检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
时间组 时间段组。 应用用户 三层防护,应用用户。 目标信息 目标表 访问资产的表。 数据库 数据库信息。例如,MySQL数据库中的test模式,可以表示为mySQL.test。 影响行数 访问资产影响行数。 关联表个数 查询表个数。 字段 查询资产表的字段。 表组 查询的表组。
免Agent安装流程 表2 快速使用数据库安全审计操作步骤 步骤 配置操作 说明 1 添加数据库 购买数据库安全服务后,您需要将待审计的数据库添加到数据库安全审计实例。 2 开启数据库安全审计 您需要开启数据库安全审计功能,将添加的数据库连接到数据库安全审计实例,才能使用数据库安全审计功能。 3 查看审计结果
在“选择实例”下拉列表框中,选择需要查看审计范围的实例。 查看审计范围信息,相关参数说明如表1所示。 可以在列表上方的搜索框中选择属性筛选,或输入关键字搜索,搜索指定的审计范围。 图1 查看审计范围信息 表1 审计范围信息参数说明 参数名称 说明 名称 审计范围的名称。 例外IP
”(例如default),如图2所示。 图2 添加安全组规则 单击“前往处理”,进入“安全组”列表界面。 在列表上方的搜索框中选择属性筛选,或输入关键字搜索,搜索指定的安全组。单击安全组名称。 图3 安全组 选择“入方向规则”,检查安全组的入方向规则。 请检查该安全组的入方向规则
引长度,单击“预览”查看添加索引的SQL语句。 图1 添加索引 单击“保存”。 编辑非加密列 一般情况下,对数据资产中的数据库表进行加密后,用户不能直接在数据库中进行添加新列操作。如需添加新列,需要先对此加密表进行全量解密,然后才能添加新列。此场景需要停止现网业务,对用户业务影响比较大。
审计ECS自建数据库 数据库安全审计采用旁路部署模式,通过在数据库或应用系统服务器上部署数据库安全审计Agent,获取访问数据库流量、将流量数据上传到审计系统、接收审计系统配置命令和上报数据库状态监控数据,实现对ECS/BMS自建数据库的安全审计。 审计ECS/BMS自建数据库架构图如图1所示。
数据库/实例名 填写数据库名称或者实例名称。 数据库账号 填写数据库登录用户名。 数据库密码 填写数据库登录密码。 web认证 开启Web认证后,仅通过认证的数据库操作员可以通过Web安全客户端或已认证的数据库客户端访问数据库。 后续操作,请参见通过Web安全客户端访问资产。
系统会记录已创建的密钥ID、密钥类型等相关信息。 操作步骤 使用系统管理员sysadmin账号登录实例Web控制台。 在左侧导航栏,选择“密钥管理 > 密钥查看”。 搜索和查看密钥相关信息。 图1 查看密钥 父主题: 密钥管理
操作步骤 使用审计管理员audadmin账号登录实例Web控制台。 在左侧导航栏,选择“日志管理 > 操作日志”。 (可选)设置过滤条件,单击搜索,查询对应操作审计日志。 图1 设置过滤条件 在列表查看系统日志信息。 父主题: 审计管理员操作指导
云审计服务支持的DBSS操作列表 数据库安全服务通过云审计服务(Cloud Trace Service,CTS)为用户提供云服务资源的操作记录,记录内容包括用户从管理控制台或者开放API发起的云服务资源操作请求以及每次请求的结果,供用户查询、审计和回溯使用。 云审计服务支持的DBSS操作列表如表1所示。
生成报表后,您可以在报表查看页面下载查看报表。 操作步骤 使用系统管理员sysadmin账号登录数据库运维管理系统。 在左侧导航栏中,选择“报表分析 > 报表查看”。 (可选)在报表类型中选择目标报表类型,单击“查询”,搜索指定类型报表。 找到目标报表,单击“下载”。 解压下载的zip压缩包,查看报表信息。
查询RDS数据库列表 功能介绍 查询RDS数据库列表 调用方法 请参见如何调用API。 URI GET /v2/{project_id}/audit/databases/rds 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID 表2
secadmin:安全管理员,系统管理数据库运维安全管理系统,例如人员管理、系统配置等。需要审批架构的菜单权限。 组网需求 图1 反向代理组网 表1 组网说明 设备 说明 客户端 IP地址:172.16.197.57 数据库运维安全管理系统 IP地址:172.16.35.212 MySQL数据库 IP地址:172
实时加解密,保证客户的业务进行快速恢复。 建议提前部署好Bypass插件,以应对加密设备单点故障的情况。 使用约束 支持的数据库类型为MySQL。 逃生插件的安装仅支持jre8及以上、linux_x86环境。 插件状态 插件部署在客户的应用系统上。插件状态有三种: online:
可以审计该应用端与其连接的所有数据库的访问记录。 在应用端添加Agent。 当某个应用端连接多个RDS关系型数据库时,所有连接该应用端的RDS关系型数据库都需要添加Agent。当其中一个RDS关系型数据库选择“创建Agent”后,其余RDS关系型数据库添加Agent时,只能选择“选择
需要select权限的系统表名 数据库账号权限 MySQL mysql.user performance_schema.* select insert create update delete drop alter index RDS_MYSQL mysql.user performance_schema
自定义虚拟补丁规则名称。 攻击类型 选择攻击类型。可选SQL注入与缓冲区溢出。 状态 设置规则启用与否。 响应动作 设置响应动作。 关键字 填写SQL攻击的关键字。 特征 填写SQL攻击的特征。 详细 填写SQL攻击的详细介绍。 单击“虚拟补丁规则例外”页签查看例外规则,并进行设置。 虚拟补丁规则例外在“风险管控
客户端 IP地址:192.168.1.10 数据库运维安全管理系统 IP地址:192.168.12.59 MySQL数据库 IP地址:192.168.11.78 数据库版本:MySQL 5.7 添加数据资产 使用系统管理员sysadmin账号登录数据库运维管理系统。 在左侧导航栏,选择“资产管理
数据库安全审计可以应用于哪些场景? 数据库安全审计采用数据库旁路部署方式,在不影响用户业务的前提下,可以对华为云上的RDS、ECS/BMS自建的数据库进行灵活的审计。 基于数据库风险操作,监视数据库登录、操作类型(数据定义、数据操作和数据控制)和操作对象,有效对数据库进行审计。
客户端 IP地址:192.168.1.10 数据库运维安全管理系统 IP地址:192.168.12.59 MySQL数据库 IP地址:192.168.11.78 数据库版本:MySQL 5.7 添加数据资产 使用系统管理员sysadmin账号登录数据库运维管理系统。 在左侧导航栏,选择“资产管理