Data Security Center:Configurar e ativar regras de alerta de auditoria

Pré-requisitos

Ative o recurso de auditoria de logs nos ativos de dados que precisam acessar logs de auditoria e oferecem suporte a esse recurso. Para mais informações, consulte Ativar auditoria de dados.

Informações básicas

Após a ativação da auditoria de dados, o DSC coleta logs de auditoria de operações conforme o modo de auditoria selecionado. Em seguida, utiliza as regras de alerta de auditoria ativadas para detectar operações anormais, vazamentos de dados, exploração de vulnerabilidades, injeção de SQL e outras ameaças em seus ativos de dados, gerando informações de alerta.

Notas de uso

• Regras de alerta de auditoria integradas: aplicam-se a fontes de dados como OSS, MaxCompute, RDS e PolarDB. Ativadas por padrão, essas regras valem para os tipos de ativos compatíveis.

• Regras de auditoria personalizadas: permitem definir regras com base em múltiplas dimensões, como tipo de sensibilidade do conteúdo acessado, nível de sensibilidade, banco de dados, tabela, campo, origem de acesso e instância de banco de dados. Isso proporciona monitoramento flexível e granular. Personalize as regras conforme seus cenários de aplicação para controlar com precisão as informações de acesso ao banco de dados.

Visualize regras de auditoria integradas

As regras de auditoria integradas dividem-se nas seguintes categorias: políticas de banco de dados, políticas do OSS e políticas do MaxCompute. Siga estas etapas para visualize os tipos e detalhes das regras.

1. Faça login no console do Data Security Center.

2. No painel de navegação à esquerda, escolha Data Audit > Native Data Auditing.

3. Na aba Policy Management, clique em na subaba Database Policy, OSS Policy ou MaxCompute Policy. Na lista Rule classification à esquerda, visualize os tipos de regras de auditoria.

   Marque a caixa de seleção ao lado de uma regra para visualize suas regras específicas.

   As classificações de regras incluem Abnormal Operation Rules, Data Leak Rules, Vulnerability Exploit Rules e SQL Injection Rules. A lista de regras exibe informações como Rule Name, Rule Type, Risk Level, Status e Hit Count. Filtre por Asset Type ou Risk Level, ou pesquise pelo nome da regra.

4. Na lista de regras à direita, visualize detalhes como Rule Name, Rule Type, Risk Level, Status e Hits.

5. Clique em Details na coluna Actions de uma regra para visualize o Asset Type compatível e os Details.

   A seção de informações básicas do painel de detalhes inclui campos como Rule Name, Rule Source, Compliance Type, Risk Level, Asset Type, Status e Hit Count. A seção de detalhes apresenta conteúdos como Remediation Recommendations.

Adicionar uma regra de auditoria personalizada

Caso as regras de auditoria integradas não atendam às suas necessidades, crie uma regra de auditoria personalizada. Após a criação, a regra de auditoria personalizada é ativada por padrão.

1. Na aba Policy Management > Custom Policy, clique em Add Rule.

2. No painel Add Rule, configure a regra de auditoria e clique em Submit.

   Item de configuração	Descrição
   Basic Information	Rule Name: insira um nome significativo para facilitar a identificação da regra. Rule Type: selecione um tipo de regra na lista suspensa. As opções incluem: tentativa de exploração de injeção de SQL, tentativa de bypass de injeção de SQL, abuso de procedimento armazenado, buffer overflow, injeção de SQL baseada em erro, injeção de SQL baseada em booleano, injeção de SQL baseada em tempo, vulnerabilidade de negação de serviço, sondagem de banco de dados, ataque de dump de banco de dados, ataque de canal oculto, operação arriscada de conta de aplicação, operação arriscada de engenheiro de O&M, instrução anormal, resposta de alto volume, operação de configuração, auditoria de dados sensíveis, injeção de SQL baseada em UNION, entre outras. Risk Level: escolha Alto, Médio ou Baixo na lista suspensa. Asset Type: selecione o tipo de ativo ao qual a regra se aplica. Importante Certifique-se de que o Rule Type selecionado ofereça suporte ao Asset Type escolhido. Caso contrário, a regra de auditoria personalizada não entrará em vigor. Rule Description: insira uma descrição para a regra de auditoria.
   Sensitive Data Model	Quando o Asset Type for RDS, PolarDB ou Self-Managed Database, configure modelos e templates de identificação de dados sensíveis.
   Asset	Selecione o objeto de ativo específico ao qual a regra se aplica, com base no tipo de ativo escolhido.
   Client	Defina as condições de cliente sob as quais a regra se aplica, conforme o tipo de ativo selecionado.
   Behavior	Configure os tipos de operação e as condições de código de status que acionam a regra.
   Result	Especifique as condições de resultado sob as quais a regra se aplica, de acordo com o tipo de ativo selecionado. Este item de configuração não tem suporte quando o Asset Type é Redis.

Ative ou desative regras de alerta de auditoria

Se não for necessário utilizar uma regra integrada específica ou uma regra de auditoria personalizada ativada, desative o alternador de Status da regra de alerta de auditoria. Para reutilizar a regra especificada, ative o alternador de Status.

1. Na aba Policy Management, clique em na subaba Database Policy, OSS Policy, MaxCompute Policy ou Custom Policy.

2. Na lista de regras, localize a regra desejada e clique em no alternador na coluna Status.

Configure notificações de alerta

Para receber alertas de auditoria prontamente, no painel de navegação à esquerda, escolha System Settings > Alert Notification. Na aba Alert Notification, adicione uma configuração de notificação de alerta. Para obter detalhes, consulte Configure notificações de alerta por e-mail, mensagem de texto e chamada telefônica.

Próximas etapas

Depois de ativar as regras de alerta de auditoria, o DSC relata comportamentos correspondentes às condições da regra nos alertas de auditoria do DSC. Analise e trate os riscos associados com base nas informações de alerta e nos logs de auditoria. Para mais informações, consulte Visualize e tratar alertas de auditoria.

Referências

O DSC oferece um recurso de lista de permissões do sistema que permite adicionar contas confiáveis e endereços IP dos seus ativos de dados a uma lista de permissões. O DSC não gera alertas de auditoria para comportamentos de risco provenientes de contas ou endereços IP incluídos na lista de permissões, o que ajuda a reduzir falsos positivos. Para obter detalhes, consulte Gerencie listas de permissões.