Oracle SQL Firewall: Proteção contra SQL Injection e Acessos Não Autorizados
O Oracle SQL Firewall é um recurso de segurança incorporado ao Oracle AI Database 26ai que permite restringir a execução de comandos SQL e controlar os caminhos confiáveis de conexão de usuários do banco de dados. A tecnologia foi projetada para reduzir riscos como SQL Injection, acesso anômalo, uso indevido de credenciais e comprometimento de contas.
Ao trabalhar com listas de permissões (allow-lists) de comandos SQL e contextos de conexão confiáveis, o SQL Firewall consegue identificar comandos ou conexões que não correspondem ao comportamento autorizado e, conforme a política configurada, registrar ou bloquear essas ocorrências.
O Oracle SQL Firewall é particularmente relevante para ambientes corporativos que utilizam aplicações conectadas ao Oracle Database por meio de contas de serviço e precisam aplicar o princípio de que cada conta deve executar somente as operações necessárias.
O que é Oracle SQL Firewall?
O Oracle SQL Firewall é um mecanismo de proteção executado dentro do Oracle AI Database. A partir do Oracle AI Database 26ai, o recurso passou a fazer parte do kernel do banco de dados e inspeciona as conexões e instruções SQL recebidas pelo banco.
O mecanismo pode analisar comandos SQL executados diretamente ou por unidades PL/SQL e verificar se eles correspondem às instruções autorizadas na política configurada para determinado usuário.
A Oracle informa que o SQL Firewall também pode analisar o contexto da conexão, incluindo informações como endereço IP, usuário do sistema operacional e nome do programa utilizado para estabelecer a conexão.
Com isso, a proteção não fica limitada apenas à pergunta “qual SQL está sendo executado?”, mas também pode considerar “de onde e por qual contexto essa conexão está sendo realizada?”.
Fonte: documentação oficial Oracle sobre o SQL Firewall.
Como funciona o Oracle SQL Firewall?
O funcionamento do SQL Firewall pode ser entendido em três etapas principais:
- Captura do comportamento normal: o ambiente aprende ou coleta os comandos SQL normalmente executados pelo usuário protegido.
- Criação da allow-list: os comandos autorizados e os contextos confiáveis de conexão são utilizados para formar a política.
- Enforcement: quando a política é ativada, os comandos e conexões recebidos são comparados com as informações autorizadas.
Quando uma instrução SQL ou contexto de conexão não corresponde à política, o SQL Firewall pode registrar a violação ou bloquear a operação, dependendo da configuração adotada.
A própria documentação Oracle descreve esse processo como enable, capture e enforce allow-lists.
Fonte: Getting Started with SQL Firewall.
Oracle SQL Firewall e Allow-Lists
O principal mecanismo de controle do SQL Firewall é baseado em allow-lists, ou listas de permissões.
Essas listas podem definir quais comandos SQL são considerados autorizados para determinado usuário e quais contextos de conexão são considerados confiáveis.
O objetivo não é simplesmente bloquear qualquer comando desconhecido. Primeiro, o ambiente pode ser colocado em uma fase de aprendizado para identificar o comportamento legítimo da aplicação.
Depois da análise, a organização pode criar uma política baseada no comportamento esperado.
Contextos confiáveis de conexão
Além das instruções SQL, o Oracle SQL Firewall pode utilizar informações do contexto da sessão para determinar se uma conexão é confiável.
Entre os atributos utilizados estão:
- Endereço IP do cliente;
- Nome do usuário do sistema operacional;
- Nome do programa utilizado na conexão.
Isso é especialmente útil para contas de serviço utilizadas por aplicações.
Por exemplo, uma aplicação pode ter autorização para acessar o banco somente quando a conexão for originada de determinados servidores e por meio do programa esperado.
Se uma credencial da aplicação for roubada e utilizada a partir de outro ambiente, o contexto da conexão poderá não corresponder à política autorizada.
Oracle SQL Firewall contra SQL Injection
Um dos principais casos de uso do SQL Firewall é a proteção contra SQL Injection.
Em um ataque desse tipo, comandos não previstos podem ser introduzidos em uma aplicação e enviados ao banco de dados.
Como o SQL Firewall trabalha com uma lista de comandos SQL autorizados, uma instrução que não corresponda ao comportamento permitido pode gerar uma violação.
Dependendo da política, essa violação pode ser somente registrada ou resultar no bloqueio da instrução.
Isso adiciona uma camada de defesa diretamente no banco de dados, complementando os controles existentes na aplicação, rede e infraestrutura.
Oracle SQL Firewall e credenciais comprometidas
O comprometimento de uma conta de aplicação representa um risco importante para ambientes Oracle.
Mesmo que um invasor consiga obter uma credencial válida, o SQL Firewall pode reduzir o impacto quando a utilização dessa credencial não corresponde aos comandos e contextos previamente autorizados.
