ApsaraDB RDS:The sql_firewall extension

Etapa 1: Instalar a extensão

CREATE EXTENSION sql_firewall;

Etapa 2: Ativar o modo de aprendizado

No Console do ApsaraDB for RDS, defina sql_firewall.firewall como learning e reinicie a instância.

Execute sua carga de trabalho típica durante esta fase. A extensão registra todas as consultas executadas na lista de permissões. Quanto mais tempo você permanecer no modo de aprendizado, mais completa será a lista.

Valores válidos para sql_firewall.firewall:

Etapa 3: Alternar para o modo permissivo

Defina sql_firewall.firewall como permissive e reinicie a instância.

No modo permissivo, consultas fora da lista de permissões ainda são executadas, mas geram um alerta WARNING: Prohibited SQL statement. Analise esses alertas para identificar consultas legítimas perdidas durante a fase de aprendizado. Se encontrar alguma, retorne ao modo de aprendizado, execute essas consultas e volte ao modo permissivo.

Verifique o conteúdo atual da lista de permissões e as estatísticas de alertas:

-- View all whitelisted query patterns and their execution counts
SELECT * FROM sql_firewall.sql_firewall_statements;

Exemplo de saída:

 userid |  queryid   |              query              | calls
--------+------------+---------------------------------+-------
     10 | 3294787656 | select * from k1 where uid = ? ; |     4
(1 row)

-- View alert and error counts
SELECT * FROM sql_firewall.sql_firewall_stat;

Exemplo de saída:

 sql_warning | sql_error
-------------+-----------
           2 |         1
(1 row)

A coluna sql_warning exibe o número de alertas gerados no modo permissivo. Já a coluna sql_error mostra a quantidade de consultas bloqueadas no modo de imposição.

Etapa 4: Alternar para o modo de imposição

Quando a lista de permissões cobrir sua carga de trabalho esperada, defina sql_firewall.firewall como enforcing e reinicie a instância.

No modo de imposição, o sistema bloqueia imediatamente qualquer consulta fora da lista de permissões:

-- A whitelisted query executes normally
SELECT * FROM k1 WHERE uid = 3;

 uid |   uname
-----+-----------
   3 | Goo Ha-ra
(1 row)

-- A SQL injection attempt is blocked
SELECT * FROM k1 WHERE uid = 3 OR 1=1;

ERROR:  Prohibited SQL statement

Comportamento do modo permissivo (para comparação):

-- The same injection in permissive mode: executes but raises a warning
SELECT * FROM k1 WHERE uid = 3 OR 1=1;

WARNING:  Prohibited SQL statement
 uid |     uname
-----+----------------
   1 | Park Gyu-ri
   2 | Nicole Jung
   3 | Goo Ha-ra
   4 | Han Seung-yeon
   5 | Kang Ji-young
(5 rows)

Funções de gerenciamento

Ambas as funções exigem a função rds_superuser e estão disponíveis apenas quando a extensão está no modo disable, learning ou permissive. Defina sql_firewall.firewall com um desses valores antes de chamá-las.

Visualizações

Remover a extensão

DROP EXTENSION sql_firewall;

Após remover a extensão, exclua sql_firewall do parâmetro shared_preload_libraries no console do ApsaraDB for RDS e reinicie a instância. Para obter instruções, consulte Modificar os parâmetros de uma instância do ApsaraDB RDS for PostgreSQL.