SQL Serverのポートを変更することは本当に安全ですか？

SQL Serverのデフォルトポートは1433です。管理者から、「セキュリティ上の理由で」ポートを変更する必要があると言われました。

ポートを変更する方が本当に安全ですか？サーバーがファイアウォールの内側にあり、特定の範囲のIPからの接続のみを許可している場合、それだけでは不十分ですか？

ポートスキャンWebサイトから開始できる一般的なポートスキャンに対して役立ちます。しかし、それは献身的な攻撃者に対しては役に立ちません。これは単なる別のレイヤーですが、既に述べたように、ファイアウォールをあまり追加しません。

SQL Serverがインターネットに直接接続されている場合（そうではないはずです）、一般的な攻撃スクリプトのほとんどはデフォルトのポート番号のみを使用するため、ある程度の保護を提供できます。

SQL Serverがインターネットから直接アクセスできない場合、これはかなり無意味です。ファイアウォールは、リモートポートへの接続を許可する必要があります。マシンでクライアントソフトウェアを実行するとすぐに、NET STATコマンドを使用してSQL Serverが使用しているポートを確認できます。この時点で、正確に2〜3秒遅くなりました。

ポート1433を想定しているアプリケーションが破損します。
これに対処するように構成できるアプリもありますが、これを展開する必要があります。

そのままにしておきます。彼らがポート1433でデフォルトのインスタンスを「ハッキング」した場合、あなたはすでにbollixされています。

名前付きインスタンスのポートを指定できますが、インスタンスをポートに解決するにはポート1434を開く必要があります...

ハッカーは一般的に使用されるポートのIPアドレスを頻繁にスキャンするため、「レーダーの下を飛ぶ」ために別のポートを使用することは珍しくありません。これは、別のポートを使用しても安全性が増すこと以外は、検出を避けるためです。

限られたIP範囲のみがポートにアクセスできる場合、あなたはすでに「レーダーの下」にいるので、別のポートを使用する正当な理由はわかりません。

実はそうです。別の例を使用するために、私の大学のLinuxラボの管理者はSSHポートを22から不明瞭な値に変更しました。彼は、ネットワークが1日あたり約10,000のping /攻撃から約1か月または2か月に低下したことを報告しました。確かに、その種の攻撃に苦しんでいないのであれば、ほとんどの場合、努力する価値はありません。それでも、控えめな代替ポートに変更することにより、広範なプローブ攻撃などを防ぐことができます。

これは2つの部分からなる問題だと思います。

1）共通ポートスキャンソフトウェアは、最初に共通ポートを試すことができますが、すべてのポートを試すことを特に制限するものは何もありません。 。

2）より積極的なポートスキャンが行われている場合、それを検出し、この知識で何かをする必要があります（fail2banなど）

管理者は（1）を提案しています。（2）に関してどのようなアイデアを持っているかを尋ねます。

あいまいさによるセキュリティは、セキュリティではありません。

編集：それから、いくつかはそれがそうだと言う！個人的に、私は元のポイントを採用し続けます。

ポートを変更すると、強制的にスキャンが実行されます。ネットワークタップまたはSPANでsnortなどのセキュリティツールを使用すると、サーバーのポートスキャンのようなものが明らかになります。既定のポートで合法的にSQLサーバーに接続している人はそれほど明白ではありません。

最善のアプローチは、あいまいさによるセキュリティではないことに同意します。ただし、可能であれば、すべてのアプリケーションのデフォルトポートを変更することは、レッドチームアクティビティ、ネットワークセキュリティモニタリングチーム、およびインストール、成熟、および理解されるすべての正しいインスツルメンテーションを含む、包括的な包括的な戦略の一部です。それを使用している人。

これらすべてを手に入れると、システムの侵入者は親指のように目立ちます。要するに、リスト上のアイテムの束をチェックオフすることによってシステムのセキュリティを改善できると考えている人がいる場合、それは間違っています。ポートを変更する必要がある理由を不明確な言葉で説明できない場合、ポートを変更するように言っている誰かの役割に属していません。

アプリケーションがTCPIPを介してMS SQLに接続すると、会話の最初の部分は1433でデフォルトの名前なしインスタンスで行われます。特に、名前付きインスタンスが通信しているポート番号の普及です。ファイアウォールは、a）これを適切なip範囲まで通過させ、B）名前付きインスタンスが使用している可能性のある固定ポート番号に設定する必要があります。これらは、SQL構成マネージャーで修正済みとして構成する必要があります。接続文字列で（IPアドレス192.168.22.55）：（ポート番号12345）を使用して、任意のインスタンスと通信できます。SQLブラウザサービスが有効になっていない場合、1433は初期会話を提供しません。NT認証を使用している場合、得られるものはほとんどありません。SQL認証を使用している場合は、わずかな量を取得する必要があります。