Information Technology | Databases » Adatbáziskezelők biztonsági rendszere

http://www.doksihu Adatbáziskezelők biztonsági rendszere http://www.doksihu Felhasználók azonosítása (Oracle)  Adatbázis  Külső (operációs rendszer, hálózati szolgáltató)  Közös (Enterprise - Oracle Security Service) http://www.doksihu Adatbázis azonosítás  CREATE USER scott IDENTIFIED BY tiger  Nem függ külső rendszerektől  Az Oracle jelszó-kezelési lehetőségei  Kis felhasználói csoportok esetén http://www.doksihu Külső azonosítás  Operációs rendszer – OS AUTHENT PREFIX=OPS$ – CREATE USER scott IDENTIFIED EXTERNALLY;  Hálózati szolgáltató – Oracle Advanced Networking Option (ANO) – pl. Kerberos  Előnyök – Egyszeri belépés – Az adatbázisban nem tárolunk felhasználókat ill. jelszavakat – Egyszerűbb a felhasználók kezelése http://www.doksihu Közös azonosítás  Oracle Security Service (OSS)  Több Oracle szerver együtt használja  CREATE USER scott IDENTIFIED

GLOBALLY as '<external name>';  Nagy felhasználói csoportok, sok szerverrel http://www.doksihu Felhasználó létrehozása  CREATE USER OPS$jward IDENTIFIED EXTERNALLY DEFAULT TABLESPACE data ts TEMPORARY TABLESPACE temp ts QUOTA 100M ON test ts QUOTA 500K ON data ts PROFILE clerk;  ALTER USER avyrros http://www.doksihu Profile-ok használata  CREATE PROFILE clerk LIMIT SESSIONS PER USER 2 CPU PER SESSION unlimited CPU PER CALL 6000 LOGICAL READS PER SESSION unlimited LOGICAL READS PER CALL 100 IDLE TIME 30 CONNECT TIME 480; http://www.doksihu Felhasználói jogosultságok  Rendszer jogosultságok – bizonyos aadatbázis-funkciók végrehajtására – pl. CREATE PROCEDURE, CREATE SESSION, stb.  Objektum jogosultságok – egy objektumon végezhető feladatokra vonatkozó jogosultság – pl. SELECT, INSERT, stb http://www.doksihu Szerepek használata  CREATE ROLE clerk IDENTIFIED BY bicentennial;  SET ROLE – ha kell

jelszó hozzá  Rendszer-jogosultság vagy szerep rendelése egy felhasználóhoz – GRANT create session, accts pay TO jward; – WITH ADMIN OPTION http://www.doksihu Előre definiált szerepek Oracle szerrver esetén  CONNECT  CREATE TYPE  RESOURCE  DBA http://www.doksihu Rendszer Jogosultságok  Create / Create any(table, index, sequence.)  Alter / Alter any .  Drop / Drop any  Execute / execute any procedure, function, trigger  Select / select any  Insert / Insert any  Update / Update any  Delete / Delete any http://www.doksihu Objektum jogosultságok Objektum jogosultság SQL utasítások ALTER Objektum változtatása (tábla, szekvencia) DELETE Törlés táblából nézetből EXECUTE Függvény vagy eljárás végrehajtása INDEX Index létrehozása táblára INSERT Beszúrás táblába vagy nézetbe REFERENCES CREATE vagy ALTER TABLE utasítás, ami FOREIGN KEY korlátozással hivatkozik a táblára SELECT

