Analisis perilaku tidak normal aset data dengan melihat log audit - Data Security Center

Log audit mencatat informasi rinci mengenai aktivitas database. Dengan melihat log audit, Anda dapat melacak aktivitas berpotensi berbahaya atau akses tidak sah ke database, menyelidiki penyebab insiden keamanan, serta memenuhi persyaratan kepatuhan. Topik ini menjelaskan cara melihat log audit.

Prasyarat

Fitur audit log telah diaktifkan untuk aset data yang ingin diaudit. Untuk informasi selengkapnya, lihat Konfigurasi dan aktifkan mode audit.

Rincian log

Lokasi penyimpanan log

Setelah Anda mengaktifkan mode audit data, Data Security Center (DSC) mengumpulkan dan menyimpan log dalam Logstore Layanan Log Sederhana (SLS):

Proyek
Formatnya adalah sddp-${uid}-${regionId}. Dalam format ini, ${uid} adalah ID Akun Alibaba Cloud Anda dan ${regionId} adalah ID wilayah tempat database berada.

Logstore

Kategori	Jenis database	Logstore
Database relasional	RDS	rds_log
	PolarDB	dsc_polardb_log
	PolarDB-X	dsc_drds_log
	OceanBase	dsc_oceanbase_log
Database non-relasional	Redis	dsc_redis_log
Database non-relasional	MongoDB	dsc_mongodb_log
Database tak terstruktur	OSS	dsc_oss_log
Big data	TableStore	dsc_ots_log
	MaxCompute	dsc_odps_tunnel_log
	AnalyticDB For MySQL	dsc_ads_log
	AnalyticDB For PostgreSQL	dsc_gpdb_log
Database yang dikelola sendiri	MySQL	dsc_self_built_db_log
	SQL Server
	PostgreSQL
	Oracle

Deskripsi bidang umum

Bidang	Deskripsi
client_ip	Alamat IP klien.
clusterId	ID kluster.
collector_type	Jenis pengumpulan log.
db	Nama database.
db_type	Jenis mesin database.
effect_row	Jumlah baris yang terpengaruh.
execute_time	Waktu eksekusi.
fail	Hasil eksekusi.
hash	Nilai hash.
instance_id	ID instans.
latency	Durasi eksekusi, dalam mikrodetik.
node_name	Nama node.
operate_type	Jenis operasi.
origin_time	Waktu eksekusi asli pernyataan SQL.
region_id	ID wilayah.
return_rows	Jumlah baris yang dikembalikan dalam set hasil.
sql	Teks SQL.
thread_id	ID thread.
uid	ID pengguna.
update_rows	Jumlah baris yang diperbarui.
user	Nama pengguna login.

Lihat log audit data (Versi Baru)

Masuk ke Konsol Data Security Center.
Di panel navigasi sebelah kiri, pilih Log Analysis.
Di pojok kanan atas halaman Log Analysis, klik Try New Version.
Jika tombol Back To Old Version muncul di pojok kanan atas, lewati langkah ini.
Di bilah navigasi jenis produk di sisi kiri halaman Log Analysis, klik jenis produk untuk melihat lokasi penyimpanan log-nya.
Di area log sebelah kanan, Anda dapat mencari dan melihat log operasi database atau bucket target menggunakan parameter seperti wilayah, instans, akun, dan jenis operasi.
Anda juga dapat memasukkan pernyataan kueri dan analisis untuk menganalisis log aset data target berdasarkan sintaks kueri dan sintaks analisis. Untuk informasi selengkapnya, lihat Panduan cepat kueri dan analisis.
Contoh kueri dan analisis
- Lihat detail akses ke sebuah tabel dalam database instans RDS. Detail tersebut mencakup pengguna akses, jenis operasi, dan hasil operasi.
```
* and instance_id: rm-bp1******5u5w and db: s****p and table_name : sys_d*****it
```
- Lihat distribusi alamat IP yang digunakan untuk mengakses tabel data dalam instans RDS.
```
* and instance_id: rm-bp1*****5u5w and db: s****p and table_name : sys_d*****it | select user,client_ip,count(*) group by user,client_ip
```
- Hitung statistik lalu lintas keluar melalui internet untuk semua file dalam direktori bucket tertentu.
```
* and __topic__ : oss_access_log and bucket: examplebucket and host : "examplebucket.oss-cn-hangzhou.aliyuncs.com" not sync_request : cdn | select
  SUM(content_length_out) AS total_traffic_out_byte
WHERE
  url_decode(object) LIKE 'exampledir/%'
```

Unduh log

DSC mengumpulkan dan menyimpan log di SLS. Konsol DSC mengintegrasikan fitur unduh log dari konsol SLS, yang memungkinkan Anda mengunduh log atau hasil kueri dan analisis ke komputer Anda. Prosedur pengunduhan di konsol DSC mirip dengan prosedur di konsol SLS. Untuk informasi selengkapnya, lihat Unduh log dari konsol SLS.

