Guia de Ferramentas de Segurança do SQL Server 2000
Propaganda
Guia de Ferramentas de Segurança do SQL Server 2000 A Microsoft fornece o SQL Critial Update Kit, que inclui ferramentas de segurança para o exame de instâncias do Microsoft® SQL Server™ 2000 e Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) quanto a vulnerabilidades ao vírus SQL Slammer. Você pode usar ferramentas adicionais fornecidas no Kit para atualizar qualquer vulnerabilidade de instância descoberta. Instâncias de SQL Server 2000 e MSDE 2000 serão vulneráveis se não tiverem o 2000 SP3 ou SP2, e um dos seguintes boletins de segurança: MS02-039. MS02-043. MS02-056. MS02-061. Consulte o site http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bullet in/MS02-061.asp OBSERVAÇÃO Os boletins de segurança são cumulativos; deste modo, o MS02-061 inclui todos os boletins de segurança anteriores. Após identificar a instância vulnerável de SQL Server 2000 ou MSDE 2000, tome uma das seguintes medidas: Ambiente de Produção Garanta que o Microsoft SQL Server 2000 Service Pack 2 esteja instalado e, em seguida, use o SQL Critical Update Kit para localizar e atualizar todas as instâncias vulneráveis de SQL Server 2000 e MSDE 2000. Esse é o procedimento recomendado para os ambientes de produção. Não instale o Service Pack 3 até tê-lo testado totalmente em uma configuração de não-produção. O SQL Critical Update Kit é um arquivo executável de auto-extração disponível para download no site http://www.microsoft.com/sql/downloads/securitytools.asp. Uma vez feito o download do kit, será necessário executar o arquivo update.bat. O arquivo update.bat executa efetivamente o SQL Check e o SQL Critical Update ao mesmo tempo. Se já tiver localizado as instâncias vulneráveis de SQL Server 2000 ou MSDE 2000, execute o SQL Critical Update no computador local para todas as instâncias. Recomenda-se executar o arquivo update.bat, que localiza e corrige as instâncias vulneráveis. Se você tiver uma rede gerenciada SMS (Systems Management Server), recomenda-se que utilize a ferramenta SMS Deploy, que inclui o arquivo SQLFIX.SMS, que pode ser usado para criar um pacote em SMS para implantar o SQL Critical Update. Ambiente de Teste Recomenda-se aplicar o Microsoft SQL Server 2000 Service Pack 3 (SP3). Esta é a solução recomendada para ambientes de teste, pois o SP3 proporciona aperfeiçoamentos no desempenho, na capacidade de serviço e na segurança. O download do SP3 está disponível no site http://www.microsoft.com/sql. Siga as instruções no arquivo leiame do SP3 para instalar e testar o SP3. Se você não conseguir aplicar o SP3, execute qualquer um dos procedimentos mencionados anteriormente no título "Ambiente de Produção". Este documento explica os detalhes técnicos envolvidos na localização e segurança de instâncias de SQL Server 2000 e MSDE 2000. O documento também descreve as ferramentas fornecidas com o kit e explica como elas funcionam. Finalmente, este documento explica como determinar se o SQL Critical Update atualizou com êxito uma instância de SQL Server 2000 ou MSDE. Verificando a Necessidade do Kit O SQL Critical Update Kit foi projetado para trabalhar com todas as edições de SQL Server 2000 e MSDE 2000. Para obter uma lista de versões de Microsoft SQL Server 2000 vulneráveis ao vírus Slammer, consulte o site http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/virus/aler ts/slammer.asp. Para verificar que versão do SQL Server 2000 ou do MSDE 2000 está instalada no seu computador, consulte o site http://support.microsoft.com/default.aspx?scid=kb;enus;321185. Fazendo o Download e Extraindo o SQL Critical Update Kit Este kit está disponível como um arquivo de auto-extração de um idioma específico. O nome do arquivo deste pacote é SQLCritUpdPkg_XXX.exe, onde XXX indica a versão do idioma específico do kit. Por exemplo, SQLCritUpdPkgESN.exe