Audit einrichten
Ein Entscheidungsbaum, der je nach Prüfgegenstand (Logins/Sessions, DDL/Schemaänderungen, Datenzugriff oder Berechtigungsänderungen) Auditing für diesen Umfang auf der richtigen Datenbank-Engine aktiviert und dann die Schritte zum Lesen der Einträge sowie zu Aufbewahrung/Rotation liefert.
Was willst du auditieren?
Wähle den Audit-Umfang. Alles zu auditieren erzeugt Rauschen und Kosten; beschränke dich auf deinen Bedarf. Willst du Login-/Session-Ereignisse, DDL/Schemaänderungen, Datenzugriff (DML/SELECT) oder Berechtigungsänderungen (GRANT/REVOKE) nachverfolgen?
- Logins / Sessions (Login, Connect)
- DDL / Schemaänderungen (CREATE/ALTER/DROP)
- Datenzugriff (DML / SELECT)
- Berechtigungsänderungen (GRANT / REVOKE)
- Audit-Einträge lesen und Aufbewahrung / Rotation
Login-/Session-Auditing
Erfasst erfolgreiche und fehlgeschlagene Logins: wer sich wann von wo verbunden hat. Das ist die Grundlage, um unbefugten Zugriff und Brute-Force-Versuche zu erkennen. Aktiviere die passende Policy je Engine und lies und bewahre die Einträge dann auf.
DDL-/Schemaänderungs-Auditing
Erfasst Schemaänderungen wie CREATE/ALTER/DROP. Dient zum Erkennen unbefugter Objektänderungen, versteckter Tabellen/Hintertüren und Schema-Drift.
Datenzugriffs-Auditing (DML / SELECT)
Erfasst Lese-/Schreibzugriffe (SELECT/INSERT/UPDATE/DELETE) auf sensible Tabellen. Da hohes Volumen entstehen kann, beschränke das Auditing auf sensible Objekte. Es ist entscheidend für Leckerkennung und Compliance (KVKK/DSGVO).
Auditing von Berechtigungsänderungen (GRANT / REVOKE)
Erfasst Berechtigungs- und Rollenänderungen (GRANT/REVOKE, Rollenzuweisung, Benutzeranlage). Das ist die Grundlage, um Rechteausweitung und Hintertür-Konten zu erkennen; meist geringes Volumen, aber hoher Wert.
Audit-Einträge lesen und Aufbewahrung / Rotation
Auditing ist nur nützlich, wenn die Einträge gelesen und aufbewahrt werden. Lege hier fest, wie die Einträge abgefragt werden, wo sie liegen und welche Aufbewahrungs-/Rotationsrichtlinie ihr Wachstum im Griff behält.