等保2.0涉及的PostgreSQL数据库(中)
最后更新 :2022.03.07
应对登录的用户分配账户和权限
针对这个测评项,首先我们要搞清楚postgresql数据库的相应权限问题
在postgresqll数据库中,认为用户就是一个相应的role,PostgreSQL使用角色的概念管理数据库访问权限。一个角色可以被看成是一个数据库用户或者是一个数据库用户组,这取决于角色被怎样设置。角色可以拥有数据库对象(例如,表和函数)并且能够把那些对象上的权限赋予给其他角色来控制谁能访问哪些对象。此外,还可以把一个角色中的成员资格授予给另一个角色,这样允许成员角色使用被赋予给另一个角色的权限。
1.系统权限
1.1 role属性
可以认为是这个用户所具有的系统权限.
1.2 修改属性
创建test角色
create role test login;

alter role test createdb createrole password '****@123';

alter role test nocreatedb nocreaterole superuser;
通过psql程序登录可使用\du命令列出现有角色,以及相应的角色权限

2.role成员权限
role membership(role成员)为了管理上的方便,我们可以创建一个role group,然后可以将各用户或者有特殊权限的role组织在一起,各个role就是这个role group的membership.
role group 是不带login的role,因为pg使用role来表示所有的角色、用户、用户组,所以不要混淆,创建语句都是create role.
2.1 继承role group
1)直接继承
我们创建一个用户,两个角色,分别有直属一个表的查询权限create role jack login inherit;create role r1;create role r2;

然后创建对应的表

授予查询权限

进行grant授权,使jack成为r1,r2的membership

测试角色切换
jack 继承了r1,r2的权限


2)间接继承
移除membership
可以使用revoke group_role from role1,…命令

此时,r1属于r2,然后jack又属于r1

关闭r1的继承
alter role r1 noinherit;

然后再尝试访问tab,发现tab2无法访问

取消继承权限后,r1也无权限访问



移除后将无权限

注意:授权不能形成回路

3)系统权限任何时候都不会主动继承
系统权限不会继承,只有主动set才生效

使用set命令后,该会话会具有group_role的临时系统权限,且会被认为是group_role角色,创建的表之类的均为set role的权限

重新开启会话后,无权限

三种方式还原到最初的jack角色:

综上所述:角色属性login、superuser、createdb和createrole可以被认为是一种特殊权限,但是它们从来不会像数据库对象上的普通权限那样被继承。要使用这些属性,你必须实际set role到一个有这些属性之一的特定角色。
4)角色删除
删除role,role下有权限或者是对象属于此role,则删除不了

移除掉相关权限关联后进行删除,然后涉及到r1的成员或者是group_role自动释放

5)role总结
3.等保查看相应点
查看当前数据库内有哪些角色,可通过工具进行查看

然后再查看对应角色对应的权限

命令行界面可以通过\du命令列出现有角色和权限

个人认为,针对第一个条款,不管权限分配是否合理,只要给用户分配权限了就算符合
这条条款主要是为了防止匿名用户的登录,像NTP匿名登录那种
至于权限是否合理,已在后面的最小权限,管理用户的权限分离,访问控制粒度的地方体现,应在那些条款内去判断,所以对于第一条我们只要看他是否为用户分配了相应的账户和权限即可。
应重命名或删除默认账户,修改默认账户的默认口令
1.默认角色
可以通过工具进行查看

