安全云脑 SECMASTER-内置检查项:华为云安全配置基线—日志与监控

时间：2024-10-24 10:47:35

安全云脑 SECMASTER 基线检查

华为云安全配置基线—日志与监控

**表35** 日志与监控风险项检查项
检查子项目	检查项目
启用RDS数据库审计功能	当用户开通SQL审计功能，系统会将所有的SQL操作记录下来存入日志文件，方便用户下载并查询。SQL审计功能默认关闭，启用该功能可能会有一定的性能影响。
启用DBSS数据库安全审计告警通知功能	通过设置告警通知，当数据库发生设置的告警事件时，用户可以收到DBSS发送的告警通知，及时了解数据库的安全风险。否则，无论是否有危险，用户都只能登录管理控制台自行查看，无法收到告警信息。
启用DBSS数据库安全审计功能	数据库应开通数据库审计功能，数据库安全服务（DBSS）的数据库安全审计提供旁路模式审计功能，通过实时记录用户访问数据库行为，形成细粒度的审计报告，对风险行为和攻击行为进行实时告警，对数据库的内部违规和不正当操作进行定位追责。
确保存储日志的OBS桶为非公开可读	确保存储审计日志的桶，非公开可读，防止审计日志被非法访问。
启用 CTS	用户开通云审计服务（CTS）后，系统会自动创建一个追踪器，该追踪器会自动识别并关联当前租户所使用的所有云服务，并将当前租户的所有操作记录在该追踪器中。CTS服务具备对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。
启用CTS的关键操作通知功能	关键操作包含高危操作（重启虚拟机、变更安全配置等）、成本敏感操作（创建、删除高价资源等）、业务敏感操作（网络配置变更等）。下面列出部分云服务的关键操作项： IAM ：createUser、deleteUser、createAgency、DeleteAgency 等 E CS ：rebootServer、updateSecurityGroup、removeSecurityGroup 等 VPC：modifySecurityGroup 等 CTS：updateTracker、deleteTracker 等 OBS：setBucketAcl、setBucketPolicy 等启用CTS的关键操作通知功能后，CTS会对这些关键操作通过消息通知服务（ SMN ）实时向相关订阅者发送通知，该功能由CTS触发，SMN完成通知发送。 CTS中需要开启关键操作通知，配置操作类型建议设置为自定义（包括删除、创建、登录）。在录入某些关键操作时，CTS可以通过SMN实时向订阅者发送通知。该功能由CTS触发，SMN发送通知。如Root Login，即企业管理员有登录事件时发送通知；或CTS更改意味着当CTS跟踪器发生更改时发送通知。
启用OBS桶日志功能	出于分析或审计等目的，用户可以开启 OBS 桶日志记录功能。通过访问日志记录，桶的拥有者可以深入分析访问该桶的用户请求性质、类型或趋势。当用户开启一个桶的日志记录功能后，OBS会自动对这个桶的访问请求记录日志，并生成日志文件写入用户指定的桶中。
开启日志文件加密存储	将审计日志转储到OBS，可以配置加密存储，防止文件被非法访问。
启用WAF全量日志功能	启用WAF全量日志功能后，可以将攻击日志、访问日志记录到LTS中。通过LTS记录的WAF日志数据，快速高效地进行实时决策分析、设备运维管理以及业务趋势分析。开启全量日志功能是将WAF日志记录到LTS，不影响WAF性能。
启用LTS日志转储	主机和云服务的日志数据上报至云日志服务（LTS）后，在默认存储事件过期后会被自动删除。因此，对于需要长期存储的日志数据，应在LTS中配置日志转储。LTS支持将日志转储至以下云服务： OBS：提供日志存储功能，长期保存日志。数据接入服务（DIS）：提供日志长期存储能力和丰富的大数据分析能力。
启用VPC流量日志功能	VPC流日志功能可以记录虚拟私有云中的流量信息，帮助用户优化安全组和防火墙控制规则、监控网络流量、进行网络攻击分析等。当用户想要了解虚拟私有云网卡的流量详情时，用户可以通过LTS实时查看虚拟私有云的网卡日志数据。
启用LTS主机全量日志功能	当用户选择了主机接入方式时，LTS可以将主机待采集日志的路径配置到日志流中，ICAgent将按照日志采集规则采集日志，并将多条日志进行打包，以日志流为单位发往LTS，用户可以在LTS控制台实时查看日志。
确保LTS存储时长满足需求	主机和云服务的日志数据上报至云日志服务（LTS）后，在默认存储事件过期后会被自动删除。因此，需要用户根据业务需求配置存储时长。
启用ELB访问日志记录功能	ELB在外部流量分发时，会记录HTTP(S)详细的访问日志记录，如URI请求、客户端 IP和端口、状态码。ELB日志可用于审计，也可用于通过时间和日志中的关键词信息搜索日志，同时，也可以通过各种SQL聚合函数来分析某段时间内的外部请求统计数据，以掌握真实用户的网站使用频率等。
启用FuctionGraph函数日志功能	出于分析或审计等目的，用户可以开启FunctionGraph日志功能。通过访问日志记录，函数拥的拥有者可以分析函数执行过程，快速定位问题。
启用CFW日志管理能力	将攻击事件日志、访问控制日志、流量日志记录到云日志服务（Log Tank Service，简称LTS）中，通过LTS记录的CFW日志数据，快速高效地进行实时决策分析、设备运维管理以及业务趋势分析。
开启日志文件完整性校验	将审计日志转储到OBS，可以同步开启文件校验，保障审计文件的完整性，防止文件被篡改。