Data Security Center (DSC) ofrece una función de lista de permitidos del sistema que permite agregar direcciones IP y activos de datos confiables (incluidos tipos de activos, instancias, bases de datos, tablas, cuentas y tipos de operación). DSC no genera alertas de auditoría por actividades riesgosas provenientes de activos de datos o direcciones IP incluidos en la lista de permitidos, lo cual ayuda a reducir alertas innecesarias. Este tema describe cómo agregar, editar y eliminar reglas de la lista de permitidos del sistema.
Requisitos previos
Autorice los activos de datos para los que desea configurar reglas de lista de permitidos:
Para Relational Database Service (RDS), PolarDB, PolarDB-X, OceanBase, Tablestore, AnalyticDB y AnalyticDB, consulte Authorize generic databases.
Para Object Storage Service (OSS), consulte Authorize unstructured data (OSS and SLS).
Para MaxCompute, consulte Authorize MaxCompute.
Contexto
DSC detecta actividades riesgosas en los activos de datos autorizados y genera alertas de auditoría. Esta función está habilitada de forma predeterminada y utiliza reglas de alerta de auditoría integradas para la detección.
Los tipos de reglas de auditoría integradas incluyen reglas de operación anómala, reglas de filtración de datos, reglas de ataque por vulnerabilidad, reglas de inyección SQL y reglas de operación riesgosa. También puede agregar y habilitar reglas de auditoría personalizadas. Para obtener más información, consulte Configure and enable audit alert rules.
Si confirma que las actividades de la base de datos desde ciertas direcciones IP o cuentas son esperadas, puede agregar una regla de lista de permitidos. Cuando DSC detecta una actividad que coincide con una regla de lista de permitidos, no genera una alerta para la operación de la base de datos o de OSS.
Al gestionar una alerta de auditoría, puede elegir agregar el origen a una lista de permitidos. La cuenta o dirección IP permitida se agrega entonces a la lista de permitidos del sistema. El nombre de la regla de lista de permitidos correspondiente tiene el formato <Alert Time> <Audit Alert Rule Name>, por ejemplo, 2024-05-21 20:58:09 OSS rule test. Para obtener más información, consulte View and handle audit alerts.
Límites
Cada regla de lista de permitidos tiene los siguientes límites:
Solo puede seleccionar un tipo de activo.
Debe especificar como mínimo una cuenta, dirección IP o rango IP.
Puede especificar un máximo de 10 direcciones IP o rangos IP, y un máximo de 10 cuentas.
Si una regla incluye varias instancias y varias cuentas, el sistema aplica un OR lógico entre elementos del mismo tipo y un AND lógico entre elementos de diferentes tipos. Por ejemplo, una regla con la instancia A, la instancia B, la cuenta A y la cuenta B coincide con actividades de (instancia A OR instancia B) AND (cuenta A OR cuenta B).
Tiempo de efectividad
Después de agregar, editar o eliminar una regla de la lista de permitidos del sistema, la nueva configuración surte efecto en un minuto.
Agregar una regla de lista de permitidos
Para evitar que DSC genere alertas para activos de datos, direcciones IP o rangos IP confiables, agréguelos a la lista de permitidos del sistema.
Inicie sesión en la consola de Data Security Center.
En el panel de navegación izquierdo, seleccione .
En la página Whitelist, haga clic en Add Entry.
-
En el cuadro de diálogo Add Entry, configure los parámetros y haga clic en OK.
Un mensaje en la parte superior del cuadro de diálogo indica que los elementos permitidos ya no activarán alertas, pero sus registros aún se pueden consultar en Log Analysis. El formulario también incluye el campo SQL template. Puede seleccionar una base de datos y hacer clic en + Create Template para crear una nueva plantilla.
Parámetro
Descripción
Rule name
Introduzca un nombre personalizado para la regla de lista de permitidos. Utilice un nombre fácil de identificar. El nombre puede tener hasta 100 caracteres.
IP
Introduzca las direcciones IP o rangos IP que desea agregar a la lista de permitidos.
Puede introducir un máximo de 10 direcciones IP o rangos IP. Puede separar varias entradas con una coma o un salto de línea.
Data asset
Seleccione un tipo de activo y luego seleccione los activos correspondientes, como una instancia RDS, una base de datos, una tabla y una cuenta.
Puede seleccionar varias instancias de activos y cuentas. Haga clic en la lista desplegable Account y en Add custom account al final de la lista para introducir una o más cuentas personalizadas.
Operation type
De forma predeterminada, se seleccionan todos los tipos de operación. Puede seleccionar uno o varios tipos de operación para el activo de datos según sus requisitos empresariales.
-
Después de agregar la regla, puede encontrarla en la lista buscando por su tipo de activo o nombre de regla.
La lista muestra campos como el nombre de la regla, plantilla SQL, cuenta, IP y activo de datos. Para cada regla, puede hacer clic en Details, Edit o Delete.
Editar o eliminar una regla de lista de permitidos
Para reactivar la detección de alertas de auditoría para una dirección IP o cuenta específica, puede editar o eliminar la regla de lista de permitidos correspondiente.
No puede cambiar el tipo de activo cuando edita una regla de lista de permitidos existente.
Inicie sesión en la consola de Data Security Center.
En el panel de navegación izquierdo, seleccione .
Busque la regla de lista de permitidos deseada y haga clic en Edit o Delete en la columna Actions.
Referencia de API
Puede utilizar el SDK de Alibaba Cloud para llamar a las siguientes operaciones de API y consultar información sobre los activos de datos autorizados para DSC. Para conocer los lenguajes compatibles, así como las instrucciones de instalación e integración, consulte SDK de Data Security Center y Alibaba Cloud SDK.
Para consultar la lista de activos autorizados, consulte DescribeParentInstance.
Para consultar la lista de activos de datos, como instancias, bases de datos y buckets autorizados para escaneo, consulte DescribeDataLimits.
Para consultar la lista de instancias, bases de datos o buckets de un producto específico autorizados para escaneo, consulte DescribeDataLimitSet.