Data Security Center:View and handle audit alerts

Descripción general de alertas

• Consulte la Audit Risk Score, que se calcula con base en los datos acumulados de alertas de las últimas 24 horas. La página también enumera las Deduction rules y las Actual deductions. Si no se detectan nuevas alertas durante este periodo de 24 horas, su Audit Risk Score disminuye.

  La tabla Actual deductions se clasifica por nivel de riesgo: High (3 puntos deducidos por elemento), Medium (2 puntos deducidos por elemento) y Low (1 punto deducido por elemento), con un umbral de 10 ocurrencias para cada uno. La lista de alertas en la parte inferior de la página muestra la hora agregada de la alerta, el tipo de datos, el nombre de la regla, el nivel de riesgo, el recuento de alertas, la cantidad de activos afectados, el recuento de cuentas, el recuento de IP de cliente y la descripción de la regla. Puede filtrar las alertas por Data type, Risk level o Rule classification. Para cada alerta, puede hacer clic en Details para consultar más información o hacer clic en Add to Whitelist.

• Para obtener alertas en tiempo real sobre sus activos de datos, haga clic en Details en la columna Actions para consultar sugerencias de corrección, la lista de activos afectados y la lista de orígenes de acceso.

  En la página de detalles de la regla de alerta, la sección Basic information muestra el nombre de la regla, el nivel de riesgo, la clasificación de la regla, el tipo de activo y el estado habilitado. La sección Detailed information proporciona sugerencias de corrección, como desplegar un WAF, usar consultas parametrizadas, restringir permisos de base de datos e implementar validación de entradas. La lista Alert assets incluye columnas para nombre/ID del activo, tipo de base de datos, recuento de alertas y tendencia de alertas, con una opción para Add to Whitelist en la columna Actions. La tabla Access source muestra la IP del cliente, la cuenta de base de datos y el recuento de alertas.

Registros de alertas

1. Encima de la lista de alertas, seleccione un tipo de datos, como RDS, en la lista desplegable Current data type. De forma predeterminada, la lista muestra las alertas de auditoría del último día para el activo seleccionado.

   Los tipos de datos compatibles incluyen RDS, PolarDB, PolarDB-X, Redis, MongoDB, OceanBase y self-managed database. El menú desplegable también muestra la cantidad de instancias para cada tipo.

2. Puede filtrar las alertas según criterios como intervalo de tiempo, nombre de instancia, nivel de riesgo, tipo de operación, clasificación de regla, nombre de regla, cuenta, IP de cliente y comando SQL.

   Los intervalos de tiempo compatibles incluyen Last 1 hour, Last 12 hours, Last 1 day, Last 7 days, Last 30 days y Last 90 days. También puede filtrar por IP type. La lista de alertas muestra columnas como Sensitive feature, Alert time, Rule type, Rule name, Risk level (High, Medium, Low), Account, Client IP, Operation type y Status. Para cada registro, puede hacer clic en Details o en Add to Whitelist. También puede Export los datos de las alertas.

3. Haga clic en Details en la columna Actions para consultar información como la hora de la alerta, detalles del cliente y del servidor, información de comportamiento y resultados de ejecución que le ayuden a localizar el riesgo.

   Puede hacer clic en Capture Snapshot para guardar una captura de pantalla de los detalles de la alerta en la ubicación de descarga predeterminada de su navegador.

   La sección de alerta de auditoría de la ventana emergente de detalles también incluye los campos Risk level y Rule name. Asimismo, puede hacer clic en Add to Whitelist en la esquina superior derecha para agregar la alerta a una lista de permitidos.

Agregar a la lista de permitidos

Siga estos pasos para agregar un evento de alerta a una lista de permitidos. Las cuentas, direcciones IP y otra información que agregue se mostrarán en la lista de permitidos del sistema. DSC no genera alertas para operaciones o eventos que coinciden con una regla de lista de permitidos. Para más información, consulte Manage whitelists.

1. En la lista de alertas de la pestaña Alert Overview o Alert Logs, busque el evento de alerta objetivo y haga clic en Details en la columna Actions.

2. En la página de detalles del evento de alerta, en la lista Alert Assets o en la lista de IP de cliente bajo Source, busque el activo o la dirección IP que desea agregar a la lista de permitidos y haga clic en Add to Whitelist en la columna Actions.

3. El cuadro de diálogo Add to Whitelist muestra la instancia de activo o la dirección IP correspondiente y su información de cuenta de base de datos. Puede agregar más información para la regla de lista de permitidos y luego hacer clic en OK.

   Un mensaje en la parte superior del cuadro de diálogo indica que agregar un elemento a la lista de permitidos detiene la generación de alarmas, pero los registros aún se pueden consultar en Log Analysis. Los campos del formulario incluyen Whitelist Name (obligatorio), Rule Name, SQL Template (para seleccionar un tipo de base de datos y crear una plantilla), Instance, Database (se aplica a todas las bases de datos si se deja vacío), Table Name (se aplica a todas las tablas si se deja vacío), Account e IP.