Database Security အခြေခံများ

နားလည်ထားရမယ့် အချက်

Database security ဆိုတာ setting တစ်ခုတည်း ဖွင့်ရုံနဲ့ မပြီးပါဘူး — layer တွေ အတူတကွရှိတဲ့ stack တစ်ခုပါ၊ layer တစ်ခုတည်းမှာ အားနည်းချက်ရှိရင် ကျန်တဲ့ layer တွေကို ဖျက်ဆီးနိုင်ပါတယ်။

Authentication က 'သင်ဘယ်သူလဲ' ဆိုတာကို ဖြေပါတယ် — password, certificate, cloud IAM role, (သို့) token။ Authorization ကတော့ အဲဒီ identity ဘာလုပ်ခွင့်ရှိလဲ ဆုံးဖြတ်ပေးတဲ့ သီးခြား၊ အလားတူလိုအပ်တဲ့ layer ပါ။

နောက် layer ကတော့ network access ပါ — production database ကို public internet ကနေ လုံးဝ မရောက်သင့်ပါ။ Private network ပေါ်မှာ ရှိသင့်ပြီး သိထားတဲ့ application server တွေကိုသာ ခွင့်ပြုတဲ့ firewall နောက်မှာ ရှိသင့်ပါတယ်။

DATABASE SECURITY LAYER STACK
-----------------------------
  +---------------------------------------+
  | Monitoring (detect unusual activity)   |
  +---------------------------------------+
  | Backups (recover from disaster)        |
  +---------------------------------------+
  | Secrets (credentials never in git)     |
  +---------------------------------------+
  | TLS (encrypt data in transit)          |
  +---------------------------------------+
  | Network Access (private, firewalled)   |
  +---------------------------------------+
  | Least Privilege (minimum permissions)  |
  +---------------------------------------+
  | Authorization (what can this do?)      |
  +---------------------------------------+
  | Authentication (who is connecting?)    |
  +---------------------------------------+
        A gap in any single layer weakens
        every layer stacked above it.

လက်တွေ့ scenario နဲ့ ချိတ်ကြည့်မယ်

ဒါကို deployment အစစ်တစ်ခုပေါ် အသုံးချရင် database ကို ရောက်နိုင်တဲ့ account တိုင်းကို audit လုပ်တာပါ — application ရဲ့ runtime connection၊ analytics tool၊ admin၊ migration run တဲ့ CI/CD job။

Team အများစုက အသုံးပြုနေတာထက် access ပိုများနေတဲ့ account အနည်းဆုံးတစ်ခု တွေ့ရပါတယ်။ ဒါကို ပြင်ဖို့ expertise နက်နက်နဲသေးမလိုပါ — account ဆက်လိုနေသလား ပုံမှန် ပြန်မေးရမယ့် စည်းကမ်းတစ်ခုသာ လိုအပ်ပါတယ်။

• Permission command အစစ်တွေအတွက်: PostgreSQL ရဲ့ roles-privileges-and-row-security နှင့် connections-pooling-and-security lesson များ။
• ACL နှင့် TLS configuration လက်တွေ့အတွက်: Redis ရဲ့ security-acl-tls lesson။

• Database security ဟာ layer အလိုက်ပါ — authentication, authorization, least privilege, network access, TLS တစ်ခုစီက ကွဲပြားတဲ့ failure ကို ကာကွယ်ပါတယ်။
• Least privilege ဆိုတာ account တိုင်း၊ application ရဲ့ ကိုယ်ပိုင် connection အပါအဝင်၊ တကယ့်အလုပ်လိုအပ်ချက်အတိုင်းသာ permission ရရှိတာပါ။
• TLS က data in transit ကို encrypt လုပ်ပေမယ့် shared superuser password တစ်ခုတည်းနဲ့ ကာကွယ်ထားတဲ့ exposed database တစ်ခုအတွက် ဘာမှ အထောက်အကူမဖြစ်ပါဘူး။

Database Security အခြေခံများ

• Connection တိုင်းအတွက် authentication လိုအပ်ပါတယ် — anonymous access မရှိပါ။
• Account တစ်ခုစီမှာ တကယ့်အလုပ်လိုအပ်ချက်အတိုင်းသာ permission ရှိပါတယ် (least privilege)။
• Application (သို့) service ဘယ်ဟာမှ superuser (သို့) root အဖြစ် run မလုပ်ပါ။
• Production database ကို public internet ကို မလိုအပ်ဘဲ ဖွင့်မထားပါ။
• Database ကို ချိတ်ဆက်ရာမှာ TLS ကို encrypt လုပ်ဖို့ သုံးထားပါတယ်။
• Credential တွေကို Git ထဲ commit (သို့) code ထဲ plain text အနေနဲ့ သိမ်းမထားပါ။

အတူတူ စမ်းရေးကြည့်မယ်

function checkLeastPrivilege(accountName, granted, needed) {
  const excess = granted.filter((perm) => !needed.includes(perm));
  return {
    account: accountName,
    grantedCount: granted.length,
    neededCount: needed.length,
    excessPermissions: excess,
    isOverPrivileged: excess.length > 0
  };
}

const appAccount = checkLeastPrivilege(
  "app_service",
  ["SELECT", "INSERT", "UPDATE", "DELETE", "DROP TABLE", "CREATE ROLE"],
  ["SELECT", "INSERT", "UPDATE"]
);

const analyticsAccount = checkLeastPrivilege(
  "analytics_readonly",
  ["SELECT"],
  ["SELECT"]
);

console.log(JSON.stringify(appAccount, null, 2));
console.log(JSON.stringify(analyticsAccount, null, 2));

App_service (SELECT, INSERT, UPDATE, DELETE, DROP TABLE, CREATE ROLE ရထားပေမယ့် SELECT, INSERT, UPDATE သာ လိုအပ်) အတွက် checker က excessPermissions: ["DELETE", "DROP TABLE", "CREATE ROLE"] နဲ့ isOverPrivileged: true လို့ ပြန်ပါတယ်။ Analytics_readonly (SELECT တစ်ခုတည်း ရထားပြီး လိုအပ်တာလည်း SELECT တစ်ခုတည်း) အတွက် excessPermissions array အလွတ်နဲ့ isOverPrivileged: false ပြန်ပါတယ် — properly-scoped case အတိအကျပါပဲ။

OWASP: Database Security Cheat Sheet — How Databases Work