การ จำกัด การอนุญาตฐานข้อมูลช่วยป้องกันการโจมตี SQL Injection (SQLI) เป็นหลักโดยการลดความเสียหายที่อาจเกิดขึ้นที่ผู้โจมตีอาจทำให้เกิดขึ้นหากพวกเขาจัดการเพื่อใช้ประโยชน์จากช่องโหว่ วิธีการนี้มีพื้นฐานมาจากหลักการของสิทธิพิเศษน้อยที่สุดซึ่งหมายถึงการอนุญาตให้ผู้ใช้หรือบัญชีแอปพลิเคชันเฉพาะการอนุญาตขั้นต่ำที่จำเป็นในการปฏิบัติงานของพวกเขาและไม่มีอีกต่อไป
นี่คือคำอธิบายโดยละเอียดว่าการ จำกัด การอนุญาตช่วย:
** 1. จำกัด ขอบเขตของการกระทำที่ผู้โจมตีสามารถทำได้
หากแอปพลิเคชันหรือบัญชีผู้ใช้ที่เชื่อมต่อกับฐานข้อมูลมีการเข้าถึงตารางเฉพาะแบบอ่านอย่างเดียวเท่านั้นผู้โจมตีที่ใช้ประโยชน์จากการฉีด SQL ผ่านบัญชีนั้นไม่สามารถแก้ไขลบหรือแทรกข้อมูลได้ การกักกันนี้ จำกัด "รัศมีการระเบิด" ของการโจมตีป้องกันการทุจริตข้อมูลหรือการเปลี่ยนแปลงที่ไม่ได้รับอนุญาต [3] [9] ตัวอย่างเช่นหากบัญชีต้องการเรียกใช้แบบสอบถามเลือกเท่านั้นไม่ควรแทรกการอัปเดตลบหรือสิทธิ์การดูแลระบบ
** 2. ป้องกันการเข้าถึงข้อมูลที่ไม่ได้รับอนุญาตเกินความจำเป็น
โดยการ จำกัด การอนุญาตฐานข้อมูลให้กับตารางและการดำเนินการที่จำเป็นเท่านั้นผู้โจมตีไม่สามารถเข้าถึงข้อมูลที่ละเอียดอ่อนนอกขอบเขตของความต้องการที่ถูกต้องตามกฎหมายของแอปพลิเคชัน ซึ่งหมายความว่าแม้ว่าการฉีด SQL จะประสบความสำเร็จความสามารถของผู้โจมตีในการแยกหรือจัดการข้อมูลนั้น จำกัด เฉพาะสิ่งที่บัญชีที่ถูกบุกรุกสามารถเข้าถึงได้ [1] [2] [7]
** 3. จำกัด การใช้ประโยชน์จากคุณลักษณะฐานข้อมูลอันตราย
ฟังก์ชั่นฐานข้อมูลบางอย่างเช่นการดำเนินการคำสั่งระบบปฏิบัติการหรือใช้ขั้นตอนที่เก็บไว้อย่างไม่ จำกัด สามารถใช้ประโยชน์ได้หากการอนุญาตนั้นกว้างเกินไป การ จำกัด การอนุญาตปิดการใช้งานหรือ จำกัด การเข้าถึงคุณสมบัติดังกล่าวลดพื้นผิวการโจมตีสำหรับการฉีด SQL และการหาประโยชน์ที่เกี่ยวข้อง [2] [9]
** 4. ลดความเสี่ยงของการเพิ่มสิทธิพิเศษ
หากผู้ใช้ฐานข้อมูลทำงานด้วยสิทธิ์สูง (เช่นผู้ดูแลระบบหรือบทบาท DBA) การฉีด SQL ที่ประสบความสำเร็จสามารถนำไปสู่การควบคุมฐานข้อมูลได้อย่างเต็มที่รวมถึงการสร้างหรือวางตารางหรือแม้แต่การดำเนินการคำสั่งบนเซิร์ฟเวอร์ การ จำกัด การอนุญาตป้องกันไม่ให้ผู้โจมตีเพิ่มการเข้าถึงของพวกเขาเกินกว่าสิ่งที่แอปพลิเคชันต้องการอย่างถูกกฎหมาย [1] [6] [9]
** 5. สนับสนุนการป้องกันในเชิงลึก
ในขณะที่การ จำกัด การอนุญาตเพียงอย่างเดียวไม่ได้ป้องกันการฉีด SQL แต่เป็นเลเยอร์การป้องกันที่สำคัญซึ่งทำงานร่วมกับการตรวจสอบความถูกต้องอินพุตการสืบค้นพารามิเตอร์ขั้นตอนที่เก็บไว้และไฟร์วอลล์แอปพลิเคชันเว็บ วิธีการเลเยอร์นี้ช่วยให้มั่นใจได้ว่าแม้ว่าการควบคุมจะล้มเหลว แต่คนอื่น ๆ ก็ช่วยให้มีการโจมตี [3] [7]
โดยสรุปการ จำกัด การอนุญาตฐานข้อมูลจะช่วยลดผลกระทบที่อาจเกิดขึ้นจากการฉีด SQL โดยการทำให้มั่นใจว่าบัญชีที่ถูกบุกรุกไม่สามารถดำเนินการที่เป็นอันตรายเกินขอบเขตที่กำหนดไว้ การกักกันนี้ช่วยป้องกันการสูญเสียข้อมูลการปรับเปลี่ยนข้อมูลที่ไม่ได้รับอนุญาตและการเพิ่มสิทธิพิเศษทำให้การโจมตีการฉีด SQL ลดความเสียหายน้อยลงและจัดการได้ง่ายขึ้น [1] [2] [3] [6] [9]
การอ้างอิง:
[1] https://cheatsheetseries.owasp.org/cheatsheets/sql_inject_prevention_cheat_sheet.html
[2] https://www.esecurityplanet.com/threats/how-to-prevent-sql-injection
[3] https://www.legitsecurity.com/aspm-knowledge-base/how-to-to-prevent-sql
[4] https://users.soe.ucsc.edu/~eaugusti/archive/365-spring16/365-files/lectures/365-lec14-security.pdf
[5] https://www.reddit.com/r/sql/comments/1c5m63s/sql_inject_prevention_help/
[6] https://security.stackexchange.com/questions/90247/sql-injection
[7] https://www.cloudflare.com/learning/security/threats/how-to-prevent-sql-injection
[8] https://stackoverflow.com/questions/1263218/if-my-database-user-is-read-only-why-do-i-need-to-worry-about-sql-injection
[9] https://www.enterprisedb.com/blog/protecting-against-sqlinjection