معرفی ابزار Vulnerability Assessment در SSMS

ابزار ارزیابی آسیب پذیری در  SSMS (Vulnerability Assessment):

این ابزار از نسخه SQL Server 2012 به قابلیت های SSMS اضافه گردید. شما روی هر دیتابیسی کلیک راست کنید و گزینه Tasks را کلیک کنید در این صورت گزینه ای به نام Vulnerability Assessment  را مشاهده خواهید نمود. دوستان دقت کنید که کلمه Assessment به معنای ارزیابی می باشد و Vulnerability به معنای آسیب پذیری می باشد. به عبارتی Vulnerability Assessment به معنای مخاطراتی(ارزیابی آسیب پذیری) که دیتابیس شما را تهدید می کنند، می باشد.

برای اطلاعات بیشتر می توانید به لینک زیر(مربوط به مایکروسافت) مراجعه فرمایید:

https://docs.microsoft.com/en-us/sql/relational-databases/security/sql-vulnerability-assessment?view=sql-server-ver15#:~:text=The%20vulnerability%20assessment%20tool%20is,SQL%20Server%202012%20or%20later.

 Vulnerability Assessment را در دو سطح می توانیم تهیه نماییم:

۱ – در سطح دیتابیس

۲ – در سطح سرور

لازم به ذکر است که گزارش ارزیابی آسیب پذیری که درسطح سرور تهیه می نماییم خیلی خیلی کامل تر است.

تذکر : در ضمن این ویژگی در نسخه SSMS 17.4 به قابلیت های SSMS (SQL Server Management studio) اضافه گردید.

خب برای تهیه گزارش ارزیابی آسیب پذیری یک دیتابیس، (این گزارش، گزارشی بسیار سبک و ایمن می باشد و هیچ تغییری در پایگاه  داده شما نمی دهد) کافیست بر روی دیتابیس مورد نظرمان کلیک راست نموده و گزینه Tasks و سپس گزینه Vulnerability Assessment و نهایتا گزینه Scan for Vulnerabilities … را کلیک می نماییم. در این صورت پنجره ای مطابق شکل زیر نمایان می شود.

بر روی دکمه Browse کلیک نموده و یک مسیری برای گزارشمان تعیین می نماییم.

مطابق شکل زیر مسیر D:\Report for SQL را انتخاب می نماییم. دقت کنید بعد از این که ما گزاشمان را ساختیم در فولدر مد نظرمان (Report for SQL) به طور اتوماتیک بعد از تهیه گزارش یک فولدر به نام Scans و در داخل آن یک فولدر که همان نام کامپیوتر شما می باشد ، ایجاد خواهد شد و در داخل آن نیز یک فولدر به نام همان دیتابیسی که گزارش آسیب پذیری آن را تهیه می کنید، ایجاد خواهد شد. به عبارتی در اینجا به ازاء هر دیتابیسی که گزارش تهیه می کنید یک فولدر به نام آن دیتابیس ایجاد می شود و در داخل آن گزارش مربوطه ایجاد خواهد شد.

خروجی این گزارش به صورت زیر می باشد. این گزارش شامل تمامی نکاتی که از منظر امنیت (Security) روی دیتابیس مان (و یا روی Instance مورد نظرمان) رعایت نکرده ایم، می باشد.

مطابق گزارش زیر پنج تا نکته وجود دارد که شما از منظر امنیت باید روی این دیتابیس رعایت می کردید ولی رعایت نکرده اید.یکی از این نکات مربوط به دسته High Risk میباشد و سه تا از نکات مربوط به حوزه Medium Risk می باشد و یکی دیگر از نکات مربوط به حوزه Low Risk می باشد.

نکته خیلی خوب اینکه، مطابق شکل زیر گزارش زیر را می توانید در قالب اکسل نیز نمایش دهید(دکمه Export to Excel). این فایل اکسل بسیار زیبا و جذاب می باشد.

نحوه خواندن گزارشات Vulnerability Assessment:

برای خواندن گزارشات ارزیابی آسیب پذیری که قبلا تهیه کرده اید کافیست بر روی دیتابیس مورد نظرتان کلیک راست نموده و سپس گزینه Tasks و سپس گزینه Vulnerability Assessment و سپس گزینه Open Existing Scan… را کلیک نمایید.

سپس به مسیر گزارش مورد نظر رفته و گزارش را انتخاب کرده و بر روی دکمه OK کلیک کنید.

تذکر مهم: این گزارش فقط قالب توصیه (Advise) برای ما ندارد بلکه راه کار هم به ما ارائه می دهد و اسکریپت بر طرف کردن این آسیب رو هم به ما می دهد. کافیست بر روی آن کلیک کرده و اسکریپ مربوط به برطرف کردن مشکل را اجرا کنیم.

تذکر : این گزارش به مواردی همچون فعال بودن CLR هم ایراد می گیرد. در صورتی که همه شما عزیزان می دانید که وقتی می خواهید پکیج های نوشته شده (ELT) را به اسکیوال سرور منتقل کنید باید ابتدا در Instance خود ایجاد Create Catalog نمایید که در پنجره باز شده ، CLR را برای شما به اجبار فعال می کرد.(همانطور که می دانید تمامی تنظیماتی که در سطح Instance انجام می گیرد را می توانیم از طریق sp_configure نیز انجام دهیم).

تهیه Vulnerability Assessment در سطح Instance:

شما برای Scan کردن مخاطرات امنیتی که در سطح سرور (در سطح Instance) وجود دارد، همین کار را برای دیتابیس Master انجام دهید. به عبارتی برای به دست آوردن گزارش مربوط به مخاطرات امنیتی در سطح Instance کافیست بر روی دیتابیس Master کلیک راست نموده و سپس گزینه Tasks و سپس گزینه Vulnerability Assessment و نهایتا بر روی گزینه Scan For Vulnerabilities … مطابق شکل زیر کلیک می نماییم.

در این صورت گزارشی معادل گزارش زیر برای شما نمایش داده خواهد شد. به عنوان مثال در گزاش زیر آورده شده است که sa را غیرفعال کنید.

مطابق شکل زیر می توانیم اسکریپت برطرف کردن مخاطرات امنیتی را نیز اجرا نموده و مشکل امنیت را برطرف نماییم. کافیست بر روی آن مشکل کلیک کنید.