PostgreSQL提供一组默认角色, 他们可以访问特定的、通常需要的特权功能和信息。 管理员可以将这些角色 GRANT 给用户和/或其环境中的其他角色, 为这些用户提供对指定功能和信息的访问权限。请注意,每个默认角色的特定权限可能会因为将来添加额外的功能而发生变化。 管理员应监控发行说明以进行更改,如下图:
角色允许的权限pg_read_all_settings阅读所有配置变量,即使那些通常只对超级用户可见的配置变量。pg_read_all_stats阅读所有pg_stat_*视图并使用各种统计相关的扩展,甚至那些通常只对超级用户可见的扩展。pg_stat_scan_tables执行可能对表进行可能需要很长时间ACCESS SHARE锁定的监视功能。pg_signal_backend给其他后端发送信号(比如: 取消查询、终止)。pg_monitor读取/执行各种监视视图和函数。 此角色是pg_read_all_settings、 pg_read_all_stats和 pg_stat_scan_tables的成员。
pg_mointor、pg_read_all_settings、pg_read_all_stats和pg_scan_tables角色旨在允许管理员轻松配置角色以见识数据库服务器。他们授予一组通用权限,允许角色读取通常仅限于超级用户的各种有用的配置设置,统计和其他系统信息。应小心授予这些角色,以确保只在需要执行所需监视的情况下才会使用这些角色。管理员可以使用grant命令给这些用户授予访问权限:grant pg_signal_backend to admin_user;上述的的默认角色默认都是不可登录的。

2. 等保查看相应点
默认账户为postgres,查看其是否设置禁止登录,或将其重命名

在psql的程序下可以通过\du命令查看,无法登录将有cannot login字样

- END -
应届生毕业找不到工作转行IT学网络安全可以吗?

应届生毕业找不到工作转行IT学网络安全可以吗?作者:时间:2023-08-11 11:21:02网络安全培...
英语数学不好可以学网络安全吗

英语数学不好可以学习网络安全吗盾叔的学员经常会问到一个问题,那就是英语和数学的基础不...
如何30天零基础入门网络安全?自学网络安全有哪些缺点?

网络安全的前景如何,盾叔已经说过很多遍了,今天专题是替一些想入门网络安全,但还迷茫不知所...
云安全产品和企业有哪些

云安全是我国企业创造的概念,在国际云计算领域独树一帜。云安全(Cloud Security)技术是网络...
什么是渗透测试工程师

什么是渗透测试工程师渗透测试工程师是网络安全大方向下网络安全应急与防御岗的一个细分...
应急响应、应急响应事件、网络应急响应
一、应急响应1、什么是应急响应应急响应( Incident Response/ Emergency Response )通常是指一个组织为了应对各种意外事件的发生所做的准备工作以及在突发事件发生时或者发生后所采取的措施。计算机网络应急响应的对...
IP属地还能代理?小心你的隐私

IP属地还能代理?小心你的隐私为了减少网络冒充热点事件当事人、恶意造谣、蹭流量等不良行...
大数据方向网络安全工程师怎么样?

网络安全就业方向有很多,除了传统的安全服务相关岗位、渗透测书等,还包括移动安全、大数据...
2020网络安全逆势而动

2020年,全球地缘政治冲突多发,各国经济问题凸显。全球网络空间态势日趋复杂。人工智能、区...
2023 万物复苏,这个职业可以让失业的你满血复活

随着疫情全面放开,在神州大地此起彼伏的咳嗽声中,新年的钟声也即将敲响。2022的你,可能被...
多所小学美术本印有涉黄二维码,真相竟是?
近期,有网友称其孩子的美术书被印了一个二维码,让人惊讶的是这个二维码一扫就会跳到一个...
新型蓝牙攻击来势汹汹,该如何应对

新型蓝牙攻击来势汹汹,该如何应对什么是蓝牙攻击?蓝牙攻击是指黑客或攻击者利用蓝牙技术中...
史上最大规模数据泄漏:涉及巨量个人信息

史上最大规模数据泄漏:涉及巨量个人信息最近,安全研究专家Bob Dyachenko和Cybernews团队发...
网络安全培训好还是自学好?应该选哪种方式?

随着网络的飞速发展,安全问题也成为大家关心的问题。想要学习网络安全进入IT行业的小伙伴...
企业在网络安全上“省钱”的方法

企业在网络安全上“省钱”的方法在当前经济寒冬中,网络犯罪和内部威胁愈发活跃...
零基础如何自学成为一名网络安全工程师?

