SQL Server & BI Blog by Andreas Wolter

(de)
Im Anschluss an die Vorträge aus meiner „Hacking SQL Server“-Reihe „SQL Server Sicherheit „SQL Attack..ed“ – Angriffszenarien auf SQL Server („SQL Server Hacken“)“, die ich bisher bereits auf den SQLSaturdays Rheinland, Istanbul, auf der SQLRally Amsterdam und in vielen Regionalgruppen der PASS Deutschland zeigte, kommt öfters die Frage auf, ob ich den gezeigten Code öffentlich verfügbar mache. Da Twitter sich als Diskussionsmedium nicht so eignet (schöne Grüße an @DirkHondong und @FrankGeisler ;-) ), das Thema aber doch etwas mehr Beachtung verdient, möchte ich darauf in einigen Sätzen eingehen.

(en)
Subsequent to the lectures from my “Hacking SQL Server” series “Security Session „SQL Attack..ed“ – Attack scenarios on SQL Server ("Hacking SQL Server")” which I have already given at the SQLSaturdays Rheinland, Istanbul, at the SQLRAlly Amsterdam and at many regional groups of PASS Germany, more often than not the question arises whether I make the presented code available to the public. With Twitter not being that suitable a medium of discussion (greetings to @DirkHondong and @FrankGeisler ;-)), yet the topic deserving some more attention, I will get into the matter in the following.

Der Hintergrund, das ich die dafür entwickelten Scripts nicht veröffentliche, ist eigentlich recht einfach: ich zeige darin unter anderem Angriffsvarianten und Techniken, die so noch nicht dokumentiert oder in der „Szene“ bekannt sind(?).

Und da ich die frei verfügbaren SQL-Injection- und allgemein „Hacking“/DoS -Tools ein wenig kenne, möchte ich vermeiden, denjenigen, die diese entwickeln, neue Ideen zu geben um Server in die Knie zu zwingen. Das bringt keinem (aus der SQL Server Community) etwas (- höchstens "Auftragshackern", aber "leider" habe ich da keine Aktien drinnen ;-) ).

-           Die meisten SQL-Injection-Varianten sind übrigens auch wirklich gut im Netz dokumentiert, und eine einfache Suche wird eine Vielfalt an Code-Beispielen zutage bringen. Es macht kaum einen Unterschied, welche Vorlage man verwendet, man muss so und so noch Anpassungen vornehmen. ;-)

Im Gegensatz zu landläufiger Meinung, glaube ich nicht daran, dass jeder alle „Hacking“-Techniken selber durchführen können muss. Ich denke das ist häufig ein Vorwand, sicherheitsbedenkliche Aktionen pauschal zu rechtfertigen.

Ich bin der Ansicht, dass es genügt, zu wissen/gesehen zu haben, wo man angreifbar sein kann, und das es wichtiger ist, die Zeit darauf zu verwenden, die Skills für die Sicherung zu entwickeln.

Um selber zu „Hacken“, ist das übrigens eine gute Voraussetzung (und der Unterschied zum sogenannten „Script-Kiddie“). Nur das man dann einfach noch mehr Kenntnisse benötigt.

In aller Regel sehe ich jedoch eher einen Mangel an Kenntnissen über die Zusammenhänge in der Sicherheitsarchitektur von SQL Server, auf den ich mich naturgemäß fokussiere, sowie natürlich dem darunterliegenden Windows-Server und der Domain-Architektur allgemein.
„Hacken“ zu können bringt für sich gesehen erst einmal gar nichts. Das kann man, wenn man alles bekannte abgesichert hat immer noch angehen. Wenn das nötig ist, befindet man sich in dem grauen Bereich von „Penetration Testing“.

The background to why I don’t make public the scripts developed for this purpose is actually quite simple: in the scripts, I am showing attack variants and techniques, among others, which have not been documented or are not known within the “scene” (?).

And since I am a little familiar with the discretionary SQL injection and “Hacking”/DoS tools in general I would like to avoid giving those parties developing these tools new ideas for bringing servers down. This wouldn’t be of use to anyone (from the SQL Server community) (- except maybe to “contract hackers,” but I’m “afraid” I don’t hold any stocks in there ;-)).

