SQL Server Cross Database Ownership Chaining چیست : راهنمای افزایش امنیت SqlServer

خطرات امنیتی Cross Database Ownership Chaining در SQL Server: راهنمای جامع و جلوگیری از Privilege Escalation

در محیط‌های پیچیده و چندپایگاه‌داده‌ای SQL Server، مدیریت دقیق مجوزها و امنیت داده‌ها از اهمیت بالایی برخوردار است. یکی از مفاهیم کلیدی که می‌تواند بر امنیت کلی سیستم تأثیر چشمگیری بگذارد، “Cross Database Ownership Chaining”  است. درک چگونگی عملکرد این مکانیزم، خطرات امنیتی بالقوه آن، و راهکارهای مناسب برای مدیریت و کنترل آن، برای هر متخصص SQL Server ضروری است. این مقاله به بررسی عمیق Cross Database Ownership Chaining می‌پردازد، از رفتار آن در حالت فعال و غیرفعال گرفته تا سناریوهای Privilege Escalation (Privilege Escalation) و نحوه شناسایی و مقابله با آنها.

Ownership Chaining چیست؟

Ownership Chaining در SQL Server مکانیزمی است که به SQL Server اجازه می‌دهد تا بررسی مجوزها را از طریق زنجیره‌ای از اشیاء پایگاه داده انجام دهد. به عبارت ساده‌تر، زمانی که یک شیء (مثلاً یک View یا Stored Procedure) به شیء دیگری (مثلاً یک جدول) ارجاع می‌دهد، SQL Server می‌تواند مجوزها را فقط برای شیء اول (View/Procedure) بررسی کند و نیازی به بررسی مجدد مجوزهای کاربر بر روی شیء دوم (جدول) نداشته باشد، مشروط بر اینکه هر دو شیء توسط یک کاربر (Owner) ایجاد شده باشند.

تصور کنید کاربری یک View ایجاد می‌کند که به یک جدول تعلق دارد. اگر مالک View و جدول یکسان باشند، کاربران با مجوز `SELECT` بر روی View نیازی به مجوز `SELECT` مستقیم بر روی جدول زیرین نخواهند داشت. این مکانیزم مدیریت مجوزها را ساده‌تر می‌کند و عملکرد را بهبود می‌بخشد.

Cross Database Ownership Chaining: فعال یا غیرفعال؟

Cross Database Ownership Chaining دقیقاً همین مفهوم را گسترش می‌دهد تا اشیاء را در پایگاه‌های داده مختلف شامل شود. زمانی که این ویژگی فعال است، اگر یک شیء در یک پایگاه داده (مثلاً پایگاه داده A) به شیئی در پایگاه داده دیگر (مثلاً پایگاه داده B) ارجاع دهد و مالکان این دو شیء یکسان باشند، SQL Server بررسی مجوزها را از طریق این Cross Database Ownership Chaining‌ها انجام می‌دهد.

این ویژگی می‌تواند برای تسهیل دسترسی به داده‌ها در سناریوهای خاص مفید باشد، اما خطرات امنیتی قابل توجهی نیز به همراه دارد. به همین دلیل، به طور پیش‌فرض، Cross Database Ownership Chaining در SQL Server غیرفعال است.

پیامدهای امنیتی Cross Database Ownership Chaining

فعال کردن Cross Database Ownership Chaining در SQL Server می‌تواند منجر به بروز آسیب‌پذیری‌های امنیتی جدی شود، به خصوص اگر مالکان پایگاه داده به درستی پیکربندی نشده باشند یا اگر اصول حداقل امتیاز (Least Privilege) رعایت نشود.

چه زمانی فعال کردن آن ایمن است؟

تنها زمانی می‌توان فعال کردن این گزینه را ایمن در نظر گرفت که تمام پایگاه‌های داده‌ای که در Ownership Chaining شرکت دارند، تحت کنترل یک مالک معتبر (مثلاً `sa`) باشند و شما به طور کامل به کد و کاربران موجود در آن پایگاه‌های داده اعتماد داشته باشید. حتی در این صورت، ریسک‌های پتانسیلی وجود دارد.

