數(shù)據(jù)庫(kù)安全審計(jì)等保最佳實(shí)踐
DBSS可以從審計(jì)日志的天數(shù)、審計(jì)合規(guī)的報(bào)表、審計(jì)日志的隱私合規(guī)的配置來進(jìn)一步滿足等保合規(guī)。
審計(jì)日志天數(shù)的合規(guī)配置
相關(guān)審計(jì)法規(guī)規(guī)定，審計(jì)日志至少保留半年。DBSS服務(wù)會(huì)自動(dòng)預(yù)測(cè)審計(jì)實(shí)例的剩余存儲(chǔ)空間是否能夠滿足半年審計(jì)日志的合規(guī)要求，若不滿足會(huì)給出界面提示。
圖1 磁盤不足提示
當(dāng)出現(xiàn)如圖1所示提示時(shí)，請(qǐng)開啟自動(dòng)備份，開啟備份詳情請(qǐng)參見自動(dòng)備份數(shù)據(jù)庫(kù)審計(jì)日志。
說明：開啟自動(dòng)備份時(shí)，備份周期優(yōu)先選擇“每小時(shí)”。
若每天的備份文件大小總和小于50MB時(shí)，建議選擇“每天”。
審計(jì)日志天數(shù)的合規(guī)配置
為了能夠更及時(shí)、準(zhǔn)確的了解合規(guī)狀況，建議開啟審計(jì)報(bào)表計(jì)劃任務(wù)。
建議您優(yōu)先設(shè)置如圖2所示的報(bào)表計(jì)劃任務(wù)。
圖2 報(bào)表合規(guī)設(shè)置項(xiàng)
單擊“設(shè)置任務(wù)”可對(duì)計(jì)劃任務(wù)的參數(shù)進(jìn)行設(shè)置，參數(shù)說明如表1所示。
圖3 選擇計(jì)劃任務(wù)參數(shù)
審計(jì)日志隱私的合規(guī)配置
由于審計(jì)日志中的SQL請(qǐng)求語(yǔ)句和結(jié)果集中可能包含用戶的隱私數(shù)據(jù)，建議對(duì)審計(jì)日志開啟隱私數(shù)據(jù)保護(hù)，以防止違反隱私保護(hù)相關(guān)合規(guī)要求。
通過配置如下可滿足隱私數(shù)據(jù)的合規(guī)要求：
- 開啟“隱私數(shù)據(jù)脫敏”開關(guān)：開啟后會(huì)對(duì)審計(jì)日志中的隱私數(shù)據(jù)進(jìn)行脫敏存儲(chǔ)。
- 關(guān)閉“存儲(chǔ)結(jié)果集”開關(guān)：關(guān)閉后，審計(jì)日志含有隱私信息的結(jié)果集將不會(huì)存儲(chǔ)到審計(jì)日志中。
- 開啟所有的隱私保護(hù)規(guī)則。
圖4 審計(jì)日志隱私合規(guī)配置
數(shù)據(jù)庫(kù)安全審計(jì)最佳實(shí)踐
-
審計(jì)RDS關(guān)系型數(shù)據(jù)庫(kù)
數(shù)據(jù)庫(kù)安全審計(jì)采用旁路部署，獲取訪問數(shù)據(jù)庫(kù)流量、將流量數(shù)據(jù)上傳到審計(jì)系統(tǒng)、接收審計(jì)系統(tǒng)配置命令和上報(bào)數(shù)據(jù)庫(kù)狀態(tài)數(shù)據(jù)，實(shí)現(xiàn)對(duì)RDS關(guān)系型數(shù)據(jù)庫(kù)的安全審計(jì)
-
審計(jì)ECS自建數(shù)據(jù)庫(kù)
在數(shù)據(jù)庫(kù)端部署數(shù)據(jù)庫(kù)安全審計(jì)Agent，獲取訪問數(shù)據(jù)庫(kù)流量、將流量數(shù)據(jù)上傳到審計(jì)系統(tǒng)、接收審計(jì)系統(tǒng)配置命令和上報(bào)數(shù)據(jù)庫(kù)狀態(tài)數(shù)據(jù)，實(shí)現(xiàn)對(duì)自建數(shù)據(jù)庫(kù)的安全審計(jì)
-
數(shù)據(jù)庫(kù)慢SQL檢測(cè)
數(shù)據(jù)庫(kù)安全審計(jì)檢測(cè)響應(yīng)時(shí)間大于1秒的SQL語(yǔ)句。通過數(shù)據(jù)庫(kù)慢SQL檢測(cè)，可獲知執(zhí)行耗時(shí)長(zhǎng)、影響行數(shù)、執(zhí)行該SQL語(yǔ)句的數(shù)據(jù)庫(kù)信息并根據(jù)實(shí)際需求對(duì)慢SQL進(jìn)行優(yōu)化
-
數(shù)據(jù)庫(kù)臟表檢測(cè)
數(shù)據(jù)庫(kù)安全審計(jì)規(guī)則增加一條“數(shù)據(jù)庫(kù)臟表檢測(cè)”的高風(fēng)險(xiǎn)操作。用戶預(yù)設(shè)無用的庫(kù)、表或列作為“臟表”，無風(fēng)險(xiǎn)程序不會(huì)訪問用戶自建的“臟表”，用于檢測(cè)訪問“臟表”的可能的惡意程序