Que deberías activar en SQL Server

Una de los formas más frecuentes de ataques a la seguridad es utilizar características que han sido instaladas / activadas, pero no utilizadas o configuradas correctamente. SQL Server lo que hace es desactivar por defecto todas las características que no son requeridas para su funcionamiento.

Por ejemplo, si en la instalación decidimos que los usuarios serán autenticados por windows (seguridad integrada), lo que hace es deshabilitar la la posibilidad de que un login de windows puede iniciar una sesión.

Otro ejemplo claro, es lo que paso con SQL Server 2000 y el virus Slammer (año 2003), a partir de SQL Server 2005 uno puede determinar de que instancias remotas se van a aceptar peticiones. En SQL Server Express es bastante raro que necesite aceptar conexiones remota, por tal motivo solo se habilita (por defecto) Shared Memory, para que acepte conexiones TCP hay que habilitarlas de forma explicita.

En SQL podemos activar y desactivar características utilizando en 2005 sp_configure, en 2008 SQL Server Configuration Manager, las siguientes características deberían estar deshabilitadas a no ser que sean necesarias:

• Ad Hoc Distributed Queries 
• CLR Enabled
• Cross Database Ownership Chaining (CDOC)
• Database Mail
• External Key Management
• Filestream Access Level
• OLE Automation Procedures
• Remote Admin Connections
• SQL Mail Extended Store Procedure (XPs)
• xp_cmdshell

Los que existen solo por compatibilidad son: OLE Automation y SQL Mail XPs


OPENROWSET y OPENDATASOURCE nos exponen a ataques debido a que permite a las aplicaciones tener credenciales (en el propio código de la app) y las mismas pueden ser utilizadas o transferidas de una instancia a otra. Si necesitamos realizar consultas en varias instancias deberíamos utilizar linked servers con seguridad integrada de windows.

CDOC permite transferir credenciales desde una db a otra, cuando esta habilitada, el owner de la db que contiene el objeto que es llamado, efectivamente cede el control al owner desde donde se llama el objeto. Deberíamos utilizar firmas.