在数字化时代,网络安全技术成为了一种神秘而又令人向往的技能。许多人梦想着能够成为一名...
严重损害网络安全有效性的4个误区
6月5日,2023年Gartner安全与风险管理峰会在美国马里兰州正式开幕。在峰会开幕演讲中,Gart...
网络工程和网络安全哪个好?发展前景如何?

伴随着互联网的广泛应用,网络工程和网络安全行业均已成了大多数人心中热门的行业选择。因...
转行网络安全怎么选择就业方向?
转行网络安全怎么选择就业方向?很多想转行学习网络安全的小伙伴们都会遇到不知道朝哪个...
等保2.0涉及的PostgreSQL数据库(上)

登录数据库一般用户在pgsql服务器上会创建相应的postgres用户,我们切换到postgres用户来...
如何做好儿童网络安全教育

今天是《中华人民共和国网络安全法》实施五周年,也是儿童节。那么我们就来谈谈如何保护儿...
学网络安全需要报名参加培训吗?如何选择培训机构?

在云计算、大数据、工业互联网、物联网等行业快速发展所带来的下游客户的安全需求增长下...
“云清洗”是什么意思?云清洗服务器能防御DDOS攻击吗?
相信大家在租用服务器时可以看到不少的专业名词,之前是很少接触到的。比如“云清洗”、“云清洗服务器”。那么“云清洗”指的是什么服务呢?清洗的又是什么?是不是我们通常理解的那种清洗呢?高防服务器“云清洗”一般指的...
什么是算力?网络安全是算力的保障

近期,中国工程院院士郑纬民在其发布的文章中提出一个观点:算力是数字经济的新引擎,算力的强...
连特斯拉都在裁员,如今的年轻人只能打零工?

6月2日,路透社报道称,其获取到了一封马斯克写给特斯拉管理层的邮件,邮件名为《暂停全球所有...
科技股银行破产 经济危机来临,普通人的出路在哪?
3月10日,美国硅谷银行暴雷。股价单日暴跌60%,宣布关闭。2022年,硅谷银行资产规模为2118亿美...
什么是可信计算?

什么是可信计算?可信计算,即Trusted Computing,简称TC,是由TCG(可信计算组)推动和开发的技术。...
网络安全的公司有哪些?

网络安全的公司有哪些?这是目前大学生都在问的一个高频问题,位居岗位热门公司搜索前十。为...
2022年不断扩大的网络威胁攻击面

在过去的一年里,网络犯罪出现了空前增长。Fortinet研究表明,在2020年7月至2021年6月之间的...
伊朗多次遭受黑客入侵,总统国庆日电视直播演讲竟被黑客恶意篡改
据新闻消息报道:在伊朗伊斯兰革命胜利44周年纪念日的当天,遭受到了黑客的组织破坏。这次...
怎么挑选一家真正好的网络安全培训机构?
目前网络安全行业火热,无论是刚毕业的大学生还是有一定经验的it从业者,都希望成为一名网...
什么是网络安全中的供应链攻击?
“供应链”这个概念对于不同的行业可以有不同的含义。在网络安全中可以解释为相互链接...
网盾带你读好书之——“圣经”《TCP/IP详解卷一》

这本书是TCP/IP领域的经典之作。被称为计算机的圣经书籍,书中主要讲述TCP/IP协议,作者不仅...
各省开启元宇宙赛道,元宇宙安全不容忽视
“元宇宙”究竟是什么?在经历了学界两年左右的讨论之后,如今有了一个比较清晰的概念:“沉...
企业网络安全防护措施合集,你漏了吗?

我们经常看到报纸或者资讯新闻上又爆出某某公司又被黑客袭击啦,勒索多少多少的,诶盾叔只能...
白帽子:SQL注入WAF绕过
SQL注入WAF绕过1 大小写绕过此类绕过不经常使用,但是用的时候也不能忘了它,他原理是基于SQL语句不分大小写的,但过滤只过滤其中一种。2 替换关键字这种情况下大小写转化无法绕过而且正则表达式会替换或删除select、union...
设计专业想转行,做什么工作前景好,更赚钱?

