IBM Guardium Khả năng đánh giá lỗ hổng và đánh giá cấu hình an toàn của cơ sở dữ liệu đối với các hệ thống Oracle Database và Microsoft SQL Server

1. Mục tiêu​

• Đánh giá cấu hình an toàn của Oracle Database (oracledb01) và SQL Server (SQLDB01) đang vận hành bằng Guardium Vulnerability Assessment (VA): phân quyền, xác thực và mật khẩu, tham số cấu hình, kiểm toán.
• Phát hiện lỗ hổng đã công bố (CVE) và bản vá còn thiếu theo phiên bản CSDL đang chạy.
• Bổ sung test tùy biến cho yêu cầu riêng của hệ thống bán lẻ mà bộ test có sẵn không kiểm tra.
• Phát hiện cấu hình bị thay đổi giữa hai lần quét và xác minh kết quả khắc phục.

2. Nguyên lý hoạt động​

• VA cho biết trạng thái tại thời điểm quét, không cho biết ai thay đổi và lúc nào; phần này lấy từ dữ liệu giám sát hoạt động qua S-TAP.​
• Kết quả CVE chỉ cập nhật tới ngày phát hành gói DPS đang cài trên Guardium.​
• VA chỉ đọc, không sửa CSDL; mọi khắc phục do DBA thực hiện. VA là thành phần cấp phép riêng: nếu không có menu Harden → Vulnerability Assessment thì kiểm tra lại license.​

3. Cấu hình​

3.1. Tải script cấp quyền gdmmonitor​

fileserver <IP_MAY_QUAN_TRI> 3600
https://<IP_GUARDIUM>:8445/log/debug-logs/gdmmonitor_scripts/

• oracledb01 là non-CDB nên dùng gdmmonitor-ora.sql; bản -container dành cho CDB/PDB.
• Không chạy gdmmonitor-mss-SA.sql: tài khoản quét không cần sysadmin. Sáu test trên báo Pre Test Check Failed; Hide Instance, SQL Server Browser được kiểm tra thủ công ở KB1.
• Không dùng SYS, sa hay GUARDIUM_ENT (tài khoản entitlement đã có trong lab) làm tài khoản quét: VA cần quyền đọc rộng hơn entitlement, tách tài khoản riêng để dễ giám sát và thu hồi.

3.2. Tạo tài khoản quét trên Oracle​

scp gdmmonitor-ora.sql root@<IP_ORACLE>:/tmp/
su - oracle
cd /tmp
sqlplus / as sysdba
SELECT cdb FROM v$database;
CREATE USER guardium_va IDENTIFIED BY "<MK_GUARDIUM_VA>"
DEFAULT TABLESPACE users QUOTA 0 ON users;
GRANT CREATE SESSION TO guardium_va;
@/tmp/gdmmonitor-ora.sql
GRANT gdmmonitor TO guardium_va;
exit
grep -i error /tmp/gdmmonitor-ora.log

• Câu SELECT cdb phải trả về NO; nếu là YES thì dùng gdmmonitor-ora-container.sql.
• Script ghi log vào gdmmonitor-ora.log ở thư mục hiện hành (vì vậy cd /tmp trước). Dòng "object not found" chỉ là thông báo; lệnh grep cuối không được có dòng ERROR.
• Script chạy lại được: nếu role GDMMONITOR đã có, script giữ lại danh sách thành viên rồi tạo lại role.

sqlplus -L guardium_va@//<IP_ORACLE>:1521/orcl
SELECT granted_role FROM user_role_privs;
SELECT COUNT(*) FROM dba_users;
SELECT name, value FROM v$parameter WHERE name = 'audit_trail';
SELECT COUNT(*) FROM gdm$parameter;

• Bốn câu SELECT ở bước 3 phải chạy được; lỗi ORA-00942 nghĩa là role chưa được gán hoặc script chạy lỗi. Câu cuối đọc tham số ẩn qua view GDM_$PARAMETER do script tạo.

