79 lines
2.3 KiB
Markdown
79 lines
2.3 KiB
Markdown
# Runbook - 04 View Bypass MAC
|
|
|
|
## Objetivo
|
|
|
|
Demonstrar que views e caminhos alternativos de acesso podem contornar controles mal desenhados, e que `USE DATA GRANTS ONLY` aplica Mandatory Access Control no objeto protegido.
|
|
|
|
## Valor De Seguranca
|
|
|
|
- Evita bypass por views legadas.
|
|
- Aplica politica uniforme em tabela base e views.
|
|
- Ajuda clientes com muitos relatorios, synonyms, views e ferramentas BI.
|
|
|
|
## Pre-Requisitos
|
|
|
|
- Banco Oracle AI Database compativel com Oracle Deep Data Security.
|
|
- SQLcl ou SQL*Plus.
|
|
|
|
## Antes - Ambiente Vulneravel
|
|
|
|
1. Limpe o cenario:
|
|
|
|
```sql
|
|
@scenarios/04-view-bypass-mac/sql/99_reset.sql
|
|
```
|
|
|
|
2. Crie tabela, view, dados e personas:
|
|
|
|
```sql
|
|
@scenarios/04-view-bypass-mac/sql/00_schema.sql
|
|
@scenarios/04-view-bypass-mac/sql/01_seed_data.sql
|
|
@scenarios/04-view-bypass-mac/sql/02_identities.sql
|
|
```
|
|
|
|
3. Simule uma view legada que retorna todos os dados:
|
|
|
|
```sql
|
|
SELECT account_id, account_name, owner_name, region, balance
|
|
FROM dds_mac_accounts_view
|
|
ORDER BY account_id;
|
|
```
|
|
|
|
## Resultado Esperado Antes
|
|
|
|
- A view pode expor contas de outros donos.
|
|
- O acesso por caminho alternativo nao respeita a mesma intencao da politica da tabela base.
|
|
|
|
## Depois - Aplicando Deep Data Security
|
|
|
|
1. Aplique data grants e habilite MAC:
|
|
|
|
```sql
|
|
@scenarios/04-view-bypass-mac/sql/03_data_grants.sql
|
|
```
|
|
|
|
2. Execute a consulta na tabela e na view:
|
|
|
|
```sql
|
|
@scenarios/04-view-bypass-mac/sql/04_test_queries.sql
|
|
```
|
|
|
|
## Resultado Esperado Depois
|
|
|
|
- A tabela base retorna somente a conta do usuario final.
|
|
- A view retorna o mesmo subconjunto autorizado.
|
|
- O data grant amplo na view nao consegue furar a politica da tabela base quando MAC esta habilitado.
|
|
|
|
## Evidencias Para Demo
|
|
|
|
- Resultado da tabela e da view antes/depois.
|
|
- SQL `SET USE DATA GRANTS ONLY ON dds_mac_accounts ENABLED`.
|
|
- Explicacao de que MAC remove inconsistencias entre caminhos de acesso.
|
|
|
|
## Referencias Oficiais
|
|
|
|
- SET USE DATA GRANTS ONLY: https://docs.oracle.com/en/database/oracle/oracle-database/26/sqlrf/set-use-data-grants-only.html
|
|
- Fine-Grained Data Authorization - Mandatory Access Control: https://docs.oracle.com/en/database/oracle/oracle-database/26/ddscg/fine-grained-data-authorization.html
|
|
- Configure Data Grants: https://docs.oracle.com/en/database/oracle/oracle-database/26/ddscg/configure-data-grants.html
|
|
|