Oracle MySQL: правила корреляции

RV-D-1453

Просмотр пользовательских данных MySQL

Атакующие могут попытаться получить несанкционированный доступ к системным таблицам, содержащим учетные записи пользователей, их привилегии и хэшированные пароли.

RV-D-1456

Получение списка подключений к MySQL

Атакующий может просмотреть, какие есть активные сессии в СУБД для последующего взаимодействия с учетными записями. В MySQL есть два способа просмотра активных сессий - встроенной командой или SQL-запросом таблиц.

RV-D-1459

Получение информации о версии MySQL

Запрос версии базы данных MySQL может быть как частью легитимных административных задач, так и частью разведки атакующего. Зная точную версию MySQL, атакующий может идентифицировать уязвимости в используемой версии и подобрать эксплойты, определить конфигурационные особенности, которые могут упростить атаку и оценить уровень обновлений и патчей сервера перед дальнейшими атаками.

RV-D-1462

Создание резервной копии MySQL

Атакующий может сохранить конфиденциальную информацию из базы данных MySQL, создав ее резервную копию или экспортировав данные в файл. Это может привести к утечке данных, если доступ к системе получен несанкционированно.

RV-D-1463

Изменение/удаление таблицы аудита MySQL

Атакующие могут попытаться отключить\удалить или изменить систему аудита MySQL, чтобы скрыть свою активность и избежать обнаружения.

RV-D-1464

Массовое удаление таблиц MySQL

Массовое удаление таблиц MySQL представляет серьезную угрозу для целостности данных и работоспособности сервисов. Подобные действия могут выполняться легитимно при очистке БД перед миграцией новых структур или удалении старой информации.

RV-D-1467

Удаление базы данных в MySQL

Атакующий с целью нарушения функционирования системы может попытаться удалить базу данных. Правило обнаруживает удаление базы данных в MySQL с помощью характерного запроса.

RV-D-1472

Назначение прав администратора MySQL

Правило детектирует создание новых пользователей с административными привилегиями или эскалацию прав у существующих пользователей. Если атакующему удастся успешно выполнить такие действия, он получит полный контроль над базами данных, что может привести к краже, модификации или уничтожению данных.

RV-D-1473

Остановка сессии пользователя в MySQL

Атакующий может просмотреть, какие есть активные сессии в СУБД для последующего нарушения доступности БД путем блокирования доступа от учетных записей, используемых легитимными пользователями.

RV-D-1475

Изменение пароля учетной записи MySQL

Атакующий может изменить пароль учетной записи базы данных, чтобы закрепиться в системе или получить доступ к другому пользователю, например, учетной записи с максимальными привилегиями.

RV-D-1479

Атака Password Spraying на СУБД MySQL

Правило обнаруживает множественные неудачные попытки подключения к СУБД MySQL от одного хоста к множеству учетных записей.

RV-D-1484

Подбор пароля к СУБД MySQL

Правило обнаруживает множественные неудачные попытки подключения к СУБД MySQL от одной учетной записи, учитывая попытки с разных хостов.

RV-D-1487

Успешный подбор пароля к СУБД MySQL

Правило обнаруживает успешную попытку входа после множественных неудачных попыток подключения к СУБД MySQL от одной учетной записи, учитывая попытки с разных узлов.

RV-D-1488

Вход привилегированного пользователя в MySQL

Атакующий может получить привилегированные учетные данные и попытаться авторизоваться с контролируемого им хоста. Правило обнаруживает попытку авторизации привилегированного пользователя с неизвестного хоста в СУБД MySQL.

RV-D-1509

Чтение журналов MySQL

Атакующие могут выполнять SQL-запросы к таблицам журналирования и представлениям, содержащим историю активности MySQL, с целью получения информации о ранее выполненных операциях, пользователях и административных действиях. Доступ к таким источникам, как general_log, slow_log, audit_log, а также представлениям performance_schema.events_statements_*, позволяет атакующему проводить разведку внутри СУБД, выявлять поведение администраторов и подготавливать дальнейшие этапы атаки.