SQL Critical Update
Werbung
Handbuch zu den SQL Server 2000Sicherheitstools Microsoft stellt Ihnen das SQL Critical Update Kit bereit. Darin enthalten sind Sicherheitstools zum Scannen der Instanzen von Microsoft® SQL Server™ 2000 und Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) in Bezug auf die Angreifbarkeit durch den SQL-Slammer-Wurm. Sie können die zusätzlichen Tools im Kit dazu verwenden, jede entdeckte angegriffene Instanz zu aktualisieren. Die Instanzen von SQL Server 2000 und MSDE 2000 sind angreifbar, wenn sie nicht mit SQL Server 2000 SP3 oder SP2 und eine der folgenden Sicherheitsbulletins ausgeführt wird: MS02-039. MS02-043. MS02-056. MS02-061. Informationen finden Sie unter . ANMERKUNG Die Sicherheitsbulletins sind kumulativ, in MS02-061 sind daher alle vorherigen Sicherheitsbulltins enthalten. Nach dem Identifizieren einer angegriffenen Instanz von SQL Server 2000 oder von MSDE 2000 sollten Sie eine der folgenden Aktionen ausführen: Produktionsumgebung Stellen Sie sicher, dass Microsoft SQL Server 2000 Service Pack 2 installiert ist. Verwenden Sie dann SQL Critical Update Kit, um die angegriffenen Instanzen von SQL Server 2000 und von MSDE 2000 zu finden und zu aktualisieren. Es handelt sich dabei um das empfohlene Verfahren für Produktionsumgebungen. Installieren Sie erst Service Pack 3, wenn Sie das Service Pack in einer Testumgebung vollständig getestet haben. SQL Critical Update Kit ist eine selbstextrahierende ausführbare Datei, die zum Downloaden unter verfügbar ist. Nach dem Downloaden des Kits müssen Sie die Datei update.bat ausführen. Update.bat führt direkt und gleichzeitig SQL Check und SQL Critical Update aus. Wenn Sie bereits die angegriffenen Instanzen von SQL Server 2000 oder MSDE 2000 gefunden haben, führen Sie SQL Critical Update auf dem lokalen Computer für alle Instanzen aus. Es ist außerdem empfehlenswert, die Datei update.bat auszuführen, mit deren Hilfe die angegriffenen Instanzen gefunden werden können, um dann das Problem zu beheben. Wenn Sie über ein mithilfe von Systems Management Server (SMS) verwaltetes Netzwerk verfügen, ist es empfehlenswert, dass Sie das SMS-Bereitstellungstool verwenden. Das Bereitstellungstool enthält die Datei SQLFIX.SMS, die Sie zum Erstellen eines Pakets in SMS verwenden können, um SQL Critical Update bereitzustellen. Testumgebung Es ist empfehlenswert, Microsoft SQL Server 2000 Service Pack 3 (SP3) anzuwenden. Es handelt sich dabei um die empfohlene Lösung für Testumgebungen, da mit SP3 Verbesserungen in den Bereichen Leistung, Dienste und Sicherheit bereitgestellt werden. Das SP3 ist als Download unter verfügbar. Folgen Sie zum Installieren und Testen von SP3 den Anweisungen in der SP3Infodatei (Readme). Sollten Sie SP3 nicht anwenden können, verwenden Sie die oben erwähnten Verfahren im Thema „Produktionsumgebung“. In diesem Dokument werden die technischen Details erläutert, die im Zusammenhang mit dem Auffinden und Sichern der Instanzen von SQL Server 2000 und MSDE 2000 stehen. Darüber hinaus werden die Tools und ihre Funktionsweise beschrieben, die mit dem Kit bereitgestellt werden. In einem letzten Schritt wird in diesem Dokument erläutert, wie ermittelt werden kann, ob eine Instanz von SQL Server 2000 oder MSDE von SQL Critical Update erfolgreich aktualisiert wurde. Bedarfsermittlung