Seguridad

En SQL Server 2000 lamentablemente no hay defensa alguna contra el hecho
de que un malicioso se copie los archivos físicos (.mdf, .ldf, .ndf).

En SQL Server 2005 hay otras posibilidades para defenderse usando
encriptamiento de datos. Lee acerca de eso en este artículo del buen
amigo Maxi:

Cifrando datos con SQL Server 2005
http://www.microsoft.com/spanish/ms...oices/MTJ_
0010.asp

Gustavo Larriera, Microsoft MVP
https://mvp.support.microsoft.com/p...o.Larriera
Este mensaje se proporciona tal como es, sin garantías de ninguna clase.

In article ,
says...

Hola, el otro dia mande un post diciendo si se puede restaurar una base de
datos solo con tener los archivos *.mdf y *.log y me respondieron que use
este procedimiento sp_attach_db, bueno lo probe y si me resulto excelente,
pero mi pregunta es lo siguiente entonces como lo pongo seguridad o protejo
a los dos archivos ya mencionados. que solo basta tenerlos y me sabotean la
base de datos
Que por cierto en el administrador de la base de datos si le doy seguridad.
Gracias por la respuesta

Una opcion que esta fuera de SQL, es la seguridad de WIndows de
controlar el acceso al Servidor que contiene la informacion sql.
Revisa las politicas de Seguridad del servidor, donde puedes
restringir que usuarios pueden ingresar al servidor y quienes no
pueden. POr aca, por ejemplo, solo se puede ingresar al servidor con
un unico usuario y contraseña, para entrar localmente, en caso de
fallar esta clave por alguna razon x, hay que accesar a un area de
ingreso restringido, en resumen, aplicacion de medidas de seguridad
mas alla del Sql Server (WIndows, entorno fisico, etc.)

SAludos,

Juan Carlos Mendoza

On 14 jul, 19:16, Edwin Rivera
wrote:

Hola, el otro dia mande un post diciendo si se puede restaurar una base de
datos solo con tener los archivos *.mdf y *.log y me respondieron que use
este procedimiento sp_attach_db, bueno lo probe y si me resulto excelente,
pero mi pregunta es lo siguiente entonces como lo pongo seguridad o protejo
a los dos archivos ya mencionados. que solo basta tenerlos y me sabotean la
base de datos
Que por cierto en el administrador de la base de datos si le doy seguridad.
Gracias por la respuesta

Aclaracion para algunos colegas que me preguntaron por email.

Cuando me refiero a un usuario malicioso, quiero decir un usuario con
privilegio de acceder a las carpetas donde se almacenan los archivos fisicos
de las bases de datos.

En tales carpetas solo se requiere que ingrese la cuenta bajo la cual corre
el servicio SQL. Ningun otro usuario necesita acceder a tales carpetas.

Por supuesto que un usuario Administrator local del servidor puede ganar
acceso sobre tales carpetas. En resumen: debo confiar en mis administradores
:-)

Gustavo Larriera, Microsoft MVP
https://mvp.support.microsoft.com/p...o.Larriera
Este mensaje se proporciona tal como es, sin garantías de ninguna clase.



"Gustavo Larriera (MVP)" wrote:

En SQL Server 2000 lamentablemente no hay defensa alguna contra el hecho
de que un malicioso se copie los archivos físicos (.mdf, .ldf, .ndf).

En SQL Server 2005 hay otras posibilidades para defenderse usando
encriptamiento de datos. Lee acerca de eso en este artículo del buen
amigo Maxi:

Cifrando datos con SQL Server 2005
http://www.microsoft.com/spanish/ms...oices/MTJ_
0010.asp

Gustavo Larriera, Microsoft MVP
https://mvp.support.microsoft.com/p...o.Larriera
Este mensaje se proporciona tal como es, sin garantías de ninguna clase.

In article ,
says...
> Hola, el otro dia mande un post diciendo si se puede restaurar una base de
> datos solo con tener los archivos *.mdf y *.log y me respondieron que use
> este procedimiento sp_attach_db, bueno lo probe y si me resulto excelente,
> pero mi pregunta es lo siguiente entonces como lo pongo seguridad o protejo
> a los dos archivos ya mencionados. que solo basta tenerlos y me sabotean la
> base de datos
> Que por cierto en el administrador de la base de datos si le doy seguridad.
> Gracias por la respuesta
>
>
>

On 16 jul, 13:26, Gustavo Larriera (MVP)
wrote:

Aclaracion para algunos colegas que me preguntaron por email.

Cuando me refiero a un usuario malicioso, quiero decir un usuario con
privilegio de acceder a las carpetas donde se almacenan los archivos fisicos
de las bases de datos.

En tales carpetas solo se requiere que ingrese la cuenta bajo la cual corre
el servicio SQL. Ningun otro usuario necesita acceder a tales carpetas.

Por supuesto que un usuario Administrator local del servidor puede ganar
acceso sobre tales carpetas. En resumen: debo confiar en mis administradores
:-)

Gustavo Larriera, Microsoft MVPhttps://mvp.support.microsoft.co...o.Larriera
Este mensaje se proporciona tal como es, sin garantías de ninguna clase.



"Gustavo Larriera (MVP)" wrote:
> En SQL Server 2000 lamentablemente no hay defensa alguna contra el hecho
> de que un malicioso se copie los archivos físicos (.mdf, .ldf, .ndf).

