データ資産の監査アラートの処理 - Data Security Center - Alibaba Cloud ドキュメントセンター

監査アラートページには、設定された監査モードとルールに基づいて、データ資産のアラートが表示されます。アラートの詳細を使用して、異常なデータベース操作、脆弱性攻撃、データ侵害などのリスクを特定し、追跡できます。このトピックでは、資産のリスクステータスをより適切に管理するために、監査アラートを表示および処理する方法について説明します。

前提条件

監査対象のサポートされているデータ資産に対して Log Audit 機能が有効になっていること。詳細については、「データ監査の有効化」をご参照ください。
無効になっている、またはカスタムの監査アラートルールを設定し、有効にしていること。詳細については、「監査アラートルールの設定と有効化」をご参照ください。

監査アラート情報の表示

Data Security Center (DSC) コンソールにログインします。
左側のナビゲーションウィンドウで、Data Audit > Native Data Auditingを選択します。
Risk Detection タブの Alert Overview および Alert Logs サブタブで、統計情報を確認します。

アラート概要

過去 24 時間の累積アラートデータに基づいて計算されるAudit Risk Scoreが表示されます。このページには、[控除ルール]と[実際の控除]も一覧表示されます。この 24 時間の期間内に新しいアラートが検出されない場合、Audit Risk Scoreは減少します。

実際の減点テーブルは、リスクレベル別に分類されています：高 (項目ごとに 3 ポイント減点)、中 (項目ごとに 2 ポイント減点)、低 (項目ごとに 1 ポイント減点) で、それぞれのしきい値は 10 回です。ページ下部のアラートリストには、集計されたアラート時間、データの型、ルール名、リスクレベル、アラート数、影響を受けた資産の数、アカウント数、クライアント IP 数、およびルールの説明が表示されます。データの型、リスクレベル、またはルール分類でアラートをフィルターできます。各アラートについて、[詳細] をクリックして詳細情報を表示するか、[ホワイトリストに追加] をクリックできます。
データ資産のリアルタイムアラートについては、Actions 列の Details をクリックすると、修正提案、影響を受けた資産のリスト、およびアクセスソースのリストを表示できます。

アラートルール詳細ページの 基本情報 セクションには、ルール名、リスクレベル、ルール分類、資産タイプ、および有効化ステータスが表示されます。詳細情報 セクションでは、WAF のデプロイ、パラメーター化クエリの使用、データベース権限の制限、入力検証などの修正提案が提供されます。アラート資産リストには、資産名/ID、データベースタイプ、アラート数、アラートトレンドの列が含まれ、[操作] 列には [ホワイトリストに追加] オプションがあります。アクセス元テーブルには、クライアント IP、データベースアカウント、およびアラート数が表示されます。

アラートログ

アラートリストの上部で、[現在のデータタイプ] ドロップダウンリストから、RDS などのデータタイプを選択します。デフォルトでは、リストには選択したアセットの過去 1 日分の監査アラートが表示されます。

サポートされているデータの型には、RDS、PolarDB、PolarDB-X、Redis、MongoDB、OceanBase、および自己管理データベースが含まれます。ドロップダウンメニューには、各タイプのインスタンス数も表示されます。
時間範囲、インスタンス名、リスクレベル、操作タイプ、ルール分類、ルール名、アカウント、クライアント IP、SQL コマンドなどの基準に基づいてアラートをフィルターできます。

サポートされている時間範囲には、過去 1 時間、過去 12 時間、過去 1 日、過去 7 日、過去 30 日、過去 90 日が含まれます。IP タイプでフィルターすることもできます。アラートリストには、機密性の特徴、アラート時間、ルールタイプ、ルール名、リスクレベル (高、中、低)、アカウント、クライアント IP、操作タイプ、ステータスなどの列が表示されます。各レコードについて、[詳細] または [ホワイトリストに追加] をクリックできます。アラートデータをエクスポートすることもできます。
Actions 列の Details をクリックすると、アラート時間、クライアントとサーバーの詳細、動作情報、実行結果などの情報を表示してリスクを特定できます。

Capture Snapshot をクリックすると、アラートの詳細のスクリーンショットをブラウザのデフォルトのダウンロード場所に保存できます。

詳細ポップアップウィンドウの監査アラートセクションには、リスクレベルとルール名フィールドも含まれています。右上隅の [ホワイトリストに追加] をクリックして、アラートをホワイトリストに追加することもできます。

監査アラートの処理

アラートイベントがデータセキュリティに対する脅威であると確認した場合は、アラートログを使用して、対応するデータ資産上の脅威を特定し、手動で処理します。
アラートイベントが通常の操作であり、対応が不要であると確認した場合は、イベントをホワイトリストに追加できます。DSC は、指定されたデータ資産でこのタイプのイベントに対してアラートを生成しなくなります。

ホワイトリストへの追加

以下の手順に従って、アラートイベントをホワイトリストに追加します。追加したアカウント、IP アドレス、その他の情報はシステムホワイトリストに表示されます。DSC は、ホワイトリストルールに一致する操作やイベントに対してアラートを生成しません。詳細については、「ホワイトリストの管理」をご参照ください。

Alert Overview または Alert Logs タブのアラートリストで、対象のアラートイベントを探し、Actions 列の Details をクリックします。
アラートイベント詳細ページで、Source の下にある Alert Assets リストまたはクライアント IP リストから、ホワイトリストに追加する資産または IP アドレスを探し、Actions 列の Add to Whitelist をクリックします。
Add to Whitelist ダイアログボックスには、対応する資産インスタンスまたは IP アドレスとそのデータベースアカウント情報が表示されます。ホワイトリストルールに詳細情報を追加し、OK をクリックします。

ダイアログボックスの上部には、項目をホワイトリストに追加するとアラームの生成は停止するが、ログは引き続きログ分析で表示できるというメッセージが表示されます。フォームフィールドには、ホワイトリスト名 (必須)、ルール名、SQL テンプレート (データベースタイプを選択してテンプレートを作成するため)、インスタンス、データベース (空の場合はすべてのデータベースがデフォルト)、テーブル名 (空の場合はすべてのテーブルがデフォルト)、アカウント、および IP が含まれます。

Data Security Center:監査アラートの表示と処理