資安稽核員的基本知識— MS SQL Server (資料庫)的備份、安全性、維運與稽核軌跡入門
繼上篇「資安稽核員的入門技術知識 — 如何成為值得信賴的稽核員？」提到，預計寫幾篇針對稽核員介紹入門知識的文章，除了為自己近期學習 MS SQL 做筆記外，順便介紹的資料庫基本功能，資料庫為企業環境都會用到的系統，簡單了解資料庫的工作與資訊安全會對稽核與評估有幫助，並了解 IT 維運的狀況，盡可能給出雙方接受且具有幫助的建議。
此篇也建議對資料庫用途有基本概念者閱讀。但我不是專門的 AP 與 DBA 管理員，故無法深入探討細節，如本篇有任何錯誤再煩請通知我。
- 關於 Kuro 介紹、聯絡方式、文章分享（推薦透過此連結比較完整） ：https://portaly.cc/kurohuang
- 聯絡方式 : https://kuronetwork.me/contact/
- 所有資安教學文章: https://kuronetwork.me/posts/
- 建議於閱讀本篇之前，先行閱讀以下文章：
ISACA 道德規範：確保在各自領域內具有必備能力，同意僅參與在合理預期下透過必要技能，知識和能力來完成的活動。
ISACA證照學習組合包與教材總整理：
MS SQL 基本結構概念
以下範例使用 MS SQL 2019 Developer 搭配 SSMS （SQL Server Management Studio）資料庫管理工具練習，資料庫範本可至微軟的 GitHub 上下載
Instance 與 Databases 差別：
- Instance 是一個執行個體， 裡面包了很多 Databases，如 System Database (系統資料庫) 與 User 自己建立的 Databases。
- 可以建立多個 Instance，每個 Instance 內可包含多個 Databases。
MS SQL 主要的檔案：
- MS SQL 有兩個檔案，分別為資料檔（MDF, Primary data file）與交易記錄檔（LDF, log data file），備份資料庫時候可能會使用到的檔案。
MS SQL Server 系統資料庫
SQL Server 主要的系統資料庫有四種，詳細請參考此來源
- Master：SQL Server 的設定值和資訊
- Model：資料庫預設模板
- MSDB：日常的排程與紀錄
- TEMPDB：暫存空間
資料庫備份與復原
首先我們需要先認識三種模式，這邊引用 IThome 的文章，詳細請參考連結。
- 完整復原模式：所有交易紀錄會被 SQL Server 保存在該資料庫的紀錄檔內，DBA 可以針對該資料庫，進行完整備份、差異備份和交易紀錄備份。
- 大量紀錄：大量紀錄復原模式下，除了 BULK 行為(載入大量資料或建立索引)所產生的交易紀錄之外，絕大多數的交易紀錄都會被保留，所以此模式無法保證能將資料庫還原到過去的任何時間，因為沒有BULK成為的交易紀錄。
- 簡單復原模式：每次的checkpoint動作發生時，SQL Server 會截斷已完成或回複的交易紀錄，也就是說SQL Server可以重複使用交易紀錄的儲存空間。此模式下 DBA 只能執行完整備份與差異備份。
- Snapshot：速度快且方便，若 Databases 非常大的話使用快照會更有效率，否則 Databases 如果很大的話，備份時間會很久。
Databases 備份排程可能會先執行一次完整備份，之後會定期做差異備份，在兩次備份中間會備份 log (紀錄檔)，以下圖為例，若要執行手動備份，對 DB_temp這個資料庫 點選
對該 DB右鍵 -> 工作 -> 備份
即可進到備份的設定畫面，並勾選「只複製備份」以避免手動備份而破壞自動備份的序號紀錄
如果想確認是否有備份，可至該 DB 點選右鍵 -> 屬性 ->一般 內查看時間點
資料庫的權限設定
在討論權限設定以前，先來認識一下 SQL Server伺服器角色（引用OOLIN 整理的內容，請參考連結)
※bulkadmin： 可以執行大量插入作業※dbcreator： 可建立與修改資料庫※diskadmin： 管理磁碟中的檔案※processadmin： 管理SQL Server中執行的程序※public： 觀看系統中有哪些資料庫※securityadmin： 管理SQL Server登入相關事項※serveradmin： 調整與設定SQL Server※setupadmin： 可新增.移除本機之外所連結的SQL Server※sysadmin： 可處理SQL Server中的任何事情
資料庫角色的使用權限
※db_accessadmin： 可以新增或移除資料庫的登入帳戶※db_owner： 擁有維護與設定資料庫的權限(包含資料庫的所有權限)※db_securityadmin： 可管理資料庫物件的擁有者.資料庫角色.角色的成員.權限※public： 資料庫的使用者都屬於public角色(擁有預設的資料庫權限)
SQL Server 帳號權限通常也是查核重點之一，依照習慣盡可能不使用 sa 這個預設的高權限帳號，而是另外建立新帳號來管理 SQL Server，並授予最小授權原則，以下為權限設定的簡單示範：
安全性 ->查看登入、伺服器角色
建立一個 SQL Server 帳號，取名為 test
在 DB 角色成員部分授予 test 為 db_owner 權限，但僅限於 Demo這個資料庫
由於剛剛是建立 SQL Server 帳號，故這邊驗證選 SQL Server 驗證 (類似本地驗證)，或可採用 Windows 帳戶驗證
使用 test 帳號權限去存取 Demo2 資料庫遭拒絕 (只授予存取 Demo 資料庫)
檢視 SQL Server Audit 記錄
資料安全 — 資料庫加密 （TDE 透明資料加密 ）
在稽核時我們常會詢問受稽核方，對於 Databases 資料如何保護？但你知道 Databases 有哪些保護方式嗎？
Get Kuro Huang’s stories in your inbox
Join Medium for free to get updates from this writer.
