Søren Eggert Lundsteen Olsen
2284e7f082
A DBA should be able to review every statement SQLInsight sends to a monitored server before granting it access. "SQL Scripts/<rule-id>.sql" holds, per rule (82 built-in, 16 community), a Danish header (what and why, how C# judges the data, thresholds with config keys, severity, exact GRANTs, versions, collector file and member) and the collector's SQL verbatim, every version variant as its own batch. "_collectors/<Collector>.sql" holds each collector's queries once. The only statement that is not strictly read-only is documented in the scripts: the deadlock collector's session temp table (#system_health). Inline SQL in the collectors moved to internal constants and Build*Sql methods (no text changed), so SqlScriptTests can check that the scripts still contain the SQL the code sends, that every rule has a script, that every collector query is registered, and that nothing writes. Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>
106 lines
6.8 KiB
Transact-SQL
106 lines
6.8 KiB
Transact-SQL
-- ===================================================================================================================
|
|
-- SQLI-SEC-001: Ny forhøjet rettighed på serveren
|
|
-- ===================================================================================================================
|
|
-- Regel-id: SQLI-SEC-001
|
|
-- Titel: Ny forhøjet rettighed på serveren
|
|
-- Alvor: High for sysadmin, securityadmin og CONTROL SERVER; Medium for de øvrige faste serverroller.
|
|
-- Versioner: SQL Server 2005 og nyere.
|
|
--
|
|
-- Hvad tjekkes, og hvorfor:
|
|
-- Om nogen har fået sysadmin eller en anden forhøjet serverrettighed - direkte eller ved at blive meldt ind i en
|
|
-- Windows-gruppe, der har den.
|
|
--
|
|
-- Vurdering (sker i C# ud fra de indsamlede data, ikke i SQL'en, medmindre andet er nævnt):
|
|
-- Medlemmer af de faste serverroller (sysadmin, securityadmin, serveradmin, setupadmin, processadmin, diskadmin,
|
|
-- dbcreator, bulkadmin) og indehavere af CONTROL SERVER (GRANT/WITH GRANT) sammenlignes med forrige måling;
|
|
-- Windows-grupper foldes ud til personer via Active Directory af agenten (ikke SQL). Nye rettigheder inden for de
|
|
-- seneste 7 dage giver ét fund hver. Hvem og hvornår slås op i default trace (EventClass 104, 105, 108) fra en time
|
|
-- før forrige måling - kun med ALTER TRACE; uden står "ukendt".
|
|
--
|
|
-- Grænseværdier (konfigurationsnøgle i agentens appsettings.json og standardværdi):
|
|
-- Fundet holdes åbent i 7 dage (PrivilegeAnalysis.RecentWindow, fast i koden).
|
|
--
|
|
-- Rettigheder til agentens login (se db/permissions/grant-least-privilege.sql; [agent] = agentens login):
|
|
-- GRANT VIEW ANY DEFINITION TO [agent]; -- metadata; giver IKKE adgang til data
|
|
-- Valgfrit: GRANT ALTER TRACE TO [agent]; -- default trace (udkommenteret i grant-least-privilege.sql; uden den bruges næste kilde)
|
|
--
|
|
-- Data kommer fra (collector, fil : medlemmer, interval):
|
|
-- PrivilegeCollector
|
|
-- Fil: src/SQLInsight.Collectors/Instance/PrivilegeCollector.cs
|
|
-- Medlemmer: PrivilegeCollector.MembersSql, PrivilegeCollector.SqlLoginsSql,
|
|
-- PrivilegeCollector.DefaultTraceEnabledSql, PrivilegeCollector.DefaultTracePathSql,
|
|
-- PrivilegeCollector.BuildTraceSql(traceFileBase, sinceLocal)
|
|
-- Interval: 15 min som standard (SQLInsight:CollectorIntervals:privileges)
|
|
-- Delt script: SQL Scripts/_collectors/PrivilegeCollector.sql
|
|
-- Regelkode: src/SQLInsight.Rules/Security/PrivilegeRules.cs : NewPrivilegeRule.Evaluate
|
|
--
|
|
-- Read-only: Ja: kun SELECT samt sys.fn_trace_gettable (læser default trace), SET-sessionsindstillinger. Intet
|
|
-- ændrer data, indstillinger eller objekter.
|
|
-- Kørsel: Kør i SSMS som agentens login (eller et login med samme rettigheder). Hver variant er sin egen batch
|
|
-- (GO); en variant for en anden SQL Server-version end din kan fejle - det er forventet.
|
|
-- Per-database-forespørgsler er vist for databasen msdb, som findes overalt: ret navnet til den
|
|
-- database, du vil se.