سناریوهای Privilege Escalation 

یکی از بزرگترین خطرات، Privilege Escalation است. یک کاربر مهاجم می‌تواند با سوءاستفاده از Ownership Chaining فعال، به داده‌ها یا عملیاتی دسترسی پیدا کند که در حالت عادی مجاز به آن نیست. در اینجا چند سناریو رایج را بررسی می‌کنیم:

سناریوی EXECUTE AS

اگر پایگاه داده A دارای ویژگی `TRUSTWORTHY` فعال باشد و مالک آن `sa` باشد، و Cross Database Ownership Chaining نیز فعال باشد، یک کاربر با دسترسی محدود در پایگاه داده A می‌تواند با ایجاد یک Stored Procedure که از `EXECUTE AS OWNER` استفاده می‌کند، کدی را اجرا کند که در پایگاه داده B به عنوان `sa` اجرا شود.

فرض کنید پایگاه داده `DbATrustworthy` دارای `TRUSTWORTHY ON` و مالک آن `sa` است.
پایگاه داده `DbB` نیز دارای مالک `sa` است و `DB_CHAINING` برای آن فعال است.
یک کاربر مهاجم در `DbATrustworthy` می‌تواند یک Stored Procedure ایجاد کند:

USE DbATrustworthy;
GO
CREATE PROCEDURE dbo.sp_malicious_proc
WITH EXECUTE AS OWNER
AS
BEGIN
    EXEC DbB.sys.xp_cmdshell 'dir c:\'; -- Example: Executes xp_cmdshell in DbB context
END;
GO

سپس، مهاجم با اجرای `EXEC dbo.sp_malicious_proc;` می‌تواند `xp_cmdshell` را در پایگاه داده `DbB` با امتیازات `sa` اجرا کند، حتی اگر خودش به طور مستقیم این مجوزها را نداشته باشد. این یک سناریوی کلاسیک Privilege Escalation است.

سناریو Injection (SQL Injection)

اگر یک برنامه کاربردی آسیب‌پذیر به SQL Injection وجود داشته باشد و پایگاه‌های داده در یک Ownership Chaining قرار داشته باشند، یک مهاجم می‌تواند از این آسیب‌پذیری برای اجرای دستورات دلخواه در پایگاه‌های داده دیگر سوءاستفاده کند.

Linked Servers

حتی با فعال بودن `TRUSTWORTHY` و `DB_CHAINING`، در Linked Server ها به طور پیش‌فرض در Ownership Chaining گنجانده نمی‌شوند. اگر نیاز به Ownership Chaining در Linked Server ها دارید، باید این گزینه را به صراحت فعال کنید که خطرات امنیتی را به میزان قابل توجهی افزایش می‌دهد و به شدت توصیه نمی‌شود.

کنترل Cross Database Ownership Chaining

چند روش برای کنترل رفتار Cross Database Ownership Chaining وجود دارد:

گزینه `cross db ownership chaining` در `sp_configure`

این گزینه در سطح سرور فعال یا غیرفعال می‌شود.
برای بررسی وضعیت فعلی:

EXEC sp_configure 'show advanced options', 1;
RECONFIGURE;
EXEC sp_configure 'cross db ownership chaining';

برای فعال کردن (که به شدت توصیه نمی‌شود مگر در موارد بسیار خاص و با درک کامل ریسک‌ها):

EXEC sp_configure 'cross db ownership chaining', 1;
RECONFIGURE;

برای غیرفعال کردن (توصیه شده):

EXEC sp_configure 'cross db ownership chaining', 0;
RECONFIGURE;

توجه داشته باشید که تغییر این گزینه نیاز به `RECONFIGURE` دارد.

گزینه `DB_CHAINING` در `ALTER DATABASE`

این گزینه در سطح پایگاه داده فعال یا غیرفعال می‌شود و از SQL Server 2005 به بعد معرفی شده است.
برای بررسی وضعیت:

SELECT name, is_db_chaining_on FROM sys.databases;

برای فعال کردن (باز هم، با احتیاط فراوان):

ALTER DATABASE YourDatabaseName SET DB_CHAINING ON;

برای غیرفعال کردن (توصیه شده):

ALTER DATABASE YourDatabaseName SET DB_CHAINING OFF;

ترکیب این دو گزینه مهم است. اگر `cross db ownership chaining` در سطح سرور غیرفعال باشد، حتی اگر `DB_CHAINING ON` را برای یک پایگاه داده تنظیم کنید، Cross Database Ownership Chaining برای آن پایگاه داده فعال نخواهد شد. برای فعال شدن این ویژگی، هر دو باید فعال باشند.

