SQL Server'a Excel üzerinden sysadmin olarak bağlanan kullanıcıların potansiyel riskleri?

8

Kısa süre önce finans departmanının büyük bir alanının SQL Server 2000 örneğime sysadmin rolündeki bir hesapla bağlanmak için Excel'i kullandığını keşfettim. Şu anki güçlerle derhal iletişim kurmam gereken mevcut risklerim nelerdir?

sql-server security

— swasheck
kaynak

olası yinelenen neden herkesi sa giriş kullanmasına izin vermek kötü bir uygulamadır?

— Jon Seigel

1

TPTB =

— Olması Gereken

1

@JonSeigel, cevabımın neden kötü bir Finansal praoctice'in açıklanmasına yardımcı olduğuna ve bağlantı kurduğunuz sorudaki tüm dbs için daha genel güvenlik sorununa uygulandığına dikkat çekeceğim.

— HLGEM

Ayrıca endişem bir yönetim yüzeyi ile daha az ve Excel ve belirli vektör olarak Excel ile potansiyel endişeler ile daha az olduğunu işaret edecek (ve belki de benim soru bir iPhone yayınlanmıştır göz önüne alındığında yeterince açık değildi).

— swasheck

9

Hemen hemen her şey.

Potansiyel kullanma yetenekleri ile başlardım xp_cmdshell(ve sp_configureyapamazlarsa, o zaman yapabilirler ... ve geri dönen hesap ne xp_cmdshell 'whoami.exe'yapabilirse ....), sonra yapma yeteneklerine geçin drop database.

Diğer riskler arasında sadece finans kullanıcılarının bu şeyleri yapabilmeleri değil, aynı zamanda bir finans makinesindeki sistem yöneticisi bağlantı kimlik bilgilerinize erişen herhangi bir program yer alıyor ...

(Diğer potansiyel riskler arasında TPTB'den birinin bu şekilde kurulduğunu keşfetme riski bulunmaktadır)

— podiluska
kaynak

... ya da tabloyu bırakın ya da silin ya da kısaltın ya daselect name, salary from employees

— Aaron Bertrand

3

veyaupdate salaries set salary = 0 where employee='swasheck''s boss'

— podiluska

5

Ve bunların hepsi potansiyel olarak kötü niyetli şeyler. İnsanlara sistemli haklar vermek, onları potansiyel olarak kazara olan şeylere de maruz bırakır.

— Aaron Bertrand

6

Temelde veritabanına istedikleri her şeyi yapmalarını sağlar. Tabloları kesebilir / değiştirebilir / bırakabilirler. Belirli kayıtları silme, ekleme veya değiştirme. Bu sorunu en kısa sürede çözmenizi şiddetle tavsiye ederim.

— Zane
kaynak

6

Finansal kişilerin anlaması gereken bir şey, Excel'e sistem kullanıcısını vererek, veritabanına veya uygulamaya yerleşik her dahili kontrolü atladığınızdır. Yetkili bir denetçi bunun için onları tahliye eder. Örneğin, iki farklı kişinin bir masrafı onaylaması (olası sahtekarlığı önlemek için) sağlamak için oluşturulmuş denetimleriniz varsa, Excel elektronik tablosunu bu şekilde bağlayarak, veriler üzerinde bu denetimi tamamen kaldırdınız.

— HLGEM
kaynak

5

Kötü niyetli bir kullanıcı verilerinizi yok ettiyse, yedeklemeden geri yükleyebilirsiniz - bu senaryo için işletmenin etkisini hesaplayabilmeniz gerekir.

Daha da kötüsü, sisteminizin artık bütünlüğünün olmamasıdır. Bir kullanıcı verileri yıkıcı olmayan bir şekilde işlerse, yedeklemeleriniz artık kullanılabilir bir seçenek olana kadar hasarı bulamayabilirsiniz. İşletmenin, o sunucuda barındırılan herhangi bir verinin geçerliliğine güvenemediğini düşünün.

— SQLFox
kaynak