データベースセキュリティ評価 は何をしますか？
アクション必須（読んだらすぐ実行）
NOW: precedent-pentest を読み込む；本番DBでは破壊的ステートメントを禁止（明示的に許可されている場合を除く）NOW: スコープにインスタンス、アカウント権限、書き込み/削除が許可されているかどうかを明確に記載するNEXT: クライアントツールのパスを確認するACT: 露出面 → 認証 → 承認 → 設定 → 悪用チェーン検証（安全）
適用シナリオ
- DBの未認証アクセス/弱いパスワード/0.0.0.0への誤ったバインディング
- 過剰な権限、危険な機能（xp_cmdshell、COPY PROGRAM、UDF）
- 水平移動：アプリケーションアカウントからDBAへ
- NoSQLインジェクションとRedisによるファイル書き込みなど（許可環境）
ワークフロー
□ ネットワーク露出とTLS
□ アカウントロールと権限付与対象者
□ 機密テーブルへのアクセス制御
□ 危険な設定: file_priv、xp_cmdshell、load_file
□ 監査ログが有効かどうか
□ バックアップとスナップショットの権限
ツールチェーン
| ツール | 用途 |
|---|---|
| 公式CLI | 接続と列挙 |
| sqlmap | インジェクション検証（許可環境） |
| nuclei | 既知の露出テンプレート |
| クラウドRDSコンソール監査 | 設定確認 |
参考
references/db-misconfig-checklist.md../pentest-tools/../cloud-k8s/
ルーティングコンテキスト
上流: MASTER R35
下流: OSコマンド取得 → attack-chain；クラウドマネージド → cloud-k8s
タスク完了自己チェック
- 未承認の書き込み/削除を回避したか？
- 設定問題と悪用可能なチェーンを区別したか？
- チェックリストを確認したか？