3.3. Tạo tài khoản quét trên SQL Server​

sqlcmd -S <IP_MSSQL>,1433 -U sa -No -C
CREATE LOGIN guardium_va WITH PASSWORD = N'<MK_GUARDIUM_VA_MSS>',
DEFAULT_DATABASE = master, CHECK_POLICY = ON;
GO
exit

• Tham số -C để go-sqlcmd tin chứng chỉ tự ký của SQLDB01, -No để câu lệnh vẫn đi dạng rõ cho S-TAP đọc.​

(Get-Content gdmmonitor-mss.sql) -replace "N'sqlguard'", "N'guardium_va'" |
Set-Content gdmmonitor-mss-guardium_va.sql
Select-String "set @Guardium_user" gdmmonitor-mss-guardium_va.sql
sqlcmd -S <IP_MSSQL>,1433 -U sa -No -C -i gdmmonitor-mss-guardium_va.sql `
-o gdmmonitor-mss.log
Select-String "ERROR" gdmmonitor-mss.log

• Script tạo role và user cả trong model nên database tạo sau sẽ có sẵn; database restore hoặc attach từ nơi khác thì chạy lại script.​
• Script còn cấp EXECUTE trên xp_instance_regread, xp_servicecontrol, xp_loginconfig trong master. xp_servicecontrol hỗ trợ cả start/stop dịch vụ, nên guardium_va là tài khoản nhạy cảm: mật khẩu mạnh, chỉ dùng trong datasource.​

sqlcmd -S <IP_MSSQL>,1433 -U sa -No -C
SELECT r.name AS server_role
FROM sys.server_role_members rm
JOIN sys.server_principals r ON rm.role_principal_id = r.principal_id
WHERE rm.member_principal_id = SUSER_ID('guardium_va');
SELECT permission_name FROM sys.server_permissions
WHERE grantee_principal_id = SUSER_ID('gdmmonitor');
EXEC sp_MSforeachdb 'USE [?];
SELECT DB_NAME() AS db, USER_NAME(role_principal_id) AS role_name
FROM sys.database_role_members
WHERE member_principal_id = USER_ID(''guardium_va'')';
GO

• guardium_va thuộc hai server role setupadmin và gdmmonitor (VIEW ANY DATABASE, VIEW ANY DEFINITION, VIEW SERVER STATE) và role gdmmonitor trong từng database; không có sysadmin.​

3.4. Khai báo datasource​

• Dùng driver DataDirect cho SQL Server: driver Microsoft bật mã hóa mặc định và không tin chứng chỉ tự ký của SQLDB01 nên báo Connection unsuccessful.​
• Không dùng lại datasource entitlement đã có trong lab: GUARDIUM_ENT chỉ có quyền entitlement nên nhiều test VA sẽ báo Error.​
• Tài khoản quét chỉ đăng nhập từ <IP_GUARDIUM>; nên thêm rule cảnh báo DB User = GUARDIUM_VA và Client IP khác <IP_GUARDIUM>, tương tự GUARDIUM_ENT.​

3.5. Tạo security assessment​

• Tách hai assessment để điểm của từng hệ thống không bị trộn và lịch sử kết quả theo dõi riêng được.​

• Test Type = All gồm test Predefined, CVE và các test gắn nhãn CIS, STIG; Query based là test tùy biến (mục 3.6); APAR chỉ dành cho DB2 z/OS.​

• Cột cuối của bảng test ghi nhóm (PRIV, CONF…) và mức của test; biểu tượng bút chì dùng để chỉnh ngưỡng, (n/a) là test không có tham số chỉnh.​
• Nút Test Detail Exceptions ở cuối trang dùng để ghi ngoại lệ có thời hạn cho test được chấp nhận rủi ro.​
• Chọn đủ bộ test để có Tests passing làm mốc cho các kịch bản sau.​

3.6. Tạo test tùy biến cho dữ liệu bán lẻ​

SELECT COUNT(*) FROM dba_tab_privs WHERE grantee = 'PUBLIC' AND owner = 'RETAIL'
SELECT table_name || ' (' || privilege || ')'
FROM dba_tab_privs WHERE grantee = 'PUBLIC' AND owner = 'RETAIL'
SELECT COUNT(*)
FROM RetailDB.sys.database_permissions p
JOIN RetailDB.sys.objects o ON p.major_id = o.object_id
WHERE p.grantee_principal_id = 0 AND p.state IN ('G','W') AND o.is_ms_shipped = 0
SELECT s.name + '.' + o.name + ' (' + p.permission_name + ')'
FROM RetailDB.sys.database_permissions p
JOIN RetailDB.sys.objects o ON p.major_id = o.object_id
JOIN RetailDB.sys.schemas s ON o.schema_id = s.schema_id
WHERE p.grantee_principal_id = 0 AND p.state IN ('G','W') AND o.is_ms_shipped = 0

