SQL Saturday #570 - Explicando o conceito de segurança em camadas e como é feita a proteção do banco de dados.

1. Fora Hackers!
Proteção em camadas do SQL Server
Fabricio Catae
Technical Evangelist SQL Saturday #570

2. Demo
--HACKED--

3. Ataque
Grupo BUILTINUsers adicionado
Grant EXECUTE on xp_cmdshell
Enable xp_cmdshell (sp_configure)
Configurado um Proxy account
Conta de Administrador do Windows

4. Alinhamento
dos
Planetas
Desastres
acontecem quando
vários problemas
existem ao mesmo
tempo

5. Improvável
Grupo BUILTINUsers adicionado
Grant EXECUTE on xp_cmdshell
Enable xp_cmdshell (sp_configure)
Configurado um Proxy account
Conta de Administrador do Windows
???

6. Segurança
em Camadas
O objetivo é
minimizar o risco.
É impossível eliminar
todas as brechas de
segurança.

7. Regras do Jogo
Principal objetivo do Hacker

8. SysAdmin
(SQL)
SQL Service
(Windows)
Administrator
(Windows)

9. Primeiros Passos
Identificando a porta de entrada

10. SQL (TDS): 1433
SQL Server
TCP 1433
Endpoint

11. IIS (HTTP): 80
SQL (TDS): 1433
IIS (HTTP)TCP 80
Endpoint
SQL ServerTCP 1433

12. SQL (TDS): 1433
SMB: 137, 138
RPC Locator: 135
Endpoint
SQL ServerTCP 1433
TCP 137/138
TCP 135
File Share (SMB)
RPC Locator

13. SQL (TDS): 1433
SQL Browser:
1434 (UDP)
Endpoint
SQL Server
Instance2
TCP
2222
UDP
1434SQL Browser
SQL Server
Instance1
TCP
1433

14. SQL Browser
(UDP 1434)
Quais instâncias estão
disponíveis?
Qual a porta da
instância xxxxxx?

15. Configuração
Desligue o Browser (UDP 1434)
Habilite o firewall do Windows
Exponha a porta 1433 para clientes específicos
Evite usar Named Pipes (SMB: TCP 137/138)
Use usuários individuais para cada serviço
Prefira contas locais ao invés de domínio
Segmente o tráfego de rede

16. Nivel 1: Segmentação de Rede
SQL
Server
TCP
80
Web
Server
TCP
1433
TCP
137/138
TCP 135
File SMB
RPC Locator
Frontend Backend

17. Entrando no Servidor
Passando pelo sistema de autenticação

18. Acesso Direto ao Servidor
SQL
Server
TCP
80
Web
Server
TCP
1433
TCP
137/138
TCP 135
File SMB
RPC Locator
Frontend Backend
Server

19. Acesso à Camada TCP/IP
SQL Server
AUTH
TCP
1433
TCP/IP (Kernel)
Listener (SQL)

20. Senha
Fraca
Dicionário
Força bruta
Reuso de senha

21. 111111
123456
1234567
12345678
qwerty
123123
abc123
iloveyou
sqlserver
admin
...
Dicionário
default
sa
password
password1
passw0rd
princess
blablabla
666666
admin
root

22. Ataque Brute Force
SQL Server
AUTH MASTER
MASTER
TCP
1433

23. Demo
--AUTH--

24. Password
Escolha o modelo de autenticação
• SQL Authentication
• Windows Authentication
Políticas de senha
• Password Policy
• Password Expiration

25. Nível 2: Autenticação
SQL Server
TCP 1433
MASTER
Autenticação
Active Directory
Domain Controller
Não há password clear-text
PWDENCRYPT: HASH + Salt
Política de senha:
• Complexidade
• Expiração

