# Power SQL Security Assessment > Evaluación de seguridad para SQL Server creada por Fabiano Amorim, Microsoft Data Platform MVP. 230 validaciones por instancia, análisis especializado sin falsos positivos, plan de tratamiento priorizado y garantía: si no encontramos nada relevante, no paga. **TODOS los ambientes que evaluamos presentaron vulnerabilidades.** ¿Evaluamos el suyo? En todos los ambientes que evaluamos había problemas. En el suyo, solo falta mirar. Son 230 validaciones de seguridad en cada instancia de SQL Server, analizadas una a una por especialistas, con un plan claro para blindar su ambiente. Producto desarrollado por **Fabiano Amorim**, Microsoft Data Platform MVP y Most Valuable Researcher 2026. - URL: https://powersqlsecurity.com/es/ - Idioma: [Português](https://powersqlsecurity.com/index.md) · [English](https://powersqlsecurity.com/en/index.md) · [Español](https://powersqlsecurity.com/es/index.md) - Agendar reunión: https://powertuning.com.br/es/reunion-comercial.html - WhatsApp: https://wa.me/552734413060 - Versión en Markdown de la página del Power SQL Security Assessment, para LLMs y herramientas de IA. - **100%** de los ambientes evaluados por Power Tuning tenían vulnerabilidades - **230** validaciones de seguridad en cada instancia - **17** CVEs de SQL Server reportados por Fabiano y corregidos por Microsoft - **119** vulnerabilidades reportadas a los mayores proveedores de nube ## Usted dio lectura. Él consigue todo. Un acceso que parece inofensivo puede ser la puerta de entrada al control total de su base de datos. Es exactamente ese tipo de camino el que el Power SQL Security Assessment encuentra antes que un atacante. - **Usted concedió:** SELECT, solo lectura. Para que un socio, un colaborador o una aplicación consulte datos. (`GRANT SELECT ON SCHEMA::dbo TO [socio];`) - **Lo que realmente consigue:** SYSADMIN. Control total de SQL Server. - Leer, modificar y borrar cualquier dato - Eliminar bases de datos enteras - Acceder a tablas de salarios e información crítica - Modificar datos sin dejar rastro (saldos, valores, registros) - Desactivar la auditoría y borrar los logs, ocultando el ataque - Leer la ruta de los backups e intentar eliminarlos - Moverse a otros servidores por la red - Llegar al sistema operativo del servidor Para algunas de estas fallas, **aún no existe corrección publicada**. Aplicar el último parche no es suficiente. Hay que mirar su ambiente de cerca. ## Fabiano Amorim: Chief Technology Advisor de Power Tuning Referente nacional e internacional en SQL Server, Fabiano lidera el área de seguridad de datos de Power Tuning. La metodología del assessment nació de su investigación sobre cómo se invaden las bases de datos en la práctica. - **Sysadmin en las 4 mayores nubes:** Demostró caminos de escalada de privilegios hasta sysadmin en el SQL Server administrado de Azure, AWS, GCP y Alibaba. - **Most Valuable Researcher 2026:** Reconocimiento por investigación en seguridad. - **Microsoft Data Platform MVP desde 2011:** Más de 15 años de reconocimiento continuo de Microsoft. - **Conferencista internacional:** WeAreDevelopers World Congress 2026 (América del Norte y Europa), SQLBits y eventos de la comunidad. - **Autor técnico:** Artículos sobre internals de SQL Server publicados en Simple Talk (Redgate) y un e-book por la misma editorial. "Hacking MSSQL on Cloud. All of them. How I became sysadmin on Azure, AWS, GCP and Alibaba" (Charla presentada en el WeAreDevelopers World Congress 2026) ## Un método tan crítico que lo tratamos con sigilo absoluto Entre las 230 validaciones, hay una que verifica si alguien con acceso limitado logra tomar el control total de su SQL Server. Si su ambiente está expuesto, usted lo sabe y recibe el plan para protegerse. El paso a paso del ataque nunca se escribe en ningún lugar. **Por qué tanto cuidado:** Si este método se filtrara, se convertiría en un arma contra cualquier empresa que use SQL Server en el mundo. Por eso no entra en el informe, en el correo ni en la presentación. - **Verificada en todo assessment:** Forma parte de las 230 validaciones aplicadas en cada instancia. - **Información solo para quien la necesita:** Usted sabe si está expuesto y cómo protegerse, sin ningún registro del camino del ataque. - **Corrección acompañada:** El plan de mitigación se define con su equipo y cuenta con el apoyo de la mentoría durante el proyecto. Ese es el nivel de responsabilidad que usted quiere de quien va a mirar su base de datos. ## 230 validaciones en cada instancia No es un checklist automático y