मुझे किसी ऐसे व्यक्ति के बारे में क्या करना चाहिए जो बलपूर्वक हमारे SQL सर्वर 'sa' खाते में लॉगिन करने का प्रयास कर रहा हो?

Question

ऐसा लगता है कि कोई या कोई व्यक्ति 'sa' खाते के साथ हमारे उत्पादन SQL सर्वर उदाहरण में लॉग इन करने के लिए एक क्रूर बल प्रयास कर रहा है। वे सफल नहीं हुए हैं क्योंकि हमारा 'sa' खाता अक्षम है, लेकिन मुझे यह सुनिश्चित करने के लिए क्या कदम उठाने चाहिए कि क्या चीजें सुरक्षित हैं?

Comments

अरे। इसे उत्तर के रूप में चिह्नित करें ताकि हम अपने जीवन के साथ आगे बढ़ सकें। :)

— जॉन

Answer 1

क्या आपके SQL सर्वर को इंटरनेट पर उपलब्ध होने की आवश्यकता है? यह आमतौर पर मामला नहीं है। यदि यह पूरी तरह से इस तरह का होना है, तो आप आईपी पते तक पहुंच को प्रतिबंधित कर सकते हैं या शायद एक वीपीएन सेट कर सकते हैं। जाहिर है, सा पासवर्ड को अनसुना कर दें या केवल अपने लैन आईपी पते से सा लॉगिन स्थानों को प्रतिबंधित करने के बारे में देखें। कृपया अधिक विवरण प्रदान करें ताकि अन्य बेहतर समाधान के साथ आपकी सहायता कर सकें।

Comments

बिलकुल यह। फायरवॉल का उपयोग करने और अपनी हमले की सतह को कम करने के लिए यह एक क्लासिक मामला है।

— रोब मोइर

प्लस यह कोई नहीं है। यह एक इंसान नहीं बल्कि एक बहुत बड़ा कीड़ा है। इंटरनेट पर SQL सर्वर + डिफ़ॉल्ट पोर्ट नहीं बदलना = पूरी तरह से वास्तविकता को अनदेखा करना (इंटरनेट एक अच्छी जगह नहीं)।

— टॉमटॉम

Answer 2

पहली चीज जो आप कर सकते हैं, उस IP पते को ब्लैकलिस्ट करके शुरू किया जा सकता है, और अपने फ़ायरवॉल पर उनके IP से किसी भी ट्रैफ़िक को नकारने से। बेशक, वे सिर्फ आईपी बदल सकते हैं, लेकिन कम से कम यह उन्हें यातायात और लॉग के साथ आपके सर्वर पर बमबारी से रोक देगा।

Answer 3

उस पोर्ट को अक्षम करें (फ़ायरवॉल के माध्यम से MySQL 3306; एसक्यूएल सर्वर के पोर्ट, शायद 118?) को याद न करें। फिर कोई इसे एक्सेस नहीं कर सकता।
यदि SQL तक बाहरी पहुँच की आवश्यकता है, तो इसे 53535 की तरह एक उच्च-संख्या वाले पोर्ट पर रीमैप करें। यदि कोई व्यक्ति उस पोर्ट को खोलता है, तो उसके महत्व का अनुमान लगाना कठिन होगा।

Comments

1433; अगर इसे बाहर की तरफ खोलना है, तो इसे किसी और चीज में बदल दें; हालांकि ग्राहकों पर बदलते कनेक्शन के तार शामिल होंगे।

— स्क्लैकिड

और खोज सेवा के लिए भी 1434, ...

— एवीडी

Answer 4

लॉगिन में कुछ दुर्भावनापूर्ण कोड को इंजेक्ट करने के प्रयास शामिल हैं। मैं सर्वर के फ़ायरवॉल सॉफ़्टवेयर या किसी तीसरे पक्ष के बाहरी फ़ायरवॉल का उपयोग करके एक स्थायी ब्लैकलिस्ट के साथ इस गतिविधि को अवरुद्ध करने की सलाह देता हूं।

इसके अलावा, अनुमत लॉगिन विफलताओं की संख्या को कम करें क्योंकि यह घुसपैठिए के आईपी पते को स्वचालित रूप से ब्लॉक कर देगा।

ऊपर से यह कम से कम होगा।

Answer 5

यह शायद सिर्फ कुछ स्क्रिप्ट किडी एक स्कैनर चल रहा है और आपके समय का पीछा करने लायक नहीं है। मैं आपके डेटाबेस को इंटरनेट से सुलभ नहीं देखूंगा।

