IBM Guardium Tính năng đánh giá quyền của người dùng trên tài khoản CSDL và báo cáo quyền truy cập CSDL trên hệ thống Oracle SQL và Microsoft SQL

1. Mục tiêu​

• Thu thập trạng thái phân quyền (user, role, system privilege, object privilege) trên Oracle và SQL Server bằng tính năng Database Entitlement Reports của Guardium.
• Đánh giá quyền của từng tài khoản: có quyền gì, trên đối tượng nào, nhận trực tiếp hay kế thừa qua role, có thuộc nhóm quản trị cao nhất hay không.
• Phát hiện thay đổi quyền giữa các thời điểm (snapshot): cấp mới, thu hồi, gán role quản trị, cấp quyền cho PUBLIC.
• Kết hợp với rule DET_PRIV_ESCALATION để biết ai đã cấp quyền và vào lúc nào.

2. Nguyên lý hoạt động​

Entitlement Reports không cần S-TAP: Guardium kết nối JDBC tới CSDL bằng một tài khoản kỹ thuật chỉ đọc catalog phân quyền, chạy câu truy vấn có sẵn và lưu kết quả thành snapshot tại thời điểm chạy.

• Entitlement là thành phần tùy chọn, bật theo product key: nếu Custom Table Builder không có các bảng ORA … và Microsoft SQL Server … thì kiểm tra lại license.​

3. Mô hình triển khai và chuẩn bị​

3.1. Thành phần hệ thống​

3.2. Tài khoản sử dụng​

• Không dùng sa hay GUARDIUM_CLS cho datasource entitlement và không cấp quyền kiểm thử cho chính GUARDIUM_ENT, để kết quả dễ diễn giải và đúng nguyên tắc cấp quyền tối thiểu.​

3.3. Các report sử dụng​

4. Chuẩn bị trên CSDL​

4.1. Tạo tài khoản GUARDIUM_ENT trên Oracle​

Chạy bằng SYS, kết nối qua listener:
sqlplus sys/"<MK_SYS>"@//<IP_ORACLE>:1521/orcl as sysdba

CREATE USER guardium_ent IDENTIFIED BY "<MK_GUARDIUM_ENT>"
DEFAULT TABLESPACE users QUOTA 0 ON users;
GRANT CREATE SESSION TO guardium_ent;
-- View phân quyền
GRANT SELECT ON sys.dba_users TO guardium_ent;
GRANT SELECT ON sys.dba_roles TO guardium_ent;
GRANT SELECT ON sys.dba_role_privs TO guardium_ent;
GRANT SELECT ON sys.dba_sys_privs TO guardium_ent;
GRANT SELECT ON sys.dba_tab_privs TO guardium_ent;
GRANT SELECT ON sys.dba_col_privs TO guardium_ent;
GRANT SELECT ON sys.dba_objects TO guardium_ent;
-- Bảng dictionary và view dùng cho report PUBLIC, SYSDBA/SYSOPER
GRANT SELECT ON sys.obj$ TO guardium_ent;
GRANT SELECT ON sys.user$ TO guardium_ent;
GRANT SELECT ON sys.objauth$ TO guardium_ent;
GRANT SELECT ON sys.table_privilege_map TO guardium_ent;
GRANT SELECT ON sys.v_$pwfile_users TO guardium_ent;

• Grant trên v_$pwfile_users (có gạch dưới), không grant trên synonym v$pwfile_users. Thiếu quyền này thì report ORA SYSDBA and SYSOPER Accounts không có dữ liệu; thiếu obj$, objauth$, user$ thì các report PUBLIC có thể lỗi.​
• SYS.USER$ chứa hash mật khẩu: đặt mật khẩu mạnh cho GUARDIUM_ENT, chỉ dùng tài khoản này trong datasource và theo dõi đăng nhập của nó từ IP khác IP Guardium.​

Kiểm tra:
sqlplus guardium_ent/"<MK_GUARDIUM_ENT>"@//<IP_ORACLE>:1521/orcl
SQL> SELECT user FROM dual;
SQL> SELECT username, sysdba, sysoper, account_status FROM sys.v_$pwfile_users;