Kiválasztás táblából, nézetből. Szekvencia lekérdezése (pl INSERT) UPDATE Tábla/nézet módosítása http://www.doksihu Objektum jogosultságok kiadása  GRANT select, insert, delete ON emp TO jfee, tsmith;  GRANT insert(ename, job) ON emp TO jfee, tsmith;  GRANT ALL ON salary TO jfee;  GRANT OPTION http://www.doksihu Objektum jogosultságok visszavonása  Nem lehet csak a GRANT OPTIONt visszavonni  Az oszlopokra adott jogosultságot nem lehet egyenként visszavonni – REVOKE UPDATE ON dept FROM human resources; http://www.doksihu Mikor jutnak érvényre az új jogosultságok, illetve visszavonásuk  Minden rendszer vagy objektum jogosultság/megvonás amit kiadunk azonnal érvényre jut  Minden szerep hozzárendelés/megvonás akkor jut érvényre, mikor SET ROLE-t adunk ki, vagy új session jön létre http://www.doksihu Azonosítási módok SQL Serveren  Az azonosítás menete  Az azonosítási mód kiválasztása  Az

azonosítás implementálásának lépései  Loginok létrehozása http://www.doksihu Belépés az SQL Serverre Windows NT Ellenőrzi a bejegyzést a syslogins táblában Windows NT ellenőrzi a jelszót syslogins Windows NT csoport vagy felhasználó SQL SQL Server Ellenőrzi a bejegyzést és a jelszót a syslogins táblában SQL Server Login syslogins http://www.doksihu Az azonosítási mód kiválasztása  Az NT-s azonosítás előnyei – NT biztonsági beállításai – NT csoportokhoz egy SQL felhasználó – Gyors elérés  A kevert mód előnyei – Nem NT-s és Internetes kliensek is hozzáférhetnek – Plusz egy védelmi réteg http://www.doksihu Az azonosítás implementálásának lépései 1 Ellenőrizzük, hogy használunk-e Trusted Connectionöket 2 Allítsuk be az azonosítási módot 3 Az MSSQLServer Service újra indítása 4 Windows NT csoportok és felhasználók létrehozása 5 NT csoportok és felhasználók feljogosítása a

belépésre SQL Server loginek létrehozása azon felhasználók számára, akik nem 6 megbízható kapcsolattal kapcsolódnak http://www.doksihu Loginok létrehozása master.syslogins suid name loginname NULL NULL 6 7 1 NULL NULL accountingdomainmaria mary sa BUILTINAdministrators accountingdomainpayroll accountingdomainmaria mary sa sp grantlogin ‘név’ sp addlogin ‘név’, ‘jelszó’, ‘adatbázis’ http://www.doksihu Loginek felhasználóhoz ill. szerephez rendelése northwind.sysprotects Jogosultságok id uid action protecttype 117575457 117575457 117575457 117575457 0 0 0 7 193 195 196 193 205 205 205 205 northwind.sysusers uid name 0 1 3 7 public dbo INFORMATION SCHEMA payroll Felhasználók http://www.doksihu Loginek felhasználókhoz rendelése  Felhasználó létrehozása – SQL Server Enterprise Manager – sp grantdbaccess rendszer tárolt eljárás  dbo felhasználó  guest felhasználó http://www.doksihu Loginek

szerepekhez rendelése  Előre definiált szerver-szintű szerepek  Előre definiált adatbázis-szintű szerepek  Felhasználó által definiált adatbázis-szintű szerepek http://www.doksihu Előre definiált szerver-szintű szerepek Szerep Jogosultság sysadmin Bármi dbcreator Adatbázisok létrehozása/változtatása diskadmin Fájlok kezelése processadmin SQL Server processzek kezelése serveradmin Szerver-szintű beállítások konfigurálása setupadmin Replikáció telepítése securityadmin Loginek kezelése és auditálása sp addsrvrolemember ‘név’, ‘szerepkör’ Előre definiált adatbázis-szintű szerepek http://www.doksihu Szerep Jogosultság public Alap jogosultságok db owner db security admin Bármit megtehet az adatbázisban Adatbázis csoportok, szerepek és felhasználók módosítása Adatbázis objektumok létrehozása, törlése, módosítása Parancs- és objektum-jogosultságok adása db backupoperator

