Data Security Center (DSC) は、信頼できる IP アドレスとデータ資産 (資産タイプ、インスタンス、データベース、テーブル、アカウント、操作タイプを含む) をホワイトリストに追加できるシステムホワイトリスト機能を提供します。DSC は、ホワイトリストに登録されたデータ資産または IP アドレスからのリスクのあるアクティビティに対して監査アラートを生成しません。これにより、不要なアラートを削減できます。このトピックでは、システムホワイトリストルールの追加、編集、削除方法について説明します。
前提条件
ホワイトリストルールを設定するデータ資産を承認してください。
-
Relational Database Service (RDS)、PolarDB、PolarDB-X、OceanBase、Tablestore、AnalyticDB、および AnalyticDB については、「汎用データベースの承認」をご参照ください。
-
Object Storage Service (OSS) については、「非構造化データ (OSS および SLS) の承認」をご参照ください。
-
MaxCompute については、「MaxCompute の承認」をご参照ください。
背景情報
DSC は、承認されたデータ資産上のリスクのあるアクティビティを検出し、監査アラートを生成します。この機能はデフォルトで有効になっており、組み込みの監査アラートルールを使用して検出を行います。
組み込みの監査ルールタイプには、異常操作ルール、データ侵害ルール、脆弱性攻撃ルール、SQL インジェクションルール、危険操作ルールが含まれます。カスタム監査ルールを追加して有効にすることもできます。詳細については、「監査アラートルールの設定と有効化」をご参照ください。
特定の IP アドレスまたはアカウントからのデータベースアクティビティが想定内のものであることを確認した場合、ホワイトリストルールを追加できます。DSC がホワイトリストルールに一致するアクティビティを検出した場合、そのデータベースまたは OSS の操作に対してアラートは生成されません。
監査アラートを処理する際に、ソースをホワイトリストに追加することを選択できます。ホワイトリストに登録されたアカウントまたは IP アドレスは、システムホワイトリストに追加されます。対応するホワイトリストルール名は、<アラート発生時刻> <監査アラートルール名> の形式になります。例：2024-05-21 20:58:09 OSS rule test。詳細については、「監査アラートの表示と処理」をご参照ください。
制限事項
各ホワイトリストルールには、次の制限事項があります。
-
資産タイプは 1 つしか選択できません。
-
アカウント、IP アドレス、または IP 範囲のいずれかを少なくとも 1 つ指定する必要があります。
-
最大 10 個の IP アドレスまたは IP 範囲、および最大 10 個のアカウントを指定できます。
-
ルールに複数のインスタンスと複数のアカウントが含まれる場合、システムは同じタイプの項目間では論理和 (OR) を、異なるタイプの項目間では論理積 (AND) を適用します。たとえば、インスタンス A、インスタンス B、アカウント A、アカウント B を含むルールは、(インスタンス A OR インスタンス B) AND (アカウント A OR アカウント B) からのアクティビティに一致します。
発効時間
システムホワイトリストルールを追加、編集、または削除した後、新しい構成は 1 分以内に有効になります。
ホワイトリストルールの追加
信頼できるデータ資産、IP アドレス、または IP 範囲に対して DSC がアラートを生成しないようにするには、それらをシステムホワイトリストに追加します。
Data Security Center コンソールにログインします。
左側のナビゲーションウィンドウで、 を選択します。
-
Whitelist ページで、Add Entry をクリックします。
-
Add Entry ダイアログボックスで、パラメーターを設定し、OK をクリックします。
ダイアログボックスの上部には、ホワイトリストに登録された項目はアラートをトリガーしなくなるものの、そのログは引き続き [ログ分析] で表示できる旨のメッセージが表示されます。フォームには [SQL テンプレート] フィールドも含まれています。データベースを選択し、[+ テンプレートの作成] をクリックして新しいテンプレートを作成できます。
パラメーター
説明
ルール名
ホワイトリストルールのカスタム名を入力します。識別しやすい名前を使用してください。名前は最大 100 文字です。
IP
ホワイトリストに追加する IP アドレスまたは IP 範囲を入力します。
最大 10 個の IP アドレスまたは IP 範囲を入力できます。複数のエントリはコンマまたは改行で区切ることができます。
データ資産
資産タイプを選択し、RDS インスタンス、データベース、テーブル、アカウントなどの対応する資産を選択します。
複数のアセットインスタンスとアカウントを選択できます。Account ドロップダウンリストをクリックし、リストの最後にある [カスタムアカウントの追加] をクリックして、1 つ以上のカスタムアカウントを入力します。
操作タイプ
デフォルトでは、すべての操作タイプが選択されています。ビジネス要件に基づいて、データ資産に対して 1 つ以上の操作タイプを選択できます。
-
ルールを追加した後、資産タイプまたはルール名で検索してリスト内で見つけることができます。
リストには、ルール名、SQL テンプレート、アカウント、IP、データ資産などのフィールドが表示されます。各ルールについて、[詳細]、[編集]、または [削除] をクリックできます。
ホワイトリストルールの編集または削除
指定した IP アドレスまたはアカウントの監査アラート検出を再度有効にするには、対応するホワイトリストルールを編集または削除します。
既存のホワイトリストルールを編集する際に、資産タイプを変更することはできません。
Data Security Center コンソールにログインします。
左側のナビゲーションウィンドウで、 を選択します。
-
対象のホワイトリストルールを見つけ、Actions 列で Edit または Delete をクリックします。
API リファレンス
Alibaba Cloud SDK を使用して、次の API オペレーションを呼び出し、DSC に承認されたデータ資産に関する情報をクエリできます。サポートされている言語、インストール、および統合手順については、Data Security Center SDK および「Alibaba Cloud SDK」をご参照ください。
-
承認された資産のリストをクエリするには、「DescribeParentInstance」をご参照ください。
-
スキャンが承認されているインスタンス、データベース、バケットなどのデータ資産のリストをクエリするには、「DescribeDataLimits」をご参照ください。
-
スキャンが承認されている指定されたプロダクトのインスタンス、データベース、またはバケットのリストをクエリするには、「DescribeDataLimitSet」をご参照ください。