Início / dba / Perguntas / 194751
Accepted
BradC
Asked: 2018-01-06 11:28:15 +0800 CST

Como um DBA do SQL Server, o que preciso saber sobre as vulnerabilidades de fusão/espectro?

  • 772

Se você não ouviu, foi descoberto recentemente um conjunto de vulnerabilidades relacionadas que afetam praticamente todos os processadores vendidos na última década. Você pode encontrar mais detalhes técnicos sobre as vulnerabilidades de fusão/espectro no InfoSec.SE .

Como um DBA do SQL Server, o que preciso entender sobre isso?

Se não compartilharmos nossos SQL Servers (ou nossos farms vm) com outras empresas, isso ainda é um risco?

Isso será simplesmente um patch do sistema operacional? Ou há patches/hotfixes disponíveis para o SQL Server que são necessários para resolver essa vulnerabilidade? Quais versões do SQL Server serão corrigidas?

Alguns artigos estão prevendo um impacto de 5 a 30% no desempenho, especialmente em ambientes altamente virtualizados. Existe alguma maneira de prever qual pode ser o impacto no desempenho dos meus SQL Servers?

sql-server patching

1 respostas

  1. Best Answer

    Aqui está o Aviso de Segurança da Microsoft sobre as vulnerabilidades, que receberam três números "CVE":

    • CVE-2017-5715 - Injeção de alvo de ramificação ( "Spectre" )
    • CVE-2017-5753 - Bypass de verificação de limites ( "Spectre" )
    • CVE-2017-5754 - Carga de cache de dados não autorizada ( "Meltdown" )

    O KB da Microsoft sobre como essas vulnerabilidades afetam o SQL Server está sendo atualizado ativamente à medida que novas informações são disponibilizadas:

    KB 4073225: Orientação do SQL Server para proteção contra vulnerabilidades de canal lateral de execução especulativa .

    A recomendação exata da Microsoft dependerá de sua configuração e cenário de negócios, consulte o KB para obter detalhes. Se você estiver hospedando no Azure, por exemplo, nenhuma ação é necessária (o ambiente já está corrigido). Se, no entanto, você estiver hospedando aplicativos em ambientes virtuais ou físicos compartilhados com código potencialmente não confiável, outras mitigações podem ser necessárias.

    Atualmente, os patches do SQL estão disponíveis para as seguintes versões do SQL afetadas:

    Esses patches do SQL Server protegem contra o CVE 2017-5753 ( Spectre: Bounds check bypass ).

    Para proteger contra o CVE 2017-5754 ( Meltdown: Rogue data cache load ), você pode habilitar o Kernel Virtual Address Shadowing (KVAS) no Windows (via alteração do registro) ou Linux Kernel Page Table Isolation (KPTI) no Linux (por meio de um patch do seu distribuidor Linux).

    Para se proteger contra o CVE 2017-5715 ( Spectre: Branch target injection ), você pode habilitar o suporte a hardware de mitigação de Branch Target Injection (IBC) por meio de alteração do registro mais uma atualização de firmware do fabricante do hardware.

    Observe que KVAS, KPTI e IBC podem não ser necessários para o seu ambiente, e estas são as alterações com o impacto de desempenho mais significativo (ênfase minha):

    A Microsoft aconselha todos os clientes a instalarem versões atualizadas do SQL Server e do Windows. Isso deve ter um impacto de desempenho insignificante ou mínimo para aplicativos existentes com base em testes da Microsoft de cargas de trabalho SQL, no entanto, recomendamos que você valide antes de implantar em um ambiente de produção.

    A Microsoft mediu o impacto do Kernel Virtual Address Shadowing (KVAS), Kernel Page Table Indirection (KPTI) e Branch Target Injection Mitigation (IBC) em várias cargas de trabalho SQL em vários ambientes e encontrou algumas cargas de trabalho com degradação significativa. Recomendamos que você valide o impacto no desempenho de habilitar esses recursos antes de implantar em um ambiente de produção. Se o impacto no desempenho da habilitação desses recursos for muito alto para um aplicativo existente, os clientes poderão considerar se isolar o SQL Server de um código não confiável em execução na mesma máquina é uma mitigação melhor para seu aplicativo.

    Diretrizes específicas do Microsoft System Center Configuration Manager (SCCM): Diretrizes adicionais para mitigar vulnerabilidades de canal lateral de execução especulativa a partir de 08 de janeiro de 2018 .

    Postagens de blog relacionadas:

    • 14

relate perguntas