基于SLS构建RDS审计合规监控

简介： 数据库是企业业务的数据核心，其安全方面的问题在传统环境中已经成为泄漏和被篡改的重要根源。因此，对数据库的操作行为尤其是全量 SQL 执行记录的审计日志，就显得尤为重要。

背景

数据库是企业业务的数据核心，其安全方面的问题在传统环境中已经成为泄漏和被篡改的重要根源。因此，对数据库的操作行为尤其是全量 SQL 执行记录的审计日志，就显得尤为重要。
SLS联合RDS推出RDS SQL审计功能，将RDS SQL审计日志实时投递到SLS中；SLS提供实时查询、可视化分析、告警等功能。
RDS SQL审计日志记录了对数据库执行的所有操作，这些信息是系统通过网络协议分析所得，对系统CPU消耗极低，不影响SQL执行效率。RDS SQL审计日志包括但不限于如下操作：
• 数据库的登录和退出操作。
• DDL（Data Definition Language）操作：对数据库结构定义的SQL语句，包括CREATE、ALTER DROP、TRUNCATE、COMMENT等。
• DML（Data Manipulation Language）操作：SQL操作语句，包括SELECT、INSERT、UPDATE、DELETE等。
• 其他SQL执行操作，包括任何其他通过SQL执行的控制，例如回滚、控制等。
• SQL执行的延迟、执行结果、影响的行数等信息。
此外，SLS还针对RDS的操作合规进行监控，及时发现RDS的配置异常，确保数据库安全。

RDS日志审计--采集

目前RDS SQL审计日志采集到SLS有两种方式：
• 云产品采集渠道
优点：少量且同地域实例采集场景下配置简单。
缺点：不支持跨地域、跨账号；不支持实例动态发现。如果需要跨地域跨账号，需要自建数据加工任务。
• 日志审计渠道
优点：
支持跨账号、跨地域中心化采集，便于审计报表分析。
支持实例发现，一键开启自动采集；并支持通过采集策略控制采集范围。
缺点：
需要AK授权或手动授权来开启日志审计APP。
会自动开启采集实例的SQL洞察功能，且不支持自动关闭。如果需要关闭SQL洞察，需要首先整体关闭日志审计RDS采集功能或者通过采集策略控制实例不采集，然后到RDS控制台逐个实例关闭SQL洞察。

 

云产品采集渠道

单账号同地域采集场景（只能将RDS审计日志采集到同地域的日志库中）

• SLS控制台首页“接入数据”区域，选择“RDS 审计”。下文以采集张家口实例为例说明。