數(shù)據(jù)庫安全審計等保最佳實踐
DBSS可以從審計日志的天數(shù)、審計合規(guī)的報表、審計日志的隱私合規(guī)的配置來進一步滿足等保合規(guī)。
審計日志天數(shù)的合規(guī)配置
相關審計法規(guī)規(guī)定，審計日志至少保留半年。DBSS服務會自動預測審計實例的剩余存儲空間是否能夠滿足半年審計日志的合規(guī)要求，若不滿足會給出界面提示。
圖1 磁盤不足提示
當出現(xiàn)如圖1所示提示時，請開啟自動備份，開啟備份詳情請參見自動備份數(shù)據(jù)庫審計日志。
說明：開啟自動備份時，備份周期優(yōu)先選擇“每小時”。
若每天的備份文件大小總和小于50MB時，建議選擇“每天”。
審計日志天數(shù)的合規(guī)配置
為了能夠更及時、準確的了解合規(guī)狀況，建議開啟審計報表計劃任務。
建議您優(yōu)先設置如圖2所示的報表計劃任務。
圖2 報表合規(guī)設置項
單擊“設置任務”可對計劃任務的參數(shù)進行設置，參數(shù)說明如表1所示。
圖3 選擇計劃任務參數(shù)
審計日志隱私的合規(guī)配置
由于審計日志中的SQL請求語句和結(jié)果集中可能包含用戶的隱私數(shù)據(jù)，建議對審計日志開啟隱私數(shù)據(jù)保護，以防止違反隱私保護相關合規(guī)要求。
通過配置如下可滿足隱私數(shù)據(jù)的合規(guī)要求：
- 開啟“隱私數(shù)據(jù)脫敏”開關：開啟后會對審計日志中的隱私數(shù)據(jù)進行脫敏存儲。
- 關閉“存儲結(jié)果集”開關：關閉后，審計日志含有隱私信息的結(jié)果集將不會存儲到審計日志中。
- 開啟所有的隱私保護規(guī)則。
圖4 審計日志隱私合規(guī)配置
數(shù)據(jù)庫安全審計最佳實踐
-
審計RDS關系型數(shù)據(jù)庫
數(shù)據(jù)庫安全審計采用旁路部署，獲取訪問數(shù)據(jù)庫流量、將流量數(shù)據(jù)上傳到審計系統(tǒng)、接收審計系統(tǒng)配置命令和上報數(shù)據(jù)庫狀態(tài)數(shù)據(jù)，實現(xiàn)對RDS關系型數(shù)據(jù)庫的安全審計
-
審計ECS自建數(shù)據(jù)庫
在數(shù)據(jù)庫端部署數(shù)據(jù)庫安全審計Agent，獲取訪問數(shù)據(jù)庫流量、將流量數(shù)據(jù)上傳到審計系統(tǒng)、接收審計系統(tǒng)配置命令和上報數(shù)據(jù)庫狀態(tài)數(shù)據(jù)，實現(xiàn)對自建數(shù)據(jù)庫的安全審計
-
數(shù)據(jù)庫慢SQL檢測
數(shù)據(jù)庫安全審計檢測響應時間大于1秒的SQL語句。通過數(shù)據(jù)庫慢SQL檢測，可獲知執(zhí)行耗時長、影響行數(shù)、執(zhí)行該SQL語句的數(shù)據(jù)庫信息并根據(jù)實際需求對慢SQL進行優(yōu)化
-
數(shù)據(jù)庫臟表檢測
數(shù)據(jù)庫安全審計規(guī)則增加一條“數(shù)據(jù)庫臟表檢測”的高風險操作。用戶預設無用的庫、表或列作為“臟表”，無風險程序不會訪問用戶自建的“臟表”，用于檢測訪問“臟表”的可能的惡意程序