Lihat log audit data (Versi Lama)

Rincian mode log

Mode analisis: Lihat log audit suatu produk berdasarkan dimensi waktu. Log audit mencatat detail perilaku, seperti nama instans, akun, durasi eksekusi, dan alamat IP klien.
Fitur ini hanya didukung untuk RDS, PolarDB, PolarDB-X, MongoDB, OceanBase, database yang dikelola sendiri, AnalyticDB for MySQL, dan AnalyticDB for PostgreSQL.
Mode daftar: Lihat log audit suatu produk berdasarkan dimensi instans. Log audit mencatat nama instans, database, akun, alamat IP klien, jenis operasi, dan jumlah baris yang terpengaruh.
- Untuk TableStore, MaxCompute, dan Redis, Anda hanya dapat melihat log audit berdasarkan dimensi instans. Tab Mode Analisis dan Mode Daftar tidak tersedia di konsol. Secara default, daftar log untuk suatu instans ditampilkan.
- Untuk OSS, Anda hanya dapat melihat log audit berdasarkan dimensi bucket. Tab Mode Analisis dan Mode Daftar tidak tersedia di konsol. Secara default, daftar log untuk suatu bucket ditampilkan.

Lihat statistik operasi SQL database

Masuk ke Konsol Data Security Center.
Di panel navigasi sebelah kiri, pilih Log Analysis.
Di pojok kanan atas halaman Log Analysis, klik Back to Old Version.
Jika tombol Try New Version muncul, lewati langkah ini.
Di halaman Log Analysis, Anda dapat melihat grafik tren yang menunjukkan jumlah pernyataan SQL yang dieksekusi (Select, Insert, Delete, Update, dan Lainnya) dalam 12 jam, 1 hari, 7 hari, atau 30 hari terakhir.

Lihat log berdasarkan waktu

Masuk ke Konsol Data Security Center.
Di panel navigasi sebelah kiri, pilih Log Analysis.
Di pojok kanan atas halaman Log Analysis, klik Back to Old Version.
Jika tombol Try New Version ditampilkan, lewati langkah ini.
Di bilah navigasi sebelah kiri halaman Log Analysis, klik jenis produk.
Di tab Analysis Mode, Anda dapat melihat catatan log produk cloud yang sesuai.
Setelah memilih periode waktu, DSC menampilkan aktivitas database dalam urutan kronologis terbalik. Anda dapat mencari dan melihat log audit yang memenuhi kondisi tertentu menggunakan parameter yang ditampilkan di konsol.
Klik Details di kolom Tindakan untuk catatan log guna melihat rinciannya, termasuk informasi klien, informasi server, dan informasi perilaku.

Lihat log berdasarkan instans

Masuk ke Konsol Data Security Center.
Di panel navigasi sebelah kiri, pilih Log Analysis.
Di pojok kanan atas halaman Log Analysis, klik Back to Old Version.
Jika tombol Try New Version muncul, lewati langkah ini.
Di bilah navigasi sebelah kiri halaman Log Analysis, klik nama produk.
Klik tab List Mode di atas daftar log.
Untuk Redis, OSS, TableStore, dan MaxCompute, Anda hanya dapat melihat log untuk instans individual. Secara default, tombol List Mode tidak ditampilkan.
Dalam mode daftar, Anda dapat melihat catatan log.
Anda dapat mencari dan melihat log audit yang memenuhi kondisi tertentu menggunakan parameter yang ditampilkan di konsol.
Klik Details di kolom Tindakan untuk catatan log guna melihat rincian mengenai klien, server, dan perilaku.

Ekspor log

Masuk ke Konsol Data Security Center.
Di panel navigasi sebelah kiri, pilih Log Analysis.
Di pojok kanan atas halaman Log Analysis, klik Back to Old Version.
Jika tombol Try New Version ditampilkan, Anda dapat melewati langkah ini.
Di bilah navigasi sebelah kiri halaman Log Analysis, klik nama produk.
Pilih periode waktu, tentukan informasi lainnya, lalu klik Search.
Klik Export.
Semua catatan log yang ditampilkan di halaman saat ini akan diekspor.

Referensi

Log audit yang dapat Anda kueri secara daring disimpan di ruang penyimpanan yang disediakan oleh DSC. Anda dapat melihat penggunaan penyimpanan saat ini dan mengelola aturan penyimpanan untuk log daring dan arsip. Untuk informasi selengkapnya, lihat Kelola penyimpanan log.
Secara default, DSC menyediakan aturan audit bawaan untuk aset data. Aturan ini mencakup aturan audit database, aturan audit OSS, dan aturan audit MaxCompute. Anda juga dapat membuat aturan audit kustom. Setelah mengaktifkan aturan peringatan audit, Anda dapat menggunakan log audit untuk mendeteksi risiko pada aset data, seperti operasi tidak normal, kebocoran data, kerentanan, dan serangan injeksi SQL. Untuk informasi selengkapnya, lihat Konfigurasi dan aktifkan aturan peringatan audit.
Setelah mengaktifkan aturan peringatan audit, DSC menghasilkan peringatan audit di DSC untuk setiap perilaku yang memenuhi kondisi aturan. Anda dapat menganalisis dan menangani risiko terkait berdasarkan informasi peringatan dan log audit. Untuk informasi selengkapnya, lihat Lihat dan tangani peringatan audit.