SQL सर्वर DBA के रूप में, मुझे मेल्टडाउन / दर्शक कमजोरियों के बारे में क्या जानने की आवश्यकता है?


14

यदि आपने नहीं सुना है, तो संबंधित कमजोरियों का एक सेट हाल ही में खोजा गया था जो पिछले दशक में लगभग सभी प्रोसेसर बेचे गए थे। आप InfoSec.SE पर मेल्टडाउन / स्पेक्टर कमजोरियों के बारे में अधिक तकनीकी विवरण पा सकते हैं ।

SQL सर्वर DBA के रूप में, मुझे इस बारे में क्या समझने की आवश्यकता है?

यदि हम अपने SQL सर्वर (या हमारे vm फ़ार्म) को अन्य कंपनियों के साथ साझा नहीं करते हैं, तो क्या यह अभी भी एक जोखिम है?

क्या यह केवल एक OS पैच होगा? या SQL सर्वर के लिए पैच / हॉटफ़िक्स उपलब्ध हैं जो इस भेद्यता को संबोधित करने के लिए आवश्यक हैं? कौन सा SQL सर्वर संस्करण पैच किया जाएगा?

कुछ लेख 5-30% प्रदर्शन प्रभाव की भविष्यवाणी कर रहे हैं, खासकर अत्यधिक वर्चुअलाइज्ड वातावरण में। क्या यह अनुमान लगाने का कोई तरीका है कि मेरे SQL सर्वर पर प्रदर्शन प्रभाव क्या हो सकता है?

जवाबों:


14

यहां कमजोरियों पर माइक्रोसॉफ्ट के सुरक्षा सलाहकार हैं , जिन्हें तीन "सीवीई" नंबर दिए गए हैं:

  • CVE-2017-5715 - शाखा लक्ष्य इंजेक्शन ( "स्पेक्टर" )
  • CVE-2017-5753 - बाइपास चेक बाइपास ( "स्पेक्टर" )
  • CVE-2017-5754 - दुष्ट डेटा कैश लोड ( "मेल्टडाउन" )

नई जानकारी उपलब्ध होते ही SQL सर्वर सक्रिय रूप से अपडेट हो रहा है, इसके लिए Microsoft KB, इन भेद्यताओं को कैसे प्रभावित करता है:

KB 4073225: SQL सर्वर मार्गदर्शन सट्टा निष्पादन पक्ष-चैनल भेद्यता से बचाव के लिए

Microsoft की सटीक अनुशंसा आपके कॉन्फ़िगरेशन और व्यावसायिक परिदृश्य पर निर्भर करेगी, कृपया विवरण के लिए KB देखें। यदि आप Azure पर होस्ट कर रहे हैं, उदाहरण के लिए, कोई कार्रवाई आवश्यक नहीं है (पर्यावरण पहले से ही पैच है)। यदि, हालाँकि, आप संभावित वर्चुअल कोड के साथ साझा वर्चुअल या भौतिक वातावरण में अनुप्रयोगों की मेजबानी कर रहे हैं, तो अन्य शमन की आवश्यकता हो सकती है।

SQL पैच वर्तमान में निम्न प्रभावित SQL संस्करणों के लिए उपलब्ध हैं:

ये SQL सर्वर पैच CVE 2017-5753 ( स्पेक्टर: सीमा जाँच बाईपास ) से रक्षा करते हैं

CVE 2017-5754 ( मेल्टडाउन: दुष्ट डेटा कैश लोड ) से बचाने के लिए , आप विंडोज पर (रजिस्ट्री परिवर्तन के माध्यम से) या लिनक्स कर्नेल पेज टेबल अलगाव (KPTI) लिनक्स पर (अपने पैच से ) के माध्यम से कर्नेल वर्चुअल एड्रेस शैडोइंग (KVAS) को सक्षम कर सकते हैं । लिनक्स वितरक)।

सीवीई 2017-5715 ( स्पेक्टर: ब्रांच टारगेट इंजेक्शन ) से बचाने के लिए , आप ब्रांच टारगेट इंजेक्शन मिटिगेशन हार्डवेयर सपोर्ट (IBC) को रजिस्ट्री परिवर्तन और अपने हार्डवेयर निर्माता से फर्मवेयर अपडेट के जरिए सक्षम कर सकते हैं ।

ध्यान दें कि आपके पर्यावरण के लिए KVAS, KPTI और IBC की आवश्यकता नहीं हो सकती है, और ये सबसे महत्वपूर्ण प्रदर्शन प्रभाव (जोर) के साथ परिवर्तन हैं :

Microsoft सभी ग्राहकों को SQL सर्वर और Windows के अद्यतन संस्करण को स्थापित करने की सलाह देता है। यह SQL कार्यभार के Microsoft परीक्षण के आधार पर मौजूदा अनुप्रयोगों के लिए न्यूनतम प्रदर्शन प्रभाव के लिए नगण्य होना चाहिए, हालांकि, हम अनुशंसा करते हैं कि आप उत्पादन वातावरण को लागू करने से पहले मान्य करें।

Microsoft ने कर्नेल वर्चुअल एड्रेस शैडोइंग (KVAS), कर्नेल पेज टेबल इनडायरेक्शन (KPTI) और ब्रांच टारगेट इंजेक्शन मिटिगेशन (IBC) को विभिन्न एसक्यूएल वर्कलोड पर विभिन्न वातावरणों में प्रभावित किया है और कुछ वर्कलोड को महत्वपूर्ण गिरावट के साथ पाया है। हम अनुशंसा करते हैं कि आप उत्पादन वातावरण में तैनात करने से पहले इन सुविधाओं को सक्षम करने के प्रदर्शन प्रभाव को मान्य करते हैं। यदि किसी मौजूदा एप्लिकेशन के लिए इन सुविधाओं को सक्षम करने का प्रदर्शन प्रभाव बहुत अधिक है, तो ग्राहक इस पर विचार कर सकते हैं कि एक ही मशीन पर चल रहे अविश्वसनीय कोड से SQL सर्वर को अलग करना उनके आवेदन के लिए बेहतर शमन है या नहीं।


Microsoft सिस्टम केंद्र कॉन्फ़िगरेशन प्रबंधक (SCCM) विशिष्ट मार्गदर्शन: जनवरी 08 2018 के रूप में सट्टा निष्पादन पक्ष चैनल कमजोरियों को कम करने के लिए अतिरिक्त मार्गदर्शन


संबंधित ब्लॉग पोस्ट:

हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.