Data Security Center:監査アラートルールの設定と有効化

前提条件

監査ログを表示したい、かつ表示が許可されているデータ資産に対して、データ監査モードが有効になっている必要があります。詳細については、「データ監査モードの設定と有効化」をご参照ください。

背景情報

データ監査モードを有効にすると、DSC は有効化されたデータ監査モードに基づいてデータベースから監査ログを収集します。その後、DSC は有効化された監査アラートルールを使用して、異常な操作、データ漏洩、脆弱性の悪用、SQL インジェクションなどのデータ資産のリスクを特定します。リスクが特定された場合、DSC はアラート通知を送信します。

使用上の注意

• 組み込みの監査アラートルール: 組み込みの監査アラートルールを使用して、OSS、MaxCompute、RDS、および PolarDB のリスクを検出できます。これらのルールはデフォルトで有効になっており、サポートされている資産タイプに対して有効になります。

• カスタム監査アラートルール: 機密データの型、データの秘密度、データベース、テーブル、フィールド、ソース、データベースインスタンスなど、複数のディメンションからカスタム監査アラートルールを作成できます。これにより、高精度監視が可能になります。さまざまなシナリオやアプリケーションタイプに合わせてカスタムルールを作成し、データベースへのアクセスを正確に管理できます。

組み込みの監査アラートルールの表示

組み込みの監査アラートルールには、データベースポリシー、OSS ポリシー、および MaxCompute ポリシーが含まれます。以下の手順に従って、組み込みの監査アラートルールとその詳細を表示できます。

1. Data Security Center コンソールにログインします。

2. 左側のナビゲーションウィンドウで、Data Auditing > Native Data Auditing を選択します。

3. Policy Management タブで、Database Policy、OSS Policy、または MaxCompute Policy タブをクリックします。Rule classification リストで、組み込みの監査アラートルールのタイプを表示します。

   ルールの前にあるチェックボックスを選択して、このタイプのすべてのルールを表示します。

   

4. 右側のルールリストで、Rule Name、Rule Type、Risk Level、Status、Hits、およびその他の列の値を確認します。

5. 管理したいルールを見つけ、Actions 列の Details をクリックして、サポートされている Asset Type と [詳細] を表示します。

   

カスタム監査アラートルールの作成

組み込みの監査アラートルールが監査要件を満たせない場合は、カスタム監査アラートルールを作成できます。作成後、カスタムルールはデフォルトで有効になります。

1. Policy Management > Custom Policy タブで、Add Rule をクリックします。

2. Add Rule パネルで、パラメーターを設定し、Submit をクリックします。

   パラメーター	説明
   Basic Information	Rule Name: 監査アラートルールの名前。ルールを識別しやすい名前を指定することをお勧めします。 Rule Type: 監査アラートルールのタイプ。ドロップダウンリストからタイプを選択します。 有効な値: SQL インジェクションの悪用試行、SQL インジェクションを使用したバイパス試行、ストアドプロシージャの乱用、バッファオーバーフロー、エラーベースの SQL インジェクション、ブール値ベースの SQL インジェクション、時間ベースの SQL インジェクション、サービス拒否 (DoS) 脆弱性、データベース検出、データ侵害攻撃、秘密チャネル攻撃、アプリケーションアカウントによる危険な操作、O&M エンジニアによる危険な操作、異常なステートメント、大量のトラフィック、設定操作、機密データ監査、UNION ベースの SQL インジェクション、およびその他。 Risk Level: 監査アラートルールのリスクレベル。ドロップダウンリストからリスクレベルを選択します。有効な値: 高、中、低。 Asset Type: 監査アラートルールが適用される資産のタイプ。ドロップダウンリストからタイプを選択します。 重要 選択した Rule Type がサポートする Asset Type を、組み込みの監査ルールのタイプに基づいて選択する必要があります。そうしないと、カスタム監査アラートルールは有効になりません。 Rule Description: 監査アラートルールの説明。
   Sensitive Data Model	Asset Type パラメーターを RDS、PolarDB、または Self-Managed Database に設定すると、機密データ識別テンプレートとモデルを設定できます。
   Asset	指定された資産タイプに基づいて、監査アラートルールが適用される資産。
   Client	指定された資産タイプに基づいて、監査アラートルールが有効になるクライアントの条件。
   Behavior	監査アラートルールが有効になる操作タイプと状態コード。
   Result	指定された資産タイプに基づいて、監査アラートルールが有効になる条件。 Asset Type パラメーターを Redis に設定した場合、このパラメーターはサポートされません。

監査アラートルールの有効化または無効化

組み込みの監査アラートルールまたは有効化されたカスタム監査アラートルールが不要になった場合は、ルールの Status をオフにできます。監査アラートルールを再利用するには、ルールの Status をオンにします。

1. Policy Management タブで、Database Policy、OSS Policy、MaxCompute Policy、または Custom Policy タブをクリックします。

2. ルールリストで、管理したいルールを見つけ、Status 列のスイッチをオンまたはオフにします。

   

通知設定の構成

監査関連のアラート通知を迅速に受信するには、左側のナビゲーションウィンドウから System Settings > Alert Notification を選択し、Alert Notification タブでアラート通知を設定する必要があります。詳細については、「メール、電話、ショートメッセージのアラート通知を設定する」をご参照ください。

次のステップ

監査アラートルールを有効にすると、DSC はルールをトリガーする操作に対してアラートを生成します。これらのアラートは、DSC の [監査アラート] ページで表示できます。アラートと監査ログに基づいてリスクを処理できます。詳細については、「監査アラートの表示と処理」をご参照ください。

関連資料

DSC はホワイトリスト機能を提供します。信頼できるデータ資産関連のアカウントと IP アドレスをホワイトリストに追加できます。DSC は、ホワイトリスト内のアカウントまたは IP アドレスからの危険な操作に対して監査アラートを生成しません。これにより、誤検知アラートを減らすことができます。詳細については、「ホワイトリストの管理」をご参照ください。