é a versão da versão localizada em espanhol do SQL Server. Você precisará da versão do idioma específico deste arquivo para obter a versão localizada do SQL Server que precisa ser corrigida. Essa ferramenta está disponível nos seguintes idiomas: Chave Idioma Identificador de Código de Idioma (LCID) CHS Chinês Simplificado 2052 CHT Chinês Tradicional 1028 ENU Inglês 1033 ESN Espanhol 3082 or 1034 FRN Francês 1036 GER Alemão 1031 ITA Italiano 1040 JPN Japonês 1041 KOR Coreano 1042 BRZ Português (Brasil) 1046 DUT Holandês (Holanda) 1043 SVE Sueco 1053 Para fazer o download do SQL Critical Update Kit: 1. Visite o site http://www.microsoft.com/sql/downloads/securitytools.asp 2. Selecione a versão de idioma desejada na lista suspensa e clique em GO. Isso o levará até a página de download do idioma específico para o SQL Critical Update Kit. 3. Na página de download do idioma específico, clique no link SQLCritUpdPkg_XXX.exe para iniciar o download. 4. Quando o download tem início, você pode escolher entre executar o arquivo SQLCritUpdPkg_XXX.exe remotamente a partir do servidor ou salvá-lo no computador local. O arquivo de extração automática SQLCritUpdPkg_XXX.exe é executado remotamente e extrai os arquivos necessários para o computador local. No entanto, se você desejar executar o SQL Critical Update Kit em outros computadores, faça o download do arquivo de auto-extração e salve-o localmente. OBSERVAÇÃO Se pretende implantar o SQL Critical Update Kit em toda a empresa, faça o download do arquivo de auto-extração e coloque-o em um compartilhamento público para que possa ser facilmente executado em toda a sua organização. 5. Se optou por executar o arquivo de auto-extração do servidor, vá para a etapa 6. Caso tenha salvado esse arquivo localmente, vá para o diretório no qual o salvou e execute-o para extrair os arquivos. 6. Quando executado, o arquivo de extração automática requisita que você aceite o EULA e a seguir solicita que selecione um destino onde salvar os arquivos extraídos. A localização padrão é C:\SQLCritUpdPkg, mas você pode especificar outra, desde que esteja no computador local. Não é possível extrair remotamente para um compartilhamento UNC. A partir de agora você está pronto para usar o SQL Critical Update Kit. Ferramentas do SQL Critical Update Kit Esse kit contém as seguintes ferramentas: SQL Critical Update aplica um hotfix que elimina a vulnerabilidade ao vírus Slammer. SQL Check localiza e desativa instâncias vulneráveis do SQL Server. SQL Scan localiza instâncias vulneráveis em uma rede local. SMS Deploy ativa o uso de SMS (Systems Management Server) para implantar atualizações em uma rede gerenciada por SMS. ServPriv faz o patch de instâncias de SQL Server 2000 e MSDE 2000 executando SQL Server 2000 SP2 ou posterior. OBSERVAÇÃO Embora muitos administradores estejam cientes das instâncias de SQL Server 2000 em suas empresas, o mesmo pode não ser verdade em relação às instâncias de MSDE2000, porque esse pode ser instalado com produtos Microsoft ou produtos de desenvolvedores de terceiros. As ferramentas são designadas para localizar e atualizar todas as instâncias de SQL Server 2000 e MSDE 2000, para garantir a segurança de toda a empresa. SQL Critical Update O SQL Critical Update é um utilitário de linha de comando que procura as instâncias locais de SQL Server 2000 ou MSDE 2000 e, em seguida, atualiza automaticamente todas as instâncias vulneráveis encontradas. O SQL Critical Update corrige apenas instalações MSDE com o mesmo idioma da versão de SQL Critical Update que você estiver executando. Por exemplo, se estiver executando a versão em inglês do SQL Critical Update Utility, as versões de MSDE que não forem em inglês não serão corrigidas. O SQL Critical Update executa as seguintes tarefas: Avalia a vulnerabilidade em potencial de cada instância de SQL Server 2000 e