für das Kit SQL Critical Update Kit wurde für die Zusammenarbeit mit jeder Edition von SQL Server 2000 und MSDE 200 entworfen. Eine Liste der vom Slammer-Wurm betroffenen Microsoft SQL Server 2000-Versionen finden Sie unter . Um zu bestimmen, welche Version von SQL Server 2000 oder MSDE 2000 auf Ihrem Computer installiert ist, lesen Sie den Artikel unter . Downloaden und Extrahieren von SQL Critical Update Kit SQL Critical Update Kit ist in Form einer sprachspezifischen selbstextrahierenden Datei verfügbar. Der Name dieser Paketdatei ist SQLCritUpdPkg_XXX.exe, wobei XXX die Sprachversion von SQL Critical Update Kit bezeichnet. Bei der Datei SQLCritUpdPkgESN.exe handelt es sich um die Version für die in Spanisch lokalisierte Version von SQL Server. Sie benötigen die Sprachversion dieser Datei, die zur reparaturbedürftigen lokalisierten Version von SQL Server passt. Dieses Tool ist in den folgenden Sprachen verfügbar: Schlüssel Sprache LCID (Language Code Identifier) CHS Chinesisch (vereinfacht) 2052 CHT Chinesisch (traditionell) 1028 ENU Englisch 1033 ESN Spanisch 3082 oder 1034 FRN Französisch 1036 GER Deutsch 1031 ITA Italienisch 1040 JPN Japanisch 1041 KOR Koreanisch 1042 BRZ Portugiesisch (Brasilien) 1046 DUT Niederländisch (Niederlande) 1043 SVE Schwedisch 1053 Downloaden von SQL Critical Update Kit: 1. Navigieren Sie zu . 2. Wählen Sie in der Dropdownliste die gewünschte Sprachversion für den Download aus, und klicken Sie auf Go. Damit gelangen Sie zur sprachspezifischen Downloadseite für SQL Critical Update Kit. 3. Klicken Sie auf der sprachspezifischen Downloadseite auf die Verknüpfung zu SQLCritUpdPkg_XXX.exe, um den Download zu starten. 4. Zu Beginn des Downloads können Sie auswählen, ob die Datei SQLCritUpdPkg_XXX.exe direkt ausgeführt werden soll oder ob Sie die Datei lokal speichern möchten. Die selbstextrahierende Datei SQLCritUpdPkg_XXX.exe kann remote ausgeführt werden und extrahiert dann die notwendigen Dateien auf den lokalen Computer. Wenn Sie jedoch SQL Critical Update Kit auf anderen Computern ausführen möchten, sollten Sie die selbstextrahierende Datei downloaden und sie lokal speichern. ANMERKUNG Wenn Sie SQL Critical Update Kit unternehmensweit bzw. organisationsweit bereitstellen möchten, sollten Sie die selbstextrahierende Datei downloaden und sie in einer öffentlichen Freigabe platzieren, damit sie leicht auf allen entsprechenden Computern ausgeführt werden kann. 5. Wenn Sie die selbstextrahierende Datei vom Server ausführen möchten, fahren Sie mit Schritt 6 fort. Wenn Sie diese Datei lokal gespeichert haben, navigieren Sie zu dem Verzeichnis, in dem sie gespeichert ist, und führen Sie sie zum Extrahieren der enthaltenen Dateien aus. 6. Während der Ausführung werden Sie aufgefordert, den EndbenutzerLizenzvertrag (EULA) zu akzeptieren. Anschließend müssen Sie ein Zielverzeichnis für die zu extrahierenden Dateien auswählen. Der Standardspeicherort ist C:\SQLCritUpdPkg, aber Sie können auch ein beliebiges anderes Verzeichnis auf dem lokalen Computer angeben. Eine Remoteextrahierung der Dateien in eine UNC-Freigabe (Universal Naming Convention) wird nicht unterstützt. Sie können SQL Critical Update Kit jetzt verwenden. SQL Critical Update Kit-Tools SQL Critical Update Kit enthält die folgenden Tools: Mit SQL Critical Update