Konuyu Açan
#1
Giriş
SQL Server servis hesapları, veritabanı sunucusunun temel süreçlerini çalıştıran hesaplardır. Yanlış yapılandırıldığında güvenlik açıkları ve operasyonel sorunlar doğurabilirler. Bu başlık altında servis hesaplarının hangi yetkilere sahip olması gerektiğini, hangi durumlarda ayrıcalık verilmesi gerektiğini ve yaygın yanlış uygulamaları tartışalım.
- Genel güvenlik prensibi: servis hesapları, yalnızca çalışması için gerekli olan minimum yetkileri taşır. Yönetimsel görevler için ayrı kimlikler veya yükseltilmiş ayrıcalıklar düşünülmelidir.
- İşletim sistemi hakları: servis hesabı genellikle yerel güvenlik politikaları, güvenlik ilkeleri ve denetim için gerekli kısa vadeli izinlere sahip olabilir. Ancak güvenlik açısından “en az yetki” prensibini benimsemek gerekir.
- SQL Server tarafı yetkileri: varsayılan olarak servis hesabı SQL Server üzerinde sa, sqlservice gibi hesaplar olarak çalışır. Veritabanı erişimi gerekirse sadece ilgili veritabanı veya veri yolu üzerinde minimal izinler verilir (read/write/execute gibi).
- Hizmet hesaplarıyla ilgili sık karşılaşılan konular:
- Ağ paylaşımları ve kimlik doğrulama: domain hesapları kullanırken güvenlik grupları ve GPO politikalarıyla uyumlu çalıştırma.
- Backups ve maintenance işlemleri: yedekleme operasyonları için ayrı bir servis hesabı düşünülebilir; bu hesap yalnızca yedekleme kullanıcılarına sahip olur.
- Enstrümantasyon ve denetim: denetim günlükleri için gerekli oturum açma izni ve olay kaydı erişimi, ancak sistemin genel çalışma yetkileri kısıtlı tutulur.
- Güncelleme ve yama durumları: servis hesaplarının privilege escalation risklerini minimize etmek için düzenli olarak gözden geçirilir.
- İzleme ve raporlama entegrasyonu: güvenlik çözümleri ile entegrasyon için belirli olayları okumaya veya rapor üretmeye yeterli ayrıcalıklar verilir.
- Windows servisleriyle uyum: hizmetlerin start-stop işlemleri için Local System veya Service Logon hesapları yerine domain tabanlı hesaplar tercih edilirse güvenlik yönetimi kolaylaşır.
- Manuel müdahale ihtiyacı: gerekiyorsa, sadece ilgili görevi yapan sınırlı bir komut setiyle işlem yapan hesaplar kullanılır.
- Uygulama örneği: Bir SQL Server örneği üzerinde, çalışma zamanı için gereken belleği ve I/O’yu garanti etmek adına servis hesabına sadece gerekli izinler verilir; yedekleme için ayrı bir hesap kullanılır; bu sayede bir hesap güvenlik ihlali olduğunda etki alanı sınırlı kalır.
- Dokümantasyon ve sürüm kontrolü: hangi hesapların hangi servisler için kullanıldığı, hangi yetkilerin hangi sürümde uygulandığı belgelendirilir ve düzenli olarak denetlenir.
Kapanış
Siz hangi yöntemleri kullanıyorsunuz: tek hesapla mı yoksa görev bazlı çok hesap mı? Şu anda karşılaştığınız en büyük zorluklar nelerdir ve hangi güvenlik pratiklerini hayata geçirdiniz? Deneyimlerinizi ve önerilerinizi paylaşın.
