正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
审计RDS关系型数据库(安装Agent) 方案概述 本文档介绍了如何对关系型数据库(应用部署于ECS)进行安全审计。对于部分关系型数据库,DBSS服务支持免安装Agent模式,无需安装Agent,即可开启数据库安全审计。 如果您需要安全审计的数据库类型如表1所示,请参见审计RDS关系型数据库(免安装Agent)。
维管理实例web控制台。 使用本机上的DBeaver通过代理服务器访问数据资产中test表,如果审批通过此时可正常访问。 操作详情请参见通过代理连接数据库。 图9 客户端访问结果 使用本机上的DBeaver通过代理服务器访问数据资产中test表,如果审批被驳回或同意后被撤销,此时会被阻断。
模式,即先付费再使用,按照订单的购买周期进行结算,因此在购买之前,您必须确保账户余额充足。 计费项 数据库安全服务的计费项由数据库安全审计规格组成。了解计费项的计费因子、计费公式等信息,请参考计费项。 如需了解实际场景下的计费样例以及各计费项在不同计费模式下的费用计算过程,请参见计费样例。
数据源管理”。 单击右上角的“添加数据源”。 在“添加数据源”对话框中,设置资产信息。 图3 添加数据源 主机信息和日志信息为可选操作,数据库服务器需要开启SSH服务。 配置完成后,单击“测试数据库连接”,检查是否能够连上数据库。 单击“测试账号权限”,检查数据库账号权限是否满足加密要求。
流程指引 本节内容指引您快速启用数据库安全审计服务DBSS。 背景信息 数据库安全审计支持对华为云上的ECS/BMS自建数据库和RDS关系型数据库进行审计。 数据库安全审计不支持跨区域(Region)使用。待审计的数据库必须和购买申请的数据库安全审计实例在同一区域。 数据库开启S
查看告警信息 表1 告警信息参数说明 参数名称 说明 发生时间 告警发生的时间。 告警类型 告警的类型,包括: 审计流量超限 CPU异常 内存异常 磁盘异常 审计容量不足 日志备份OBS失败 Agent异常 告警风险等级 告警的风险等级,包括: 高风险 中风险 低风险 恢复时间 恢复告警的时间。
方式二:通过方式一进入的数据库加密与访问控制页面获取“弹性IP”,在浏览器地址栏中输入访问地址,按回车键,进入登录界面。 访问地址:https://服务器弹性IP地址:端口,例如https://100.xx.xx.54:9595。 (可选)在安全告警页面,单击“高级”。 图1 安全告警 (可选)在详情说明中,单击继续前往xx
展开“基本信息”页签,“镜像版本”选择“centos7.5.1804”,其他保持默认即可。 若所在区域暂不支持选择“centos7.5.1804”版本,请参照更换镜像版本变更为目标镜像版本。 展开“生命周期”页签,设置容器启动和运行时需要的命令。输入以下参数,其他保持默认。 启动命令:容器启动时执行的命令。 /bin/bash
在左侧导航栏,选择“资产管理 > 数据源管理”。 单击右上角的“添加数据源”。 在“添加数据源”对话框中,设置资产信息。 主机信息和日志信息为可选操作,数据库服务器需要开启SSH服务。 图2 添加数据源 配置完成后,单击“测试数据库连接”,检查是否能够连上数据库。 单击“测试账号权限”,检查数据库账号权限是否满足加密要求。
在账号设置对话框中,开启授权状态、密码代填并选择账号。 验证配置效果 数据库操作员未登录数据库运维安全管理系统,使用本机上的DBeaver通过代理服务器访问数据资产,此时被阻断。操作详情请参见通过代理连接数据库。 图3 客户端访问结果 使用数据库操作员账号(例如datadmin)登录数据库运维管理系统。
方式二:通过方式一进入的数据库运维页面获取“弹性IP”,在浏览器地址栏中输入访问地址,按回车键,进入登录界面。 访问地址:https://服务器弹性IP地址:端口,例如https://100.xx.xx.54:18443。 (可选)在安全告警页面,单击“高级”。 图1 安全告警 (可选)在详情说明区域单击“继续前往xx
管理服务、商品搜索服务等,各服务部署在不同的服务节点上,有不同IP地址,如图1所示。 图1 服务器部署拓扑图 绿色箭头为正常访问路径,如果订单管理服务或商品搜索服务两个节点被攻陷,攻击者会从这两个节点去访问数据库的用户信息表,意图窃取用户信息,就属于数据库的异常访问。 在DBSS
定”。 图1 IP类型业务字典 表1 IP类型业务字典 参数 说明 IP地址 设置IP地址。 IP类型 在下拉栏中选择IP地址类型,包括服务器端IP、客户端IP和应用端IP。 业务名称 IP地址对应的业务名称。 状态 开启和关闭此业务字典。 开启状态:添加业务字典后直接为开启状态。
待审计的RDS如果连接了多台ECS,如何部署Agent? 当待审计的RDS连接了多台ECS,即多个应用端(ECS)连接同一个RDS时,所有的应用端都需要部署Agent,如图1所示。 图1 多个应用端连接同一个RDS 在完成添加数据库操作后,请您参照以下步骤部署Agent: 添加Agent。
在左侧导航栏,选择“资产管理 > 数据源管理”。 单击右上角的“添加数据源”。 在“添加数据源”对话框中,设置资产信息。 主机信息和日志信息为可选操作,数据库服务器需要开启SSH服务。 图3 添加数据源 配置完成后,单击“测试数据库连接”,检查是否能够连上数据库。 单击“测试账号权限”,检查数据库账号权限是否满足加密要求。
审计RDS关系型数据库(免安装Agent) 方案概述 本文档介绍了如何对关系型数据库(应用部署于ECS)进行安全审计。对于部分关系型数据库,DBSS服务支持免安装Agent模式,无需安装Agent,即可开启数据库安全审计。 如果您需要安全审计的数据库类型如表1所示,请参见本节内容。
如果是远程备份日志,需要先单击下载将备份文件下载到设备。 在确认提示框中,单击“确定”。 注意: 还原后系统数据是备份文件的当时状态,新变更的信息会丢失,请谨慎操作!还原后需要重启服务。 父主题: 备份还原日志
代理地址。 双机高可用场景下升级时,需先进入“平台管理 > 高可用管理”页面关闭数据同步按钮,然后停止备机B的高可用(若为双主模式则关闭一台主机的高可用),先对设备B进行升级,升级成功后,开启设备B的高可用,停止设备A的高可用,对设备A进行升级,升级完成后,开启设备A的高可用,再开启数据同步,此步骤可保障双机
部署架构 数据库安全审计采用数据库旁路部署方式,支持对华为云上的RDS、ECS/BMS自建的数据库进行审计。 图1 数据库安全审计部署架构 图2 组网方式 图3 实现流程 数据库安全审计的Agent部署说明如下: ECS/BMS自建数据库:在数据库端部署Agent RDS关系型数据库:在应用端或代理端部署Agent