強化 DB2 系統目錄視圖安全性的三大策略

安全隱患根源分析

DB2 系統目錄視圖儲存資料庫所有物件定義、權限資訊及使用者授權細節。預設部署時，系統自動將這些視圖的 SELECT 權限授予 PUBLIC 群組，導致所有資料庫使用者均可查詢完整目錄資訊，包含：

• 他人建立的物件結構
• 物件擁有者及授權清單
• 敏感業務邏輯推測依據（如命名慣例、資料分佈）

此設計與 Oracle 資料字典的三層權限模型（USER/ALL/DBA）形成鮮明對比：Oracle 限制一般使用者僅能查看自有或授權物件，DBA 視圖需特殊權限。

風險情境評估

方案一：精簡權限回收與重授（適用簡單環境）

1. 以 SYSADM 或 DBADM 權限執行：
   REVOKE SELECT ON SYSCAT.TABLES FROM PUBLIC（針對所有目錄視圖逐一執行）
2. 按需將 SELECT 權限授予特定使用者/角色：
   GRANT SELECT ON SYSCAT.TABLES TO USER app_user

優點：實作簡單、立即生效。
缺點：粒度粗略，無法實現「僅見自有物件」的細緻控制。

方案二：建立分層安全視圖（企業級推薦，參考 Oracle 架構）

三層視圖設計

實作步驟

1. 回收 PUBLIC 對原生目錄視圖的 SELECT 權限。
2. 以原生目錄視圖為基礎，建立上述三類過濾視圖（WHERE DEFINER = SESSION_USER 等條件）。
3. 將新視圖權限授予對應角色/使用者，使用者僅透過新視圖間接存取目錄資訊。
4. 將建視圖與授權腳本版本化保存，利於環境重建與交接。

進階效益：

• 資安屏障：中間層視圖可進一步過濾敏感欄位（如統計資訊中的機密數值）。
• 稽核追蹤：視圖存取可被審計，比直接查系統表更可控。
• 事件隔離：單一帳號洩露僅影響該帳號權限範圍內的物件可見性。

方案三：統計資訊敏感欄位屏蔽（輔助防護）

目錄視圖部分統計欄位（如 COLSTATS、DISTCOUNT 等）可能包含業務敏感數值。建議：

• 在自訂視圖中排除或遮罩這些欄位。
• 或使用欄級權限（LBAC）限制存取。
• 僅保留 DBA 層視圖完整呈現統計資訊。

策略選擇建議

• 單一 DBA、簡單部署 → 方案一即可。
• 多 DBA 分工、合規要求、長期維運 → 方案二為最佳投資，初期建置成本較高但長期維運效率與安全性最優。
• 所有方案皆建議搭配 方案三進行敏感統計欄位保護。

系統目錄視圖往往被忽視，實則是資料庫安全防禦的「情報中樞」，妥善管控其可見性是企業級 DB2 部署的必修課。