SQL 쿼리 보안 ​

사용자가 SQL 조작을 시도할수있나요? ​

권한이 없으면 YAML 설정과 SQL 쿼리 획득 불가능합니다.
관리자를 포함한 모든 사용자는 YAML 설정에 없는 SQL를 실행 불가능합니다.
모든 입력값에 대해서도 escape 되므로 SQL 조작이 불가능합니다.

쿼리 접근 로그를 볼수있나요? ​

클라우드 버전에서 지원합니다. general query log, slow query log를 남기고 있습니다. 오픈소스 버전에서도 지원방식을 논의중입니다.

2022년 02월 28일 - 로그는 검색조건(개인정보, 사용자입력값)이 없는 SQL만 남기고 있으며 업체별 모니터링/로그 계약에 따라 full log도 지원예정입니다.

쿼리 접근 제어를 할수있나요? ​

클라우드 버전에서 지원합니다. 데이터베이스 계정을 나누지 않고 특정 테이블, 컬럼, SELECT등 쿼리 실행을 막을 수 있습니다. 오픈소스는 자유롭게 편집하는 쿼리툴보다는 YAML 설정으로 배포하는 어드민에 가깝기 때문에 여러 팀원이 쿼리하는 경우 필요한 접근제어 보다는 사용자가 진입가능한 페이지를 막는 메뉴권한제어 수준까지를 목표로 하고 있습니다.

셀렉트는 Bind Parameter / Prepared Statements를 기본으로 합니다. ​

SQL 보안을 위해 번거롭더라도 원본 raw query 입력을 원칙적으로 막고 있습니다.
인가된 사용자만 어드민 시스템을 이용한다고 하더라도 동일 네트워크상 세션탈취나 기타 물리적인 침입/침해를 막기 위해 보안 가이드라인을 제공하고 있습니다.

더 향상된 보안을 위해 Enterprise 플랜에서는 general query log의 anomaly scoring을 제공합니다.