PolarDB:Qu'est-ce que le pare-feu SQL

Contexte

En cas d'accès illégal à votre base de données, les attaquants peuvent récupérer l'intégralité des données. Même lors des opérations de maintenance courantes, l'exécution d'une instruction DELETE sans clause WHERE peut entraîner la suppression accidentelle d'une table.

Pour prévenir ces opérations à haut risque, PolarProxy met à disposition la fonctionnalité de pare-feu SQL. Celle-ci vous permet de configurer des règles de liste d'autorisation et de liste de blocage pour autoriser ou bloquer des instructions SQL. Le schéma suivant illustre le fonctionnement de cette fonctionnalité.

Prérequis

PolarDB PolarProxy doit être en version 2.5.1 ou ultérieure. Pour savoir comment consulter la version actuelle et mettre à niveau PolarProxy, consultez la rubrique Gestion des versions mineures.

Limites

• Après l'activation du pare-feu SQL, PolarProxy crée une base de données nommée database:proxy_auditing ainsi que deux tables nommées sql_list et org_sql_list dans le cluster actuel. La table sql_list stocke les instructions SQL paramétrées issues des règles de liste d'autorisation et de liste de blocage, tandis que la table org_sql_list conserve les instructions SQL des règles de liste de blocage. Chaque table peut contenir jusqu'à 500 000 instructions SQL.

• Lors de la création initiale d'une règle, celle-ci s'applique uniquement aux nouvelles connexions. Après modification, la règle prend effet sur les connexions existantes au bout de cinq secondes.

• Les instructions SQL définies dans une règle de liste d'autorisation ou de liste de blocage créée en mode SQL paramétré personnalisé ou en mode SQL personnalisé ne sont pas bloquées lors de la création de la règle, mais le sont une fois celle-ci établie.

• Pour un même compte et un même endpoint, vous ne pouvez pas activer simultanément une règle de liste de blocage et une règle de liste d'autorisation.

• Les instructions multiples ne sont pas prises en charge et sont toutes bloquées.

• Les instructions SQL que PolarProxy ne parvient pas à analyser sont enregistrées dans les journaux d'audit du pare-feu, mais ne sont pas bloquées. Par exemple, si une instruction SELECT contient des erreurs de syntaxe, elle n'est pas bloquée.

• Les instructions SQL contenues dans une règle de liste d'autorisation ou de liste de blocage créée en mode SQL paramétré personnalisé ou en mode SQL personnalisé sont conservées même si la règle est désactivée ou supprimée. Si la règle est réactivée, elle reste applicable aux mêmes comptes. Pour supprimer définitivement la règle, connectez-vous au nœud principal du cluster avec le compte super administrateur et supprimez les instructions SQL.

• Les règles de liste d'autorisation et de liste de blocage ne peuvent bloquer que les commandes SQL courantes (3) ou les commandes PREPARE (22). Les autres commandes ne sont pas bloquées. Par exemple, après connexion à un cluster via la ligne de commande MySQL, l'instruction USE db; est convertie en commande COM_INIT_DB(1) par le client MySQL. Cette commande n'est pas bloquée.

Impacts sur les performances

• L'activation de la règle de liste de blocage entraîne une surcharge de performances inférieure à 10 %.

• Si la règle de liste d'autorisation est activée et qu'aucun journal d'alerte n'est généré, la surcharge de performances est d'environ 10 %.

• Si des journaux d'alerte sont générés pour toutes les instructions SQL exécutées, le taux de requêtes diminue de 20 % à 30 % dans des conditions normales d'exploitation. Toutefois, seules certaines instructions SQL déclenchent des journaux d'alerte. Par conséquent, dans des conditions normales d'exploitation, la fonctionnalité de règle de liste d'autorisation ou de liste de blocage n'a pas d'impact significatif sur le taux de requêtes.

Fonctionnalité de règle de liste d'autorisation ou de liste de blocage

• Blacklist rule feature : configurez une règle de liste de blocage pour interdire certains types d'instructions SQL ou des instructions spécifiques. PolarProxy bloque toute instruction SQL ajoutée à la liste de blocage lors de son exécution. Pour plus d'informations, consultez la rubrique Configurer une règle de liste de blocage.

• Whitelist rule feature : les instructions SQL liées à l'activité métier doivent être apprises avant d'être autorisées par une règle de liste d'autorisation. Une fois le mode de protection activé, seules les instructions SQL ajoutées à la liste d'autorisation sont acceptées. Pour plus d'informations, consultez la rubrique Définir des règles de liste d'autorisation.