• Guardium so giá trị của SQL statement với Compare to value; SQL statement for detail chỉ chạy khi test Fail, mỗi dòng trả về là một chi tiết trong kết quả.​
• Recommendation text for pass và for fail là ô bắt buộc trên Guardium 12.0; để trống thì Apply báo "Recommendation text for pass/fail is not valid".​
• principal_id = 0 là role public trong mỗi database SQL Server. Câu MSSQL dùng tên ba phần vì datasource trỏ vào master; guardium_va đã có user trong RetailDB (mục 3.3).​

4. Kịch bản kiểm thử​

4.1. Kịch bản 1 – Đánh giá cấu hình an toàn ban đầu của Oracle và SQL Server​

sqlplus -L system@//<IP_ORACLE>:1521/orcl
SET LINESIZE 200 PAGESIZE 100
COLUMN muc FORMAT A30
COLUMN gia_tri FORMAT A110
SELECT 'DEFAULT ' || resource_name AS muc, limit AS gia_tri FROM dba_profiles
WHERE profile = 'DEFAULT' AND resource_name IN (
'FAILED_LOGIN_ATTEMPTS','PASSWORD_LIFE_TIME','PASSWORD_GRACE_TIME',
'PASSWORD_REUSE_MAX','PASSWORD_REUSE_TIME','PASSWORD_VERIFY_FUNCTION',
'INACTIVE_ACCOUNT_TIME','IDLE_TIME','SESSIONS_PER_USER')
UNION ALL
SELECT 'User thuong dung DEFAULT', LISTAGG(username, ', ')
WITHIN GROUP (ORDER BY username)
FROM dba_users WHERE oracle_maintained = 'N' AND profile = 'DEFAULT'
UNION ALL
SELECT 'Quyen ANY', LISTAGG(grantee || ':' || privilege, ', ')
WITHIN GROUP (ORDER BY grantee)
FROM dba_sys_privs WHERE privilege LIKE '%ANY%'
AND grantee IN (SELECT username FROM dba_users WHERE oracle_maintained = 'N')
UNION ALL
SELECT 'PUBLIC EXECUTE', LISTAGG(table_name, ', ') WITHIN GROUP (ORDER BY table_name)
FROM dba_tab_privs WHERE grantee = 'PUBLIC' AND privilege = 'EXECUTE'
AND table_name IN ('DBMS_XMLSAVE','DBMS_XMLSTORE','UTL_FILE','UTL_HTTP',
'UTL_TCP','UTL_SMTP')
UNION ALL
SELECT 'Mat khau mac dinh',
LISTAGG(u.username || '(' || u.account_status || ')', ', ')
WITHIN GROUP (ORDER BY u.username)
FROM dba_users_with_defpwd d JOIN dba_users u ON u.username = d.username
UNION ALL
SELECT 'Redo log members', LISTAGG('G' || group# || '=' || members, ', ')
WITHIN GROUP (ORDER BY group#) FROM v$log
UNION ALL
SELECT 'Unified Auditing', value FROM v$option WHERE parameter = 'Unified Auditing'
UNION ALL
SELECT 'Phien ban', banner_full FROM v$version;

• Dùng SYSTEM, không thêm as sysdba: SYSTEM có role DBA nhưng không có quyền SYSDBA, đăng nhập as sysdba sẽ báo ORA-01017. Nếu SYSTEM bị khóa (ORA-28000), mở khóa bằng ALTER USER system ACCOUNT UNLOCK trong phiên / as sysdba trên oracledb01.​