wird ein Hotfix angewendet, mit dessen Hilfe die Möglichkeit zum Angriff durch den Slammer-Wurm beseitigt wird. SQL Check erkennt und deaktiviert gefährdete Instanzen von SQL Server. SQL Scan erkennt angegriffene Instanzen in einem lokalen Netzwerk. Mit SMS Deploy wird die Verwendung von Systems Management Server (SMS) ermöglicht, um die Aktualisierungen in einem mit SMS verwalteten Netzwerk bereitzustellen. ServPriv patcht Instanzen von SQL Server 2000 und MSDE 2000, die SQL Server 2000 SP2 oder höher ausführen. ANMERKUNGEN In der Regel kennen die Administratoren die Instanzen von SQL Server 2000 in ihrem Unternehmen. Allerdings gilt dies möglicherweise nicht für die MSDE 2000-Instanzen, da MSDE 2000 möglicherweise mit Microsoft-Produkten oder mit Entwicklerprodukten von Drittanbietern installiert wurde. Die Tools wurden zum Erkennen und Aktualisieren aller Instanzen von SQL Server 2000 und MSDE 2000 entworfen, um die Sicherheit im Gesamtunternehmen sicherzustellen. SQL Critical Update SQL Critical Update ist ein Befehlszeilenprogramm zum Scannen nach lokalen Instanzen von SQL Server 2000 oder MSDE 2000. Mit dessen Hilfe werden nach ihrer Entdeckung die vom Slammer-Wurm beschädigten Instanzen automatisch aktualisiert. SQL Critical Update behebt nur Probleme bei MSDE-Installationen, die in der gleichen Sprachversion ausgeführt werden wie die Version von SQL Critical Update. Wenn Sie beispielsweise die englische Version des SQL Critical Update-Dienstprogramms ausführen, werden Versionen von MSDE in anderen Sprachen nicht repariert. SQL Critical Update führt die folgenden Aufgaben aus: Jede Instanz von SQL Server 2000 und MSDE wird auf dem Computer auf mögliche Schäden überprüft. Sicherungskopien werden für alle zu ersetzenden gefährdeten Dateien erstellt. Die Sicherungskopien werden im Unterordner Backup gespeichert. Alle gefährdeten Dateien werden durch aktualisierte Exemplare ersetzt, in denen die Sicherheitslücke behoben ist. Alle Aktionen werden in einer Protokolldatei aufgezeichnet. ANMERKUNG SQL Critical Update führt nur dann zu Ergebnissen, wenn die Datei ssnetlib.dll für jede zu reparierende Instanz von SQL Server vorhanden ist. Wenn diese Datei gelöscht oder umbenannt wurde, wenden Sie sich an Ihren technischen Administrator oder Anwendungsentwicklungsberater, oder führen Sie diese Schritte aus: 1. Kopieren Sie den Hotfix auf den lokalen Computer, für den eine Aktualisierung erforderlich ist. 2. Entfernen Sie den Computer aus dem Netzwerk. 3. Benennen Sie die Datei ssnetlib.dll um. 4. Wenden Sie den Hotfix an. 5. Verbinden Sie den Computer wieder mit dem Netzwerk. ANMERKUNG Mit SQL Critical Update wird nicht SP3 installiert. Es werden nur gefährdete Dateien aktualisiert. Bei SQL Server 2000 und SQL Server 2000 SP1 wird die Versionsnummer, die mit @@VERSION berichtet wird, nicht geändert. Bei SQL Server 2000 SP2 wird die Versionsnummer erhöht. Bei diesen Versionen erhalten Sie mit SELECT @@VERSION folgendes Ergebnis: SQL Server 2000: 8.00.194 SQL Server 2000 SP1: 8.00.384 SQL Server 2000 SP2 ohne SQL Critical Update: 8.00.534 SQL Server 2000 SP2 mit SQL Critical Update: 8.00.679 Berechtigungen Der Benutzer, der SQL Critical Update ausführt, muss über die Berechtigung zum Ersetzen von SQL Server-Dateien im Verzeichnis Programme verfügen. Andernfalls