Data Management:Console SQL para bancos de dados relacionais

Pontos de verificação no SQL Console

O fluxograma a seguir ilustra o funcionamento dos pontos de verificação.

Fatores e ações

• Um fator é uma variável predefinida fornecida pelo DMS. Utilize fatores para obter o contexto que as regras de segurança devem validar, como as categorias das instruções SQL e a quantidade de linhas de dados afetadas.

  • Todos os fatores começam com @fac., seguido pelo nome do fator.

  • Cada módulo na página de detalhes de um conjunto de regras de segurança disponibiliza fatores distintos para cada ponto de verificação.

  Tabela 1. Fatores disponibilizados pelo módulo SQL Console

  Fator	Descrição
  @fac.sql_count	Quantidade de instruções SQL enviadas simultaneamente.
  @fac.select_sql_count	Número de instruções DQL presentes no lote de instruções SQL enviadas.
  @fac.dml_sql_count	Total de instruções DML incluídas nas instruções SQL submetidas ao mesmo tempo.
  @fac.sql_type	Categoria da instrução SQL. Para mais detalhes, consulte a seção Instruções SQL executáveis no DMS deste tópico.
  @fac.sql_sub_type	Subcategoria da instrução SQL. Consulte a seção Instruções SQL executáveis no DMS neste tópico para mais informações.
  @fac.env_type	Tipo de ambiente. O valor corresponde a um identificador de ambiente, como DEV ou PRODUCT. Para saber mais, veja Tipo de ambiente da instância.
  @fac.fulltable_delete	Indica se a instrução SQL atual é um DELETE de tabela completa. Valores válidos: true false
  @fac.fulltable_update	Especifica se a instrução SQL atual é um UPDATE de tabela inteira. Valores válidos: true false
  @fac.current_sql	Instrução SQL atual.
  @fac.user_is_admin	Indica se o usuário atual é administrador do DMS. Valores válidos: true false
  @fac.user_is_dba	Indica se o usuário atual atua como administrador de banco de dados (DBA). Valores válidos: true false
  @fac.user_is_inst_dba	Indica se o usuário atual é DBA da instância de banco de dados em uso. Valores válidos: true false
  @fac.user_is_sec_admin	Indica se o usuário atual possui a função de administrador de segurança. Valores válidos: true false
  @fac.sql_affected_rows	Estimativa de linhas afetadas pela instrução SQL atual. Nota Uma operação COUNT será executada; portanto, utilize com cautela.
  @fac.sql_relate_table_store_size	Tamanho total estimado da tabela acessada pela instrução SQL atual. Unidade: MB. Nota Este valor é uma estimativa baseada nos metadados obtidos pelo DMS e não representa o tamanho real.

• Ação: Comportamento adotado pelo sistema quando uma condição if é satisfeita. Essa ação define o objetivo principal da regra de segurança, como impedir o envio de tickets, selecionar um fluxo de aprovação, permitir ou negar a execução.

  • Todas as ações começam com @act., seguido do nome da ação.

  • Os módulos na página de detalhes do conjunto de regras de segurança oferecem ações específicas para cada ponto de verificação.

  Tabela 2. Ações disponíveis no módulo SQL Console

  Ação	Descrição
  @act.reject_execute	Bloqueia a execução da instrução SQL atual.
  @act.allow_execute	Autoriza a execução da instrução SQL atual.
  @act.reject_sql_type_execute	Para rejeitar um tipo específico de instrução SQL, especifique o subtipo SQL. Exemplo: @act.reject_sql_type_execute 'UPDATE'.
  @act.allow_sql_type_execute	Para permitir a execução de um tipo específico de SQL, indique o subtipo SQL exato. Exemplo: @act.allow_sql_type_execute 'UPDATE'.
  @act.check_dml_sec_column_permission	Valida se o usuário possui permissões em campos sensíveis. Caso não tenha as permissões necessárias, a instrução DML para alteração de dados não será executada.
  @act.uncheck_dml_sec_column_permission	Ignora a verificação de permissões do usuário em campos sensíveis.
  @act.check_sql_access_permission	Verifica se o usuário tem permissões específicas sobre os bancos de dados, tabelas ou campos envolvidos nas instruções SQL a serem executadas. Por exemplo, valida permissões de consulta ou alteração de dados.
  @act.uncheck_sql_access_permission	Não verifica permissões específicas do usuário nos bancos de dados, tabelas ou campos relacionados às instruções SQL.
  @act.enable_sec_column_mask	Oculta campos sensíveis nos conjuntos de resultados de consultas retornados para instruções SQL enviadas por usuários sem permissão nesses campos.
  @act.disable_sec_column_mask	Não aplica mascaramento em campos sensíveis nos resultados de consultas, mesmo quando o usuário não possui permissão sobre eles.

Instruções SQL executáveis no DMS

Perguntas frequentes

• P: É possível restringir a execução de instruções SELECT *?

  R: Sim. Essa configuração exige uma instância com o modo de colaboração de segurança ativado.

  1. Na barra de navegação superior do console DMS, escolha Security and Disaster Recovery > Security Rules.

  2. Na aba Rule Sets, selecione o conjunto de regras correspondente ao seu tipo de mecanismo de dados.

  3. Localize o conjunto de regras desejado e clique em Edit na coluna Actions para acessar a página Details.

  4. No painel de navegação à esquerda, selecione SQL console. Em Checkpoints, escolha SQL execution count criteria.

  5. Clique em Add Rule e insira o script DSL abaixo.

     if 
       @fac.sql_sub_type in ['SELECT'] 
       AND @fun.is_contain_str(@fac.current_sql,'*') 
     then 
       @act.reject_execute 'The SQL statement contains *. Please use an alternative method.' 
     end

• P: Como configurar regras para limitar consultas extensas no Console SQL?

  R: Esta ação requer uma instância com o modo de colaboração de segurança habilitado.

  1. Na barra de navegação superior do console DMS, escolha Security and Disaster Recovery > Security Rules.

  2. Na aba Rule Sets, selecione o conjunto de regras adequado ao seu tipo de mecanismo de dados.

  3. Encontre o conjunto de regras alvo e clique em Edit na coluna Actions para ir à página Details.

  4. No painel de navegação à esquerda, selecione SQL console. Na caixa de pesquisa, digite "full table scan" e clique no botão Search.

  5. Selecione a regra desejada na lista e clique no botão Edit correspondente para configurá-la.