MSDE em um computador. Cria cópias de backup de todos os arquivos vulneráveis que serão substituídos. As cópias de backup são salvas em uma subpasta denominada Backup. Substitui todos os arquivos vulneráveis por cópias atualizadas que não apresentam a vulnerabilidade. Registra todas as ações em um arquivo de log. OBSERVAÇÃO O SQL Critical Update só funcionará se o arquivo ssnetlib.dll existir para todas as instâncias do SQL Server que deverão ser corrigidas. Se este arquivo tiver sido excluído ou renomeado, entre em contato com o Gerente de Conta Técnica ou com o Consultor de Desenvolvimento de Aplicativos, ou siga estas etapas. 1. Copie o hotfix para o computador local que requer a atualização. 2. Remova o computador da rede. 3. Renomeie o arquivo ssnetlib.dll. 4. Aplique o hotfix. 5. Reconecte o computador à rede. OBSERVAÇÃO O SQL Critical Update não instala o SP3. Ele somente atualiza arquivos vulneráveis. Para o SQL Server 2000 e o SQL Server 2000 SP1, o número da versão reportado por @@VERSION não muda. Para o SQL Server 2000 SP2, o número da versão é incrementado. Para estas versões, o resultado de SELECT @@VERSION é o seguinte: SQL Server 2000: 8.00.194 SQL Server 2000 SP1: 8.00.384 SQL Server 2000 SP2, sem SQL Critical Update: 8.00.534 SQL Server 2000 SP2, sem SQL Critical Update: 8.00.679 Permissões O usuário que executa o SQL Critical Update deve ter permissão para substituir arquivos do SQL Server no diretório Arquivos de Programas. Se o usuário não tiver essas permissões, o SQL Critical Update falhará sem criar o arquivo de log. Requisitos do Sistema PC com processador Intel ou Pentium 166 MHz ou superior compatível Mínimo de 64 MB de RAM (recomendam-se 128 MB ou mais) Microsoft Internet Explorer 5.0 ou posterior Monitor VGA ou com resolução superior Microsoft Mouse ou dispositivo apontador compatível Sistemas Operacionais Para os Quais Há Suporte: Microsoft Windows® 98 Microsoft Windows ME Microsoft Windows NT® Workstation 4.0 com Service Pack 5 ou posterior Windows NT Server 4.0 com Service Pack 5 ou posterior Windows NT Server 4.0 Enterprise Edition com Service Pack 5 ou posterior Windows 2000 Professional Windows 2000 Server Windows 2000 Advanced Server Windows 2000 Datacenter Server Windows XP Professional Restrições O SQL Critical Update deve ser executado no computador local. O SQL Critical Update desativará e corrigirá as vulnerabilidades que encontrar; ele não pode ser usado apenas para desativar uma instância do SQL Server. Para obter mais informações sobre SQL Critical Update, consulte o arquivo readme_SQLHotfix.txt no diretório SqlCritUpd. OBSERVAÇÃO Todos os arquivos leiame são extraídos junto com as ferramentas quando o arquivo SQLCritUpdPkg_XXX.exe é executado. SQL Check O SQL Check (Sscheck.exe) localiza e desativa instâncias de SQL Server 2000 e MSDE 2000 vulneráveis ao vírus Slammer. O SQL Check identifica e reporta a vulnerabilidade de qualquer instância do SQL Server 2000 ou do MSDE 2000 no Windows 98, Windows ME, Windows NT 4.0, Windows 2000 ou Windows XP. O SQL Check só pode desativar as instâncias do SQL Server e do MSDE 2000 no Windows NT 4.0, Windows 2000 ou Windows XP. O SQL Check também identifica clusters vulneráveis do SQL Server 2000, mas não os desativa. O SQL Check tenta identificar o código do produto MSDE e o código do pacote do MSDE, se aplicáveis, da instância avaliada. Você pode encontrar uma lista dos códigos de produtos MSDE reconhecidos no site http://support.microsoft.com/default.aspx?scid=kb;en-us;311762 . OBSERVAÇÃO Embora o SQL Check e o SQL Critical Update possam ser executados separadamente, recomenda-se a utilização dessas ferramentas ao mesmo tempo. Para isso, execute o arquivo Update.bat na linha de comando. Para obter mais informações sobre SQL Check, consulte o arquivo readme_sscheck.txt no diretório SQLCheck. SQL Scan O SQL