由于设计行业的竞争越来越大,逐渐趋于饱和状态,导致在所有行业里是内卷最严重的行业。再...
权威统计:全球八成的企业将增招IT和网络安全人员

某权威机构发布了《2022安全能力落差报告》,报告显示,安全能力差距将带给组织多重挑战,包括...
使用Paypal注意了,小心被黑客劫持攻击

PayPal是一个总部在美国加利福尼亚州的全球在线支付服务商。主要可以用于国际用户之间的...
什么?扳手都能感染勒索病毒?

什么?扳手都能感染勒索病毒?最近,网络安全专家们揭示了一个令人震惊的发现:23个漏洞存在于一...
经济这么差,为何这些网络安全公司还疯狂招人?

经济这么差,为何这些网络安全公司还疯狂招人?网络安全行业的前景,是光明还是黯淡?2023年,由于...
什么是等保测评和渗透测试?两者有什么区别呢?

什么是等保测评和渗透测试?两者有什么区别呢?等保测评和渗透测试有什么区别?首先我们来了...
面对疫情就业压力的影响,大学生们应该怎么办?

伴随着疫情的反复,市场经济处于衰退状态,很多企业为了能正常维持资金运转只能缩减开支,减少...
武汉网络安全培训怎么选机构

近年来,由于政策导向,网络安全培训如雨后春笋一般先后冒出来。各个培训机构的广告铺天盖地...
全员网络安全意识的培养 是企业发展的重中之重

今年网络安全宣传周的第一天,西北工业大学网络被境外势力入侵的事件终于水落石出,攻击源...
如何从一个萌新一步一步进入网络安全行业?
首先,在准备进入这个行业之前,我们要问一下我们的内心,工作千千万,为什么要想进入这个行业?相信每个人的答案都不一样,有的人会说,这个行业整体上比其他行业赚钱多,有的人会说特别喜欢技术,想钻研一下。还有人会说,这个行业处...
美保险巨头CNA Financia支付黑客4000万美元赎金,破赎金最高纪录

美国最大的保险公司之一CNA Financial在3月底向黑客支付了4000万美元(2.5亿人民币),以恢复...
网络安全培训内容有哪些?网络安全培训内容包含什么?

网络安全是现在互联网时代不可或缺的,相信有很多人都经历过资料外漏,或者经历过互联网诈骗...
微软布局网络安全零信任

微软布局网络安全零信任微软在不久前举行的Microsoft Ignite 2023大会上,发布了零信任战...
疫情下行业内卷,大学生就业难,网络安全却成未来10年“铁饭碗”

就业是民生之本、稳定之基、发展之要,大学生就业更是当今社会最受关注的热点话题。据教育...
web前端和网络安全哪个更有前途?

近年来,IT产业发展迅速。纵观“新基建”的七大方向,大部分都涉及互联网IT行业,这...
网络安全难学吗?怎么系统学习网络安全?
学习网络安全需要循序渐进,由浅入深。很多人对网络安全进行了解以后,就打算开始学习网络...
29岁转行转行网络安全是否值得呢?

29岁转行网络安全,这个选择合适吗?在当今数字化时代,网络安全已成为一个越来越受到人们关注...
现如今的网络安全前景怎么样?

现如今的网络安全前景怎么样?作者:时间:2023-06-29 15:36:06网络安全培训 网络安全培...
cos扎克伯格?人大高材生因数据泄露面临“踩缝纫机”
近日,一名人大毕业生利用在校期间职务之便盗取学校内网数据,收集全校学生个人信息,制作颜...
为何越来越多的年轻人不愿意从事销售工作,纷纷转行网络安全?

为何越来越多的年轻人不愿意从事销售工作,纷纷转行网络安全?现阶段,销售已经成了大多数年...
2022年网络安全培训火了,缺口达95%,揭开网络安全岗位神秘面纱

微软被黑客攻击泄露源代码、巴西国库遭勒索软件攻击、伊朗遭受网络攻击导致全国加油站大...
什么是安全取证工程师?

什么是安全取证工程师?首先需要了解什么是网络取证?网络取证是是抓取、记录和分析网络事件...
有哪些途径可寻找网络安全相关工作机会?如何准备网络安全面试?

