# Power SQL Security Assessment > Assessment de segurança para SQL Server criado por Fabiano Amorim, Microsoft Data Platform MVP. 230 validações por instância, análise especializada sem falso positivo, plano de tratamento priorizado e garantia: se não encontrarmos nada relevante, você não paga. **TODOS os ambientes que testamos apresentaram vulnerabilidades.** Vamos testar o seu? Em todo ambiente que avaliamos, havia problemas. No seu, só falta olhar. São 230 validações de segurança em cada instância de SQL Server, analisadas uma a uma por especialistas, com um plano claro para blindar o seu ambiente. Produto desenvolvido por **Fabiano Amorim**, Microsoft Data Platform MVP e Most Valuable Researcher 2026. - URL: https://powersqlsecurity.com/ - Idioma: [Português](https://powersqlsecurity.com/index.md) · [English](https://powersqlsecurity.com/en/index.md) · [Español](https://powersqlsecurity.com/es/index.md) - Agendar reunião: https://powertuning.com.br/dornel - WhatsApp: https://wa.me/552734413060 - Versão em Markdown da página do Power SQL Security Assessment, para leitura por LLMs e ferramentas de IA. - **100%** dos ambientes avaliados pela Power Tuning tinham vulnerabilidades - **230** validações de segurança em cada instância - **17** CVEs do SQL Server reportados por Fabiano e corrigidos pela Microsoft - **119** vulnerabilidades reportadas aos maiores provedores de nuvem ## Você deu leitura. Ele consegue tudo. Um acesso que parece inofensivo pode ser a porta de entrada para o controle total do seu banco de dados. É exatamente esse tipo de caminho que o Power SQL Security Assessment encontra antes de um atacante. - **Você concedeu:** SELECT, só leitura. Para um parceiro, um colaborador ou uma aplicação consultar dados. (`GRANT SELECT ON SCHEMA::dbo TO [parceiro];`) - **O que ele consegue de verdade:** SYSADMIN. Controle total do SQL Server. - Ler, alterar e apagar qualquer dado - Excluir bases inteiras - Acessar tabelas de salários e informações críticas - Alterar dados sem deixar rastro (saldos, valores, registros) - Desligar a auditoria e apagar os logs, escondendo o ataque - Ler o caminho dos backups e tentar excluí-los - Se mover para outros servidores pela rede - Chegar ao sistema operacional do servidor Para algumas dessas falhas, **ainda não existe correção publicada**. Aplicar o último patch não é suficiente. É preciso olhar o seu ambiente de perto. ## Fabiano Amorim: Chief Technology Advisor da Power Tuning Referência nacional e internacional em SQL Server, Fabiano lidera a área de segurança de dados da Power Tuning. A metodologia do assessment nasceu da pesquisa dele sobre como bancos de dados são invadidos na prática. - **Sysadmin nas 4 maiores clouds:** Demonstrou caminhos de escalada de privilégio até sysadmin no SQL Server gerenciado do Azure, AWS, GCP e Alibaba. - **Most Valuable Researcher 2026:** Reconhecimento por pesquisa em segurança. - **Microsoft Data Platform MVP desde 2011:** Mais de 15 anos de reconhecimento contínuo da Microsoft. - **Palestrante internacional:** WeAreDevelopers World Congress 2026 (América do Norte e Europa), SQLBits e eventos da comunidade. - **Autor técnico:** Artigos sobre internals do SQL Server publicados na Simple Talk (Redgate) e e-book pela mesma editora. "Hacking MSSQL on Cloud. All of them. How I became sysadmin on Azure, AWS, GCP and Alibaba" (Palestra apresentada no WeAreDevelopers World Congress 2026) ## Um método tão crítico que tratamos com sigilo absoluto Entre as 230 validações, existe uma que verifica se alguém com acesso limitado consegue assumir o controle total do seu SQL Server. Se o seu ambiente estiver exposto, você fica sabendo e recebe o plano para se proteger. O passo a passo do ataque nunca é escrito em lugar nenhum. **Por que tanto cuidado:** Se esse método vazasse, viraria uma arma contra qualquer empresa que roda SQL Server no mundo. Por isso ele não entra no relatório, no e-mail nem na apresentação. - **Verificada em todo assessment:** Faz parte das 230 validações aplicadas em cada instância. - **Informação só com quem precisa:** Você sabe se está exposto e como se proteger, sem nenhum registro do caminho do ataque. - **Correção acompanhada:** O plano de mitigação é definido com o seu time e apoiado pela mentoria durante o projeto. É esse nível de responsabilidade que você quer de quem vai olhar o seu banco de