Настройка аудита

Дерево решений, которое в зависимости от объекта аудита (входы/сессии, DDL/изменения схемы, доступ к данным или изменения привилегий) включает аудит этой области в нужной СУБД, а затем даёт шаги по чтению записей и их хранению/ротации.

Что вы хотите аудировать?

Выберите область аудита. Аудит всего подряд создаёт шум и затраты; сузьте его до своих потребностей. Вы хотите отслеживать события входа/сессий, DDL/изменения схемы, доступ к данным (DML/SELECT) или изменения привилегий (GRANT/REVOKE)?

• Входы / сессии (login, connect)
• DDL / изменения схемы (CREATE/ALTER/DROP)
• Доступ к данным (DML / SELECT)
• Изменения привилегий (GRANT / REVOKE)
• Чтение записей аудита и хранение / ротация

Аудит входов / сессий

Фиксирует успешные и неудачные входы: кто подключился, откуда и когда. Это основа обнаружения несанкционированного доступа и попыток перебора. Включите соответствующую политику для каждой СУБД, затем читайте и храните записи.

Аудит DDL / изменений схемы

Фиксирует изменения схемы, такие как CREATE/ALTER/DROP. Используется для обнаружения несанкционированных изменений объектов, скрытых таблиц/бэкдоров и дрейфа схемы.

Аудит доступа к данным (DML / SELECT)

Фиксирует доступ на чтение/запись (SELECT/INSERT/UPDATE/DELETE) к чувствительным таблицам. Поскольку объём может быть большим, ограничьте аудит чувствительными объектами. Это критично для обнаружения утечек и соответствия требованиям (KVKK/GDPR).

Аудит изменений привилегий (GRANT / REVOKE)

Фиксирует изменения привилегий и ролей (GRANT/REVOKE, назначение ролей, создание пользователей). Это основа обнаружения повышения привилегий и учётных записей-бэкдоров; обычно аудит небольшого объёма, но высокой ценности.

Чтение записей аудита и хранение / ротация

Аудит полезен, только если записи читают и хранят. Определите здесь, как запрашивать записи, где они хранятся, и политику хранения/ротации, удерживающую их рост под контролем.