> En SQL Server 2005 hay otras posibilidades para defenderse usando
> encriptamiento de datos. Lee acerca de eso en este artículo del buen
> amigo Maxi:

> Cifrando datos con SQL Server 2005
>http://www.microsoft.com/spanish/ms...oices/MTJ_
> 0010.asp

> Gustavo Larriera, Microsoft MVP
>https://mvp.support.microsoft.com/p...o.Larriera
> Este mensaje se proporciona tal como es, sin garantías de ninguna clase.

> In article ,
> says...
> > Hola, el otro dia mande un post diciendo si se puede restaurar una base de
> > datos solo con tener los archivos *.mdf y *.log y me respondieron que use
> > este procedimiento sp_attach_db, bueno lo probe y si me resulto excelente,
> > pero mi pregunta es lo siguiente entonces como lo pongo seguridad o protejo
> > a los dos archivos ya mencionados. que solo basta tenerlos y me sabotean la
> > base de datos
> > Que por cierto en el administrador de la base de datos si le doy seguridad.
> > Gracias por la respuesta- Ocultar texto de la cita -

- Mostrar texto de la cita -

... o contrata un administrador de tu confianza

Bueno,

Estoy de acuerdo en que hay que contratar a un administrador de tu
confianza. Pero os cuento un pequeño problema con el que me he encontrado
varias veces:

Tenemos la típica pequeña empresa, de pocos trabajadores, poca inversión en
informática, que contrata una aplicación de las existentes en el mercado o
hecha a medida, y además tiene otra empresa que le da el mantenimiento del
hardware, red, sistemas operativos, etc...
Y el jefe le dice pregunta al desarrollador si sus datos están a salvo y
sólo los pueden ver ellos. La respuesta es NO, no están a salvo, puede venir
un técnico de mantenimiento y llevarse en un pendrive toda la información de
la empresa (si, suelen ser bases de datos muchas veces de menos de 1GB),
simplemente tiene que parar el servicio y copiar, y como está realizando
tareas de mantenimiento, a nadie le extraña no poder acceder a la
aplicación.

La verdad que está muy bien 2005 en cuanto a seguridad, pero yo sigo echando
en falta un sistema que permita que al adjuntar una base de datos te pida
una contraseña o algun otro tipo de solución que permita asegurar pequeñas
bases de datos, como lo hacen otros productos del mercado (Oracle, Sybase,
...). De hecho, conozco un caso en que un compañero perdió porque los datos
de SQL Server los podían robar de una forma relativamente sencilla.
Es evidente que, siempre hay que confiar en el administrador, pero a veces
no existe tal administrador, y hay varias personas de varias empresas, que
pueden tener acceso a todos los datos de la empresa de una forma demasiado
fácil :-(

Espero vuestras opiniones sobre este tema, ya que desde mi punto de vista
está un poco abandonado por parte de MS, y sólo se ha centrado en sistemas
de un tamaño mucho mayor, donde está claro que si que se puede establecer
una política de seguridad bastante potente.

Un saludo
Salvador Ramos

www.helpdna.net (información sobre SQL Server y Microsoft .Net)
www.helpdna.net/acerca_de_salvador_ramos.htm


"Juan Carlos Mendoza" escribió en el mensaje
news:
On 16 jul, 13:26, Gustavo Larriera (MVP)
wrote:

Aclaracion para algunos colegas que me preguntaron por email.

Cuando me refiero a un usuario malicioso, quiero decir un usuario con
privilegio de acceder a las carpetas donde se almacenan los archivos
fisicos
de las bases de datos.

En tales carpetas solo se requiere que ingrese la cuenta bajo la cual
corre
el servicio SQL. Ningun otro usuario necesita acceder a tales carpetas.

Por supuesto que un usuario Administrator local del servidor puede ganar
acceso sobre tales carpetas. En resumen: debo confiar en mis
administradores
:-)

Gustavo Larriera, Microsoft
MVPhttps://mvp.support.microsoft.co...o.Larriera
Este mensaje se proporciona tal como es, sin garantías de ninguna clase.



"Gustavo Larriera (MVP)" wrote:
> En SQL Server 2000 lamentablemente no hay defensa alguna contra el hecho
> de que un malicioso se copie los archivos físicos (.mdf, .ldf, .ndf).

> En SQL Server 2005 hay otras posibilidades para defenderse usando
> encriptamiento de datos. Lee acerca de eso en este artículo del buen
> amigo Maxi:

> Cifrando datos con SQL Server 2005
>http://www.microsoft.com/spanish/ms...oices/MTJ_
> 0010.asp

> Gustavo Larriera, Microsoft MVP
>https://mvp.support.microsoft.com/p...o.Larriera
> Este mensaje se proporciona tal como es, sin garantías de ninguna clase.

> In article ,
> says...
> > Hola, el otro dia mande un post diciendo si se puede restaurar una
> > base de
> > datos solo con tener los archivos *.mdf y *.log y me respondieron que
> > use
> > este procedimiento sp_attach_db, bueno lo probe y si me resulto
> > excelente,
> > pero mi pregunta es lo siguiente entonces como lo pongo seguridad o
> > protejo
> > a los dos archivos ya mencionados. que solo basta tenerlos y me
> > sabotean la
> > base de datos
> > Que por cierto en el administrador de la base de datos si le doy
> > seguridad.
> > Gracias por la respuesta- Ocultar texto de la cita -

- Mostrar texto de la cita -

... o contrata un administrador de tu confianza