-           By the way, most of the SQL injection variants are very well documented in the internet, and a simple search will spill out a variety of code examples. It will hardly make a difference which template one is using, as one will need to make adaptions anyway. ;-)

In contrast to general opinion, I do not believe that everyone needs to be able to carry out all “hacking” techniques by themselves. I think this is often used as a blanket pretext for justifying security-wise questionable actions.

I am of the opinion that it is sufficient to know/have seen where one can be vulnerable, and that it is more important to invest the time into developing skills for protection.

And this is a good prerequisite for “hacking” oneself (and the difference to the so-called “script kiddie”). Only that even more knowledge will be required then. 

In principle, however, I am rather observing a lack of knowledge of the correlations in the security architecture of SQL Server on which I am by nature focusing, as well as, of course, the Windows Server beneath it and the domain architecture in general.

To be able to “hack” alone is of no avail. Once one has covered everything known, one can still get to that. If this is necessary, one will end up in the grey area of “penetration testing.”

Das eigentliche Ziel meiner Vorträge/“Shows“(?) ist die "Awareness/Wahrnehmung", und Verbesserung der Sensibilität für das Thema Sicherheit im Sinne von:

„Habe ich das alles schon einmal bedacht?“

„Könnte ich doch noch Lücken haben und ein leichtes Angriffsziel sein, ohne es bislang gemerkt zu haben?“

Nicht:

"Um meine SQL Server Umgebung sicherer zu machen, möchte ich mich selber im „Hacken“ versuchen."

Ich hoffe das macht Sinn für Euch :-)

In jedem Fall ist eine offene Diskussion zu diesem Thema durchaus in meinem Sinne.

The actual goal of my lectures/ “shows” (?) is the “awareness/perception,” and the enhancement of sensitivity for the topic of security in the sense of:

“Have I taken all this into consideration?”

“Could I still have gaps and be an easy target without having noticed up to now?”

Not:

“In order to make my SQL Server environment more secure I would like to dabble in ‘hacking.’”

I hope this makes sense to you J

PS: Aus diesem Grunde biete ich ja schon seit einigen Jahren immer wieder den Security Essential für die PASS Deutschland an – aber wie wir wissen, zieht das Thema „Sichern“ einfach weniger als „Hacken“ ;-)

Und für diejenigen, die die Grundlagen schon beherrschen, aber komplexere Anforderungen oder kritischere Umgebungen haben, kommen dann die Master-Classes zum Thema Sicherheit: www.sarpedonqualitylab.com/SQL_Master-Classes.htm

PS: For those who already know the basics, but have more complex requirements or critical environments, there are the Master-Classes on Security: en.sarpedonqualitylab.com/SQL_Master-Classes.htm

(de)
Wie ich erwartet hatte, wurde heute am 16.10. auf dem SQL PASS Summit in Charlotte USA, die CTP 2 des SQL Server 2014 veröffentlicht. :-)
Die Final erwarte ich noch im ersten Quartal 2014 herauszukommen.

Hier ist der Link zum Download:

(en)
As I have expected, today, Oct. 16^th the CTP 2 of SQL Server 2014 was published at dem SQL PASS Summit in Charlotte USA. :-)
I am expecting the final to come along in the first quarter of 2014.

Here is the link to the download:

Ein kurzer Überblick über die Neuheiten im Bereich der Datenbank-Engine in diesem Release – zusätzlich zu den Neuerungen aus CTP1, über die ich hier schon berichtete:

• AlwaysOn
  • Bis zu 8 Sekundäre Replikas
  • Bei Quorum-Verlust bleiben read-only Replicas zum Lesen verfügbar
  • Failover cluster instances (FCIs) können Cluster Shared Volumes als cluster shared disks in Windows Server 2012 und höher verwenden
• Datenbank Engine
  • Single Partition Rebuilding
  • Lock Priority Management für Online-Operationen
  • Incrementelle Statistiken
  • Resource Governor Unterstützung für physical IO
  • Neue „Erweiterte Ereignisse“ (XEvents): 775 insgesamt, 152 mehr als SQL 2012 SP1, 12 seit CTP1
• In-Memory OLTP aka Extreme Transactional Processing (XTP, vormals Codename “Hekaton”)
  • B-tree Indexe (Hash-Indexe seit CTP1)
  • Delayed Transaction Durability