Answer 6

• यदि आप सभी SQL खाते तक पहुँच को निष्क्रिय कर सकते हैं, तो सिर्फ sa - यानी बिना SQL प्रमाणीकरण के केवल Windows प्रमाणीकरण सक्षम न करें।
• नेटवर्क एक्सेस को प्रतिबंधित करें - या तो फ़ायरवॉल के माध्यम से, या बॉक्स पर कम से कम आईपी प्रतिबंध - उन सर्वरों के लिए जिन्हें केवल एक्सेस की आवश्यकता होती है। सार्वजनिक उपयोगकर्ताओं को सीधे पहुंच की आवश्यकता नहीं है, है ना?
• इस बात का ध्यान रखें कि वह शायद स्थानीय प्रशासक उपयोगकर्ता को आगे बढ़ाने का प्रयास करेगा। यद्यपि आप वास्तव में व्यवस्थापक की अनुमति नहीं निकाल सकते हैं, आप इसे एक विशिष्ट भूमिका में छोड़ सकते हैं और स्पष्ट रूप से पहुंच को अवरुद्ध कर सकते हैं।
• यदि आप कर सकते हैं, तो SQL सर्वर ब्राउज़र सेवा को अक्षम करें। इसे आसान बनाने का कोई कारण नहीं ...
• डेटाबेस पर उपयोगकर्ताओं, अनुमतियों और पासवर्डों का संपूर्ण विश्लेषण करें - वे शायद अगले उपयोगकर्ताओं की कोशिश करेंगे।
• अधिक जानकारी के लिए ITSecurity.SE पर फिर से यह पूछने की कोशिश करें :)

Answer 7

यदि आपका SQL सर्वर आपके नेटवॉर्क के बाहर पहुंच योग्य होना चाहिए, तो आपको बाहरी आईपी पते को एक्सेस करने की आवश्यकता हो सकती है। वीपीएन एक बेहतर समाधान है, (लेकिन हमेशा उपलब्ध नहीं), और सबसे अच्छा समाधान कोई बाहरी पहुंच नहीं है।

श्वेतसूची में अधिक प्रबंधन की आवश्यकता होती है, लेकिन यह इस नीरसता को दूर करता है। यदि किसी को एक्सेस की आवश्यकता है और उनके पास अक्सर बदलते आईपी है, तो वे आरडीपी के माध्यम से एक अलग सिस्टम में लॉगिन कर सकते हैं और वहां से SQL सर्वर से जुड़ सकते हैं।

सा खाता का नाम बदलें, फर्जी सा खाता बनाएँ, और इसे निष्क्रिय करें।

सभी SQL सर्वर उपयोगकर्ता खातों के लिए ऑडिट अनुमतियां और ट्रिगर पासवर्ड अपडेट; शायद पासवर्ड की शक्ति की आवश्यकताओं को बढ़ाएँ।

SQL सर्वर IP श्रवण पोर्ट का नवीनीकरण करें। इसका मतलब क्लाइंट कॉन्फ़िगरेशन या एप्लिकेशन कॉन्फ़िगरेशन फ़ाइलों को अपडेट करना है।

मैं संभावित अगले हमले वैक्टर के बारे में अन्य पोस्टरों से सहमत हूं और यह शायद कोई स्क्रिप्ट चला रहा है।

Answer 8

किसी के लिए एक कार्यक्रम है कि IPSEC नीति, फिल्टर, आदि बनाने के लिए देख रहे हैं और स्वचालित रूप से घटना लॉग स्कैन और आईपी की ब्लॉक सूची में जोड़ने के लिए, मैं एक छोटा सा प्रोग्राम लिखा है कि बस करता है।

मुझे यह समस्या भी थी जहाँ मेरे इवेंट लॉग को 's' लॉगिन के साथ मेरे MSSQL उदाहरण में लॉगिन करने का प्रयास करने वाले हैकर्स के लिए हजारों प्रविष्टियाँ भरी होंगी। बहुत खोज के बाद, मैंने अपना खुद का प्रोग्राम लिखने का फैसला किया है, क्या यह neccessary IPSEC आइटम बनाता है, और फिर नए आईपी पतों से हमलों के लिए हर 60 सेकंड में इवेंट लॉग स्कैन करें। यह तब IP पते को IPSEC फ़िल्टर में जोड़ता है, और IP से और जाने के लिए सभी ट्रैफ़िक को रोकता है। मैंने केवल विंडोज सर्वर 2008 पर इसका परीक्षण किया है, लेकिन विश्वास है कि यह अन्य संस्करणों पर भी काम करेगा।

