Security sql server

6 Basic SQL server security:

1. SQL Server Authentication vs. Windows Authentication

 Windows Authentication:
Menggunakan server Active Directory (AD) untuk autentifikasi sebelum terhubung ke SQL Server
 SQL Server Authentication:
User dan Password harus tersimpan di SQL server sebagai pengguna. Ini biasa digunakan jika in
case tidak ada server AD

Kita bisa menggunakan kedua nya (mixed-mode), tetapi lebih aman nya menggunakan windows
authentication. Dimohon jika harus menggunakan SQL Server authentication (SA), password harus di
ganti secara berkala dan harus strong (kombinasi huruf angka dan tanda baca). Ini bisa di rubah dengan
command ALTER LOGIN (T-SQL)

2. Server Logins and Roles

Setiap Server Logins ditugaskan satu atau lebih peran server yang memungkinkannya untuk
melakukan tindakan spesifik pada instance. Secara default, login server diberi peran server public
(public), yang memberikan akses basic ke instance. Peran lain yang tersedia termasuk bulkadmin,
sercurityadmin, dbcreator dan serveradmin.

Login server dapat dibuat menggunakan T-SQL atau SQL Server Management Studio. Saat membuat
login server, Anda harus menentukan database default. Login server dikaitkan dengan login
pengguna di database default. Perlu dicatat bahwa nama login server dan nama login pengguna
yang terkait tidak perlu cocok. Jika tidak ada objek pengguna terkait dalam database default, login
server akan ditolak akses kecuali peran server yang ditugaskan untuk login memiliki akses ke semua
database. Login server dapat dipetakan ke pengguna dalam satu atau lebih database, dan Anda
dapat membuat pengguna saat mengatur login server.

Ada beberapa roles di SQL server:

 Sysadmin — Perform any activity on the SQL server

 Serveradmin — Configure SQL server settings and shut down the server
 Securityadmin — Manage logins, including their properties, passwords and permissions
 Processadmin — Terminate processes on the SQL Server instance
 Setupadmin — Add or remove linked servers and manage replication
 Bulkadmin — Execute the BULK INSERT statement
 Diskadmin — Manage disk files
 Dbcreator — Create, alter or drop any database
 Public — Every user is a member of this role. It does not have any permissions except to
objects that are configured as public.
Install SQL Server Updates

 Hotfixes adalah update QFE (Quick Fix Engineering) dirilis untuk problem customer yg bersifat
ASAP
 Cumulative Updates (CUs) adalah update berkala dari serangkaian perbaikan terbaru yang telah
diuji dengan benar.
 Service Packs (SPs) adalah kumpulan besar tambalan dan perbaikan yang telah diuji dengan
benar dan dapat dengan mudah dipasang sebagai satu paket.

jenis akun yang dapat Anda gunakan untuk layanan SQL Server:

 Active Directory managed service account

Ini biasanya pilihan terbaik, karena dua alasan. Pertama, karena Anda tidak dapat menggunakan
akun layanan terkelola untuk masuk ke server, mereka lebih aman daripada akun pengguna
domain. Kedua, Anda tidak perlu mengelola pengaturan ulang kata sandi secara manual untuk
akun layanan, seperti yang harus dilakukan untuk akun pengguna domain biasa.
 Domain user account
Ini adalah jenis akun yang paling umum digunakan untuk menjalankan layanan. Jenis akun ini
cukup aman di lingkungan domain karena tidak memiliki hak administrator.
 Local user account
This is a good choice for non-domain environments.
 Local system account
 Akun ini sangat istimewa sehingga Anda harus menghindari menggunakannya untuk
menjalankan layanan.

 Network service account

Jenis akun ini memiliki lebih sedikit hak istimewa daripada akun sistem, tetapi memungkinkan
layanan untuk memiliki akses ke sumber daya jaringan, jadi Anda harus menghindari
menggunakannya kapan pun memungkinkan.

3. Database Users, Schema and Roles

Predefined database roles

You may need to create your own, but you have access to several predefined database roles:

 db_owner: Members have full access.

 db_accessadmin: Members can manage Windows groups and SQL Server logins.
 db_datareader: Members can read all data.
 db_datawriter: Members can add, delete, or modify data in the tables.
 db_ddladmin: Members can run dynamic-link library (DLL) statements.
 db_securityadmin: Members can modify role membership and manage permissions.
 db_bckupoperator: Members can back up the database.
 db_denydatareader: Members can’t view data within the database.
  db_denydatawriter: Members can’t change or delete data in tables or views.

4. Securables and Permissions

5. Data Encryption
a. SSL Transport Encryption
SSL, singkatan dari Secure Sockets Layer, adalah jenis keamanan digital yang
memperbolehkan komunikasi dienkripsi di antara website dan web browser. Teknologi
ini sudah tidak lagi digunakan dan digantikan sepenuhnya oleh TLS.
TLS adalah Transport Layer Security yang mengamankan privasi data, sama seperti yang
dilakukan SSL. Karena SSL sudah tidak lagi digunakan, maka orang-orang kini menyebutnya
dengan TLS.

b. SQL Server Transparent Data Encryption (TDE)

Transparent Data Encryption (TDE) di SQL Server melindungi data saat istirahat dengan
mengenkripsi data basis data dan mencatat file pada disk. Ini bekerja secara transparan
untuk aplikasi klien yang sudah ada, sehingga mereka tidak perlu diubah ketika TDE
diaktifkan. TDE menggunakan enkripsi real-time di tingkat halaman (page-level). Halaman
dienkripsi sebelum ditulis ke disk, tanpa menambah ukuran data dan file log Anda, dan
halaman di-decrypt ketika dibaca ke dalam memori. TDE hanya tersedia dalam edisi SQL
 Server Perusahaan. Ini juga berfungsi untuk Azure SQL Database, Azure SQL Data
Warehouse dan Parallel Data Warehouse.
c. Backup Encryption
d. Column/Cell-Level Encryption
e. Always Encrypted
6. Row-Level Security

Row-Level Security memungkinkan Anda untuk menggunakan keanggotaan grup atau konteks
eksekusi untuk mengontrol akses ke baris dalam tabel database.

Row-Level Security (RLS) menyederhanakan desain dan pengkodean keamanan dalam aplikasi Anda.
RLS membantu Anda menerapkan pembatasan pada akses baris data. Misalnya, Anda dapat
memastikan bahwa pekerja hanya mengakses baris data yang terkait dengan departemen mereka.
Contoh lain adalah membatasi akses data pelanggan hanya pada data yang relevan dengan
perusahaan mereka.

Logika pembatasan akses terletak di tier database dan bukannya jauh dari data di tier aplikasi lain.
Sistem database menerapkan pembatasan akses setiap kali akses data dicoba dari tingkat mana pun.
Ini membuat sistem keamanan Anda lebih dapat diandalkan dan kuat dengan mengurangi area
permukaan sistem keamanan Anda

RLS mendukung dua jenis predikat keamanan.

 Predikat filter secara diam-diam memfilter baris yang tersedia untuk membaca operasi
(SELECT, UPDATE, dan DELETE).
 Predikat blok secara eksplisit memblokir operasi penulisan (AFTER INSERT, AFTER UPDATE,
BEFORE UPDATE, BEFORE DELETE) yang melanggar predikat.

[Link]

7. Dynamic Data Masking

Membuat user:

Coba\1234