Mensagens estranhas no log do sql server professional 2008

[*_Charles Potter_* 1]

Ola gente,Fiz minha leitura do log do sql server que estou fazendo semanalmente e vi algo estranho, segue imagem, alguém sabe o que pode ser?http://tinyurl.com/37yed68

[Prog 183]

É uma tentativa de invasão (força bruta) ou alguma aplicação mal configurada.

Esse servidor SQL Server esta livre para acesso de qualquer lugar?

[*_Charles Potter_* 1]

Bom Dia Prog,Tem como eu bloquear o acesso externo apenas para ips que eu determinar?Obrigado.

[advaldomesquita 93]

Somente pelo firewall do seu servidor. Mas tem que ver as regras em seu aplicativo para ver se realmente eh possivel...

 

Abçs

[*_Charles Potter_* 1]

ola,msa como evito que este tipo de ataque ocorra?

[Prog 183]

Primeiramente, você tem que identificar a origem do "ataque".

Em seguida determinar se este é um ataque real ou alguma aplicação mal configurada.

 

Se ficar caracterizado que é realmente um ataque, você pode configurar, por exemplo, que o seu servidor SQL Server apenas receba conexões do host da sua aplicação. Ou se você possui aplicações na arquitetura cliente/servidor, onde N hosts conectam diretamente a base de dados, você pode especificar um intervalo de ips, ou mesmo uma máscara de endereço de rede para limitar as conexões.

 

Estas são algumas medidas que podem ser tomadas inicialmente.

[*_Charles Potter_* 1]

Bom Dia Prog,Quando um ataque deste tipo ocorre, a aplicação cai certo? Aqui quando ocorre fica mostrando, depois de algumas horas do ataque, que o site não consegue se conectar a base. Mas outros sites que utilizam a mesma base continuam funcionando.É assim mesmo este tipo de ataque?Obrigado.

[Prog 183]

Se for um ataque muito intenso o sistema pode cair sim. Quando o ataque tem origem de um único host, normalmente é com objetivo de obter acesso, é pouco provável que aconteça uma indisponibilidade neste caso. Pode acontecer do próprio SQL Server limitar as tentativas, por estar havendo muitos erros de autenticação.

[*_Charles Potter_* 1]

Bom Dia Prog,Como posso saber se a queda foi causada por exesso de tentativas? Mostra algo no log do sql server? Como faço para tornar infinitas as tentativas?

 

Tens algum link de material sobre este assunto?

[Prog 183]

Charles,

 

Uma pergunta: pode ter havido uma troca de senha do usuário sa recentemente?

[*_Charles Potter_* 1]

Sim,Troquei logo que instalei o sql server. Coloquei uma impossivel de alguem descobrir

[Prog 183]

Então... é uma instalação recente deste servidor?

 

Estou pensando na seguinte situação, você ter feito a instalação normal e ter configurado algum JOB antes de trocar a senha do SA, o JOB configurado pode estar tentando processar alguma coisa ainda com a senha antiga e isto pode estar gerando os logs. Você configurou algum JOB ou alguma tarefa administrativa antes da substituição da senha?

[*_Charles Potter_* 1]

Ola,Não, mas constatei que era um ataque porque bloquei o acesso externo ao banco e este log parou de ser gerado

[Prog 183]

Charles,

 

Conforme solicitado, segue documento interessante:

http://www.microsoft.com/technet/prodtechnol/sql/2005/sql2005secbestpract.mspx