IBM Guardium Giải pháp cho phép quản lý quyền truy cập theo nguyên tắc phân tách nhiệm vụ, cung cấp các mức quyền truy cập khác nhau cho người dùng

1. Mục tiêu​

• Tách nhiệm vụ trên Guardium giữa quản trị hệ thống (admin), quản lý tài khoản (accessmgr), cấu hình chính sách giám sát (sec_officer) và kiểm toán (auditor_ora, auditor_mss).
• Cấp các mức quyền khác nhau theo chức năng (ứng dụng, báo cáo, menu) và theo dữ liệu (kiểm toán viên chỉ thấy CSDL mình phụ trách).
• Chứng minh DBA có toàn quyền trên Oracle, SQL Server nhưng không xóa được vết kiểm toán trên Guardium; việc dừng S-TAP bị phát hiện.
• Kiểm soát và ghi lại thao tác của chính người quản trị Guardium.

2. Nguyên lý hoạt động​

• Tài liệu IBM ghi role tự tạo không được ghép với role mặc định, nhưng lab vẫn gán được admin cùng role_secofficer (KB5). Role mới nhận sẵn mọi ứng dụng cấp cho All Roles (Policy Builder, Group Builder, Audit Process Builder…), nên role hạn chế phải gỡ hết rồi thêm lại đúng ứng dụng cần.​
• Ẩn mục khỏi menu không thu hồi quyền; chỉ Manage Permissions mới chặn được (KB2).​
• Data Level Security chỉ lọc domain Access, Exception, Policy Violations; report về hoạt động của tài khoản Guardium không bị lọc. Không bật đồng thời với Investigation Dashboard.​

3. Cấu hình​

3.1. Chuẩn bị​

1 POL_AUDIT_DB_CHANGES
2 POL_RT_ACCESS_ALERT
3 POL_NET_LOCAL_CONTROL
4 POL_PROTECT_SENSITIVE_DATA
5 POL_BASIC_DATA_SECURITY

• accessmgr đăng nhập bằng mật khẩu mặc định đặt lúc cài appliance. Nếu tài khoản bị khóa, SSH bằng cli và chạy unlock accessmgr.​

3.2. Tạo group và báo cáo cho kiểm toán​

• Q_SOD_VIOLATIONS chọn Main entity = Policy Rule Violation; Main entity không đổi được sau khi tạo query. Điều kiện NOT LIKE NT SERVICE% bỏ cảnh báo nhiễu của tài khoản dịch vụ NT SERVICE\SQLTELEMETRY mà POL_NET_LOCAL_CONTROL đang cài trong lab sinh 5 phút một lần.​
• Q_SOD_DBA_ACTIVITY đọc cột Sql nên có mọi câu S-TAP gửi về của DBA, không phụ thuộc rule.​

3.3. Tạo role role_secofficer và role_auditor​

• Report Builder bắt buộc để mở được report. role_auditor không có Query Builder nên không tạo, sửa được query.​
• role_secofficer không có Global Profile, System Configuration, Support, Audit Process To-Do List: đó là việc của admin và của kiểm toán. Không cấp System Configuration, Support cho role này để tách hẳn quản trị hệ thống.​

3.4. Tạo tài khoản và gán role​

• Gán role xong mới bỏ Disabled: giao diện của user được dựng theo role ở lần đăng nhập đầu. Bỏ role user để tài khoản không nhận quyền mặc định của người dùng thường.​

3.5. Cấp đối tượng và tạo audit process ký duyệt​

• sec_officer cần thấy các policy đang cài để cài lại đúng thứ tự (KB1). Nếu builder không có chức năng Roles, accessmgr cấp bằng Manage Permissions của role_secofficer.​

• Kết quả audit process gửi cho kiểm toán, không gửi cho sec_officer: người cấu hình chính sách không tự duyệt kết quả của chính sách mình làm.​

4. Kịch bản kiểm thử​

4.1. Kịch bản 1 – Security Officer quản lý chính sách giám sát​

1 POL_AUDIT_DB_CHANGES
2 POL_RT_ACCESS_ALERT
3 POL_NET_LOCAL_CONTROL
4 POL_SOD_PRIVILEGED_ACTIVITY
5 POL_PROTECT_SENSITIVE_DATA
6 POL_BASIC_DATA_SECURITY

• Policy đứng trước POL_PROTECT_SENSITIVE_DATA và rule tích Continue để câu của DBA trên mọi bảng đều tới được rule mà không chặn các rule phía sau. Thực hiện liên tiếp các lần cài vì giữa hai lần cài, rule che, chặn trong POL_PROTECT_SENSITIVE_DATA tạm thời không chạy.​

4.2. Kịch bản 2 – Kiểm toán viên chỉ xem và ký duyệt​

• accessmgr cấp thêm Policy Builder cho role_auditor trong Manage Permissions, không sửa Navigation Menu. auditor_ora đăng nhập lại, gõ Policy Builder vào User Interface Search, mở menu ▼ cạnh tên tài khoản và bấm ô Install Basic Security Monitoring Policy trên trang Welcome.​

• admin mở Customize User/Role, tab Users, chọn auditor_ora, thêm Policy Builder for Data vào nhóm Audit Reports rồi nhấn Save. auditor_ora đăng nhập lại và mở mục này.​