26. Quebrando o Sandbox
Técnica usada para aumentar o poder do usuário

27. Primeiro Acesso aos Dados
SQL Server
AUTH
User
Database
TCP
1433
1. LOGIN
DB
DB DB
2. CMDS

28. Login vs User
SQL Server
TCP
1433
AUTH
DATABASE1
USERLOGIN
DATABASE2
USER

29. Perigo: Cross-Database Chaining
SQL Server
TCP
1433
AUTH
DATABASE1
dboLOGIN
DATABASE2
USER dbo
Cross DB
Chaining
(SQL2000)
Trustworthy DB
(SQL2005+)

30. SQL Server
TCP
1433
user
dbo / db_owner
Elevação de
Privilégio
AUTH
DATABASE1
SELECT
UPDATE..
USERMASTER
DATABASE2
DATABASE3dbo
dbo
dbo

31. Personificação de Usuário
Permissão de IMPERSONATE
Limitado ao contexto de Database
• sp_approle (password)
• EXECUTE AS USER
Considerações adicionais para acesso “cross-
database”
• Trustworthy bit

32. Demo
--TOKEN-

33. SQL Server
TCP
1433
Explorar falha em
código nativo
•Unsafe CLR
•XP (DLL)
Elevação de
Privilégio
AUTH
DATABASE1
USER
SELECT
UPDATE..
Extended
Procedures
(XP)
Unsafe
CLR
Trustworthy DB sysadmin

34. Nível 3: Limitação de Acesso por DB
SQL Server
AUTH
User
Database
TCP
1433
1. LOGIN
DB
DB DB
2. CMDS

35. SQL Injection
Principal Ataque ao Banco de Dados

36. Passando comandos ao BD
SQL
Server
TCP
80
Web
Server
TCP
1433
TCP
137/138
TCP 135
File SMB
RPC Locator
Frontend Backend

37. Código simples (web)

38. SQL Server
TCP
1433Query
DML
DDL
Tipos de
Acesso
AUTH
DATABASE1
SELECT
USER
INSERT
UPDATE
DELETECREATE
DROPALTER

39. Demo
‘’ + SQL INJECTION + ‘’

40. Uma forma simples
de enganar o banco
de dados
SQL Injection

41. Parametrizando Comandos

42. SQL Server
TCP
1433
Limitação de Acesso
AUTH
DATABASE1
USER
DML
QueryLOGIN
DDL

43. Principals
Securable
Permissions
Objetos e
Permissões
https://msdn.microsoft.com/en-us/library/ms191465.aspx

44. Hierarquia de Permissão
Instância
Database
Schema
Tables
Stored Procs
Views
Impersonate
USERLOGIN
P
P
P
P
Permission
P
DB
Sch
OBJ
etc
Login
Endpoint
etc
P
P
P

45. Bons exemplos de permissão
Impedir que usuários de aplicação executem DDL
Evitar acesso direto às tabelas do banco de dados
Aplicação OLTP
• Usar Stored Procedures (GRANT EXECUTE on PROC)
Aplicação OLAP
• Usar Views (GRANT SELECT on VIEW)
Organizar os objetos em Schema para agrupar permissão

46. Nível 4: Restringindo Permissões
Instância SQL
Database
Schema
Stored Procs
Views
USERLOGIN
EXEC
SELECT

47. Fora Hackers!
Minimizando os riscos com proteção em camadas

48. Proteção em Camadas
SQL Server
DB
Sch
OBJ
SELECT
EXECUTE
AUTH
Segurança de Rede
Autenticação
Isolamento por DB
Permissionamento

49. Obrigado

50. Episódio II – Data at Rest
Quando o perigo está do lado de dentro

51. Proteção em Camadas
SQL
Server
TCP
80
IIS
(HTTP)
TCP
1433
TCP
137/138
TCP 135
File SMB
RPC Locator
Frontend Backend

52. Cenários
Transporte de backup para outro Data Center
Fita de backup de antigo
Ambiente de homologação
Banco de dados compartilhado por clientes
Falta de confiança no DBA

53. SANLAN
App
Teste
Storage
Data
Mask
Transparent
Data
Encryption
Backup
Row Level
Security
Cliente1 Cliente2
App
Segura
SQL
Server
Always
Encrypted

54. Obrigado