A short overview on the New Features in the Database-Engine part in this release – cumulative to the new features from CTP1, which I have listed here already before:

• AlwaysOn
  • Up to 8 secondary replicas
  • In case of loss of quorum, read-only replicas remain available for read-access
  • Failover cluster instances (FCIs) can use Cluster Shared Volumes as cluster shared disks in Windows Server 2012 and above
• Database Engine
  • Single Partition Rebuild
  • Lock Priority Management for Online-Operations
  • Incremental Statistics
  • Resource Governor support for physical IO
  • New Extended Events: 775 total, 152 more than SQL 2012 SP1, 12 since CTP1
• In-Memory OLTP  aka Extreme Transactional Processing (XTP, formerly Codename “Hekaton”)
  • B-tree indexes (Hash indexes since CTP1)
  • Delayed Transaction Durability

• Sicherheit:
  • Backup-Verschlüsselung
  • Neue Berechtigungen (mehr dazu bald in meinem Blog, speziell auch als Ergänzung zu der „CONTROL SERVER“-Thematik

 Security:

• Encrypted Backups
• New permissions (more on that soon in my blog, especially also in addition to the „CONTROL SERVER“-Topic

In Reporting Services und Integration Services gibt es keine Änderungen zu vermelden.

Die komplette Liste ist hier zu finden: msdn.microsoft.com/de-de/library/bb510411%28v=sql.120%29.aspx

Dazu kommen viele Neuerungen im Zusammenspiel mit SQL Azure und im BI & Information Services Bereich. Über diese in Detail zu Berichten, überlasse ich meinen geschätzten Kollegen. Ich werde hier auf die entsprechenden Blog-Posts verweisen sobald diese fertig sind.

Hinweis: Ein Upgrade der CTP1 zur CTP2 ist nicht unterstützt.

In Reporting Services and Integration Services there are no changes.

The complete list can be found here: msdn.microsoft.com/en-us/library/bb510411(v=sql.120).aspx

Added to that there are many new enhancements connected with SQL Azure and in the area of BI & Information Services. I will leave detailed reports on those to my valued colleagues and will link to the respective blog-posts once ready.

Note: Upgrading from CTP1 to CTP2 is not supported.

(de)
Ok, dieses Jahr wird das bei Weitem aktivste in Sachen Sprecher auf internationalen Konferenzen sein:
Nach 6 Konferenzen letztes Jahr, inklusive SQL Rally Nordic, die mir sehr gefallen hat, musste ich mich entscheiden zwischen noch einmal SQL Rally Nordic, SQL Rally Amsterdam oder gar beiden.
ich habe mich für die SQL Rally Amsterdam entschieden, da diese neu ist, und weil ich dem holländischen Chapter Leader versprochen habe, eine Session einzureichen. Daher dieses Jahr keine SQL Rally Nordic.

-           Da ich dieses Jahr auf bereits 7 Konferenzen gesprochen habe, inklusive 1,5 Tagen PreCon (www.andreas-wolter.com/sql-conferences/sql-conferences-2013.htm ) + 3 noch aufkommende Konferenzen (PASS Summit Charlotte USA, TechNet Berlin Germany, PASS Camp Darmstadt Germany), sind 11 Konferenzen 2013 wirklich eine Menge. Auch wenn man bedenkt, dass meine Kunden doch hin und wieder ganz froh sind, wenn ich Zeit für sie habe :-).

(en)
Alright, this is going to be the by far most active year in terms of speaking at international conferences:
After 6 conferences last year, including SQL Rally Nordic, which I really liked a lot, I had to decide between SQL Rally Nordic again or SQL Rally Amsterdam or even both.
I decided for SQL Rally Amsterdam, because it is new, and because I promised the Dutch Chapter leader, to hand in a session. So this year no SQL Rally Nordic.