rápido. Cada instancia se evalúa en profundidad, cubriendo configuración, permisos y el código T-SQL que se ejecuta en su ambiente. - 176 verificaciones de configuración y permisos - 54 reglas de análisis de código T-SQL - 10 categorías de seguridad cubiertas | # | Categoria / Category | | ---: | --- | | 57 | Autenticación y autorización | | 26 | Reducción de la superficie de ataque | | 22 | Protección de datos | | 18 | Auditoría y logs | | 15 | Inventario del ambiente | | 10 | Backup y recuperación | | 10 | Uso de recursos | | 8 | Seguridad de red | | 7 | Seguridad del host | | 3 | Instalación, actualizaciones y parches | Número de verificaciones de configuración y permisos en cada categoría. ## Los problemas que encontramos Ejemplo real de un ambiente evaluado. Cada hallazgo viene con **severidad, evidencia y recomendación**, para que su equipo sepa exactamente qué hacer. - 48 hallazgos: 2 críticos, 12 altos, 16 medios y 18 bajos - Autenticación y autorización: 18 - Auditoría y logs: 7 - Reducción de la superficie de ataque: 7 - Protección de datos: 5 - Seguridad de red: 4 - Backup y recuperación: 3 - Seguridad del host: 2 - Instalación, actualizaciones y parches: 2 ## De la recolección a la presentación en 2 a 3 semanas Plazo de 2 a 3 semanas por instancia. La mayor parte del tiempo se dedica al análisis especializado de los resultados, no a la generación del informe. 1. **Preparación y recolección** (2 días): Escaneo del ambiente 2. **Análisis de los resultados** (1 a 2 semanas): Validación, severidad y riesgo 3. **Definición de las acciones** (3 días): Qué hacer y en qué orden 4. **Presentación** (1 día): A su equipo ## Los entregables del assessment - **Escaneo completo con la herramienta Power SQL Security:** 230 validaciones ejecutadas en cada instancia. - **Análisis especializado de cada hallazgo:** Validación humana, sin falsos positivos. - **Clasificación por severidad:** De crítico a bajo, para que sepa por dónde empezar. - **Informes para cada público:** HTML interactivo, Excel detallado y PDF ejecutivo para el C-level. - **Plan de tratamiento priorizado:** Del quick win a la acción estructural. - **Presentación a su equipo técnico:** Resultados explicados en formato de workshop. ## Su equipo resuelve dudas directamente con el nuestro Durante todo el proyecto, su equipo de DBA e infraestructura puede preguntar cualquier cosa sobre seguridad en SQL Server a nuestro equipo técnico, por un grupo de WhatsApp o Teams, sin límite de preguntas. - Permisos y accesos - Hardening del ambiente - Buenas prácticas - Dudas de los hallazgos Y la presentación de los resultados se convierte en un **workshop de seguridad**: su equipo aprende en el proceso y sale más fuerte, además de recibir el diagnóstico. ## Las fallas que Fabiano encontró en los mayores proveedores de nube del mundo Ambientes protegidos por algunos de los mayores equipos de seguridad del planeta. Aun así, Fabiano Amorim encontró y reportó vulnerabilidades de SQL Server en **todos** ellos. Varios de esos reportes obtuvieron **recompensas de bug bounty** pagadas por los propios proveedores. - **119** vulnerabilidades reportadas en 5 proveedores de nube - Azure (SQL Server y Azure): 58 - Google Cloud (Cloud SQL): 22 - AWS (RDS): 26 - Alibaba Cloud (RDS): 9 - Nube SQL en Brasil (Proveedor nacional): 4 Quien encuentra fallas en los mayores proveedores del mundo es **quien usted quiere mirando su ambiente**. Es mucho mejor descubrir las brechas en una evaluación controlada, con informe y plan de corrección, que en manos de un atacante en producción. ## Fallas que Fabiano Amorim encontró, Microsoft corrigió Fabiano investiga la seguridad de SQL Server por dentro y reporta las vulnerabilidades directamente a Microsoft. Cada una se convirtió en una **corrección publicada en un parche oficial**, aplicada en ambientes de todo el mundo. - 17 CVEs de SQL Server reportados a Microsoft - 100% corregidos en parche oficial - CVEs ya asignados públicamente: CVE-2025-53727, CVE-2025-47954, CVE-2025-59499, CVE-2026-26116, CVE-2026-47295, CVE-2026-55002, CVE-2026-66820, CVE-2026-66819, CVE-2026-77487, CVE-2026-77480, CVE-2026-77483, CVE-2026-73028, CVE-2026-66818, CVE-2026-66816, CVE-2026-84010, CVE-2026-116715, CVE-2026-118110 El Power SQL Security Assessment fue creado por quien descubre las fallas que Microsoft publica. ## Bonos exclusivos para quien contrata el assessment ### Su equipo recibe el entrenamiento de seguridad, con vouchers ilimitados Cursos de Seguridad en SQL Server con Dirceu Resende (impartidos en portugués). Al cerrar el