セキュリティ監査 (新バージョン) 機能では、デフォルトですべての組み込みデータベース監査ルールと異常検知モデルが有効になっています。不要なルールやモデルは無効にすることができます。また、この機能では、データベース、テーブル、フィールド、アクセスソース、インスタンスなどのディメンションに基づいてカスタム検出モデルを作成し、より柔軟なセキュリティポリシーを適用することもできます。
前提条件
作業を開始する前に、以下を確認してください。
新バージョンのセキュリティ監査機能が有効になっていること。詳細については、「セキュリティ監査 (新バージョン) を有効にする」をご参照ください。
データベース監査ルールの管理
DAS では、デフォルトですべての組み込みデータベース監査ルールが有効になっています。これらのうち、不要なルールは無効にすることができます。
DAS コンソールにログインします。
左側のナビゲーションウィンドウで、[セキュリティセンター] > [セキュリティ監査] をクリックします。
[セキュリティ監査] ページで、[アラートルール] > [データベース監査ルール] をクリックします。
不要なルールを無効にします。
カスタム監査ルールの管理
組み込みの監査ルールがセキュリティ要件を満たさない場合は、カスタム監査ルールを作成して、モニタリングする特定のデータベース動作と対応するアラート条件を定義できます。
操作手順
DAS コンソールにログインします。
左側のナビゲーションウィンドウで、[セキュリティセンター] > [セキュリティ監査] をクリックします。
[セキュリティ監査] ページで、[アラートルール] > [カスタム監査ルール] タブをクリックします。
タブで [ルールの追加] をクリックして、[ルールの追加] ダイアログボックスを開きます。
ダイアログボックスで、ビジネス要件に基づいて監査ルールを設定します。
注意事項
カスタムルールを設定する際は、条件の論理的な一貫性を確保してください。以下の例では、無効なルールの設定を避けるために、よくある条件の競合について説明します。
シナリオ 1：アセット範囲の競合
ガイドライン： [アセット] セクションでアセット条件を設定する場合、[インスタンス名]、[データベース名]、および [テーブル名] には明確な階層関係が必要です。
不正な例： アセット範囲で、[インスタンス名] を
Instance-Aに設定しましたが、[データベース名] はInstance-Aに属さないDB-Bに設定されています。理由：
DB-BはInstance-Aの一部ではないため、このルールはモニタリング範囲が無効であり、トリガーされることはありません。
シナリオ 2：動作と操作タイプの競合
ガイドライン： [動作] セクションで動作条件を設定する場合、[SQL コンテンツ] は対応する [操作タイプ] と一致する必要があります。
誤った例: [SQL コンテンツ] を
login failed!に、[操作タイプ] をSelectに設定します。理由：
login failed!メッセージはLogin操作によってのみ生成され、Select操作では生成されません。したがって、これらの条件は競合しており、ルールがトリガーされることはありません。
シナリオ 3：動作と実行結果の不一致
ガイドライン： 動作条件は、その起こりうる実行結果と一致する必要があります。
不正な例 1：
動作： [動作] セクションで、[SQL コンテンツ] を
login failed!と等しくなるように設定します。結果： [結果] セクションで、[影響を受ける行] を
10より大きくなるように設定します。理由： ログインの失敗はデータ操作を実行しないため、影響を受ける行数は常に 0 です。したがって、この条件が満たされることはありません。
不正な例 2：
動作： [動作] セクションで、[SQL コンテンツ] を
login failed!と等しくなるように設定します。結果： [結果] セクションで、[実行ステータス] を
Successと等しくなるように設定します。理由:
login failed!はログインの失敗を意味し、[成功] ステータスと直接矛盾します。
設定のヒント
演算子が[等しい]の場合、対象のオブジェクトを 1 つだけ選択できます。
演算子が [次に属する] の場合、複数のターゲットオブジェクトを入力できます。Enter キーを押してオブジェクトを区切ります。
異常検知モデルの管理
DAS では、デフォルトですべての組み込み異常検知モデルが有効になっています。不要なモデルは無効にすることができます。
DAS コンソールにログインします。
左側のナビゲーションウィンドウで、[セキュリティセンター] > [セキュリティ監査] をクリックします。
[セキュリティ監査] ページで、[アラートルール] > [異常検出モデル] をクリックします。
不要なモデルを無効にします。
カスタム検出モデル
組み込みの検出モデルが異常検知の要件を満たさない場合は、カスタム検出モデルを作成できます。
DAS コンソールにログインします。
左側のナビゲーションウィンドウで、[セキュリティセンター] > [セキュリティ監査] をクリックします。
[セキュリティ監査] ページで、[アラートルール] > [カスタム検出モデル] をクリックします。
[ルールの追加] をクリックします。
[ルールの追加] ダイアログボックスで、カスタムモデルのパラメーターを設定し、[OK] をクリックします。
パラメーター
説明
ルール名
モデルの名前を入力します。わかりやすい名前を付けると、モデルを識別しやすくなります。
リスクレベル
ドロップダウンリストからモデルのリスクレベルを選択します。
アセットタイプ
モデルがモニタリングするアセットタイプを選択します。[RDS] を選択します。
フィルター条件
検出する異常イベントを指定するためのフィルター条件を設定します。
さらに追加
[さらに追加] をクリックして、複数のフィルター条件を追加します。これらの条件は AND 論理演算子を使用して結合されます。
アラート条件
検出の時間単位とアラート条件を設定します。DAS はフィルター条件に一致するデータを確認し、指定された期間内にアラート条件が満たされた場合に異常アラートを生成します。
モデルを作成すると、モデルリストで表示および必要に応じて編集できます。新しく作成されたモデルのデフォルトのステータスは [無効] です。モデルを有効にするには、有効化する必要があります。
[ステータス] 列で、スイッチをオンにしてモデルを有効にします。