schlägt SQL Critical Update fehl und erstellt keine Protokolldatei. Systemanforderungen PC mit Intel- oder kompatiblem Pentium-Prozessor, 166 MHz oder höher. Mindestens 64 MB RAM (128 MB oder mehr empfohlen). Microsoft Internet Explorer 5.0 oder höher. VGA-Monitor oder Monitor mit höherer Auflösung. Microsoft Mouse oder kompatibles Zeigegerät. Unterstützte Betriebssysteme Microsoft Windows® 98 Microsoft Windows ME Microsoft Windows NT® Workstation 4.0 mit Service Pack 5 oder höher. Windows NT Server 4.0 mit Service Pack 5 oder höher. Windows NT Server 4.0 Enterprise Edition mit Service Pack 5 oder höher. Windows 2000 Professional. Windows 2000 Server. Windows 2000 Advanced Server. Windows 2000 Datacenter Server. Windows XP Professional. Einschränkungen SQL Critical Update muss auf dem lokalen Computer ausgeführt werden. Mit SQL Critical Update werden nur die Schäden deaktiviert und behoben, die damit auch erkannt werden; SQL Critical Update kann nicht zum einfachen Deaktivieren einer Instanz von SQL Server verwendet werden. Weitere Informationen zu SQL Critical Update finden Sie in der Datei readme_SQLHotfix.txt, die im Verzeichnis SqlCritUpd gespeichert ist. ANMERKUNG Jede Infodatei (Readme) wird zusammen mit den Tools extrahiert, sobald die Datei SQLCritUpdPkg_XXX.exe ausgeführt wird. SQL Check SQL Check (Sscheck.exe) erkennt und deaktiviert Instanzen von SQL Server 2000 und MSDE 2000, die durch den Slammer-Wurm gefährdet sind. SQL Check identifiziert und berichtet die Angreifbarkeit aller Instanzen von SQL Server 2000 oder MSDE 2000 unter Windows 98, Windows ME, Windows NT 4.0, Windows 2000 und Windows XP. SQL Check kann nur Instanzen von SQL Server 2000 und MSDE 2000 unter Windows NT 4.0, Windows 2000 und Windows XP deaktivieren. SQL Check identifiziert auch gefährdete SQL Server-Cluster, aber deaktiviert sie nicht. SQL Check versucht, den MSDE-Produktcode und den MSDE-Paketcode zu identifizieren, falls dies für die zu überprüfende Instanz anwendbar ist. Eine Liste der MSDEProduktcodes, die erkannt werden, finden Sie unter . ANMERKUNG SQL Check und SQL Critical Update können zwar einzeln ausgeführt werden, es empfiehlt sich jedoch, diese Tools zusammen zu verwenden und dazu die Datei Update.bat von der Befehlszeile auszuführen. Weitere Informationen zu SQL Check finden Sie in der Datei readme_sscheck.txt, die im Verzeichnis SQLCheck gespeichert ist. SQL Scan SQL Check (Sqlscan.exe) erkennt Instanzen von SQL Server 2000 und MSDE 2000 unter Windows NT 4.0, Windows 2000 und Windows XP (Professional Edition) oder höher erkennen. SQL Scan scannt einen einzelnen Computer, eine Windows-Domäne oder einen bestimmten IP-Adressbereich (Internetprotokoll). Darüber hinaus identifiziert SQL Scan Instanzen von SQL Server und MSDE 2000, die möglicherweise den Gefährdungen durch den Slammer-Wurm ausgesetzt sind und versucht diese Instanzen herunterzufahren. ANMERKUNG Das erfolgreiche Herunterfahren einer beschädigten SQL ServerInstanz ist abhängig vom Betriebssystem und kann möglicherweise nicht erfolgreich abgeschlossen werden. Möglicherweise müssen Sie den Prozess mit einem Systemverwaltungstool beenden. SQL Scan identifiziert gefährdete SQL Server-Instanzen auf Computern in Clustern, aber deaktiviert sie nicht. Auf solchen Computern müssen Instanzen von SQL Server