Enlaces entre servidores y procedimientos peligrosos

Un servidor enlazado es una definición dentro de un motor que le permite consultar otro servidor como si fuera propio. Para entrar al otro lado, el origen tiene que presentarse con alguna identidad, y eso se configura con un mapeo de cuentas.

Hay dos formas habituales de hacerlo. En la primera, cada cuenta local se presenta con sus propias credenciales, y al otro lado puede exactamente lo mismo que podría si se conectara directo. En la segunda, el mapeo dice que un grupo de cuentas locales —a veces todas— entra al otro lado con una cuenta remota fija. Si esa cuenta remota tiene un rol alto, cualquier cuenta local que pueda usar el enlace hereda ese rol en el destino.

Ahí está el hallazgo típico: una cuenta de lectura en el origen que, a través del enlace, es administradora en el destino.

Nimaima tiene tres enlaces entre sus SQL Server. Dos están acotados a una sola cuenta local. Uno no.

Abre el laboratorio y lee la tabla de servidores enlazados completa. Fíjate en dos columnas a la vez: a qué cuentas locales aplica el enlace y con qué cuenta llegan al destino.

Algunos motores traen procedimientos que salen de la base y actúan sobre el sistema operativo: ejecutan órdenes del sistema con la cuenta de servicio del motor. En SQL Server el más conocido viene desactivado en las instalaciones nuevas y su propio fabricante recomienda dejarlo así; si una aplicación antigua lo necesita, la guía es activarlo solo mientras dure la tarea.

Para el evaluador, ese ajuste es una línea de configuración que se lee: 1 es activado, 0 desactivado. Leerlo no ejecuta nada. Lo que lo vuelve grave es la combinación con el enlace de la tarea anterior.

Hay una tercera pieza que aparece en estas revisiones. Una base puede marcarse como «de confianza» para el servidor: lo que corre dentro de ella, con ciertos permisos, puede actuar fuera de la base con la identidad de su dueño. Si el dueño es una cuenta administradora, alguien que controle el código de esa base puede terminar actuando como administrador del servidor.

La marca sola no es el hallazgo; lo es la combinación de la marca con un dueño de rol alto.

Con tres filas de configuración se lee un camino completo: cualquier cuenta del primer servidor cruza el enlace como administradora del segundo, y en el segundo está activo el procedimiento que habla con el sistema operativo. El evaluador no lo recorre para demostrarlo: la carta prohíbe ejecutar procedimientos, y la configuración ya es la prueba. Lo que el informe necesita es la cadena, la evidencia de cada eslabón y dónde se corta.