SQL Server: reúna provas para decidir sobre o acesso
Uma decisão sobre o banco precisa identificar quem depende dele e quais evidências sustentam a mudança. Propomos um roteiro para conectar acesso, operação e reteste.
Read in EnglishPor Pentesty
Um relato atual com período de observação definido
A pesquisa da Fortinet, publicada em 12 de novembro de 2026, descreve uma campanha observada no início de outubro. O relato associa senhas fracas em instâncias SQL Server expostas à entrega de um minerador e de uma variante do Gh0st RAT. A análise dessa variante foi estática, pois seu servidor de controle estava indisponível.
Para uma empresa que usa esse banco, propomos começar pela relação entre instância, serviço e responsável. Escolha uma operação concreta, como consultar pedidos ou concluir o fechamento financeiro. Identifique quem pode autorizar uma intervenção, quem administra o ambiente e quem consegue confirmar que a operação continua funcionando depois da mudança.
Transforme a exposição em uma pergunta verificável
Monte uma ficha com endereço autorizado para avaliação, ambiente, finalidade, equipe responsável e dependências conhecidas. Defina de quais origens o acesso é necessário e peça ao responsável pela rede as evidências correspondentes. Uma divergência entre a necessidade declarada e o resultado observado deve virar uma pergunta com dono e prazo, acompanhada do escopo que ainda falta examinar.
O teste proposto precisa partir de origens previamente aprovadas e ter uma janela combinada. Registre horário, aplicação, origem, instância de destino, conta utilizada e resultado de uma consulta de leitura autorizada. Inclua a execução agendada quando ela tiver um caminho diferente do acesso interativo. Valide essas conexões após o ajuste e peça ao responsável pela operação que confirme o resultado esperado.
Vincule permissões às tarefas que as justificam
A documentação da Microsoft informa que xp_cmdshell vem desabilitado em instalações novas e recomenda mantê-lo assim em geral. Quando um legado exigir seu uso, a orientação é habilitá-lo somente durante a tarefa necessária.
Na avaliação proposta, peça uma lista dos logins habilitados e das permissões que o administrador considera necessárias. Cada exceção deve indicar a tarefa, a conta utilizada, seu responsável, o aprovador e o horário previsto para encerramento. Solicite um exemplo autorizado que demonstre a necessidade. Registre a configuração encontrada, a decisão acordada e o resultado do reteste. Uma dependência sem responsável permanece aberta para decisão, com seu impacto descrito.
Prepare uma decisão de resposta que outro time consiga revisar
Se a equipe encontrar atividade suspeita, proponha uma linha do tempo com referências aos registros disponíveis. Identifique o sistema de origem, a cobertura temporal e quem coletou cada evidência. Separe observação, interpretação e pergunta pendente. Evite copiar conteúdo de clientes para a planilha de acompanhamento; mantenha os originais em repositório autorizado e referencie seus identificadores.
Antes de uma intervenção, combine quem preserva os registros, quem decide sobre a disponibilidade e quem acompanha a operação escolhida. Documente a justificativa para restringir um acesso ou encaminhar o ambiente para investigação. Quando a informação ainda for insuficiente, registre qual evidência falta e quem poderá fornecê-la. Isso permite retomar a análise sem reconstruir conversas dispersas.
Feche a tarefa pelo resultado observado
Defina critérios antes do reteste: o acesso previsto funciona, a condição examinada recebeu tratamento e as exceções têm uma decisão registrada. O responsável pelo serviço deve confirmar a operação de negócio, enquanto a equipe técnica registra o ambiente efetivamente testado. Preserve data, configuração, amostra e limitações junto da aprovação, para que o encerramento possa ser revisado.
Uma revisão posterior deve conseguir localizar a evidência sem depender de quem executou o teste. A análise de triagem por exposição ajuda a organizar prioridade e decisão. Inclua na passagem de responsabilidade o próximo ponto de revisão e as mudanças que exigirão nova avaliação.
Perguntas frequentes
Por onde começar quando o inventário está incompleto?
Escolha uma operação conhecida e identifique a instância que a atende, seu administrador e o responsável pelo negócio. Registre explicitamente as dependências ainda não confirmadas antes de ampliar a amostra.
Qual evidência ajuda a revisar uma exceção de acesso?
Relacione a origem necessária, a tarefa autorizada, a conta envolvida, o aprovador e o prazo. Acrescente o resultado do teste e a referência ao registro que permite verificar essa conclusão.
Como distinguir investigação e reteste?
Na investigação, registre as perguntas sobre a atividade observada e as evidências disponíveis. No reteste, confira critérios definidos para a mudança aprovada e documente o resultado dentro da amostra examinada.
O que deve acompanhar o encerramento da tarefa?
Guarde escopo, ambiente, horários, referências às evidências e aceite do responsável. Identifique as limitações, as exceções restantes e quem assume a próxima decisão, com um ponto de revisão acordado.
Fontes e referências
Análise original da Pentesty, publicada em 12 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.