dados. ## 230 validações em cada instância Não é um checklist automático e rápido. Cada instância é avaliada em profundidade, cobrindo configuração, permissões e o código T-SQL que roda no seu ambiente. - 176 verificações de configuração e permissões - 54 regras de análise de código T-SQL - 10 categorias de segurança cobertas | # | Categoria / Category | | ---: | --- | | 57 | Autenticação e autorização | | 26 | Redução de superfície de ataque | | 22 | Proteção de dados | | 18 | Auditoria e logs | | 15 | Inventário do ambiente | | 10 | Backup e recuperação | | 10 | Uso de recursos | | 8 | Segurança de rede | | 7 | Segurança do host | | 3 | Instalação, updates e patches | Número de verificações de configuração e permissões em cada categoria. ## Os problemas que encontramos Exemplo real de um ambiente avaliado. Cada achado vem com **severidade, evidência e recomendação**, para o seu time saber exatamente o que fazer. - 48 achados: 2 críticos, 12 altos, 16 médios e 18 baixos - Autenticação e autorização: 18 - Auditoria e logs: 7 - Redução de superfície de ataque: 7 - Proteção de dados: 5 - Segurança de rede: 4 - Backup e recuperação: 3 - Segurança do host: 2 - Instalação, updates e patches: 2 ## Da coleta à apresentação em 2 a 3 semanas Prazo de 2 a 3 semanas por instância. A maior parte do tempo vai para a análise especializada dos resultados, não para a geração do relatório. 1. **Preparação e coleta** (2 dias): Varredura do ambiente 2. **Análise dos resultados** (1 a 2 semanas): Validação, severidade e risco 3. **Definição das ações** (3 dias): O que fazer e em que ordem 4. **Apresentação** (1 dia): Ao seu time ## As entregas do assessment - **Varredura completa com a ferramenta Power SQL Security:** 230 validações executadas em cada instância. - **Análise especializada de cada achado:** Validação humana, sem falso positivo. - **Classificação por severidade:** Do crítico ao baixo, para você saber por onde começar. - **Relatórios para cada público:** HTML interativo, Excel detalhado e PDF executivo para o C-level. - **Plano de tratamento priorizado:** Do quick win à ação estrutural. - **Apresentação ao seu time técnico:** Resultados explicados em formato de workshop. ## Seu time tira dúvidas direto com o nosso Durante todo o projeto, o seu time de DBA e infraestrutura pode perguntar qualquer coisa sobre segurança no SQL Server para o nosso time técnico, pelo grupo de WhatsApp ou Teams, sem limite de perguntas. - Permissões e acessos - Hardening do ambiente - Boas práticas - Dúvidas dos achados E a apresentação dos resultados ainda vira um **workshop de segurança**: o seu time aprende no processo e sai mais forte, além de receber o diagnóstico. ## As falhas que o Fabiano encontrou nos maiores provedores de nuvem do mundo Ambientes protegidos por algumas das maiores equipes de segurança do planeta. Mesmo assim, Fabiano Amorim encontrou e reportou vulnerabilidades de SQL Server em **todos** eles. Vários desses reportes renderam **recompensas de bug bounty** pagas pelos próprios provedores. - **119** vulnerabilidades reportadas em 5 provedores de nuvem - Azure (SQL Server e Azure): 58 - Google Cloud (Cloud SQL): 22 - AWS (RDS): 26 - Alibaba Cloud (RDS): 9 - Nuvem SQL no Brasil (Provedor nacional): 4 Quem encontra falhas nos maiores provedores do mundo é **quem você quer olhando o seu ambiente**. É muito melhor descobrir as brechas numa avaliação controlada, com relatório e plano de correção, do que pelas mãos de um atacante em produção. ## Falhas que Fabiano Amorim encontrou, a Microsoft corrigiu Fabiano pesquisa a segurança do SQL Server por dentro e reporta as vulnerabilidades direto à Microsoft. Cada uma delas virou uma **correção publicada em patch oficial**, aplicada em ambientes do mundo inteiro. - 17 CVEs do SQL Server reportados à Microsoft - 100% corrigidos em patch oficial - CVEs já atribuídos publicamente: CVE-2025-53727, CVE-2025-47954, CVE-2025-59499, CVE-2026-26116, CVE-2026-47295, CVE-2026-55002, CVE-2026-66820, CVE-2026-66819, CVE-2026-77487, CVE-2026-77480, CVE-2026-77483, CVE-2026-73028, CVE-2026-66818, CVE-2026-66816, CVE-2026-84010, CVE-2026-116715, CVE-2026-118110 O Power SQL Security Assessment foi criado por quem descobre as falhas que a Microsoft publica. ## Bônus exclusivos para quem fecha o assessment ### Seu time ganha o treinamento de segurança, com vouchers ilimitados