Isso ocorre porque a política não precisa depender exclusivamente da identidade do usuário. Ela também pode considerar:
- Comandos SQL autorizados;
- Endereço IP;
- Programa de origem;
- Usuário do sistema operacional;
- Contexto da conexão.
Essa abordagem contribui para o princípio de least privilege aplicado ao comportamento SQL.
Oracle SQL Firewall: registrar ou bloquear?
Uma característica importante do SQL Firewall é permitir diferentes estratégias de tratamento das violações.
Modo de observação e registro
Nesse cenário, comandos ou contextos que não correspondem à política podem ser registrados sem necessariamente impedir sua execução.
Esse modelo pode ser útil durante a implantação inicial, principalmente para identificar comandos legítimos que ainda não foram incluídos na allow-list.
Modo de bloqueio
Depois que a política estiver suficientemente validada, a organização pode optar pelo bloqueio de operações não autorizadas.
A Oracle documenta opções para permitir o tráfego e registrar a ocorrência ou bloquear e registrar a violação.
Implantação do Oracle SQL Firewall
A implantação deve ser realizada de forma controlada, principalmente em sistemas críticos.
Uma estratégia corporativa pode seguir as seguintes etapas:
- Identificar os usuários e contas de aplicação que precisam ser protegidos.
- Habilitar o SQL Firewall.
- Capturar as atividades SQL normais.
- Analisar os comandos coletados.
- Validar os contextos confiáveis.
- Criar a política de allow-list.
- Testar a política.
- Monitorar possíveis violações.
- Ativar o enforcement.
- Revisar periodicamente as políticas.
A documentação oficial Oracle recomenda a utilização de uma etapa de captura e análise antes do enforcement das listas de permissões.
Oracle SQL Firewall e aplicações corporativas
Um dos cenários mais interessantes para utilização do SQL Firewall são as aplicações corporativas que utilizam contas de serviço para acessar o banco.
Uma aplicação normalmente possui um conjunto relativamente previsível de comandos SQL.
Por exemplo, um sistema ERP pode executar determinadas operações de:
- SELECT;
- INSERT;
- UPDATE;
- DELETE;
- Execução de procedimentos;
- Consultas específicas;
- Operações relacionadas ao processamento da aplicação.
O SQL Firewall pode aprender esse comportamento e estabelecer uma política que permita somente as operações esperadas.
Oracle SQL Firewall e PL/SQL
O SQL Firewall não se limita a comandos SQL enviados diretamente por um cliente.
A Oracle informa que o mecanismo também inspeciona instruções originadas de unidades PL/SQL.
Isso é importante porque aplicações Oracle corporativas frequentemente utilizam procedures, packages, funções e outros objetos armazenados no banco.
Oracle SQL Firewall e Oracle Database Vault
O Oracle SQL Firewall possui relação direta com a estratégia de segurança do Oracle Database Vault, mas os mecanismos possuem objetivos específicos.
O Database Vault utiliza recursos como realms, command rules, factors e rule sets para controlar o acesso a objetos e operações protegidas.
O SQL Firewall concentra-se no controle dos comandos SQL autorizados e dos contextos de conexão.
A Oracle documenta que os dois recursos podem trabalhar em conjunto.
Para aprofundar o tema, consulte:
Oracle SQL Firewall e Oracle TDE
O SQL Firewall e o Oracle Transparent Data Encryption (TDE) atuam em camadas diferentes da segurança.
O TDE protege dados por meio de criptografia, enquanto o SQL Firewall controla quais comandos SQL e contextos de conexão são autorizados.
Uma arquitetura corporativa pode combinar:
- Oracle SQL Firewall;
- Oracle TDE;
- Oracle Key Vault;
- Oracle Database Vault;
- Unified Auditing;
- Controle de acesso;
- Monitoramento.
Veja também:
Oracle SQL Firewall e Unified Auditing
As violações do SQL Firewall podem fazer parte de uma estratégia de auditoria utilizando Unified Auditing.
A documentação Oracle informa que as ações administrativas do SQL Firewall são auditadas e podem ser acompanhadas no unified audit trail.
Isso permite correlacionar eventos de segurança com outras atividades realizadas no banco.
Para ambientes corporativos, essa integração é importante para investigação, compliance e análise de incidentes.
Oracle SQL Firewall em Oracle RAC
O SQL Firewall pode ser utilizado em diferentes arquiteturas de implantação do Oracle Database, incluindo ambientes com Oracle Real Application Clusters (RAC).
Em ambientes RAC, a implementação deve ser planejada considerando a arquitetura do cluster, as aplicações conectadas e os contextos de conexão utilizados pelos serviços.
Veja também:
Oracle SQL Firewall em ambientes Multitenant
O SQL Firewall pode ser utilizado tanto no root container quanto em uma Pluggable Database (PDB).