有哪些途径可寻找网络安全相关工作机会?如何准备网络安全面试?作者:时间:2023-07-28 17:37:...
网络安全就业前景怎么样?网络安全工程师多少钱一个月?

网络安全工程师是当今互联网行业中备受瞩目的职业之一。随着网络安全问题的不断增加,对于...
为什么学习网络安全?网络安全的“钱途”怎么样?

当前,随着互联网技术的普及和日益发展,网络安全已经成为了我们所面临的一个重要问题。网络...
入行网络安全都需要学什么?_网络安全入门必学内容有哪些?

近几年网络安全事件频发,国家对于互联网信息安全和互联网舆情的重视程度不断提升有关,全球...
重磅!5月1日起取消普职分流,却让网络安全行业热度再增

今年5月1日起,新修订的《职业教育法》将正式施行,这也是该法自1996年颁布以来的首次大修。...
从网络安全培训班出来,找工作真的没竞争力么?

网络安全作为当今信息化社会的重要组成部分,越来越受到企业和个人的重视。随着网络攻击事...
2024学网络安全怎么样?网络安全行业薪资多少呢

2024学网络安全怎么样?网络安全行业薪资多少呢21世纪是信息化时代,我们的生活越来越离不开...
2024学网络安全好吗?网络安全工程师就业前景如何?

在21世纪的信息化浪潮中,网络已成为我们生活中不可或缺的一部分。然而,随着网络的普及和应...
厉害的少年黑客有哪些

儿童节 谈谈那些少年黑客吧前不久,彭博社报道,成功入侵并盗走Nvidia、三星及微软内部资料...
2023了,学JAVA还好找工作吗?
抛开培训机构的那些广告数据,我们来看如今网友们提供的真实就业情况。在原来的一篇文章...
元宇宙带来的网络安全问题:身份匿名性将不复存在
美国加州大学伯克利分校的最新论文表明,未来元宇宙有没有隐私可言,取决于有没有新保障措...
杭州临平又发火灾,“安全问题”为何总被忽视

2022年6月9日上午10时左右,杭州市临平区望梅路588号杭州湾建材市场发生一起火灾,起火处为...
揭秘售后诈骗案:黑客软件如何轻松攻破系统防线?

在一个风和日丽的春日午后,四川南充仪陇县的一家电器售后服务店内,老板徐某山正埋头于电脑...
网络安全学习需要知道的6款网络钓鱼模拟器

网络安全学习需要知道的6款网络钓鱼模拟器根据《2023 年网络钓鱼状况报告》,自 2022 年第...
黑客技术难不难?要怎么学?

黑客技术难不难?要怎么学?作者:时间:2023-08-15 16:53:54网络安全培训 网络安全培训班 ...
网盾安全学院“国风班”来袭!汉服与科技碰撞,用侠客精神书写不一样的“网安江湖”

曾梦想仗剑走天涯很多人都有这样一段相同的经历,儿时看着武侠剧,听着那句侠之大者,为国为民...
传统行业求职困难,武汉网络安全培训是你转行的机会

近两年,因为疫情以及政策的原因,教培、房地产、互联网、电商等行业裁员潮、降薪潮接踵而至...
湖北网络安全培训发展现状

湖北网络安全培训发展现状在企事业单位中,保存着大量的科研数据、财务数据、人力资源数据...
转行网络安全好找工作吗?工资高吗?

转行网络安全好找工作吗?工资高吗?随着数字经济的发展,网络安全也逐渐成了大家热门的行...
微软被16岁男孩攻击后!网络安全师遭“哄抢”,成众多企业守护神

最近,网络安全圈子又出了一件大事,黑客组织Lapsus$黑进了微软,他们声称,从微软内部的Azure D...
网络空间部队成立,普普通的安全技术人员有机会加入吗?