Cursos de Segurança no SQL Server com Dirceu Resende. Fechou o trabalho, todo o time acessa os dois cursos sem limite de pessoas, por nossa conta. - Segurança no SQL Server · Módulo 01 - Segurança no SQL Server · Módulo 02 ### 3 meses de Power Alerts incluídos Monitoramento do seu SQL Server: backup garantido, tentativa de login no SA, e mais. O seu ambiente continua vigiado depois do diagnóstico. - Exclusivo de quem fecha o Power SQL Security Assessment ## Nossa garantia - **Se encontramos falhas relevantes:** Você sai com o plano. Priorizado para blindar o ambiente, do quick win à ação estrutural. - **Se não encontramos nada relevante:** Você não paga! O assessment é por nossa conta. ## Condição especial de 2026 Fechando ainda este ano, **15% de desconto**. Feche em 2026, antes da reforma tributária entrar em vigor. De R$ 14.000 → **R$ 11.900** por instância (ou **6x de R$ 1.983,33**). Você economiza R$ 2.100 por instância. - 230 validações por instância - Relatório HTML, Excel e PDF - Plano de ação priorizado - Apresentação ao seu time - Desconto progressivo a partir da 3ª instância - Parcelamento em até 6x - Garantia: não apontou falha relevante, você não paga ## Tudo que está incluído - Varredura completa com a ferramenta Power SQL Security - 230 validações de segurança em cada instância - Análise especializada de cada achado, sem falso positivo - Relatório HTML, Excel e PDF executivo, assinado por Fabiano Amorim - Plano de tratamento priorizado e apresentação ao seu time - Sigilo total dos achados críticos - Mentoria de segurança com o nosso time durante o projeto - Garantia: não apontou falha relevante, você não paga - 3 meses de Power Alerts incluídos (bônus) - Cursos de segurança da plataforma da Power Tuning (bônus) ## Quem encontra a brecha também sabe fechar Depois do relatório, você não fica sozinho. O mesmo time que identificou os riscos pode apoiar a correção. - **Maior consultoria de banco de dados e BI do Brasil:** Especialistas dedicados a SQL Server todos os dias. - **Microsoft Solutions Partner:** Parceira Microsoft desde 2018. - **Time de MVPs e Heads técnicos:** Líderes reconhecidos pela comunidade e pela Microsoft. - **Do diagnóstico à correção:** Apoio para aplicar o plano de ação com segurança. ## Antes de agendar ### Para quem é o Power SQL Security Assessment? Para empresas que usam SQL Server, on-premises ou em nuvem, e querem saber com clareza o quanto o ambiente está exposto. É indicado também antes de auditorias, depois de migrações e quando o ambiente cresceu sem revisão de acessos. ### Quanto tempo leva? De 2 a 3 semanas por instância: 2 dias de preparação e coleta, 1 a 2 semanas de análise dos resultados, 3 dias para definir as ações e 1 dia de apresentação ao seu time. ### É só um scan automático? Não. A ferramenta Power SQL Security executa 230 validações em cada instância, e cada achado é analisado por especialistas, sem falso positivo. A análise é a maior parte do trabalho. ### Meus patches estão em dia. Ainda preciso? Sim. Para algumas das falhas que avaliamos ainda não existe correção publicada. Aplicar o último patch não é suficiente para fechar esses caminhos. ### O que eu recebo no final? Relatório em HTML interativo, Excel detalhado e PDF executivo para o C-level, assinado por Fabiano Amorim, além do plano de tratamento priorizado e da apresentação dos resultados ao seu time técnico. ### E se vocês não encontrarem nada relevante? Você não paga. Se o assessment não apontar falha relevante, ele é por nossa conta. ### Como os achados críticos são tratados? Com sigilo total. O método da falha mais crítica não é registrado em relatório, e-mail ou apresentação, para que não possa ser usado contra nenhum ambiente. ### O assessment afeta a operação do meu banco? O trabalho é planejado junto com a sua equipe, com escopo, janelas e acessos combinados antes do início, para não impactar o dia a dia. ## Vamos agendar o seu Power SQL Security Assessment Chame o nosso time para marcar a melhor data e começar o diagnóstico. Escolha o canal que preferir. - Agendar uma reunião: https://powertuning.com.br/dornel - Conversar no WhatsApp: https://wa.me/552734413060 Sem compromisso. Você conversa direto com quem entende de segurança em SQL Server. --- Power Tuning · https://powertuning.com.br/ · Power Tuning. Power SQL Security Assessment é um produto Power Tuning.