Desde mi punto de vista, tu preocupación es válida. Y gestionando el acceso desde
su servidor web IIS a su base de datos de servidor SQL con tal
La configuración es un buen enfoque. También es cierto que si tu web
el servidor está comprometido por una ejecución de código malicioso ( source ),
el atacante podría aumentar los privilegios, recopilar credenciales, hacerse pasar por cualquier cuenta del grupo de aplicaciones de IIS y obtener acceso a su servidor SQL. Puedo sugerir las siguientes recomendaciones de seguridad específicas para aumentar la seguridad de su arquitectura:
Gestión del ciclo de vida de la cuenta de servicio:
- Defina una rotación de la política de contraseñas para cambiar las contraseñas con frecuencia (algunas soluciones de Password Access Management pueden resolver este problema)
- Usa una política de contraseña compleja
- Para reducir la carga de trabajo de los puntos anteriores, use Cuentas de servicio administradas ( fuente ). Proporcionarán cuentas con contraseñas complejas y rotación automática
- Respete el privilegio mínimo (como lo menciona @Jeroen) para cada uno de sus Grupos de aplicaciones y nunca otorgue privilegios de administrador completo o administrador de base de datos a una cuenta de servicio
- Usar autenticación Kerberos (no activada por defecto). Esto requerirá varias configuraciones ( fuente ) y uso de SPN
Seguridad del servidor:
- Habilite el registro avanzado de Windows y registro de PowerShell para detectar comportamientos extraños (como proceso nuevo, bloqueo de la aplicación, inicios de sesión fallidos, nuevo servicio, movimiento lateral ...)
- Habilitar SQL Server logging
- Habilitar registros de IIS (archivos de formato txt)
- No almacene servidores front-end en la misma red o subred que sus servidores de sensibilidad (por ejemplo: servidores de base de datos, AD, PKI, ...) y use un firewall para filtrar solo el tráfico necesario (en su caso, el puerto usado por su instancia de SQL).
- Cambie su servidor IIS al modo Core ( source ) para reducir su exposición superficial
Al final, no hay una solución "mágica" para resolver su problema, excepto siguiendo las mejores prácticas de seguridad básicas y avanzadas. Tener un recolector de registros (por ejemplo: SIEM) también será útil para aumentar la cobertura de seguridad de todos sus recursos de registro (firewall, Windows, Linux, Unix, enrutadores, IDS, IPS, ...).