4.2. Tạo tài khoản guardium_ent trên SQL Server​

Chạy bằng sa trong SSMS hoặc sqlcmd:
USE [master];
CREATE LOGIN [guardium_ent] WITH PASSWORD = N'<MK_GUARDIUM_ENT>',
DEFAULT_DATABASE = [master], CHECK_POLICY = ON;
GRANT VIEW ANY DEFINITION TO [guardium_ent];
CREATE USER [guardium_ent] FOR LOGIN [guardium_ent];
GRANT SELECT ON sys.server_principals TO [guardium_ent];
GRANT SELECT ON sys.database_permissions TO [guardium_ent];
GRANT SELECT ON sys.database_principals TO [guardium_ent];
GRANT SELECT ON sys.all_objects TO [guardium_ent];
GRANT SELECT ON sys.database_role_members TO [guardium_ent];
GRANT SELECT ON sys.columns TO [guardium_ent];
GO
USE [RetailDB];
CREATE USER [guardium_ent] FOR LOGIN [guardium_ent];
GRANT SELECT ON sys.database_permissions TO [guardium_ent];
GRANT SELECT ON sys.database_principals TO [guardium_ent];
GRANT SELECT ON sys.all_objects TO [guardium_ent];
GRANT SELECT ON sys.database_role_members TO [guardium_ent];
GRANT SELECT ON sys.columns TO [guardium_ent];
GO

• VIEW ANY DEFINITION là bắt buộc: thiếu quyền này thì catalog view chỉ trả về chính tài khoản đang truy vấn, các login hệ thống và role cố định (metadata visibility), report sẽ thiếu user và role của người khác.​
• Nhóm quyền cấp database phải cấp trên từng database cần đánh giá, kể cả master. Thêm database mới thì lặp lại khối USE [...].​

Kiểm tra từ máy quản trị:
sqlcmd -S <IP_MSSQL>,1433 -U guardium_ent -P "<MK_GUARDIUM_ENT>" -No -C -W `
-Q "SELECT name FROM sys.server_principals WHERE type IN ('S','U') ORDER BY name"

4.3. Ghi nhận baseline bằng truy vấn trực tiếp​

Oracle (SYS hoặc GUARDIUM_ENT):
SELECT grantee, owner, table_name, privilege, grantable, grantor
FROM dba_tab_privs WHERE grantee IN ('OPS_TEST','INTERN_TEST')
ORDER BY 1,3,4;
SELECT grantee, granted_role, admin_option FROM dba_role_privs
WHERE grantee IN ('OPS_TEST','INTERN_TEST');
SELECT grantee, privilege, admin_option FROM dba_sys_privs
WHERE grantee IN ('OPS_TEST','INTERN_TEST');
SELECT grantee FROM dba_role_privs WHERE granted_role = 'DBA';
SELECT * FROM v$pwfile_users;
SELECT owner, table_name, privilege FROM dba_tab_privs
WHERE grantee = 'PUBLIC' AND owner = 'RETAIL';
SQL Server:
-- Thành viên role quản trị server (master)
SELECT r.name AS server_role, m.name AS member
FROM sys.server_role_members rm
JOIN sys.server_principals r ON rm.role_principal_id = r.principal_id
JOIN sys.server_principals m ON rm.member_principal_id = m.principal_id
WHERE r.name IN ('sysadmin','serveradmin','securityadmin');
USE RetailDB;
-- Thành viên db_owner, db_securityadmin
SELECT r.name AS db_role, m.name AS member
FROM sys.database_role_members rm
JOIN sys.database_principals r ON rm.role_principal_id = r.principal_id
JOIN sys.database_principals m ON rm.member_principal_id = m.principal_id
WHERE r.name IN ('db_owner','db_securityadmin');
-- Object nghiệp vụ cấp cho public
SELECT SCHEMA_NAME(o.schema_id) AS schema_name, o.name,
p.permission_name, p.state_desc
FROM sys.database_permissions p JOIN sys.objects o ON p.major_id = o.object_id
WHERE p.grantee_principal_id = DATABASE_PRINCIPAL_ID('public')
AND o.is_ms_shipped = 0;

5. Cấu hình Guardium​

5.1. Tạo datasource​

5.2. Cấu hình Upload Data​

• Không chọn Per upload hoặc Per datasource: hai tùy chọn này xóa dữ liệu cũ trước mỗi lần upload, chỉ còn snapshot mới nhất, không so sánh được hai mốc thời gian và mất lịch sử phục vụ điều tra.​

• Kiểm chứng ngay sau T0: chạy Run Once Now thêm lần nữa cho ORA Object privileges, mở report và xác nhận có nhiều giá trị SqlGuard Timestamp khác nhau.​

5.3. Dashboard và query lọc​

• Upload Data gắn với custom table, không gắn với query: query clone dùng cùng domain nên đọc chính dữ liệu đã upload, không cần cấu hình upload riêng. Chỉ clone query; clone custom table hoặc custom domain sẽ được bảng rỗng, không có câu truy vấn entitlement.​

6. Kịch bản kiểm thử​

python uc4_ora.py <user> "<câu lệnh>" ["<câu lệnh>" ...]
python uc4_mss.py <login> [-d <database>] "<câu lệnh>" ["<câu lệnh>" ...]

