Применение Принципа Наименьшего количества Привилегий

Рубрика: Администрирование Пользовательской Безопасности

Защитите словарь данных:

Применение Принципа Наименьшего количества Привилегий

Отнемите ненужные привилегии у PUBLIC.

Используйте списки управления доступом (ACL), чтобы управлять сетевым доступом.

Ограничьте каталоги, доступные пользователям.

Ограничьте пользователей с административными привилегиями.

Ограничьте удаленную аутентификацию базы данных:

Принцип наименьшего количества привилегий означает, что пользователю нужно дать только те привилегии, которые ему нужны для того, чтобы эффективно выполнять свои задачи. Это уменьшает возможности пользователей, чтобы изменить или просмотреть данные (случайно или умышленно), которые они не имеют права изменять или просматривать.

Защитите словарь данных: Параметр O7_DICTIONARY_ACCESSIBILITY установлен по умолчанию в FALSE. Не следует позволять его изменения без очень серьезного основания, потому что он предотвращает доступ пользователей с системными привилегиями ANY TABLE к базовым таблицам словаря данных. Он также гарантирует, что пользователь SYS может войти в систему только как SYSDBA.

Отнемите ненужные привилегии у PUBLIC: Несколько пакетов чрезвычайно полезны для приложений, которые в них нуждаются, но требуют надлежащей конфигурации, чтобы можно было их использовать безопасным образом. PUBLIC имеет привилегию выполнения для следующих пакетов: UTL_SMTP, UTL_TCP, UTL_HTTP и UTL_FILE. В Oracle Database 11g сетевым доступом управляет список управления доступом (ACL), который может быть сконфигурирован, чтобы предоставить определенный пользовательский доступ к определенным сетевым службам. Сетевой доступ зарпещен по умолчанию. ACL должен быть создан, чтобы предоставить сетевой доступ. Файлом через доступ UTL_FILE управляют на двух уровнях: на уровне ОС с разрешениями на файлы и каталоги, и в базе данных посредством объектов DIRECTORY, которые предоставляют доступ к определенным каталогам файловой системы. Объект DIRECTORY можtn быть предоставлен пользователю для чтения или для чтения и записи. Привилегии выполнения для других пакетов PL/SQL нужно тщательно контролировать.

Более мощные пакеты, которые могут потенциально неправильно использоваться, включают:

  • UTL_SMTP: Разрешает отправлять произвольные электронные письма, используя базу данных как почтовый сервер на сонове Простого Протокола Передачи почты (SMTP). Используйте ACL, чтобы управлять тем, какие пользователи к каким машинам могут получать доступ.

  • UTL_TCP: Разрешает устанавливать сервером базы данных исходящие сетевые соединения к любой принимающей или ожидающей сетевой службе. Таким образом произвольные данные могут быть отправлены между сервером базы данных к любой ожидающей сетевой службой. Используйте ACL, чтобы управлять доступом.

  • UTL_HTTP: Позволяет серверу базы данных запрашивать и получать данные через HTTP. Предоставление этого пакета пользователю может разрешить отправку данных через HTML-формы злонамеренному Веб-сайту. Ограничьте доступ с помощью ACL.

  • UTL_FILE: Будучи сонфигурирован ненадлежащим образом, предоставляет доступ на уровне текста к любому файлу на операционной системе узла. Будучи сконфигурирован должным образом, этот пакет ограничивает пользовательский доступ к определенным расположениям каталогов.

Ограничьте доступ к каталогам ОС: Объект DIRECTORY в базе данных позволяет DBA отобразить каталоги на пути ОС и предоставить привилегии для этих каталогов отдельным пользователям.

Ограничьте пользователей с административными привилегиями: Не предоставляйте пользователям базы данных больше привилегий, чем необходимо. Неадминистраторам нельзя предоставлять роль DBA. Чтобы реализовать принцип наименьшего количества привилегий, ограничьте следующие типы привилегий:

  • Предоставление системных и объектных привилегий

  • SYS-привилегированные соединения с базой данных, такие как SYSDBA и SYSOPER

  • Другие привилегии типа DBA, такие как DROP ANY TABLE

Ограничьте удаленную аутентификацию базы данных: Параметр REMOTE_OS_AUTHENT устанавливается в FALSE по умолчанию. Его не следует менять, если нет доверия абсолютно всем клиентам на предмет аутентификации пользователей должным образом. С появлением Безопасного Внешнего Хранилища Паролей (доступного в Выпуске 2 Oracle Database 10g), есть несколько доводов, чтобы позволить удаленную аутентификацию ОС.

В удаленном процессе аутентификации:

  • Пользователь базы данных аутентифицируется внешне

  • Удаленная система аутентифицирует пользователя

  • Пользователь входит в систему базы данных без дальнейшей аутентификации

Отметьте: Всегда полностью тестируйте свои приложения, если Вы отменили какие-либо привилегии.

Далее: Обслуживание Контрольного журнала

Смотрите также
Комментарии
Написать

(обязательно)

(обязательно)

Это не спам (обязательно)