而這次的加密技術為 透明資料加密 （TDE） 的加密是屬於資料庫層的保護，詳細的技術細節可參考 以下文章：
資料庫加密可避免資料庫被 Dump下來後，資料外洩流出，在沒有憑證與 Key 的情況下無法看到原本資料庫的內容，所以 Key 與憑證的保管要有程序，如果 Key 也一起掉了那資料庫加密就尷尬了。
USE master;
GO
CREATE MASTER KEY ENCRYPTION BY PASSWORD = ‘<UseStrongPasswordHere>’;
go
CREATE CERTIFICATE MyServerCert WITH SUBJECT = ‘My DEK Certificate’;
go
USE AdventureWorks2012;
GO
CREATE DATABASE ENCRYPTION KEY
WITH ALGORITHM = AES_128
ENCRYPTION BY SERVER CERTIFICATE MyServerCert;
GO
ALTER DATABASE AdventureWorks2012
SET ENCRYPTION ON;
GO
登入登出稽核軌跡
稽核軌跡紀錄基本上是稽核員經常檢視項目之一，以 SQL Server 2019 搭配 為例，我們在 Instance 上 點選右鍵->屬性 （下圖的localhost 上點右鍵）
伺服器屬性上點選安全性，可勾選登入稽核，預設為僅有失敗的登入
接著我們至 記錄檔查看稽核軌跡，點選左方的管理 -> SQL Server 紀錄檔
打開任一紀錄檔後，可使用篩選查看想要的 Log ，下圖為 SQL 本地驗證方式錯誤的紀錄，並可確認是否留有足夠時間的稽核軌跡與類型
SQL Server 稽核軌跡
如果想要對資料庫建立、修改和刪除等留存稽核軌跡，就必須至安全性設定檢查確認
- 安全性 -> 稽核
- 安全性 -> 伺服器稽核規格
SSL 強制加密連線
MS SQL 上可啟用 SSL 加密連線，可至 SQL Server 設定管理員 內點選 MSSQL SERVER的通訊協定 -> 內容 查看
資料庫日常維運排程
- 資料庫會依需求需要增加必要的索引(Indexes) 改善查詢效能
- 資料庫會依需求與狀況定期更新統計資料 (Update Statistics) 改善查詢效能
- 資料庫會依需求與狀況進行完整性檢查，會檢查指定資料庫中所有物件的配置及結構完整性，會依照資料庫大小排定檢查的間隔。
- 可透過 左方管理->維護計畫 內查看並手動執行維護計畫
- 可透過 左方SQL Server Agent ->作業 對該項目 右鍵->屬性查看排程
另外也請務必確認 Instance 設定吃掉 OS 本身資源量，並持續監控 Disk 、RAM、CPU 等即時狀況。
MS SQL Azure服務
MS SQL 是微軟的，現在因上雲的關係，稽核也必須知道雲端上的差別，與時俱進才行，如果想針對 Azure 整體服務有進一步了解，可參考我 AZ-900 考試經驗心得
Summary
以一個初步的新手資安稽核，或許可從這麼多任務中，先從大方向做確認，來完成你的底稿，從稽核軌跡留存、備份頻率與方式、安全性設定、日常維護工作四大項開始下手，但回歸我第一篇所說，真的要有初步了解 IT 的日常工作與困難，可實際簡單操作體會後，去稽核時才會比較清楚，給出合適且雙方接受的建議。
ISACA 道德規範：確保在各自領域內具有必備能力，同意僅參與在合理預期下透過必要技能，知識和能力來完成的活動。
若您喜歡我的文章，歡迎按下「拍手」與Liker按讚給我支持並轉發給你的朋友們(可以多拍幾下手喔)，或是「Follow」我，讓我提供文章給您。Facebook 粉絲專頁
- 關於 Kuro 介紹、聯絡方式、文章分享（推薦透過此連結比較完整） ：https://portaly.cc/kurohuang
- 其他聯絡方式 : https://kuronetwork.me/contact/
- 所有資安教學文章: https://kuronetwork.me/posts/
- 關於我: https://kuronetwork.me/about/
- 我做的資安貼圖 :