SET NOCOUNT ON;
SELECT muc, gia_tri FROM (
SELECT N'sa' AS muc,
CAST(name + N', is_disabled=' + CAST(is_disabled AS nvarchar(1))
AS nvarchar(400)) AS gia_tri
FROM sys.sql_logins WHERE sid = 0x01
UNION ALL SELECT N'Khong CHECK_POLICY',
CAST(STRING_AGG(name, N', ') AS nvarchar(400))
FROM sys.sql_logins WHERE is_policy_checked = 0 AND name NOT LIKE N'##%'
UNION ALL SELECT N'Khong CHECK_EXPIRATION',
CAST(STRING_AGG(name, N', ') AS nvarchar(400))
FROM sys.sql_logins WHERE is_expiration_checked = 0 AND name NOT LIKE N'##%'
UNION ALL SELECT N'Mat khau rong', CAST(ISNULL(STRING_AGG(name, N', '), N'khong co')
AS nvarchar(400))
FROM sys.sql_logins WHERE PWDCOMPARE(N'', password_hash) = 1
UNION ALL SELECT name, CAST(value_in_use AS nvarchar(400)) FROM sys.configurations
WHERE name IN (N'remote access', N'xp_cmdshell', N'remote admin connections')
UNION ALL SELECT N'Chu so huu RetailDB',
CAST(SUSER_SNAME(owner_sid) AS nvarchar(400))
FROM sys.databases WHERE name = N'RetailDB'
UNION ALL SELECT N'So server audit', CAST(COUNT(*) AS nvarchar(400))
FROM sys.server_audits
UNION ALL SELECT N'Phien ma hoa', CAST(encrypt_option AS nvarchar(400))
FROM sys.dm_exec_connections WHERE session_id = @@SPID
UNION ALL SELECT N'Phien ban',
CAST(CAST(SERVERPROPERTY('ProductVersion') AS nvarchar(128)) + N' ' +
ISNULL(CAST(SERVERPROPERTY('ProductUpdateLevel') AS nvarchar(128)), N'')
AS nvarchar(400))
) AS t;
GO
lsnrctl status | grep -i -E 'PORT|Version'
grep -i -E 'VALIDNODE|INVITED|EXCLUDED|ENCRYPTION|CRYPTO_CHECKSUM' \
$ORACLE_HOME/network/admin/sqlnet.ora
Get-Service SQLBrowser | Select-Object Status, StartType
$k = 'HKLM:\SOFTWARE\Microsoft\Microsoft SQL Server\MSSQL*.MSSQLSERVER'
Get-ItemProperty "$k\MSSQLServer\SuperSocketNetLib" |
Select-Object HideInstance, ForceEncryption

4.2. Kịch bản 2 – Đánh giá lỗ hổng theo phiên bản và bản vá​

$ORACLE_HOME/OPatch/opatch lspatches
sqlplus -S / as sysdba <<'EOF'
SET LINESIZE 200 PAGESIZE 100
COLUMN description FORMAT A60
SELECT banner_full FROM v$version;
SELECT patch_id, action, status, TO_CHAR(action_time, 'YYYY-MM-DD') AS ngay,
description
FROM dba_registry_sqlpatch ORDER BY action_time;
EOF

4.3. Kịch bản 3 – Phát hiện cấu hình bị thay đổi giữa hai lần quét​

sqlplus -L system@//<IP_ORACLE>:1521/orcl
SHOW PARAMETER resource_limit
GRANT DBA TO ops_test;
GRANT SELECT ANY TABLE TO intern_test WITH ADMIN OPTION;
CREATE PROFILE prof_va_weak LIMIT FAILED_LOGIN_ATTEMPTS UNLIMITED
PASSWORD_LIFE_TIME UNLIMITED PASSWORD_VERIFY_FUNCTION NULL;
ALTER USER intern_test PROFILE prof_va_weak;
GRANT SELECT ON retail.customers TO PUBLIC;
ALTER SYSTEM SET resource_limit = FALSE SCOPE = MEMORY;
SELECT name, value_in_use FROM sys.configurations
WHERE name IN ('show advanced options','xp_cmdshell','remote admin connections');
GO
EXEC sp_configure 'show advanced options', 1; RECONFIGURE;
EXEC sp_configure 'xp_cmdshell', 1; RECONFIGURE;
EXEC sp_configure 'remote admin connections', 1; RECONFIGURE;
CREATE LOGIN va_weak WITH PASSWORD = N'<MK_VA_WEAK>',
CHECK_POLICY = OFF, CHECK_EXPIRATION = OFF;
GRANT CONTROL SERVER TO va_weak;
GO
USE RetailDB;
GRANT SELECT ON retail.customers TO public;
GO