trabajo, todo el equipo accede a los dos cursos sin límite de personas, por nuestra cuenta. - Seguridad en SQL Server · Módulo 01 - Seguridad en SQL Server · Módulo 02 ### 3 meses de Power Alerts incluidos Monitoreo de su SQL Server: backup garantizado, intentos de login en SA y más. Su ambiente sigue vigilado después del diagnóstico. - Exclusivo para quien contrata el Power SQL Security Assessment ## Nuestra garantía - **Si encontramos fallas relevantes:** Usted sale con el plan. Priorizado para blindar el ambiente, del quick win a la acción estructural. - **Si no encontramos nada relevante:** Usted ¡no paga! El assessment corre por nuestra cuenta. ## Reciba una propuesta a medida La inversión depende de la cantidad de instancias de SQL Server en el alcance, con descuentos progresivos a medida que aumenta el número de instancias. Hable con nuestro equipo y reciba una propuesta para su ambiente. - Precio por instancia - Descuento progresivo a partir de la 3ª instancia - Garantía: no encontramos nada relevante, no paga ## Todo lo que está incluido - Escaneo completo con la herramienta Power SQL Security - 230 validaciones de seguridad en cada instancia - Análisis especializado de cada hallazgo, sin falsos positivos - Informe HTML, Excel y PDF ejecutivo, firmado por Fabiano Amorim - Plan de tratamiento priorizado y presentación a su equipo - Sigilo total de los hallazgos críticos - Mentoría de seguridad con nuestro equipo durante el proyecto - Garantía: no encontramos falla relevante, no paga - 3 meses de Power Alerts incluidos (bono) - Cursos de seguridad de la plataforma de Power Tuning (bono) ## Quien encuentra la brecha también sabe cerrarla Después del informe, usted no se queda solo. El mismo equipo que identificó los riesgos puede apoyar la corrección. - **Mayor consultora de bases de datos y BI de Brasil:** Especialistas dedicados a SQL Server todos los días. - **Microsoft Solutions Partner:** Socio de Microsoft desde 2018. - **Equipo de MVPs y líderes técnicos:** Líderes reconocidos por la comunidad y por Microsoft. - **Del diagnóstico a la corrección:** Apoyo para aplicar el plan de acción con seguridad. ## Antes de agendar ### ¿Para quién es el Power SQL Security Assessment? Para empresas que usan SQL Server, on-premises o en la nube, y quieren saber con claridad cuán expuesto está su ambiente. También se recomienda antes de auditorías, después de migraciones y cuando el ambiente creció sin revisión de accesos. ### ¿Cuánto tiempo toma? De 2 a 3 semanas por instancia: 2 días de preparación y recolección, 1 a 2 semanas de análisis de los resultados, 3 días para definir las acciones y 1 día de presentación a su equipo. ### ¿Es solo un escaneo automático? No. La herramienta Power SQL Security ejecuta 230 validaciones en cada instancia, y cada hallazgo es analizado por especialistas, sin falsos positivos. El análisis es la mayor parte del trabajo. ### Mis parches están al día. ¿Aún lo necesito? Sí. Para algunas de las fallas que evaluamos aún no existe corrección publicada. Aplicar el último parche no es suficiente para cerrar esos caminos. ### ¿Qué recibo al final? Un informe en HTML interactivo, un Excel detallado y un PDF ejecutivo para el C-level, firmado por Fabiano Amorim, además del plan de tratamiento priorizado y la presentación de los resultados a su equipo técnico. ### ¿Y si no encuentran nada relevante? No paga. Si el assessment no señala ninguna falla relevante, corre por nuestra cuenta. ### ¿Cómo se tratan los hallazgos críticos? Con sigilo total. El método de la falla más crítica no se registra en informes, correos ni presentaciones, para que no pueda usarse contra ningún ambiente. ### ¿El assessment afecta la operación de mi base de datos? El trabajo se planifica junto con su equipo, con alcance, ventanas y accesos acordados antes del inicio, para no impactar el día a día. ### ¿Cómo se define la inversión? El precio es por instancia de SQL Server, con descuento progresivo a partir de la 3ª instancia. Hable con nuestro equipo para recibir una propuesta para su ambiente. ## Agendemos su Power SQL Security Assessment Hable con nuestro equipo para definir la mejor fecha y comenzar el diagnóstico. Elija el canal que prefiera. - Agendar una reunión: https://powertuning.com.br/es/reunion-comercial.html - Hablar por WhatsApp: https://wa.me/552734413060 Sin compromiso. Usted habla directamente con quien entiende de seguridad en SQL Server. --- Power Tuning · https://powertuning.com.br/es/index · Power Tuning. Power SQL Security Assessment es un producto de Power Tuning.