データベース権限の制限は、主に攻撃者が脆弱性を悪用すると攻撃者が引き起こす可能性のある損傷を減らすことにより、主にSQLインジェクション(SQLI)攻撃を防ぐのに役立ちます。このアプローチは、最小の特権の原則に基づいています。つまり、ユーザーまたはアプリケーションアカウントに、タスクを実行するために必要な最小アクセス許可のみを付与することを意味します。
許可の制限がどのように役立つかについての詳細な説明を次に示します。
** 1。攻撃者が実行できるアクションの範囲を制限します
データベースに接続されているアプリケーションまたはユーザーアカウントに特定のテーブルへの読み取り専用アクセスのみがある場合、そのアカウントを介してSQLインジェクションを悪用する攻撃者は、データを変更、削除、または挿入できません。この封じ込めにより、攻撃の「爆発半径」が制限され、データの腐敗や不正な変更が防止されます[3] [9]。たとえば、アカウントが選択されたクエリのみを実行する必要がある場合、挿入、更新、削除、または管理特権を持たないはずです。
** 2。必要に応じて許可されていないデータアクセスを防ぎます
データベースの権限を必要なテーブルと操作のみに制限することにより、攻撃者はアプリケーションの正当なニーズの範囲外に機密データにアクセスできません。これは、SQLインジェクションが成功したとしても、データを抽出または操作する攻撃者の能力は、侵害されたアカウントがアクセスできるものに制限されていることを意味します[1] [2] [7]。
** 3。危険なデータベース機能の活用を制限します
オペレーティングシステムコマンドの実行や無制限のストアドプロシージャの実行などの一部のデータベース機能は、許可が広すぎる場合に悪用される可能性があります。制限権限は、そのような機能へのアクセスを無効または制限し、SQL注入および関連するエクスプロイトの攻撃面を減らします[2] [9]。
** 4。特権エスカレーションのリスクを減らします
データベースユーザーが高い特権(管理者やDBAの役割など)で実行されている場合、SQLインジェクションが成功すると、テーブルの作成やドロップ、またはサーバー上のコマンドの実行など、データベースを完全に制御できます。許可を制限すると、攻撃者がアプリケーションが合法的に必要とするものを超えてアクセスをエスカレートすることを防ぎます[1] [6] [9]。
** 5。詳細な防御をサポートします
権限を制限するだけでは、SQLインジェクションを妨げませんが、入力検証、パラメーター化されたクエリ、ストアドプロシージャ、およびWebアプリケーションファイアウォールとともに機能する重要な防御層です。この層状のアプローチにより、あるコントロールが失敗したとしても、他のコントロールが攻撃を封じ込めるのに役立つことが保証されます[3] [7]。
要約すると、データベースの権限を制限すると、妥協したアカウントが意図した範囲を超えて有害なアクションを実行できないようにすることにより、SQLインジェクションの潜在的な影響を減らします。この封じ込めは、データの損失、不正なデータの変更、特権のエスカレーションを防ぐのに役立ち、SQLインジェクション攻撃の管理が少なく管理しやすくなります[1] [2] [3] [6] [9]。
引用：
[1] https://cheatsheetseries.owasp.org/cheatsheets/sql_injection_prevention_cheat_sheet.html
[2] https://www.esecurityplanet.com/threats/how-to-prevent-sql-injection-atcacks/
[3] https://www.legitsecurity.com/aspm-knowledge-base/how-to-prevent-sql-injection
[4] https://users.soe.ucsc.edu/~eaugusti/archive/365-spring16/365-files/365-lec14-security.pdf
[5] https://www.reddit.com/r/sql/comments/1c5m63s/sql_injection_prevention_help/
[6] https://security.stackexchange.com/questions/90247/sql-injection-attack-why-not-adjust-permissions
[7] https://www.cloudflare.com/learning/security/threats/how-to-prevent-sql-injection/
[8] https://stackoverflow.com/questions/1263218/if-my-database-user-is-doly--why-do-i-need-to-worry-about-sql-injection
[9] https://www.enterprisedb.com/blog/protecting-against-sql-injection