manuell deaktiviert und heruntergefahren werden. SQL Scan versucht, den MSDE-Produktcode und den MSDE-Paketcode zu identifizieren, falls dies für die zu überprüfende Instanz anwendbar ist. Eine Liste der MSDEProduktcodes, die erkannt werden, finden Sie unter . Systemanforderungen Die Mindestsystemanforderung für den Start von SQL Scan ist Windows 2000. Berechtigungen Wenn SQL Scan für Remotecomputer eingesetzt werden soll, muss der Benutzer ein Domänenadministrator sein. Andernfalls muss der Benutzer Administrator auf dem lokalen Computer sein. Einschränkungen Für SQL Scan ist eine der folgenden Eingaben erforderlich: Eine Domäne. Ein IP-Adressbereich. Ein einzelner Computername. SQL Scan sucht nicht nach Instanzen von SQL Server, die unter Windows 98, Windows ME oder Windows XP (Home Edition) ausgeführt werden. Außerdem werden mit SQL Scan keine Instanzen von SQL Server erkannt, die von der Befehlszeile aus gestartet wurden. Wenn die Dateien ssnetlib.dll oder sqlserver.exe umbenannt wurden, gibt SQL Scan kein verlässliches Ergebnis zurück. Sie müssen die Dateinamen vor dem Ausführen des Tools auf die ursprünglichen Namen zurückändern. Weitere Informationen zu SQL Scan finden Sie in der Datei readme_sqlscan.txt, die im Verzeichnis SQLScan gespeichert ist. SMS Deploy Mit SMS Deploy wird eine Datei zur Verfügung gestellt, SQLFIX.SMS, die Sie zum Erstellen eines Pakets in Systems Management Server (SMS) verwenden können, um SQL Critical Update bereitzustellen. Weitere Informationen zu SMS Deploy finden Sie in der Datei readme_SMSDeploy.txt, die im Verzeichnis SMSDeploy gespeichert ist. Servpriv Servpriv (Servpriv.exe) ist zum Patchen von beschädigten Instanzen von SQL Server 2000 SP2 oder höher entworfen worden. Wenn Sie nicht SQL Server 2000 SP2 oder höher auf dem Computer ausführen, müssen Sie vor dem Verwenden von Servpriv zunächst auf SQL Server 2000 SP2 aktualisieren. Weitere Informationen zu Servpriv finden Sie in der Datei readme_sscheck.txt, die im Verzeichnis SQLCheck gespeichert ist. Überprüfen von SQL Critical Update Um zu überprüfen, ob SQL Critical Update den Hotfix ordnungsgemäß angewendet hat, prüfen Sie die Version von Ssnetlib.dll. Die Datei Ssnetlib.dll ist für Standardinstanzen von SQL Server 2000 oder MSDE 2000 im Verzeichnis MSSQL\Binn gespeichert. Die Datei Ssnetlib.dll ist für benannte Instanzen im Verzeichnis MSSQL$instancename\Binn gespeichert. In der folgenden Tabelle werden mögliche Sicherheitskonfigurationen von SQL Server 2000 und MSDE sowie die Dateiversionen von ssnetlib.dll für diese Konfigurationen dargestellt: Serverkonfiguration Ssnetlib.dll (Dateiversion) RTM nach dem Ausführen von SQL Critical Update. 2000.80.311.0 (nach der Aktualisierung). SP1 nach dem Ausführen von SQL Critical Update. 2000.80.479.0 (nach der Aktualisierung). SP2 und Sicherheitsbulletin MS02-039. 2000.80.636.0 SP2 und Sicherheitsbulletin MS02-043. 2000.80.636.0 SP2 und Sicherheitsbulletin MS02-056. 2000.80.679.0 SP2 und Sicherheitsbulletin MS02-061 (oder ein beliebiges SP2 nach dem Ausführen von SQL Critical Update). 2000.80.479.0 (nach der Aktualisierung). SP3 2000.80.760.0 ANMERKUNG Mit dem Ausführen von SQL Critical Update auf einer beliebigen Instanz von SQL Server 2000 SP2 oder MSDE 2000 SP2 wird ebenfalls das Sicherheitsbulletin MS02-061 angewendet.