2024 年 4 月 19 日,中国人民解放军信息支援部队成立大会在北京八一大楼隆重举行。中国人...
新技术背景下,谁会最先被社会抛弃

北大戴锦华教授最近关于就业问题,发表了她的一个看法:今天世界上急剧发生的是,一个全新的...
什么是攻击研判分析工程师

什么是攻击研判分析工程师攻击研判分析工程师是网络安全大方向下网络安全应急与防御岗的...
很多在选择网络安全工程师(黑客或白帽)与程序员如何纠结?

很多在选择网络安全工程师(黑客或白帽)与程序员有那些差别?有人说“要想成为高深的...
网络安全到底怎么学?网络安全培训哪里最好?最强总结来了!

现在越来越多应届生转行开始学习网络安全了,网络安全工程师成了不少人梦寐以求的职位。那...
网络安全:全球排名第一的紧缺技能

美国计算机行业协会 Compia公司最新发布了一份科技趋势报告,指出了2022年十大高薪紧缺技...
什么是数据安全?数据安全因素有哪些

2021年6月10日,第十三届全国人民代表大会常务委员会第二十九次会议通过《中华人民共和国...
网络安全里的通用解决方案是什么

什么是通用解决方案?通用解决方案其实是一种综合网络措施。有检测企业内部的邮件、MSN、Q...
如果屈原懂一点网络安全技术,就不用跳江了

如果屈原懂一点网络安全技术,就不用跳江了又逢端午,遥祭屈原。一个人与一个节日、一种民俗...
网络安全工程师必知的头号间谍武器“飞马”

网络安全工程师必知的头号间谍武器飞马本月10日,西班牙政府发言人爆出一条消息,西班牙内政...
零基础怎样学好网络安全?网络安全学习路线是什么

零基础怎样学好网络安全?网络安全学习路线是什么对于零基础同学来讲,学网络安全遇到最普遍...
Web安全渗透与移动安全逆向有什么区别?发展前景如何?
随着网络安全行业的飞速发展,现已在数字化、网络化、智能化的趋势下,从传统网络安全领域...
为何越来越多的程序员纷纷转行网络安全?

目前,我国IT行业的人才结构不断升级,公司对程序员的要求越来越高,出现了大量的裁员现象,导致...
什么是SSRF攻击?该如何防御SSRF攻击?
什么是SSRF攻击?SSRF是一 种由攻击者构造请求,由服务端发起请求的安全漏洞。一般情况下,ss...
网络安全工程师必用的6个渗透工具,专业工具渗透工作更好做!
渗透测试是通过模拟恶意黑客的攻击方法,来评估计算机网络系统安全的一种评估方法。同时,网络所有者根据渗透人员提供的渗透测试报告,可以清晰知晓系统中存在的安全隐患和问题。在这些过程中除了需要渗透测评师的技术还需...
网络安全发展前景怎么样?如何成为一名优秀的网络安全工程师呢?

我国从如今的信息时代慢慢进入数字经济时代,数字经济已成为我国经济发展的新引擎。但数字...
高考出分了,想读信息安全的看这篇就够了

今天,各省高考分数线陆续公布,很多考生都已查到了成绩。不管你们现在的心情是喜是悲,分数的...
如何用web渗透渗入一个小姐姐的心

公司新来了运营小姐姐,但是身为废物的我在公司默默无闻,怎么才能让小姐姐注意到我呢,既然要...
网安人才缺口太大 这个国家急了

网安人才缺口太大 这个国家急了作者:时间:2023-08-03 15:54:28网络安全培训 网络安全...
什么是RCE漏洞?RCE漏洞会造成哪些危害呢?该如何防御?
什么是RCE漏洞?远程代码执行简称RCE,是一类软件安全缺陷/漏洞。RCE 漏洞将允许恶意行为人...
零基础可以学网络安全吗?

在这个瞬息万变的时代,网络安全日益受到人们的关注。越来越多的人开始关注网络安全,那么零...
数据泄露的受害者们过得怎么样?财务情况、情感和身体状况

将近 30%的受害者受到多种身份凭证泄露的影响。过去,我们更多地关注着数据泄露对于企业造...
- 数据加载中,请稍后...