उपयोगकर्ताओं को SQL सर्वर SHOWPLAN अनुमति देने के लिए कोई जोखिम हैं?

Question

मैं एक बड़े SQL Server 2008 डेटाबेस पर कुछ प्रदर्शन ट्यूनिंग कर रहा हूं, और IT समूह SHOWPLAN को अनुमति देने के लिए तैयार नहीं है। अतीत में, "शो एक्ज़ीक्यूशन प्लान" व्यक्तिगत प्रश्नों और प्रक्रियाओं के प्रदर्शन को समझने का सबसे प्रभावी तरीका रहा है।

इस अनुमति को देने में क्या जोखिम निहित हैं? क्या डेटाबेस की एक विकास प्रति पर इस प्रतिबंध का एक वैध औचित्य है?

नोट: इस SQL ​​IT समूह में एकल SQL सर्वर आवृत्ति के अंतर्गत 200+ डेटाबेस हैं। धन्यवाद।

उत्तर : मैं प्रतिक्रिया की कमी का मतलब यह मान रहा हूं कि नीचे दिए गए नोटों के अलावा कोई महत्वपूर्ण सुरक्षा जोखिम नहीं हैं। मूल रूप से, इसे एक विकास डेटाबेस पर प्रतिबंधित करना अनुत्पादक है।

अगर कोई बेहतर जवाब देता है तो मैं इसे अपडेट करूंगा। आपकी टिप्पणियों के लिए आभार!

Answer 1

ऑनलाइन बुक्स में शोप्लान सिक्योरिटी पर एक नज़र डालें , जो कहती है:

जिन उपयोगकर्ताओं के पास SHOWPLAN, ALTER TRACEया VIEW SERVER STATEअनुमति है , वे शोपलन आउटपुट में कैप्चर किए गए प्रश्नों को देख सकते हैं। इन प्रश्नों में पासवर्ड जैसी संवेदनशील जानकारी हो सकती है। इसलिए, हम अनुशंसा करते हैं कि आप केवल उन्हीं उपयोगकर्ताओं को ये अनुमति दें, जो संवेदनशील जानकारी देखने के लिए अधिकृत हैं, जैसे db_owner निश्चित डेटाबेस भूमिका के सदस्य, या sysadmin निश्चित सर्वर भूमिका के सदस्य । हम यह भी अनुशंसा करते हैं कि आप केवल Showplan फ़ाइलों को सहेजते हैं या उन फ़ाइलों को ट्रेस करते हैं जिनमें Showplan से संबंधित ईवेंट्स किसी स्थान पर NTFS फ़ाइल सिस्टम का उपयोग करते हैं, और आप संवेदनशील जानकारी देखने के लिए अधिकृत उपयोगकर्ताओं तक पहुँच को प्रतिबंधित करते हैं।

उदाहरण के लिए, निम्नलिखित प्रश्न पर विचार करें:

SELECT COUNT(*)  FROM table_1  WHERE column_1 < 10 

एक दुर्भावनापूर्ण उपयोगकर्ता इस उदाहरण की तरह क्वेरी के एक सेट के लिए Showplan उत्पादन पैदा करता है, और विभिन्न स्थिरांक साथ विधेय में मूल्य "10" हर बार बदलता है, तो उपयोगकर्ता के लिए स्तंभ मान की एक अनुमानित डेटा वितरण का अनुमान लगा सकता है column_1 में table_1 पढ़ने से अनुमानित पंक्ति मायने रखती है।

यह जोखिम नगण्य प्रतीत होता है, विशेष रूप से दिए गए इस एक विकास सर्वर है, जहां सभी प्रश्नों होगा से devs और आईटी लोगों को, नहीं उन।