O SQL Server, além de ser um banco de dados seguro, com ótimo desempenho e diversas funcionalidades, recursos interessantes e extremamente úteis durante o dia a dia, possui ferramentas robustas para segurança. Entre elas, podemos citar a auditoria de login no SQL Server, realizada por meio do SQL Server Audit.
Além da auditoria a nível de banco de dados, é possível criarmos auditoria a nível da instância do SQL Server, ou seja, desde operações de login e logout até tentativas de login, alterações de senha de usuários, operações de backup/restore, dentre outras.
Neste artigo, veremos como criar uma auditoria para capturar eventos de logins, seja de sucesso ou falha. É comum auditarmos estes tipos de evento, pois podemos utilizá-los como recurso de segurança, garantindo que somente determinados usuários possam se logar no ambiente, bem como garantir a segurança e evitar ataques de força bruta. Em alguns casos em que existem diversos logins, podemos utilizar a auditoria para validar se todos, de fato, são utilizados.
Criando a Auditoria de Login
Para criar uma auditoria de login, podemos criar através de tela gráfica, script T-SQL ou PowerShell. Aqui, faremos a criação via script T-SQL.
Primeiramente, precisaremos informar o local de armazenamento do que auditaremos. Neste caso, utilizaremos um arquivo que será salvo na pasta temp. Além disso, informaremos no comando que o tamanho máximo de cada arquivo será de 1GB, com quantidade limitada de 5 arquivos e espaço reservado de disco, ou seja, essa opção pré-alocará o tamanho especificado na cláusula MAXSIZE.
Após, precisamos selecionar o que vamos auditar. Neste caso, vamos auditar os logins, tanto que os que conseguem se logar quanto o que ocorrer falha:
Depois de criar tanto a auditoria quanto a especificação, precisamos habilitá-las para iniciarmos nossos testes e coletas. Vamos usar os comandos abaixo:
A partir deste ponto, já estamos com a auditoria habilitada e pronta para testar.
Consultando os Registros de Auditoria
Para ler o que está sendo escrito no arquivo, podemos usar a consulta abaixo:
Veja que após um teste comum de login, já temos o registro de sucesso, destacado em azul.
Já o que está destacado em vermelho mostra o login “sa”, no qual erramos propositalmente a credencial, e veja que o registro também ficou logado.
Esse tipo de auditoria é interessante para entendermos o comportamento dos logins existentes bem como uma garantia extra a nível de segurança.
Para entender um pouco mais sobre auditoria e o que mais pode ser auditado, entre em contato conosco. Nossa equipe terá o prazer de atendê-lo.