Mentés-visszaállítás db datareader Bármely tábla olvasása db datawriter Bármely tábla módosítása db denydatareader Nem tud olvasni egy táblából sem db denydatawriter Nem tud módosítani egy táblában sem db accessadmin db ddladmin sp addrolemember ‘szerepkör’, ‘user’ http://www.doksihu Felhasználó által definiált adatbázis-szintű szerepek Szerep hozzáadása:  Ha a felhasználók egy csoportjának kell ugyanazt a dolgot elvégeznie a szerveren  Ha nincs jogosultság NT csoportok módosítására EXEC sp addrole Managers, dbo EXEC sp addrolemember Managers, Alicia http://www.doksihu Jogosultságok szerepekhez és felhasználókhoz rendelése  Jogosultságok típusai  Jogosultságok adása, megtagadása és visszavonása – jogosultság adása, hogy elérjük az adatokat – jogosultság megtagadása - ne érhesse el – megtagadott és megadott jogosultságok visszavonása http://www.doksihu Jogosultságok típusai

Utasítás CREATE DATABASE CREATE TABLE CREATE VIEW CREATE PROCEDURE Objektum SELECT INSERT UPDATE DELETE REFERENCES Szerep TABLE VIEW CREATE RULE CREATE DEFAULT BACKUP DATABASE SELECT COLUMN UPDATE REFERENCES BACKUP LOG EXEC Előre definiált STORED PROCEDURE Objektum tulajdonos http://www.doksihu Jogosultságok adása, megtagadása és visszavonása REVOKE: Semleges GRANT: Végrehajthat DENY: Nem hajthat végre http://www.doksihu Jogosultság megadása GRANT SELECT ON products TO order GRANT INSERT, UPDATE ON products TO Eva, Ivan, David User/Role Eva Ivan David Order Insert Update Select http://www.doksihu Jogosultság megtagadása DENY SELECT, INSERT, UPDATE ON products TO Eva, Ivan, David User/Role Eva Ivan David Order Insert Update Select Jogosultság megadásának és megtagadásának visszavonása http://www.doksihu REVOKE SELECT, INSERT, UPDATE ON products FROM Eva, Ivan User/Role Eva Ivan David Order Insert Update Select http://www.doksihu

A biztonsági rendszer megtervezése  Alapértelmezés szerinti loginek – sysadmin – BUILTINAdministrators  guest felhasználó funkciója  public szerep funkciója  Jogosultságok szerepekhez rendelése – Felhasználó által definiált szerepek – Jogosultságok rendelése ezekhez – Tagok hozzáadása  Objektumok tulajdonosa a dbo http://www.doksihu Alkalmazások biztonsága  Nézetek és tárolt eljárások biztonsági megfontolásai  Kliens alkalmazások biztonsága az alkalmazás szerepek segítségével http://www.doksihu Nézetek és tárolt eljárások jogosultságai SELECT * FROM employee view SELECT * FROM employees EXEC employee update 1, 9 employees employeeid lastname firstname reportsto 1 2 3 Davolio Fuller Leverling Nancy Andrew Janet 2 2 . http://www.doksihu Alkalmazás jogosultságok Order Entry Application Microsoft Excel orders orderid customerid employeeid 10248 10249 10250 VINET TOMSP HANAR 3 1 2 .

http://www.doksihu Alkalmazás szerepek létrehozása  sp addapprole rendszer tárolt eljárás  Csak db owner, db securityadmin és sysadmin tagok EXEC sp addapprole 'SalesApp', 'hg 7532LR' GRANT SELECT ON products TO SalesApp http://www.doksihu Alkalmazás szerep aktivizálása  Jelszó megadása kötelező  Csak az aktuális adatbázisban - ha adatbázist vált, akkor újra felhasználói jogosultságai lesznek  A szerepet nem lehet deaktivizálni, csak kilépéssel EXEC sp setapprole 'SalesApp', {ENCRYPT N'hg 7532LR'}'ODBC' http://www.doksihu Javaslatok Kevert mód a nem megbízható, és Internetes kliensek számára Inkább a sysadmin szerepet használjuk, mint az sa logint Először mindig az NT felhasználót töröljük, és aztán az SQL Servert dbo legyen az összes objektum tulajdonosa Tárolt eljárásokkal és nézetekkel egyszerűsíthető a védelem