-           Having spoken at already 7 conference this year, including 1.5 days of PreCon (www.andreas-wolter.com/sql-conferences/sql-conferences-2013.htm ) + 3 more coming up (PASS Summit Charlotte USA, TechNet Berlin Germany, PASS Camp Darmstadt Germany), 11 conferences in 2013 really is a lot. Also considering once in a while my customers are actually happy if I have time for them :-).

SQL Rally Amsterdam bietet eine Auswahl von 5 (!) hochwertigen PreCons am 6. Nov. und 3 parallelen Vortrags-Tracks am 7.-8. Nov. an: BI Platform Architecture, Development and Administration, Enterprise Database Administration and Deployment, Database and Application Development mit vielen bekannten internationalen Sprechern, MCMs und MVPs.

Ich selber werde “SQL Attack(ed)” – SQL Server Under Attack präsentieren. Ein demo-geladener Sicherheits-Vortrag mit 2 neu-entwickelten Privilegienerweiterung und DoS-Attack Techniken, ausgeführt via SQL-Injection, in den Hauptrollen, die ich persönlich diesen Sommer in Vorbereitung auf den SQLSaturday Germany/Rheinland entwickelt habe und auch schon auf dem SQLSaturday in Istanbul gezeigt habe.

Wer also einige Gründe, Sicherheits-Maßnahmen ernst zu nehmen, live und in Aktion sehen möchte: schaut vorbei!

SQL Rally Amsterdam offers a choice of 5 (!) real high quality PreCons on Nov. 6th and 3 parallel session tracks on Nov. 7th-8th.: BI Platform Architecture, Development and Administration, Enterprise Database Administration and Deployment, Database and Application Development with many well-known international speakers, MCMs and MVPs.

I will be presenting “SQL Attack(ed)” – SQL Server Under Attack. A demo-loaded security session featuring 2 newly developed privilege elevation and DoS-attack techniques, executed via SQL-Injection, that I personally developed this summer in preparation of SQLSaturday Germany/Rheinland and also shown at SQLSaturday in Istanbul.

So if you want to see some reasons for taking security measures like permissions serious, live and in action, check it out!

(DE)

Dieser Artikel dient einfach als Referenz für die hin und wieder aufkommende Frage, wenn ich zeige, wie schnell man einen einzelnen Bericht mit Report Builder/Generator alleine alleine entwickeln kann: Warum sollte ich Business Intelligence Development Studio (BIDS), bzw. die SQL Server Data Tools dem Report Builder vorziehen?

Beide Werkzeuge haben Vor- und Nachteile, die man beachten muss. Vor allem hängt die Entscheidung stark an von der Zielgruppe/Anwendertypus ab.

Das Thema habe ich erstmalig in meinem Vortrag “Report Builder - What's in it for You“ auf dem PASS Summit in Seattle/USA 2010 präsentiert. (Tatsächlich wurde diese session in die Top Top 5 sessions in der Kategorie "BI Information Delivery" votiert :-) ) Da ich erst kürzlich wieder über das Thema zu sprechen kam, erinnerte ich mich an diese Folie und entschied, sie einfach mal als Referenz für alle online zu stellen.

Hier der (komplette) Feature-Vergleich, der sich nur auf die Unterschiede konzentriert -  abgesehen von optischen und Workflow –Eigenschaften (gültig für SQL Server 2008 R2 – SQL 2012): 

(EN)

This article just serves as a reference to the question that arises occasionally, when showing how fast one can develop a single report using Report Builder alone: Why should I prefer Business Intelligence Development Studio (BIDS), respectively SQL Server Data Tools over the Report Builder?

Both tools have pro’s and con’s to consider. Above all, the decision depends much on the audience/type of user being served.

I first presented this topic in my session “Report Builder - What's in it for You“ at PASS Summit in Seattle/USA 2010 (In fact this session was voted into the Top 5 sessions in category "BI Information Delivery" :-) ) Since I have been talking about this topic recently, I remembered this slide and decided I should just put it online as a reference for all.

Here you have the (complete) feature comparison, focussing on only the differences – aside from visual and workflow-differences (valid for SQL Server 2008 R2 – SQL 2012):

- English version on bottom -