-- ===================================================================================================================
-- COM-SEC-002: Database ejes af et login, der ikke findes
-- ===================================================================================================================
-- Regel-id:    COM-SEC-002
-- Titel:       Database ejes af et login, der ikke findes
-- Alvor:       Low
-- Versioner:   SQL Server 2008 og nyere. Kræver ingen særlige capabilities (DeclarativeRule).
--
-- Hvad tjekkes, og hvorfor:
--   Database ejes af et login, der ikke findes. Ejeren er typisk en medarbejder, som er stoppet, eller en database,
--   der er gendannet fra en anden server. Det giver fejl i fx EXECUTE AS OWNER, cross-database ownership chaining og
--   nogle jobs.
--
-- Vurdering (sker i C# ud fra de indsamlede data, ikke i SQL'en, medmindre andet er nævnt):
--   Ingen C#-logik ud over at læse resultatet: hver række, forespørgslen returnerer, er et fund (højst 100 rækker pr.
--   regel). Forespørgslen køres én gang i master. Kører instansen en ældre version end minimumVersion, er reglen
--   "ikke relevant". Fejler forespørgslen pga. manglende rettigheder, er reglen "ikke målbar". Fundets titel:
--   "Databasen {database} ejes af et login, der ikke længere findes" ({kolonne} udfyldes fra rækken).
--
-- Grænseværdier (konfigurationsnøgle i agentens appsettings.json og standardværdi):
--   Ingen konfigurationsnøgle: eventuelle grænser står direkte i forespørgslen (fx antal rækker eller dage).
--
-- Rettigheder til agentens login (se db/permissions/grant-least-privilege.sql; [agent] = agentens login):
--   GRANT VIEW ANY DEFINITION TO [agent];              -- metadata; giver IKKE adgang til data
--
-- Data kommer fra (collector, fil : medlemmer, interval):
--   CustomQueryCollector
--     Fil: src/SQLInsight.Collectors/Custom/CustomQueryCollector.cs
--     Medlemmer: Db.CurrentDatabaseSql, CustomQueryCollector.DatabasesSql,
--     CustomQueryCollector.BuildRuleSql(database, query)
--     Interval: 15 min som standard (SQLInsight:CollectorIntervals:custom-rules)
--     Delt script: SQL Scripts/_collectors/CustomQueryCollector.sql
-- Regelkode:   src/SQLInsight.Rules/Custom/DeclarativeRule.cs : DeclarativeRule.Evaluate; reglen selv:
--              rules/community/security.json (id COM-SEC-002, indlejret i regelpakken)
--
-- Read-only:   Ja: kun SELECT samt USE (skifter sessionens database), SET-sessionsindstillinger. Intet ændrer data,
--              indstillinger eller objekter.
-- Kørsel:      Kør i SSMS som agentens login (eller et login med samme rettigheder). Hver variant er sin egen batch
--              (GO); en variant for en anden SQL Server-version end din kan fejle - det er forventet.
--              Per-database-forespørgsler er vist for databasen msdb, som findes overalt: ret navnet til den
--              database, du vil se.
-- ===================================================================================================================

-- -------------------------------------------------------------------------------------------------------------------
-- Forbindelsen: Sessionsindstillinger, agenten sætter på hver forbindelse
-- -------------------------------------------------------------------------------------------------------------------

-- Variant: Alle versioner: sættes på hver forbindelse, agenten åbner
-- Kilde: SqlConnectionFactory.SessionSettings
-- Kode:  src/SQLInsight.Connectivity/SqlConnectionFactory.cs : SqlConnectionFactory.SessionSettings
SET LOCK_TIMEOUT 5000; SET DEADLOCK_PRIORITY LOW; SET TRANSACTION ISOLATION LEVEL READ UNCOMMITTED;
GO

-- -------------------------------------------------------------------------------------------------------------------
-- CustomQueryCollector: Community-regel COM-SEC-002 (server-regel)
-- -------------------------------------------------------------------------------------------------------------------

-- Variant: SQL Server 2008 og nyere
-- Kilde: CustomQueryCollector.BuildRuleSql
-- Kode:  src/SQLInsight.Collectors/Custom/CustomQueryCollector.cs : CustomQueryCollector.BuildRuleSql(database, query)
USE [master];
SELECT d.name AS [database], CONVERT(varchar(100), d.owner_sid, 1) AS [owner_sid] FROM sys.databases d LEFT JOIN sys.server_principals p ON p.sid = d.owner_sid WHERE p.sid IS NULL AND d.database_id > 4
GO