4.4. Kịch bản 4 – Khắc phục theo khuyến nghị và quét xác minh​

REVOKE DBA FROM ops_test;
REVOKE SELECT ANY TABLE FROM intern_test;
ALTER USER intern_test PROFILE DEFAULT;
DROP PROFILE prof_va_weak;
REVOKE SELECT ON retail.customers FROM PUBLIC;
ALTER SYSTEM SET resource_limit = TRUE SCOPE = MEMORY;
USE RetailDB;
REVOKE SELECT ON retail.customers FROM public;
GO
USE master;
DROP LOGIN va_weak;
EXEC sp_configure 'xp_cmdshell', 0; RECONFIGURE;
EXEC sp_configure 'remote admin connections', 0; RECONFIGURE;
EXEC sp_configure 'show advanced options', 0; RECONFIGURE;
GO
ALTER PROFILE DEFAULT LIMIT FAILED_LOGIN_ATTEMPTS 3;

• Tài khoản gõ sai mật khẩu 3 lần sẽ bị khóa 1 ngày (PASSWORD_LOCK_TIME), mở bằng ALTER USER <user> ACCOUNT UNLOCK trong phiên / as sysdba.​

sqlplus / as sysdba
SET SERVEROUTPUT ON
SELECT COUNT(*) FROM dba_objects WHERE status = 'INVALID';
BEGIN
FOR r IN (SELECT DISTINCT owner, referenced_name FROM dba_dependencies
WHERE referenced_owner IN ('SYS', 'PUBLIC')
AND referenced_name IN ('DBMS_XMLSAVE', 'DBMS_XMLSTORE', 'UTL_FILE')
AND owner NOT IN ('SYS', 'PUBLIC')) LOOP
EXECUTE IMMEDIATE 'GRANT EXECUTE ON SYS.' || r.referenced_name
|| ' TO "' || r.owner || '"';
DBMS_OUTPUT.PUT_LINE('Da cap: ' || r.referenced_name || ' -> ' || r.owner);
END LOOP;
END;
/
REVOKE EXECUTE ON sys.dbms_xmlsave FROM PUBLIC;
REVOKE EXECUTE ON sys.dbms_xmlstore FROM PUBLIC;
REVOKE EXECUTE ON sys.utl_file FROM PUBLIC;
@?/rdbms/admin/utlrp.sql
SELECT COUNT(*) FROM dba_objects WHERE status = 'INVALID';

• Quyền EXECUTE của PUBLIC trên package của SYS do SYS cấp; thu hồi bằng SYSTEM báo ORA-01927: cannot REVOKE privileges you did not grant dù SYSTEM có role DBA.​
• Trước khi thu hồi của PUBLIC, cấp riêng EXECUTE cho các schema đang dùng các package này (lab: WMSYS, ORDPLUGINS, XDB, ORACLE_OCM, MDSYS, ORDSYS) để object của chúng không bị INVALID. Cấp riêng không làm test 176 Fail lại vì test chỉ xét PUBLIC.​
• Số object INVALID sau utlrp.sql không được lớn hơn trước khi thu hồi. VA không kiểm tra object INVALID nên điểm tăng không có nghĩa thành phần CSDL vẫn hoạt động bình thường.​
• DBMS_XMLSAVE, DBMS_XMLSTORE là hai package test 176 báo ở KB1; UTL_FILE cũng cấp cho PUBLIC nhưng VA không báo trên 19c.​

ALTER LOGIN [guardium_cls] WITH CHECK_POLICY = ON;
ALTER LOGIN [intern_test] WITH CHECK_POLICY = ON;
ALTER LOGIN [retail_app] WITH CHECK_POLICY = ON;
GO

• Không bật CHECK_EXPIRATION cho sa và retail_app: mật khẩu hết hạn sẽ làm hỏng các kịch bản khác trong lab đang dùng hai tài khoản này.​

sqlplus -L retail@//<IP_ORACLE>:1521/orcl
SELECT COUNT(*) FROM retail.customers;
sqlcmd -S <IP_MSSQL>,1433 -U retail_app -No -C -W `
-Q "SELECT COUNT(*) FROM RetailDB.retail.customers"