SQL Server schränkt Benutzer nur auf ausgewählte gespeicherte Prozeduren ein

Question

Das Konto sa wurde kürzlich aufgrund von zahlreichen fehlgeschlagenen Anmeldeversuchen eines unbekannten Benutzers in der öffentlich zugänglichen Datenbank meines Unternehmens gesperrt. Ich habe ihre IP-Adresse in den Logs, aber es hat mir höllisch Angst gemacht.

Ich habe alle meine Passwörter geändert und bin dabei, alle sensiblen Daten zu verschlüsseln.

Wie kann ich einen SQL Server Authentication Benutzer einschränken, nur bestimmte gespeicherte Prozeduren ausführen zu können, aber nichts anderes tun (nichts sehen und nicht einmal Select * From [SomeTable] tun können)?

Update:

ich für den Firewall eine weiße Liste von IP-Adressen einrichten endete, zufällig 90 Zeichen Erstellen von Passwörtern, das Setzen von db_denydatawriter und db_denydatareader und Execute für bestimmte gespeicherte Prozeduren für bestimmte Benutzer zu gewähren.

Answer 1

Es ist nicht sicher, SQL Server für das Internet zu öffnen. Eine minimal verantwortliche Lösung würde ein VPN oder einen Webserver dazwischen platzieren.

Nachdem Sie das gesagt haben, können Sie einen Benutzer aus allen Gruppen (einschließlich public) entfernen und dann nur Rechte für bestimmte gespeicherte Prozeduren gewähren. Ohne db_datareader kann ein Benutzer nicht select * from SomeTable.

Answer 2

Angriffe gegen einen ungeschützten sa auftreten die ganze Zeit, ist Teil des Arsenals von jedem Botnet und Malware-Scan-Kit da draußen.

Die einzigen Einschränkungen, die Ihnen zur Verfügung stehen, sind Berechtigungen und Zuschüsse. Es gibt keinen Mechanismus, um zu beschränken, was von einer Anmeldung ausgeführt wird (es gibt keinen Mechanismus, der ähnlich ist wie beispielsweise, dass ein SSH-Tunnel nur auf bestimmte Befehle beschränkt sein kann). Es läuft also auf Berechtigungen und starke Passwörter hinaus.