چگونه Cross Database Ownership Chaining را شناسایی کنیم؟

شناسایی پایگاه‌های داده‌ای که ممکن است در معرض خطرات Cross Database Ownership Chaining باشند، گامی حیاتی در تامین امنیت SQL Server است.

بررسی `sys.databases`

شما می‌توانید از `sys.databases` برای مشاهده وضعیت `is_db_chaining_on` برای هر پایگاه داده استفاده کنید:

SELECT name, is_db_chaining_on
FROM sys.databases
WHERE is_db_chaining_on = 1;

این کوئری تمام پایگاه‌های داده‌ای را نشان می‌دهد که `DB_CHAINING` برای آن‌ها به صورت صریح فعال شده است.

بررسی `is_trustworthy_on`

همچنین، بررسی پایگاه‌های داده‌ای که `TRUSTWORTHY` برای آن‌ها فعال است، ضروری است، زیرا ترکیب این دو ویژگی (TRUSTWORTHY و DB_CHAINING) می‌تواند بسیار خطرناک باشد:

SELECT name, is_trustworthy_on
FROM sys.databases
WHERE is_trustworthy_on = 1;

استفاده از `sys.fn_db_is_owned_by_sa`

این تابع به شما کمک می‌کند تا بررسی کنید آیا یک پایگاه داده توسط حساب `sa` مالکیت شده است یا خیر:

SELECT name, SUSER_SNAME(owner_sid) AS database_owner,
       CASE WHEN sys.fn_db_is_owned_by_sa(database_id) = 1 THEN 'Owned by SA' ELSE 'Not owned by SA' END AS IsOwnedBySA
FROM sys.databases;

این اطلاعات، همراه با وضعیت `DB_CHAINING` و `TRUSTWORTHY`، می‌تواند به شما در ارزیابی ریسک کمک کند.

`DBCC CHECKDB` برای بررسی `TRUSTWORTHY` و `DB_CHAINING`

دستور `DBCC CHECKDB` در قسمت‌های `DBCC` خود، هشدارهایی را برای پایگاه‌های داده‌ای که `TRUSTWORTHY` یا `DB_CHAINING` فعال دارند، نشان می‌دهد. این هشدارها به شما یادآوری می‌کنند که این تنظیمات می‌توانند خطرات امنیتی ایجاد کنند و باید با دقت بررسی شوند.

توصیه‌ها و بهترین شیوه‌ها

برای حفظ امنیت SQL Server خود در برابر خطرات مرتبط با Cross Database Ownership Chaining، بهترین شیوه‌های زیر را دنبال کنید:

غیرفعال نگه دارید: به طور پیش‌فرض، هم `cross db ownership chaining` در سطح سرور و هم `DB_CHAINING` در سطح پایگاه داده را غیرفعال نگه دارید. تنها در صورتی آن‌ها را فعال کنید که نیاز عملیاتی قطعی و توجیه شده‌ای وجود داشته باشد و تمام پیامدهای امنیتی را درک کرده باشید.
اصول حداقل امتیاز: همیشه اصول حداقل امتیاز را رعایت کنید. کاربران و برنامه‌ها باید فقط به حداقل مجوزهای لازم برای انجام وظایف خود دسترسی داشته باشند.
مدیریت مالکان پایگاه داده: اطمینان حاصل کنید که مالکان پایگاه داده به درستی پیکربندی شده‌اند و از حساب‌های کاربری با امتیازات بالا مانند `sa` برای مالکیت پایگاه‌های داده خودداری کنید، مگر اینکه absolutely ضروری باشد و بتوانید ریسک‌ها را کنترل کنید.
پایش و بازبینی منظم: به طور منظم وضعیت `DB_CHAINING`، `TRUSTWORTHY` و مالکان پایگاه داده را در تمامی سرورهای SQL خود پایش و بازبینی کنید.
بررسی آسیب‌پذیری‌ها: به طور منظم سرورهای SQL و برنامه‌های کاربردی متصل به آن‌ها را برای یافتن آسیب‌پذیری‌هایی مانند Injection SQL بررسی کنید.
آموزش و آگاهی: تیم توسعه و DBA خود را در مورد خطرات Cross Database Ownership Chaining و سایر مسائل امنیتی SQL Server آموزش دهید.

 

با رعایت این نکات و درک عمیق از مکانیزم‌های امنیتی SQL Server، می‌توانید از سیستم‌های خود در برابر سوءاستفاده‌های امنیتی محافظت کرده و یک محیط پایگاه داده پایدار و امن را تضمین کنید.