Lista de verificação: Aumentando a segurança de conexões do Mecanismo de Banco de Dados

Esta lista de verificação revisa principais opções a serem usadas na conexão com o Mecanismo de banco de dados do SQL Server. Use esta lista de verificação para revisar seu ambiente a fim de assegurar que as conexões com o Mecanismo de Banco de Dados sejam estabelecidas com a segurança exigida pelas necessidades de sua empresa.

Configuração do Mecanismo de Banco de Dados

...	Descrição
	O Mecanismo de Banco de Dados é configurado para escuta nos protocolos necessários e em nenhum outro? Dica Use o SQL Server Configuration Manager para habilitar o protocolo TCP/IP ou pipes nomeados somente se exigido pelos clientes. Para obter mais informações, consulte Escolhendo um protocolo de rede e Como habilitar ou desabilitar um protocolo de rede de servidor (SQL Server Configuration Manager).
	Os pontos de extremidade Service Broker, HTTP e de espelhamento de banco de dados são criados apenas se necessário? Dica Para obter mais informações, consulte Protocolos de rede e pontos de extremidade TDS.
	Todas as conexões são efetuadas usando a Autenticação do Windows sempre que possível? Dica Para obter mais informações, consulte Escolhendo um modo de autenticação.
	O Mecanismo de Banco de Dados está configurado para usar um certificado de uma autoridade confiável para proteger comunicações? Dica A configuração padrão usando um certificado autoassinado é menos segura. Use a ferramenta de certificados do Windows (certmgr.msc) e o SQL Server Configuration Manager para instalar um certificado. Para obter mais informações, consulte Como habilitar conexões criptografadas no Mecanismo de Banco de Dados (SQL Server Configuration Manager).
	O SQL Server está configurado para permitir apenas conexões seguras na rede? Dica Use a configuração de servidor Forçar Criptografia no SQL Server Configuration Manager. Para obter mais informações, consulte Como habilitar conexões criptografadas no Mecanismo de Banco de Dados (SQL Server Configuration Manager).
	Quando possível, o SQL Server está usando autenticação Kerberos para clientes de Autenticação do Windows? Dica Para obter mais informações, consulte Autenticação Kerberos e SQL Server.
	No Windows Server 2003 e no Windows XP, o Mecanismo de Banco de Dados está sendo executado com uma conta de domínio que não é usada por nenhum outro serviço? Dica O uso de contas separadas para serviços ajuda a impedir que um serviço comprometido acesse outros serviços.
	Se o Mecanismo de Banco de Dados estiver sendo executado com uma conta de domínio, a senha da conta é alterada regularmente? Dica No Windows 7 e no Windows Server 2008 R2, considere executar o Mecanismo de Banco de Dados com uma Conta de Serviço Gerenciada, para que o domínio gerencie a senha. Serviço de rede é uma boa opção. Para obter mais informações sobre Contas de Serviço Gerenciadas, consulte Guia Passo a Passo de Contas de Serviço.
	As instâncias nomeadas do Mecanismo de Banco de Dados estão configuradas para escuta em uma porta fixa? Dica As portas fixas permitem que você abra somente a porta correta no firewall. Use o SQL Server Configuration Manager para configurar portas fixas. Para obter mais informações, consulte Configuring a Fixed Port.
	Você configurou a auditoria de logon para reter um registro de logons com falha? Dica Configure usando as Propriedades do Servidor (Página Segurança) no SQL Server Management Studio.
	Você configurou a auditoria do SQL Server para auditar logons com falha? Dica Para obter mais informações, consulte Compreendendo a auditoria do SQL Server.
	Você removeu logons desnecessários ou obsoletos do Mecanismo de Banco de Dados? Dica Isso pode exigir revisão manual periódica. Habilitar o acesso principalmente por meio de grupos do Windows pode facilitar essa tarefa.

Configurações de cliente

...	Descrição
	Os clientes são configurados para estabelecer conexão usando somente SSL? Dica Use a configuração de cliente Forçar Criptografia de Protocolo no SQL Server Configuration Manager. Para obter mais informações, consulte Como habilitar conexões criptografadas no Mecanismo de Banco de Dados (SQL Server Configuration Manager).
	Os clientes estão configurados para estabelecer conexão usando contas com os privilégios mínimos necessários para as necessidades de sua empresa? Dica Os aplicativos não devem se conectar usando contas que sejam membros da função de servidor fixa sysadmin ou membros da função de banco de dados dbo_owner. A configuração de aplicativos para estabelecer conexão com contas que tenham privilégios limitados ajuda a reduzir o risco de problemas de aplicativo, como a injeção de SQL.
	Os administradores se conectam usando logons do Windows em vez da conta sa? Dica As contas do Windows que são membros da função de servidor fixa sysadmin têm os mesmos privilégios que a conta sa. Ao usar seus logons do Windows, os administradores ainda são identificados individualmente e podem ser auditados. Quando é usada a conta sa, talvez não fique claro que o administrador executou uma ação. Considere desabilitar a conta sa ao usar autenticação de modo misto.
	Os administradores se conectam usando contas com menos privilégios quando não estão executando ações administrativas? Dica A redução do número de conexões de administrador ajuda a reduzir o risco de erros e ações mal-intencionadas. Considere criar contas com menos privilégios para usuários que raramente requerem acesso administrativo.

configurações do sistema operacional

...	Descrição
	O computador do SQL Server está protegido por um firewall com apenas as exceções necessárias? Dica Use wf.msc (ou firewall.cpl) para configurar o firewall do Windows. Para obter mais informações, consulte Configurando o Firewall do Windows para permitir acesso ao SQL Server.
	Os sistemas operacionais do servidor e do cliente estão configurados para usar Proteção Estendida para Autenticação? Dica Para obter mais informações, consulte Conectando ao mecanismo de banco de dados usando proteção estendida e Proteção Estendida para Autenticação.

Consulte também

Conceitos

Lista de verificação: Configuração de segurança do Mecanismo de Banco de Dados

Lista de verificação: Limitando o acesso a dados

Lista de verificação: Criptografando dados confidenciais