Neem contact op
Bel mij terug

Wie kan bij mijn data?

Door Reitse Eskens, Support Specialist BI

In de huidige tijd van GDPR (of in Nederland, de AVG) is informatiebeveiliging een groot punt van aandacht. 

Voor de technici is het natuurlijk enorm interessant om snel een overzicht te kunnen maken van wie bij de data kunnen. In dit blog ga ik daarom in op de vraag hoe je snel een beeld krijgt van wat gebruikers mogen en kunnen zien op de database.

Audits

De eerste vraag is natuurlijk, wie logt er in op mijn database. Om daar een beeld van te krijgen kan je een audit functie van SQL Server gebruiken. Bij de database opties kan je aangeven wat je wilt auditeren. Standaard worden alleen de niet succesvolle logins geregistreerd, maar dat kan je uitbreiden.

Selecteer in dit keuzescherm de optie ‘Both failed and succesful logins’. Op deze wijze wordt elke login geregistreerd en kan later een overzicht opgemaakt worden welke gebruiker op welk moment ingelogd is geweest.

Maar waar wordt die data nu gelogd? Dat gebeurd in de SQL Server logs. Deze kan je vinden onder het mapje Management en dan de SQL Server logs. Om alle inlog registraties in beeld te krijgen (en vooral alle andere meldingen uit te sluiten) kan je filteren. Daarvoor klik je op filter waarna je bij ‘Source’ aangeeft dat je wilt filteren op Logon registraties.

Je krijgt daarna alleen de registraties te zien vanuit het inloggen. Daarmee kan je dan een eigen audit uitvoeren met betrekking tot welke gebruikers op welk moment ingelogd zijn.

In een apart blog zal ik ingaan hoe je verdere activiteiten kan volgen van gebruikers op database- en tabelniveau.

Authenticatie en SA

Inloggen kan je op twee manieren doen, via een AD account of via een SQL Server account.

Werk waar mogelijk met AD authenticatie. Daarmee hou je centraal in de hand wie er in mag loggen op de database en met welke rechten. Alleen als het niet anders kan moet je gebruik maken van een SQL account.

Ook voor de administrators is dit de aanbevolen instelling. Een windows account kan je lid maken van de SysAdmin rol in SQL Server en daarmee kan die beheerder het volledige beheer uitvoeren.

Het SA account is een heel gemakkelijk account om op het hoogste niveau het beheer uit te voeren. Maar ook een account wat het meest geprobeerd wordt om te hacken. Helaas komen we soms nog tegen dat het SA account een te gemakkelijk wachtwoord heeft. Daarom is het advies om het SA account uit te schakelen. Dat heeft verder geen invloed op het eigenaarschap van een database. Een uitgeschakelde gebruiker kan nog steeds de eigenaar van een database zijn. Maar die gebruiker is niet meer in staat om in te loggen.

Het commando om het SA  (of welk account dan ook) uit te schakelen is één regel:

Hiermee is het account uitgeschakeld.

Volgen van wachtwoordwijzigingen

Gebruikers worden geacht regelmatig hun wachtwoord te wijzigen. Om te volgen of gebruikers dat voldoende doen kan je een SQL Server audit aanmaken.

Daarvoor maak je als eerste een audit aan:

Als je deze hebt aangemaakt en geactiveerd voeg je een audit specificatie toe:

Om het wijzigen van een wachtwoord te volgen kies je het volgende ‘Audit Action Type’:

Activeer de audit specificatie. Zodra er een wachtwoord wijziging plaatsvindt zal er een record gelogd worden in de audit.

Je kan de logs op de volgende manier inzien:

In het scherm wat je hierna krijgt zie je het overzicht van gebruikers en hun wachtwoordwijzigingen.

Sysadmins mogen alles!

Daarom wil je natuurlijk weten wie dat zijn. Maar hoe zie je dat nu snel zonder elk account afzonderlijk te openen en de rechten te bekijken.

Daarvoor kan je de volgende query gebruiken:

Als je deze query uitvoert, dan krijg je te zien welke gebruikers een sysadmin rol hebben, of het een AD of SQL account betreft en op welk moment deze is aangemaakt. Ook zie je of het een login betreft welke actief is of dat deze uitgeschakeld is.

Conclusie

Wees je bewust van de rechten die gebruikers op de database hebben. Geef rechten aan mensen die ze nodig hebben voor hun functie en sluit uit wat ze niet nodig hebben. Beter later iets toevoegen dan er te laat achter komen dat ze teveel konden.

Schakel SA uit en denk na over welke audits je uit wilt voeren op je database.

Verleg het beheer van accounts van SQL Server naar Windows. Wordt een AD account uitgeschakeld, dan is direct de toegang tot de database weg.

Kijk hier voor meer informatie over de GDPR en Analytics.