Microsoft Distributed Transaction Coordinator) entre des instances MS DTC distinctes, et entre MS DTC et les gestionnaires de ressources tels que SQL Server.
Isolement des services
Le fait d'isoler les services réduit le risque qu'un service compromis soit utilisé pour en compromettre d'autres. Pour isoler des services, respectez les consignes suivantes :
- À chaque fois que cela est possible, n'installez pas SQL Server sur un contrôleur de domaine.
- Exécutez chaque service SQL Server sous des comptes Windows distincts.
- Dans un environnement à plusieurs niveaux, exécutez la logique Web et la logique métier sur des ordinateurs différents.
Création de comptes de service avec des privilèges minimaux
Le programme d'installation de SQL Server configure automatiquement les comptes de service avec les autorisations spécifiques requises par SQL Server. Lors de la modification ou de la configuration des services Windows utilisés par SQL Server 2005, vous devez accorder uniquement les autorisations qu'ils requièrent. Pour plus d'informations, consultez Configuration des comptes de service Windows.
Désactivez les protocoles NetBIOS et SMB (Server Message Block)
Les protocoles non nécessaires doivent tous être désactivés sur les serveurs du réseau de périmètre, y compris les protocoles NetBIOS et SMB.
Le protocole NetBIOS utilise les ports suivants :
- UDP/137 (service de noms NetBIOS)
- UDP/138 (service de datagrammes NetBIOS)
- TCP/139 (service de sessions NetBIOS)
Le protocole SMB utilise les ports suivants :
- TCP/139
- TCP/445
Les serveurs Web et les serveurs DNS (Domain Name System) ne nécessitent pas l'utilisation du protocole NetBIOS ou SMB. Désactivez ces protocoles sur ces serveurs pour réduire le risque lié à l'énumération utilisateur. Pour plus d'informations sur la façon de désactiver ces protocoles, consultez Procédure : désactiver NETBIOS sur TCP/IP et Procédure : désactiver le protocole SMB.
Après l'installation de SQL Server
Après l'installation, vous pouvez renforcer la sécurité de l'installation SQL Server en suivant les recommandations suivantes pour les comptes et les modes d'authentification :
Comptes de service
- Exécutez les services SQL Server avec les privilèges minimaux.
- Associez les services SQL Server à des comptes Windows.
Mode d'authentification
- Exigez l'authentification Windows pour les connexions à SQL Server.
Mots de passe forts
- Affectez toujours un mot de passe fort au compte sa.
- Activez toujours la vérification de la stratégie de mot de passe.
- Utilisez toujours des mots de passe forts pour toutes les ouvertures de session SQL Server.