Isso permite considerar o recurso em arquiteturas Oracle Multitenant, desde que a implantação seja planejada de acordo com a estrutura de usuários, aplicações e bancos envolvidos.
Veja também:
Oracle SQL Firewall e Oracle Data Safe
O Oracle Data Safe oferece uma interface para administrar e monitorar o SQL Firewall em uma frota de bancos Oracle AI Database.
A Oracle documenta que o Data Safe pode coletar atividades SQL, acompanhar o processo de aprendizado, criar políticas e permitir o monitoramento do SQL Firewall em múltiplos alvos.
Essa abordagem é especialmente interessante para organizações que possuem vários bancos Oracle e desejam centralizar parte da administração e monitoramento.
Fonte: SQL Firewall Overview.
Oracle SQL Firewall e Oracle Database Security Central
O Oracle Database Security Central também oferece recursos para administrar e monitorar políticas de SQL Firewall em ambientes com múltiplos bancos Oracle AI Database.
A utilização de uma camada centralizada pode facilitar a gestão de políticas, monitoramento de atividades e análise de violações em ambientes empresariais maiores.
Benefícios do Oracle SQL Firewall
- Proteção contra SQL Injection;
- Redução do risco de credenciais comprometidas;
- Controle sobre comandos SQL autorizados;
- Controle sobre caminhos confiáveis de conexão;
- Detecção de comportamento SQL anômalo;
- Registro de violações;
- Bloqueio de comandos não autorizados;
- Proteção de contas de aplicação;
- Integração com Oracle Database Vault;
- Integração com Unified Auditing;
- Aplicação em Oracle RAC;
- Aplicação em Oracle Multitenant;
- Integração com ferramentas Oracle de segurança e gerenciamento.
Oracle SQL Firewall e segurança em camadas
O SQL Firewall não deve ser tratado como substituto de uma arquitetura completa de segurança.
Em ambientes empresariais, ele pode fazer parte de uma estratégia em camadas envolvendo:
- Firewall de rede;
- IAM;
- Autenticação multifator;
- Oracle Database Vault;
- Oracle TDE;
- Oracle Key Vault;
- Unified Auditing;
- Oracle SQL Firewall;
- Monitoramento;
- Backup;
- Disaster Recovery;
- Hardening do sistema operacional.
O objetivo é evitar que uma única camada seja responsável por toda a segurança do ambiente.
Serviços Oracle Database Security da Dominus Tech
A implementação do Oracle SQL Firewall deve considerar o comportamento real das aplicações, usuários, integrações e arquitetura do banco de dados.
A Dominus Tech pode atuar na avaliação da arquitetura de segurança Oracle, planejamento da implantação e integração do SQL Firewall com outros mecanismos de proteção.
- Avaliação de segurança Oracle Database;
- Planejamento de Oracle SQL Firewall;
- Definição de políticas de allow-list;
- Análise de contas de aplicação;
- Análise de conexões confiáveis;
- Oracle Database Vault;
- Oracle TDE;
- Oracle Key Vault;
- Auditoria Oracle;
- Oracle RAC;
- Oracle Data Guard;
- Oracle Disaster Recovery;
- Monitoramento e governança Oracle.
Conteúdos relacionados do cluster Oracle
Segurança Oracle
Alta disponibilidade e Disaster Recovery
Infraestrutura Oracle
- Oracle Database Appliance
- Oracle Exadata
- Oracle Autonomous Database
- Oracle Cloud Backup
- Oracle Observability Cloud
Administração, performance e monitoramento
Documentação oficial Oracle
- SQL Firewall User’s Guide 26ai
- About SQL Firewall
- Getting Started with SQL Firewall
- SQL Firewall Overview
- Oracle AI Database 26ai — Security
Conclusão
O Oracle SQL Firewall representa uma evolução importante na proteção de ambientes Oracle, principalmente para aplicações que utilizam contas de serviço e possuem comportamento SQL previsível.
Ao combinar allow-lists de comandos SQL, contextos confiáveis de conexão, registro de violações e bloqueio de operações não autorizadas, a tecnologia ajuda a reduzir riscos associados a SQL Injection, credenciais comprometidas e acessos anômalos.
Em uma arquitetura empresarial, seu maior valor está na integração com outras camadas de segurança, como Oracle Database Vault, Oracle TDE, Oracle Key Vault, Unified Auditing, Oracle RAC e Oracle Data Guard.
A proteção dos dados corporativos exige planejamento, experiência e conhecimento das melhores práticas da Oracle.
A Dominus Tech oferece serviços especializados para implantação, revisão e evolução da segurança em ambientes Oracle Database, incluindo assessment, hardening, criptografia, auditoria, monitoramento, alta disponibilidade e recuperação de desastres.
👉Entre em contato com nossa equipe para descobrir como fortalecer a segurança do seu ambiente Oracle Database e reduzir os riscos para o seu negócio.
