审计ecs自建数据库-凯发k8国际娱乐官网入口
数据库安全审计采用旁路部署模式,通过在数据库或应用系统服务器上部署数据库安全审计agent,获取访问数据库流量、将流量数据上传到审计系统、接收审计系统配置命令和上报数据库状态监控数据,实现对ecs/bms自建数据库的安全审计。
场景说明
假设您在华为云的弹性云服务器(elastic cloud server ,以下简称ecs)上自建了一个数据库,数据库的详细信息如表1所示,您需要对该数据库内部违规和不正当操作进行定位追责,满足等保测评数据库审计需求。本章节详细介绍该场景下,在数据库端安装agent,开启数据库安全审计功能和验证审计结果的操作。
数据库类型 |
mysql |
---|---|
数据库版本 |
5.7 |
数据库ip地址 |
192.168.1.5 |
端口 |
3306 |
操作系统 |
linux64 |
约束与限制
- 使用数据库安全审计需要关闭数据库的ssl。
- 待审计数据库与数据库安全审计需要在同一区域。
- 购买数据库安全审计配置“vpc”参数时,需与agent安装节点所在vpc相同。
数据库安全审计的agent安装节点,请参见:如何选择数据库安全审计的agent安装节点?。
步骤一:购买数据库安全审计
您需要根据您的业务需求购买数据库安全审计规格并配置数据库安全审计参数,详细操作请参见购买数据库安全审计。
为保证审计功能的正常使用,购买数据库安全审计配置“vpc”参数时,请与agent安装节点所在vpc相同。
数据库安全审计的agent安装节点,请参见:如何选择数据库安全审计的agent安装节点?。
步骤二:添加数据库并开启审计
购买数据库安全审计后,您需要先将目标数据库添加至数据库安全审计实例并开启该数据库的审计功能。
步骤三:添加agent
- 在数据库所在行的“agent”列,单击“添加agent”,如图3所示。
图3 添加agent
- 在弹出的对话框中,选择添加方式。
图4 在数据库端添加agent
- 单击“确定”,agent添加成功。
步骤四:添加安全组规则
- 如果该安全组已配置安装节点的入方向规则,请执行步骤五:安装agent。
- 如果该安全组未配置安装节点的入方向规则,请按照本节内容进行配置。
安全组规则也可以在成功安装agent后进行添加。
- 获取安装节点ip地址。
- 在数据库列表的上方,单击“添加安全组规则”。
- 在弹出的弹框中,记录数据库安全审计实例的“安全组名称”(例如default),如图5所示。
图5 添加安全组规则
- 单击“前往处理”,进入“安全组”界面。
- 在列表右上方的搜索框中输入安全组“default”后,单击或按“enter”,列表显示“default”安全组信息。
- 单击“default”,进入“基本信息”页面。
- 选择“入方向规则”页签,单击“添加规则”,如图6所示。
图6 添加规则
- 在“添加入方向规则”对话框中,为安装节点ip添加tcp协议(端口为8000)和udp协议(端口为7000-7100)规则,如图7所示。
图7 “添加入方向规则”对话框(ecs)
- 单击“确定”,完成添加入方向规则。
步骤五:安装agent
每个agent都有唯一的agentid,是agent连接数据库安全审计实例的重要密钥。若您将添加的agent删除,在重新添加agent后,请重新下载agent和安装agent。
- 登录控制台进入数据库安全服务。
- 在左侧导航树中,选择 ,进入数据库列表界面。
- 在“选择实例”下拉框中,选择需要下载agent的数据库所属实例。
- 单击该数据库左侧的展开agent的详细信息,在agent所在行的“操作”列,单击“下载agent”,如图8所示。
将agent安装包下载到本地。图8 下载agent
- 使用跨平台传输工具(例如winscp),将下载的agent安装包“xxx.tar”上传到待安装agent的节点(即图8中的“安装节点ip”)。
- 使用跨平台远程访问工具(例如putty)以root用户通过ssh方式,登录该安装节点。
- 执行以下命令,进入agent安装包“xxx.tar”所在目录。
- cd agent安装包所在目录
- 执行以下命令,解压缩“xxx.tar”安装包。
- tar -xvf xxx.tar
- 执行以下命令,进入“install.sh”脚本所在目录。
- cd install.sh脚本所在目录
- 执行以下命令,安装agent。
- sh install.sh
- 如果界面回显以下信息,说明安装成功。
1 2 3 4 5
start agent starting audit agent audit agent started start success install dbss audit agent done!
步骤六:验证agent与数据库安全审计实例之间的网络通信正常
待审计的数据库与数据库安全审计实例连接成功后,您需要验证agent与数据库安全审计实例之间的网络通信是否正常。
- 在安装agent的节点执行一条sql语句或对数据库进行操作(例如,“select 1;”)。
- 在左侧导航树中,选择“总览”,进入“总览”界面。
- 在“选择实例”下拉列表框中,选择需要查看数据库慢sql语句信息的实例。
- 选择“语句”页签。
- sql语句列表将显示登录数据库操作的记录,如dbss_06_0004.html#dbss_06_0004__fig1960916145112所示。
如果不能查询到sql语句,请您参照如何处理agent与数据库安全审计实例之间通信异常?进行排查。
步骤七:查看审计结果
验证成功后,您可参照本节内容在总览界面查看审计结果信息,同时也可根据需求在报表界面进行设置生成报表、下载或预览报表。
- 查看总览信息。
进入总览入口,如图9所示,查看总览信息。
在总览界面,展示了该实例的审计时长、sql语句总量、风险总量以及今日语句、今日风险、今日会话量
您可以选择“语句”或“会话”页签,分别查看sql语句信息和会话分布图。图9 进入总览入口
- 生成报表、下载或预览报表。
意见反馈
文档内容是否对您有帮助?
如您有其它疑问,您也可以通过华为云社区问答频道来与我们联系探讨