6.1. Kịch bản 1 – Oracle: cấp quyền object mới​

-- SYSTEM (trước và sau khi cấp)
SELECT grantee, table_name, privilege, grantor FROM dba_tab_privs
WHERE grantee = 'OPS_TEST' AND table_name = 'ORDERS';
-- RETAIL
GRANT UPDATE ON retail.orders TO ops_test;

6.2. Kịch bản 2 – Oracle: quyền kế thừa qua role​

-- SYSTEM
SELECT grantee, granted_role FROM dba_role_privs WHERE grantee = 'OPS_TEST';
CREATE ROLE retail_support_role;
GRANT SELECT ANY TABLE TO retail_support_role;
GRANT retail_support_role TO ops_test;
-- OPS_TEST
SELECT * FROM session_privs WHERE privilege = 'SELECT ANY TABLE';

6.3. Kịch bản 3 – Oracle: thu hồi quyền và so sánh snapshot​

-- SYSTEM
REVOKE retail_support_role FROM ops_test;
-- RETAIL
REVOKE UPDATE ON retail.orders FROM ops_test;
-- SYSTEM (kiểm tra)
SELECT grantee, granted_role FROM dba_role_privs WHERE grantee = 'OPS_TEST';
SELECT table_name, privilege FROM dba_tab_privs
WHERE grantee = 'OPS_TEST' AND table_name = 'ORDERS';

6.4. Kịch bản 4 – SQL Server: gán sysadmin​

-- sa (master)
SELECT m.name AS member FROM sys.server_role_members rm
JOIN sys.server_principals r ON rm.role_principal_id = r.principal_id
JOIN sys.server_principals m ON rm.member_principal_id = m.principal_id
WHERE r.name = 'sysadmin';
ALTER SERVER ROLE sysadmin ADD MEMBER [ops_test];
-- ops_test
SELECT SUSER_SNAME() AS login_name, IS_SRVROLEMEMBER('sysadmin') AS is_sysadmin;

6.5. Kịch bản 5 – SQL Server: gán db_owner trong RetailDB​

-- sa (RetailDB)
ALTER ROLE db_owner ADD MEMBER [intern_test];
-- intern_test
SELECT USER_NAME() AS db_user, IS_ROLEMEMBER('db_owner') AS is_db_owner;

6.6. Kịch bản 6 – Cấp quyền cho PUBLIC trên dữ liệu nhạy cảm​

-- Oracle, RETAIL
GRANT SELECT ON retail.customers TO PUBLIC;
-- SQL Server, sa (RetailDB)
GRANT SELECT ON retail.customers TO public;
REVOKE SELECT ON retail.customers FROM PUBLIC; -- Oracle
REVOKE SELECT ON retail.customers FROM public; -- SQL Server

• Các vi phạm Data Exfiltration từ 21:18:29 đến 21:18:41 trong Hình 27 đến từ IP của Guardium: đó là câu truy vấn upload ORA Object Access By PUBLIC (đọc sys.obj$, sys.user$, sys.objauth$, sys.table_privilege_map) trả về khoảng 41.500 dòng, vượt ngưỡng 5.000 bản ghi một phiên của rule. Đây là dương tính giả do chính tài khoản kỹ thuật; nên loại trừ GUARDIUM_ENT hoặc IP của Guardium khỏi rule bằng một group riêng thay vì tắt rule. Câu truy vấn này cũng cho thấy các bảng dictionary đã cấp cho GUARDIUM_ENT ở mục 4.1 là bắt buộc.​

6.7. Kịch bản 7 – Cấp rồi thu hồi DBA giữa hai snapshot​

-- SYSTEM
GRANT DBA TO intern_test;
-- INTERN_TEST
SELECT role FROM session_roles WHERE role = 'DBA';
-- SYSTEM
REVOKE DBA FROM intern_test;
SELECT grantee, granted_role FROM dba_role_privs WHERE grantee = 'INTERN_TEST';