|
|
-- ===================================================================================================================
|
|
|
|
-- -------------------------------------------------------------------------------------------------------------------
|
|
-- Forbindelsen: Sessionsindstillinger, agenten sætter på hver forbindelse
|
|
-- -------------------------------------------------------------------------------------------------------------------
|
|
|
|
-- Variant: Alle versioner: sættes på hver forbindelse, agenten åbner
|
|
-- Kilde: SqlConnectionFactory.SessionSettings
|
|
-- Kode: src/SQLInsight.Connectivity/SqlConnectionFactory.cs : SqlConnectionFactory.SessionSettings
|
|
SET LOCK_TIMEOUT 5000; SET DEADLOCK_PRIORITY LOW; SET TRANSACTION ISOLATION LEVEL READ UNCOMMITTED;
|
|
GO
|
|
|
|
-- -------------------------------------------------------------------------------------------------------------------
|
|
-- PrivilegeCollector: Medlemmer af de faste serverroller og indehavere af CONTROL SERVER, SQL-logins'
|
|
-- password-politik og - med ALTER TRACE - hvem der ændrede rettighederne (default trace).
|
|
-- -------------------------------------------------------------------------------------------------------------------
|
|
|
|
-- Variant: SQL Server 2005 og nyere
|
|
-- Kilde: PrivilegeCollector.MembersSql
|
|
-- Kode: src/SQLInsight.Collectors/Instance/PrivilegeCollector.cs : PrivilegeCollector.MembersSql
|
|
SELECT p.name, p.type, r.name, p.is_disabled
|
|
FROM sys.server_role_members m
|
|
JOIN sys.server_principals r ON r.principal_id = m.role_principal_id
|
|
JOIN sys.server_principals p ON p.principal_id = m.member_principal_id
|
|
WHERE r.name IN (N'sysadmin', N'securityadmin', N'serveradmin', N'setupadmin', N'processadmin', N'diskadmin', N'dbcreator', N'bulkadmin')
|
|
UNION ALL
|
|
SELECT p.name, p.type, N'CONTROL SERVER', p.is_disabled
|
|
FROM sys.server_permissions sp
|
|
JOIN sys.server_principals p ON p.principal_id = sp.grantee_principal_id
|
|
WHERE sp.permission_name = N'CONTROL SERVER' AND sp.state IN ('G', 'W')
|
|
GO
|
|
|
|
-- Variant: SQL Server 2005 og nyere
|
|
-- Kilde: PrivilegeCollector.SqlLoginsSql
|
|
-- Kode: src/SQLInsight.Collectors/Instance/PrivilegeCollector.cs : PrivilegeCollector.SqlLoginsSql
|
|
SELECT name, is_disabled, is_policy_checked, is_expiration_checked, CASE WHEN principal_id = 1 THEN 1 ELSE 0 END
|
|
FROM sys.sql_logins WHERE name NOT LIKE N'##%'
|
|
GO
|
|
|
|
-- Variant: SQL Server 2005 og nyere
|
|
-- Kilde: PrivilegeCollector.DefaultTraceEnabledSql
|
|
-- Kode: src/SQLInsight.Collectors/Instance/PrivilegeCollector.cs : PrivilegeCollector.DefaultTraceEnabledSql
|
|
SELECT CAST(value_in_use AS int) FROM sys.configurations WHERE name = N'default trace enabled'
|
|
GO
|
|
|
|
-- Variant: SQL Server 2005 og nyere, kun når der er fundet ændringer (kræver ALTER TRACE)
|
|
-- Kilde: PrivilegeCollector.DefaultTracePathSql
|
|
-- Kode: src/SQLInsight.Collectors/Instance/PrivilegeCollector.cs : PrivilegeCollector.DefaultTracePathSql
|
|
SELECT path, DATEDIFF(minute, GETUTCDATE(), GETDATE()) FROM sys.traces WHERE is_default = 1
|
|
GO
|
|
|
|
-- Variant: SQL Server 2005 og nyere, kun når der er fundet ændringer (kræver ALTER TRACE)
|
|
-- Kilde: PrivilegeCollector.BuildTraceSql
|
|
-- Kode: src/SQLInsight.Collectors/Instance/PrivilegeCollector.cs : PrivilegeCollector.BuildTraceSql(traceFileBase, sinceLocal)
|
|
-- Agenten indsætter default trace-filens sti (mappen + log.trc, så alle rollover-filer læses) og serverens lokale tid
|
|
-- for en time før forrige måling som literaler. Her er de variabler, så scriptet kan køres i SSMS.
|
|
DECLARE @fil nvarchar(260);
|
|
DECLARE @siden nvarchar(19);
|
|
SELECT @fil = LEFT(path, LEN(path) - CHARINDEX(N'\', REVERSE(path)) + 1) + N'log.trc' FROM sys.traces WHERE is_default = 1;
|
|
SET @siden = CONVERT(nvarchar(19), DATEADD(hour, -1, GETDATE()), 126);
|
|
SELECT StartTime, EventClass, EventSubClass, LoginName, TargetLoginName, RoleName
|
|
FROM sys.fn_trace_gettable(@fil, DEFAULT)
|
|
WHERE EventClass IN (104, 105, 108) AND StartTime >= @siden
|
|
GO
|