Évaluation de la sécurité des bases de données
ACTION REQUISE (lire et exécuter immédiatement)
MAINTENANT: lire precedent-pentest ; interdire les instructions destructrices sur les bases de production sauf autorisation expliciteMAINTENANT: spécifier clairement le périmètre : instance, privilèges du compte, autorisation d'écriture/suppressionSUIVANT: chemin des outils clientsACTION: surface d'exposition → authentification → autorisation → configuration → validation de la chaîne d'attaque (sécurisé)
Cas d'utilisation
- Base de données non autorisée / mot de passe faible / liaison erronée 0.0.0.0
- Privilèges excessifs, fonctionnalités dangereuses (xp_cmdshell, COPY PROGRAM, UDF)
- Latéral : du compte applicatif au DBA
- Injection NoSQL et écriture de fichier Redis (environnement autorisé)
Flux de travail
□ Exposition réseau et TLS
□ Rôles de compte et grantee
□ Contrôle d'accès aux tables sensibles
□ Configuration dangereuse : file_priv, xp_cmdshell, load_file
□ Journal d'audit activé ou non
□ Autorisations de sauvegarde et d'instantané
Chaîne d'outils
| Outil | Utilisation |
|---|---|
| CLI officielle | Connexion et énumération |
| sqlmap | Validation d'injection (autorisé) |
| nuclei | Modèles d'exposition connus |
| Console d'audit cloud RDS | Configuration |
Références
references/db-misconfig-checklist.md../pentest-tools/../cloud-k8s/
Contexte de routage
Amont: MASTER R35
Aval: Obtention de commande OS → attack-chain ; hébergement cloud → cloud-k8s
Auto-vérification de fin de tâche
- Ai-je évité l'écriture/suppression non autorisée ?
- Ai-je distingué les problèmes de configuration des chaînes exploitables ?
- Checklist ?