• accessmgr chuyển Policy Builder về Inaccessible items. auditor_ora đăng nhập lại và mở lại mục Policy Builder for Data.​

• admin xóa mục Policy Builder for Data khỏi menu của auditor_ora, nhấn Save.​

4.3. Kịch bản 3 – Phân quyền theo dữ liệu bằng Data Level Security​

python uc4_ora.py intern_test "SELECT COUNT(*) FROM retail.customers"
python uc4_mss.py intern_test -d RetailDB "SELECT COUNT(*) FROM retail.customers"

• Bảng ánh xạ user – máy chủ được cập nhật 10 phút một lần; nếu kết quả chưa đúng, chờ thêm rồi đăng nhập lại.​
• admin phải đăng nhập lại sau khi được gán datasec-exempt thì report mới có ô Show all. Nếu không gán được role này, report của admin trống khi bật lọc; Global Profile không bị lọc nên vẫn tắt được. Giữ lọc bật tới hết KB4.​

4.4. Kịch bản 4 – DBA không xóa được vết kiểm toán​

su - oracle
sqlplus / as sysdba
CREATE TABLE retail.orders_sod AS SELECT * FROM retail.orders;
UPDATE retail.orders_sod SET status = status WHERE ROWNUM <= 5;
DELETE FROM retail.orders_sod WHERE ROWNUM <= 5;
COMMIT;
DROP TABLE retail.orders_sod PURGE;
SELECT policy_name, enabled_option, success, failure
FROM audit_unified_enabled_policies;
NOAUDIT POLICY ora_logon_failures;
AUDIT POLICY ora_logon_failures WHENEVER NOT SUCCESSFUL;
exit

• Câu AUDIT cuối trả lại trạng thái ban đầu theo kết quả câu SELECT; chạy lại câu SELECT sau NOAUDIT và sau AUDIT để kiểm tra. Nếu ORA_LOGON_FAILURES không có trong kết quả thì bỏ hai câu NOAUDIT, AUDIT.​

python uc4_mss.py sa "SELECT name, value_in_use FROM sys.configurations `
WHERE name IN ('show advanced options','default trace enabled')"
python uc4_mss.py sa -d RetailDB `
"SELECT * INTO retail.orders_sod FROM retail.orders" `
"UPDATE TOP (5) retail.orders_sod SET status = status" `
"DELETE TOP (5) FROM retail.orders_sod" `
"DROP TABLE retail.orders_sod"
python uc4_mss.py sa `
"EXEC sp_configure 'show advanced options', 1; RECONFIGURE" `
"EXEC sp_configure 'default trace enabled', 0; RECONFIGURE"
python uc4_mss.py sa `
"EXEC sp_configure 'default trace enabled', 1; RECONFIGURE" `
"EXEC sp_configure 'show advanced options', <giá trị cũ>; RECONFIGURE"

• Không thử trên customers: sa không thuộc GRP_AUTHORIZED_USERS nên DELETE trên bảng nhạy cảm bị BLOCK_DESTRUCTIVE_TERMINATE đang cài trong lab ngắt phiên.​

ps -ef | grep [g]uard_stap
ps -fp <PPID của guard_stap>
date; kill <PID của guard_stap>
sleep 60; ps -ef | grep [g]uard_stap
Get-Date; Stop-Service -Name GUARDIUM_STAP -Force; Get-Service GUARDIUM_STAP
sqlcmd -S localhost -E -d RetailDB -No `
-Q "SELECT COUNT(*) AS sod_gap_mss FROM retail.orders"
Start-Service -Name GUARDIUM_STAP; Start-Sleep 90; Get-Date; Get-Service GUARDIUM_STAP
sqlcmd -S localhost -E -d RetailDB -No `
-Q "SELECT COUNT(*) AS sod_after_mss FROM retail.orders"

• Guardium chuẩn hóa câu lệnh và bỏ alias (Q_SOD_DBA_ACTIVITY chỉ ghi select count(*) from "RETAIL"."ORDERS"), nên phân biệt câu sod_gap_mss, sod_after_mss theo thời điểm chạy. Nếu S-TAP không trở lại xanh sau 2 phút, chạy Restart-Service cho dịch vụ S-TAP.​

• DBA không có tài khoản trên Guardium nên không sửa, xóa được dữ liệu đã thu. sp_configure còn khớp rule AUD_ADMIN_PROCS (HIGH) đang cài trong lab; DROP TABLE, NOAUDIT, AUDIT hiện trong query Q_CHG_SCHEMA đã có trong lab.​
• Inactive S-TAPs Since trống khi S-TAP đã chạy lại, nên không phát hiện được gián đoạn ngắn; dùng S-TAP Events để thấy lần dừng.​

4.5. Kịch bản 5 – Kiểm soát chính người quản trị Guardium​

• Chỉ thử trên sec_officer, không sửa role của admin, accessmgr. Tổ hợp nào lưu được phải gỡ ngay sau khi chụp, vì tài khoản đó đã có quyền admin.​

• Report hoạt động của tài khoản Guardium không bị Data Level Security lọc nên auditor_ora vẫn thấy đủ. System/Security Activities chỉ ghi tên bảng và giá trị khóa (TURBINE_USER_GROUP_ROLE, ROLE_ID), không ghi tên role, nên phải đối chiếu thêm với Role Browser.​