Scan (Sqlscan.exe) localiza instâncias do SQL Server 2000 e do MSDE 2000 no Windows NT 4.0, Windows 2000, Windows XP (Professional) ou posterior. O SQL Scan examina um computador individual, um domínio do Windows ou um intervalo específico de endereços IP. Além disso, o SQL Scan identifica as instâncias do SQL Server e do MSDE 2000 que podem ser vulneráveis ao vírus Slammer e tenta desativá-las. OBSERVAÇÃO A desativação de uma instância de SQL Server infectada pode não ser concluída com êxito, dependendo da versão do Sistema Operacional. Eventualmente é necessário usar as ferramentas de gerenciamento de sistema para finalizar o processo. O SQL Scan identifica instâncias vulneráveis do SQL Server em computadores em cluster, mas não as desativa. Nesses computadores, o gerenciamento da desativação e do desligamento das instâncias SQL deve ser feito manualmente. O SQL Scan tenta identificar o código do produto MSDE e o código do pacote do MSDE, se aplicáveis à instância avaliada. Você pode encontrar uma lista dos códigos de produtos MSDE reconhecidos no site http://support.microsoft.com/default.aspx?scid=kb;en-us;311762 . Requisitos do Sistema o Windows 2000 é o requisito mínimo de sistema para carregar o SQL Scan. Permissões Quando usado para examinar computadores remotos, o SQL Scan requer que o usuário seja o administrador do domínio ou o administrador do computador local. Restrições É necessário fornecer um dos itens abaixo como entrada: Um domínio Um intervalo de endereços IP O nome de um computador O SQL Scan não localiza instâncias do SQL Server executadas no Windows 98, no Windows ME ou no Windows XP (Home). O SQL Scan não detecta instâncias do SQL Server que foram reiniciadas a partir do prompt de comando. O SQL Scan não retornará um resultado conclusivo se um dos arquivos ssnetlib.dll ou sqlserver.exe for renomeado. É preciso que os arquivos tenham os seus nomes originais antes da execução da ferramenta. Para obter mais informações sobre SQL Scan, consulte o arquivo readme_sqlscan.txt no diretório SQLScan. SMS Deploy O SMS Deploy fornece um arquivo, SQLFIX.SMS, que pode ser usado para criar um pacote em SMS (Systems Management Server) para implantação do SQL Critical Update. Para obter mais informações sobre SQL Deploy, consulte o arquivo readme_SMSDeploy.txt no diretório SMSDeploy. Servpriv O Servpriv (Servpriv.exe) é projetado para fazer patch de instâncias vulneráveis de SQL Server 2000 SP2 ou posterior. Se você não estiver executando o SQL Server 2000 SP2 ou posterior, deverá fazer a atualização para SQL Server 2000 SP2 antes de usar o Servpriv. Para obter mais informações sobre Servpriv, consulte o arquivo readme_sscheck.txt no diretório SQLCheck. Verificando o SQL Critical Update Para verificar se o hotfix do SQL Critical Update foi aplicado corretamente, selecione a versão do arquivo Ssnetlib.dll. Para instâncias padrão de SQL Server 2000 ou MSDE 2000, o arquivo Ssnetlib.dll está localizado no diretório MSSQL\Binn. Para instâncias nomeadas, Ssnetlib está no diretório MSSQL$instancename\Binn. A tabela a seguir mostra todas as configurações seguras possíveis de SQL Server 2000 e MSDE, e as versões do arquivo ssnetlib.dll para estas configurações: Configuração do servidor Versão do arquivo Ssnetlib.dll RTM após execução do SQL Critical Update 2000.80.311.0 (após atualização) SP1 após execução do SQL Critical Update 2000.80.479.0 (após atualização) SP2 e boletim de segurança MS02-039 2000.80.636.0 SP2 e boletim de segurança MS02-043 2000.80.636.0 SP2 e boletim de segurança MS02-056 2000.80.679.0 SP2 e boletim de segurança MS02-061 (ou qualquer SP2 após execução do SQL Critical Update) 2000.80.679.0 (após atualização) SP3 2000.80.760.0 Observação A execução do SQL Critical Update em qualquer instância de SQL Server 2000 SP2 ou MSDE 2000 SP2 aplicará o boletim de segurança MS02-061.
