检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
数据库版本 5.0 数据库IP地址 192.168.1.31,192.168.0.159 端口 3306 操作系统 LINUX64 数据库安全审计工作原理 数据库安全审计采用旁路部署模式，通过在访问数据库的应用系统服务器上部署数据库审计Agent，获取访问日志数据用于日志审计，实现对RDS关系型数据库的审计。
场景三：业务测试典型配置举例 数据库加密与访问控制支持通过业务分析功能对数据库资产进行前期分析，排除加密后可能影响的业务错误，业务测试流程如图1所示。 图1 业务测试流程 组网说明 数据库加密与访问控制采用反向代理方式，典型组网如下图2所示。 图2 典型组网 前提条件 设备和应用系统路由可达。
审计人员及时发现各种异常行为和违规操作，并为快速定位分析、整体信息管理提供决策依据。 数据库服务器分析报表 数据库专项报表 分别为数据库活动用户统计、访问数据库来源IP数量统计、数据库登录及请求统计分析和使用数据库操作时间判断数据库服务器性能。 客户端IP分析报表 客户端专项报表 统计源IP中客户端应用程序、数据库用户数量和SQL语句数量。
单击“添加”，配置业务字典信息，单击“确定”。 图1 IP类型业务字典 表1 IP类型业务字典 参数 说明 IP地址 设置IP地址。 IP类型 在下拉栏中选择IP地址类型，包括服务器端IP、客户端IP和应用端IP。 业务名称 IP地址对应的业务名称。 状态 开启和关闭此业务字典。 开启状态：添加业务字典后直接为开启状态。
Linux version with install document!”如何解决？ 由于在添加Agent时，“安装节点IP”所填写的IP地址为公网IP地址，因此，在下载Agent后进行安装时会报“unsupport this Linux version, please check your
TTPS，同一个服务的Endpoint在同一个区域也相同，所以简洁起见将这两部分省略。 请求方法 HTTP请求方法（也称为操作或动词），它告诉服务你正在请求什么类型的操作。 GET：请求服务器返回指定资源。 PUT：请求服务器更新指定资源。 POST：请求服务器新增资源或执行特殊操作。
显示产品的版本。 引擎版本 显示引擎版本。 系统时间 显示系统时间。 开机时间 显示服务器开机时间。 公司信息 公司名称 显示公司的名称。 公司电话 显示公司的电话。 公司网站 显示公司的网址。 公司地址 显示公司的地址。 授权信息 机器型号 显示机器的型号。 资产数量 显示可添加资产的总数量。
表1 数据库信息参数说明 参数名称 说明 数据库信息 数据库的名称、类型以及版本信息。 选择字符集 数据库的编码字符集。 IP地址/端口 数据库的IP地址和端口。 实例名 数据库的实例名称。 操作系统 数据库运行的操作系统。 审计状态 数据库的审计状态，包括： 已开启 已关闭 Agent
如果数据库是读写分离部署，需要勾选此选项，并设置从数据库节点信息。 数据源地址 设置数据库的IP地址。 数据源端口 设置数据库的连接端口。 代理地址 从下拉框中选择代理地址，即数据库访问与控制的IP地址。 代理端口 设置代理端口。运维人员通过代理IP + 代理端口访问数据库。 取值范围：1025-65535。
勾选需要应用的策略，单击。 配置具体策略选项。 图1 启用策略 在策略默认动作中选择通过或者阻断。 通过（默认）：如果访问操作命中开启的策略，默认通过；如果策略定义里的响应动作为阻断，则阻断。 阻断：如果访问操作命中开启的策略，则直接阻断；如果策略类型为白名单，则通过。白名单设置方法请参见自定义策略。 单击右上角的“策略应用”，使配置生效。
列名中只要包含关键词或者与正则表达式匹配，则表示命中。 数据类型 选择对应的敏感数据类型。 内置类型包括数值、字符串、地址组、身份证号、电子邮箱、身份证号、手机号、日期等。 数据类型说明 描述您的数据类型说明信息。 匹配数据内容 图2 匹配数据内容 表2 匹配数据内容 参数 说明
全量审计 支持对华为云上的RDS、ECS/BMS自建的数据库进行审计。 快速识别 实现99%+的应用关联审计、完整的SQL解析、精确的协议分析。 高效分析 每秒万次入库、海量存储、亿级数据秒级响应。 多种合规 满足等保三级数据库审计需求。 满足网安法，SOX等国内外法案。 三权分立
安全组用来实现安全组内和组间数据库安全服务的访问控制，加强数据库安全服务的安全保护。 - 子网 子网是虚拟私有云内的IP地址块，虚拟私有云中的所有云资源都必须部署在子网内。 说明： 子网具有物理地域属性：通用可用区不能使用边缘可用区的子网，边缘可用区不能使用通用可用区的子网 - 分配Ipv4地址 选择Ipv4地址。
如下： ECS/BMS自建数据库的常见部署场景如图1和图2所示。 图1 一个应用端连接多个ECS/BMS自建数据库 图2 多个应用端连接同一个ECS/BMS自建数据库 RDS关系型数据库的常见部署场景如图3和图4所示。 图3 一个应用端连接多个RDS 图4 多个应用端连接同一个RDS
常用最佳实践 实践 描述 审计数据库 审计ECS数据库 数据库安全审计采用旁路部署模式，通过在数据库或应用系统服务器上部署数据库安全审计Agent，获取访问数据库流量、将流量数据上传到审计系统、接收审计系统配置命令和上报数据库状态监控数据，实现对ECS/BMS自建数据库的安全审计。 审计
数据库加密与访问控制、数据库运维服务功能，数据库审计通过实时记录用户访问数据库行为，形成细粒度的审计报告，对风险行为和攻击行为进行实时告警。数据库加密与访问控制将系统作为代理加密网关，部署在数据库和客户端应用程序之间，任何访问都需要经过该网关，从而实现数据加密和访问控制功能。数据
注意事项 数据库端 ECS/BMS自建数据库 可以审计所有访问该数据库的应用端的所有访问记录。 添加Agent时，“安装节点类型”选择“数据库端”。 应用端 无法登录到数据库节点的部署环境（例如，RDS关系型数据库） 可以审计该应用端与其连接的所有数据库的访问记录。 添加Agent时，“安装节点类型”选择“应用端”。
命中策略是否记录日志。 锁定访问 响应动作为阻断时，可选择是否根据IP或用户锁定访问。 资产信息（源） 资产客户端IP 数据库客户端的IP。 主机名 数据库客户端的主机名。 操作系统用户 数据库客户端的操作系统用户名。 数据库用户 数据库客户端的访问数据库资产使用的用户名。 数据库用户组 数据库客户端的访问数据库资产使用的用户组。
可选参数。输入不需要对数据库操作行为进行审计的IP地址。 说明： 例外IP规则优先级高于源IP规则，当例外IP和源IP中填写的IP地址有重叠时，将不对重叠IP的数据库操作行为进行审计。 - 源IP 可选参数。输入访问待审计数据库的IP地址或IP地址段。 IP必须为内网IP地址，支持IPv4和IPv6格式。
以下版本： 11g 12c 19c 11g 实例名 您可以指定需要审计的数据库的实例名称。 说明： 如果实例名为空，数据库安全审计将审计数据库中所有的实例。 如果填写实例名，数据库安全审计将审计填写的实例，最多可填写5个实例名，且实例名以“;”分隔。 - 选择字符集 支持的数据库
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
