Potencjalne ryzyko użytkowników łączących się z programem SQL Server za pośrednictwem programu Excel jako sysadmin?

8

Niedawno odkryłem, że duża część działu finansowego używa Excela do łączenia się z moją instancją SQL Server 2000 z kontem w roli sysadmin. Jakie jest moje obecne ryzyko, które powinienem natychmiast przekazać odpowiednim władzom?

sql-server security swasheck
źródło
możliwy duplikat Dlaczego złą praktyką jest zezwalanie wszystkim na korzystanie z logowania sa?
Jon Seigel
1
TPTB = The Powers That Be
datagod
1
@JonSeigel, zwrócę uwagę, że moja odpowiedź dotyczy konkretnie wyjaśnienia, dlaczego jest to zła prowizja finansowa, a także bardziej ogólnego problemu bezpieczeństwa dla wszystkich dbs w pytaniu, z którym się łączysz.
HLGEM
Zwrócę również uwagę (i być może moje pytanie nie było wystarczająco jasne, biorąc pod uwagę, że zostało opublikowane na iPhonie), że moje obawy dotyczą mniej powierzchni zarządzania, a bardziej Excela i potencjalnych problemów z Excelem jako konkretnym wektorem.
swasheck

Odpowiedzi:

9

Prawie wszystko.

Zacznę od ich potencjalnej możliwości użycia xp_cmdshell(a sp_configurejeśli nie mogą, to mogą… i cokolwiek, co zwróci konto, xp_cmdshell 'whoami.exe'może zrobić…), a następnie przejdę do ich zdolności drop database.

Dalsze zagrożenia obejmują nie tylko użytkowników finansów, którzy mogą wykonywać te czynności, ale każdy program na maszynie finansowej uzyskujący dostęp do poświadczeń połączenia sysadmin ...

(Inne potencjalne zagrożenia obejmują ryzyko odkrycia, że ​​jeden z TPTB skonfigurował to w ten sposób)

podiluska
źródło
... lub upuść tabelę, usuń lub obetnij, lubselect name, salary from employees
Aaron Bertrand
3
lubupdate salaries set salary = 0 where employee='swasheck''s boss'
podiluska
5
A to wszystko potencjalnie złośliwe rzeczy. Przyznanie ludziom praw administratora systemu naraża ich również na potencjalnie przypadkowe rzeczy.
Aaron Bertrand
6

Pozwala im w zasadzie robić wszystko, co tylko zechce w bazie danych. Mogą skracać / zmieniać / upuszczać tabele. Usuń, wstaw lub zmień określone rekordy. Gorąco polecam, abyś zajął się tym jak najszybciej.

Zane
źródło
6

Jedną rzeczą, którą ludzie finansowi powinni zrozumieć, jest to, że dając Excelowi użytkownika systemu, ominąłeś każdą wewnętrzną kontrolę wbudowaną w bazę danych lub aplikację. Właściwy biegły rewident wypatrzyłby ich za to. Na przykład, jeśli masz wbudowane mechanizmy kontrolne, aby upewnić się, że dwie różne osoby muszą zatwierdzić wydatek (aby uniknąć potencjalnego oszustwa), wówczas łącząc arkusz kalkulacyjny Excel w ten sposób, całkowicie usunąłeś tę kontrolę danych.

HLGEM
źródło
5

Jeśli złośliwy użytkownik zniszczy twoje dane, możesz przywrócić dane z kopii zapasowej - w tym scenariuszu powinieneś być w stanie obliczyć wpływ na biznes.

Co gorsza, system nie jest już integralny. Jeśli użytkownik manipuluje danymi w nie katastrofalny sposób, możesz nie odkryć szkód, dopóki kopie zapasowe nie będą już dostępne. Weź pod uwagę wpływ, że firma nie jest w stanie zaufać ważności danych przechowywanych na tym serwerze.

SQLFox
źródło