PolarDB:SQLファイアウォール

SQL インジェクション攻撃の種類

保護されたロール

保護されたロールは、SQL/Protectによって保護されたユーザーまたはグループです。 データベース管理者は、SQL/Protectを使用して保護ロールを指定できます。 SQL/Protectを使用して、さまざまな保護ロールに対してさまざまなレベルのインジェクション攻撃防止をカスタマイズできます。 SQLインジェクション攻撃の種類は、レベルによって異なります。

SQL/Protectが実行されている場合、スーパーユーザー権限を持つ保護ロールは共通ロールに変更されるか、保護されていないロールに復元されます。

さらに、保護されたロールによって実行される各コマンドは、統計ビューに記録されます。 このビューは、ロールに対する潜在的なSQLインジェクション攻撃の開始を特定するのに役立ちます。 統計は、SQLインジェクション攻撃のタイプに基づいて収集されます。

管理者ロールを使用してデータベースのSQL/Protectを構成する

1. 次のコードブロックのパラメーターを変更して、SQL/Protectを有効にします。

   set polar_sql_protect.enabled = on; #(The default value is off.)
   set polar_sql_protect.level = passive; #(Valid values: learn, active, and passive. The default value is passive.)

2. targetdbという名前のテストデータベースとtestという名前のテストユーザーを作成します。

   CREATE DATABASE targetdb;
   CREATE ROLE test;
   GRANT ALL ON DATABASE targetdb TO test;
   ALTER ROLE test LOGIN;

3. テストデータベースtargetdbにログインします。 次に、次のステートメントを実行してSQL/Protectを作成し、保護されたロールを追加します。

   CREATE EXTENSION sqlprotect;
   SELECT sqlprotect.protect_role('test');

   保護されたロールのリストを表示します。

   SELECT * FROM sqlprotect.list_protected_users;
   SELECT * FROM sqlprotect.polar_sql_protect;

4. 要件に基づいてSQL/Protectが機能するモードを変更します。

   SQL/Protectは、学習、アクティブ、パッシブの3つのモードで動作します。 デフォルトモードでは、パッシブ (passive) が設定されています。 詳細については、「SQL/Protectが保護されたロールを監視するモードの設定」をご参照ください。

   • SQL/Protectが学習するモードを変更します。

     polar_sql_protect.level = learn; #(Valid values: learn, active, and passive. The default value is passive.)

     1. テストユーザーとして targetdb データベースにログインします。 次に、companyという名前のテストテーブルを作成し、SELECTステートメントとINSERTステートメントを実行します。

        CREATE TABLE company(name VARCHAR(100), employee_num INT);
        SELECT * FROM company;
        INSERT INTO company VALUES('new', 1);
        SELECT * FROM company;

     2. テストユーザーが使用するテーブルに関する学習情報を表示します。

        SELECT * FROM sqlprotect.polar_sql_protect_rel;
        SELECT * FROM sqlprotect.list_protected_rels;

   • SQL/Protectが動作するモードをパッシブに変更します。

     polar_sql_protect.level = passive; #(Valid values: learn, active, and passive. The default value is passive.)

     1. テストユーザーとして targetdb データベースにログインします。

     2. SQL文を注入します。

        SELECT * FROM company WHERE 1 = 1;
        DELETE FROM company;

        説明

        SQL/Protectは、不正なSQLステートメントを示すメッセージを返します。 ただし、SQL/ProtectはSQL文の実行を妨げません。

   • SQL/Protectが機能するモードをアクティブに変更します。

     polar_sql_protect.level = active; #(Valid values: learn, active, and passive. The default value is passive.)

     1. テストユーザーとして targetdb データベースにログインします。

     2. SQL文を注入します。

        SELECT * FROM company WHERE 1 = 1;
        DELETE FROM company;

        説明

        SQL/Protectは、不正なSQLステートメントを示すメッセージを返します。 SQL/Protectは、SQL文の実行も防ぎます。

保護されたロールの設定

保護されたロールは、polar_sql_protectテーブルに格納されます。 データベース管理者は、保護されているユーザーとユーザーグループを選択し、ユーザーとユーザーグループをテーブルに追加できます。

• protect_role関数を呼び出して、ユーザーをテーブルに追加します。

  SELECT sqlprotect.protect_role('userA');

• SQL/Protectが保護されたロールについて学習したテーブルに関する情報を照会します。

  select * from sqlprotect.list_protected_users;
  select * from sqlprotect.polar_sql_protect; 

• 保護されたロールを削除するには、unprotect_role関数を呼び出します。

  SELECT sqlprotect.unprotect_role('userA');

SQL/Protectが機能するモードを設定して、保護されたロールを監視する

 polar_sql_protect.level = active;  #Set the mode in which SQL/Protect works to active.

polar_sql_protectテーブルの一部のフィールドを変更して、ロールの保護対象を指定するには、次のステートメントを実行します。

targetdb=# \d sqlprotect.polar_sql_protect;
        Table "sqlprotect.polar_sql_protect"
      Column       |  Type   | Collation | Nullable | Default 
--------------------+---------+-----------+----------+--------- 
dbid               | oid     |           | not null |  
roleid             | oid     |           | not null |  
protect_relations  | boolean |           |          |  
allow_utility_cmds | boolean |           |          |  
allow_tautology    | boolean |           |          |  
allow_empty_dml    | boolean |           |          | 
Indexes: 
   "polar_sql_protect_pkey" PRIMARY KEY, btree (roleid)

UPDATE sqlprotect.polar_sql_protect SET allow_utility_cmds = TRUE WHERE roleid = 16480;

その他の操作

• SQL/Protectを停止するには、次のステートメントを実行します。

  polar_sql_protect.enabled = off #(The default value of this parameter is off.)
  polar_sql_protect.level = passive #(Valid values: learn, active, and passive. The default value is passive.)

• SQL/ProtectによってブロックされたSQLステートメントに関する統計を表示するには、次のステートメントを実行します。

  SELECT * FROM sqlprotect.polar_sql_protect_stats;

• 指定されたユーザーのSQL/ProtectブロックによってブロックされたSQLステートメントに関する統計を削除するには、次のステートメントを実行します。

  SELECT sqlprotect.drop_stats('username');