Как я могу скрыть неудачные логины в SQL Server 2005?

Question

Я считаю, что мой сервер стал постоянной атакой грубой силы на SQL Server 2005 (SQLExpress). Журнал событий журнала событий заполняется сообщениями «Аудит сбоя» для SQL Server. Попытки обычно продолжаются час или два, с 1-2 секундами между попытками.

Войти Сбой пользователя 'са' [КЛИЕНТА: 222.169.224.163]

Event ID: 18456. На основании соответствующих записей в журнале SQL Server, я обнаружил, что каждый Логин не удается из-за неверный пароль. Я также видел попытки для других пользователей, включая «администратор» и «администратор». Каждый сеанс происходит с другого IP-адреса и осуществляется из таких стран, как Италия и Китай.

Какие контрмеры могут быть приняты? Я не хочу блокировать учетную запись пользователя, потому что тогда мой сайт и приложения не будут иметь доступа к серверу. Есть ли способ заблокировать попытки входа в SQL Server 2005? Например. геометрически увеличить «период ожидания» между неудачными попытками входа в систему?

Answer 1

Невозможно активировать попытки входа в систему SQL Server, о котором я знаю. Тем не менее, мне очень любопытно, как интернет-пользователи могут зайти так далеко. Разве вы не за брандмауэром? Это некоторый страшный доступ и должен быть исправлен как можно скорее.

Мои веб-серверы за брандмауэром и только порты разрешен доступ являются 80 и 443.

Answer 2

Хотя это не ответ на ваш вопрос, подвергая сервер базы данных в Интернете никогда не была хорошей практикой. Предоставьте веб-сервисам доступ к данным безопасным образом и спрячьте сервер за брандмауэром.

Answer 3

Рассмотрите возможность блокировки входящих соединений на порту SQL Server (1433) с использованием брандмауэра.

Answer 4

Быстрое исправление переименовывает учетную запись sa и изменяет параметры соединения на сервисах, которые зависят от этого Sql-сервера.

ALTER LOGIN sa DISABLE;

ALTER LOGIN sa WITH NAME = [sys12-21admin];

(Конечно, выбрать другое имя, чем один предложил.)

Для получения более подробной информации http://blogs.msdn.com/sqltips/archive/2005/08/27/457184.aspx

за счет увеличения «периода ожидания» между неудавшейся журнала в попытках можно отрицать надлежащий доступ к Sql Server.

Насколько я понимаю, приложения используют «sa» для выполнения ежедневных задач, и это может привести к блокировке учетной записи. На всякий случай это произойдет. http://www.windowsecurity.com/articles/Hacking_an_SQL_Server.html

Это еще одна проблема безопасности, конечно, причина, по которой вы должны попытаться как можно скорее остановить доступ, как это было сказано в более ранних сообщениях.