0

環境
OS: Microsoft Windows Server 2012 R2
SQL: Microsoft SQL Server 2008 R2 Express

実現したいこと
nmapなどのポートスキャンツールでバージョン情報が表示されているのですが、
MSSQLのバージョンを非表示とする方法があるようでしたらお教え頂けますでしょうか。
DBサーバ関連は、Webサーバ(Apacheなど)のようにバナー情報を非表示にすること自体ができないのでしょうか。

MSSQLに関わらず、MySQLなど他のDBに関してもバージョン情報を非表示にする情報を見つけることができませんでした。

3
  • 1
    XY問題になっていないでしょうか? バージョン番号を隠すことに意義を感じません。
    – sayuri
    Commented 2022年12月7日 5:37
  • オイラも同意 DB サーバを The Internet に直接配置することはあり得ない=攻撃者がポートスキャンツールを The Internet 上で使っても DB サーバに直接通信が届くことはない(届くような構成にしたら基礎設計レベルの脆弱性)ので隠す意味がない、というのがオイラ含め読者の感想だと思うっス。隠したい・隠さなきゃならない理由のほうが真の問題のはず。
    – 774RR
    Commented 2022年12月7日 5:50
  • 言われてみれば、その通りですね。 もし、バージョン情報が見られて困る人に見えるような 構成なら、それ自体が問題ということですね。 すいません。Webサーバなどと同列で考えてしまってました。 ご回答ありがとうございました。
    – qq9 qq9
    Commented 2022年12月7日 8:37

1 件の回答 1

1

nmapとSQL Serverの組み合わせが具体的にどうかはわかりませんが一般論。

スキャンツールがサーバのバージョンを識別する方法はいくつかあります。

  1. レスポンスヘッダやデータに具体的にバージョンが記載される(HTTPとか)
  2. ヘッダやデータにバージョンを示すような値がある
  3. やりとりの特徴をシグネチャベースで識別

設定で隠せるのは大抵1.の場合でしょう。2.についてはバージョンによって解釈を変更する必要があるなどプロトコル上重要な場合もあり、隠せないというか隠すと困るものが多いのではないでしょうか。3.はどうしようもありません。

要は「設定で隠せるはず」というものではないということです。


バージョン情報が見られて困る人に見えるような 構成なら、それ自体が問題

違います。バージョン情報が見えることと、システムが攻撃に対して安全かは本来無関係です。

  1. バージョン情報が見える、セキュリティは確保されている
  2. バージョン情報が見えない、セキュリティは確保されている
  3. バージョン情報が見える、セキュリティは確保されていない
  4. バージョン情報が見えない、セキュリティは確保されていない

で、まずいのは3.4.です。

十分な認証機構もデータ保護もなかった一昔前であれば「DBは隠すもの」が絶対でしたが、今時TLSによる暗号化や認証もできるし、考え方自体も内部ネットワークも信頼できない前提に転換しつつあります。

外部だろうが内部だろうがセキュリティが保たれた状態にするのが理想で、バージョン情報が見える見えない(表示されてる・されてない、接続できる・できないの両方)は本質的にはそれには関係ない話です。

1
  • 補足すると、質問文に挙げられている「Microsoft SQL Server 2008 R2 Express」は2019/07/09にサポートが終了しています。現在は一切の修正が行われていないため、「セキュリティは確保されていない」と言っても過言ではないでしょう。(そのような状況下でバージョン番号を隠したいというのはやはりXY問題かなと…最初のコメントに至りました。)
    – sayuri
    Commented 2022年12月7日 20:12

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。