DBA 이외의 인가되지 않은 사용자가 시스템 테이블에 접근할 수 없도록 설정

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

SELECT grantee, privilege, owner, table_name
FROM dba_tab_privs
WHERE (owner = 'SYS' OR table_name LIKE 'DBA\_%')
AND privilege <> 'EXECUTE'
AND grantee NOT IN ('PUBLIC', 'AQ_ADMINISTRATOR_ROLE', 'AQ_USER_ROLE',
'AURORA$JIS$UTILITY$', 'OSE$HTTP$ADMIN', 'TRACESVR', 'CTXSYS', 'DBA',
'DELETE_CATALOG_ROLE', 'EXECUTE_CATALOG_ROLE', 'EXP_FULL_DATABASE',
'GATHER_SYSTEM_STATISTICS', 'HS_ADMIN_ROLE', 'IMP_FULL_DATABASE',
'LOGSTDBY_ADMINISTRATOR', 'MDSYS', 'ODM', 'OEM_MONITOR', 'OLAPSYS',
'ORDSYS', 'OUTLN', 'RECOVERY_CATALOG_OWNER', 'SELECT_CATALOG_ROLE',
'SNMPAGENT', 'SYSTEM', 'WKSYS', 'WKUSER', 'WMSYS', 'WM_ADMIN_ROLE',
'XDB', 'LBACSYS', 'PERFSTAT', 'XDBADMIN')
AND grantee NOT IN (SELECT grantee FROM dba_role_privs WHERE granted_role = 'DBA')
ORDER BY grantee;

1
2
3
4
5
6

-- 시스템 테이블 접근 권한 확인
SELECT USER_NAME(p.grantee_principal_id) AS principal_name,
    d.class_desc, p.permission_name, d.name AS object_name
FROM sys.database_permissions p
INNER JOIN sys.database_principals d ON p.major_id = d.principal_id
WHERE d.type = 'S';

1
2

-- 사용자 계정에 부여된 권한 확인
SHOW GRANTS FOR 'username'@'host';

1
2

-- system_ 외 접근 계정 확인
SELECT * FROM system_.sys_tables_;

1
2
3

-- 사용자 및 역할 권한 정보 조회
SELECT * FROM information_schema.role_table_grants
WHERE table_schema IN ('pg_catalog', 'information_schema');

1
2
3
4

-- 불필요한 테이블 접근 권한 회수
REVOKE SELECT ON SYS.dba_users FROM username;
REVOKE SELECT ON SYS.dba_tables FROM username;
REVOKE ALL ON SYS.v_$session FROM username;

1
2
3

-- 시스템 테이블 접근 권한 제거
REVOKE SELECT ON sys.tables FROM username;
REVOKE SELECT ON sys.objects FROM username;

1
2
3
4
5

-- 접근이 필요한 데이터베이스 및 테이블에만 권한 적용
GRANT SELECT, INSERT, UPDATE ON database.table TO 'username'@'host';

-- mysql 데이터베이스 접근 제한
REVOKE ALL PRIVILEGES ON mysql.* FROM 'username'@'host';

1
2

-- 불필요한 계정 접근 해제
REVOKE SELECT ON system_.sys_users_ FROM username;

1
2
3

-- pg_catalog, information_schema 스키마 접근 권한 제거
REVOKE ALL ON ALL TABLES IN SCHEMA pg_catalog FROM username;
REVOKE ALL ON ALL TABLES IN SCHEMA information_schema FROM username;