ব্যবহারকারীদের এসকিউএল সার্ভার শপলান অনুমতি দেওয়ার কোনও ঝুঁকি রয়েছে কি?

Question

আমি একটি বড় এসকিউএল সার্ভার ২০০৮ ডাটাবেসে কিছু পারফরম্যান্স টিউনিং করছি, এবং আইটি গ্রুপ শপলান অনুমতি দিতে রাজি নয়। অতীতে, পৃথক প্রশ্ন এবং পদ্ধতিগুলির কার্যকারিতা বোঝার জন্য "শো এক্সিকিউশন প্ল্যান" সবচেয়ে কার্যকর উপায় ছিল।

এই অনুমতি দেওয়ার ক্ষেত্রে কী ঝুঁকি নিহিত? ডাটাবেসের বিকাশের অনুলিপিতে এই বিধিনিষেধের বৈধ সমর্থনযোগ্যতা কি আছে?

দ্রষ্টব্য: এই এসকিউএল আইটি গোষ্ঠীর একটি একক এসকিউএল সার্ভার উদাহরণের অধীনে 200+ ডাটাবেস রয়েছে। ধন্যবাদ।

উত্তর : আমি প্রতিক্রিয়ার অভাব নিচ্ছি যার অর্থ নীচে উল্লেখ করা ব্যতীত কোনও উল্লেখযোগ্য সুরক্ষা ঝুঁকি নেই। মূলত, ডেভলপমেন্ট ডেটাবেজে এটি সীমাবদ্ধ করা প্রতিরোধক pr

যদি কেউ আরও ভাল উত্তর নিয়ে আসে তবে আমি এটি আপডেট করব। তোমার মন্তব্যের জন্য ধন্যবাদ!

Answer 1

বুকস অনলাইনে শোপ্লান সিকিউরিটির দিকে একবার নজর দিন , যা বলে:

ব্যবহারকারীরা যারা SHOWPLAN, ALTER TRACEঅথবা VIEW SERVER STATEঅনুমতি প্রশ্ন যা Showplan আউটপুটে ধরা রয়েছে দেখতে পারেন। এই প্রশ্নের মধ্যে পাসওয়ার্ডের মতো সংবেদনশীল তথ্য থাকতে পারে। অতএব, আমরা প্রস্তাব করি আপনি শুধুমাত্র যেমন সদস্য হিসেবে ব্যবহারকারী যারা সংবেদনশীল তথ্য দেখতে অনুমোদিত হয়, এর এই অনুমতি প্রদান db_owner সংশোধন ডাটাবেসের ভূমিকা, বা সদস্যদের sysadmin সংশোধন সার্ভার ভূমিকা। আমরা আপনাকে কেবল শোপলান ফাইলগুলি সংরক্ষণ করুন বা এনটিএফএস ফাইল সিস্টেম ব্যবহার করে এমন একটি জায়গায় শপলান সম্পর্কিত ইভেন্ট রয়েছে এমন ফাইলগুলি সন্ধান করুন এবং সংবেদনশীল তথ্য দেখার অধিকারপ্রাপ্ত ব্যবহারকারীদের অ্যাক্সেসকে সীমাবদ্ধ রাখবেন বলেও আমাদের পরামর্শ দিন।

উদাহরণস্বরূপ, নিম্নলিখিত কোয়েরি বিবেচনা করুন:

SELECT COUNT(*)  FROM table_1  WHERE column_1 < 10 

একটি দূষিত ব্যবহারকারী এই উদাহরণটি প্রশ্নের একটি সেট জন্য Showplan আউটপুট উত্পাদন করে, এবং বিভিন্ন ধ্রুবক সঙ্গে সম্পৃক্ত মান "10" প্রতিটি সময় প্রতিস্থাপন করা হলে সেই ব্যবহারকারীর কলাম মূল্যবোধের একটি আনুমানিক তথ্য বিতরণ অনুমান পারে column_1 মধ্যে table_1 পড়ার মাধ্যমে আনুমানিক সারি গণনা করা হয়।

এই ঝুঁকি তুচ্ছ বলে মনে হচ্ছে না, বিশেষ করে দেওয়া এই একটি উন্নয়ন সার্ভার, যেখানে সব প্রশ্নের হতে হবে থেকে devs এবং আইটি মানুষ, ব্যবহারকারীদের।