नीचे दिए गए लिंक का उपयोग करके कार्यक्रम को डाउनलोड करने के लिए स्वतंत्र महसूस करें। टास्कमैनगर आइकन के राइट-क्लिक मेनू में लिंक का उपयोग करके दान की हमेशा सराहना की जाती है।

http://www.cgdesign.net/programs/AutoBlockIp.zip

कृपया ध्यान दें कि यह केवल 'एस' लॉगिन का उपयोग करके SQL लॉगिन प्रयासों के लिए काम करता है, लेकिन मैं इसे अन्य लॉग इवेंट के लिए भी काम करने के लिए संशोधित कर सकता हूं। इसके अलावा, आप आईपी को देख सकते हैं, जिसे अवरुद्ध कर दिया गया है, लेकिन आप इवेंट लॉग में कुछ आइटम देखना जारी रखेंगे क्योंकि प्रोग्राम केवल 60 सेकंड तक चलता है। यह एकल ईवेंट लॉग प्रविष्टि को हटाने में सक्षम नहीं होने के कारण है, और मुझे नहीं लगता कि संपूर्ण लॉग को हटाना एक अच्छा विचार होगा।

DISCLAIMER - उपर्युक्त प्रोग्राम को डाउनलोड करने और स्थापित करने से, आप मुझे किसी भी नुकसान, डेटा की हानि, भ्रष्टाचार, या किसी अन्य कार्यक्षमता के मुद्दों के लिए हानिरहित रखने के लिए सहमत हैं जो उक्त सॉफ़्टवेयर के उपयोग से उत्पन्न होता है। मैंने अपनी क्षमता के अनुसार कार्यक्रम का परीक्षण किया है और वर्तमान में यह 2 सर्वरों पर चल रहा है, लेकिन आपको अपने जोखिम पर उपयोग करने की चेतावनी दी गई है।

किसी भी प्रश्न या टिप्पणी, www.cgdesign.net पर मेरी वेबसाइट पर संपर्क फ़ॉर्म का उपयोग करके मुझसे संपर्क करने में संकोच न करें

-क्रिस

Comments

आप उत्पाद के साथ अपने जुड़ाव का खुलासा करने का अच्छा काम करते हैं। सावधान रहें, हम आम तौर पर बिक्री सत्र की सराहना नहीं करते हैं।

— स्कॉट पैक

Answer 9

आपको लॉगिन प्रयासों को प्रतिबंधित करना चाहिए, इसलिए यदि वही उपयोगकर्ता 5 से अधिक बार लॉग इन करने का प्रयास करता है, तो वे कुछ घंटों या एक दिन के लिए किसी भी अन्य प्रयास से अवरुद्ध हो जाते हैं। कम से कम तब वे लाख कोशिशों के बाद भी लॉगिन को बल नहीं दे सकते।

और जैसा दूसरों ने कहा है, यदि आवश्यक न हो तो सार्वजनिक उपयोग की अनुमति न दें। यदि कुछ लोगों को बाहरी उपयोग की आवश्यकता है, तो आप ज्ञात आईपी के सेट तक पहुंच को प्रतिबंधित कर सकते हैं।

Comments

खाता पहले से ही अक्षम है, यह बहुत अधिक अक्षम नहीं हो सकता है।

— मृन्डी

@ मर्डनी: मैं पहले पैराग्राफ के लिए गैर-अक्षम खातों के बारे में अधिक सोच रहा था। अगर किसी को 'सा' मजबूर किया जाता है, तो वे आसानी से दूसरे खाते से शुरुआत कर सकते हैं। अक्षम खाते पर 5 प्रयासों के बाद, उन्हें पूरी तरह से ब्लॉक करें।

— असंतुष्टगीतगट

स्क्रिप्ट किट आमतौर पर केवल सा खाते पर हमला करेंगे क्योंकि वे पहले से ही उपयोगकर्ता नाम जानते हैं। अन्यथा उन्हें उपयोगकर्ता नाम के साथ भी बल देना पड़ता है, जो दोगुना समय लेता है और उनके पास यह जानने का कोई तरीका नहीं है कि उपयोगकर्ता नाम मौजूद है या नहीं।

— मन्दिनी