Az SQL Server auditálásának engedélyezése és az auditnapló áttekintése

A Microsoft SQL Server auditálása kritikus fontosságú a biztonsági problémák és jogsértések azonosításához. Ezen túlmenően az SQL Server auditálása előfeltétele az olyan előírásoknak való megfelelésnek, mint a PCI DSS és a HIPAA.

Az első lépés annak meghatározása, hogy mit kell auditálni. Például ellenőrizheti a felhasználói bejelentkezéseket, a kiszolgáló konfigurációját, a sémamódosításokat és az adatmódosításokat. Ezután ki kell választania, hogy mely biztonsági auditálási szolgáltatásokat kívánja használni. A hasznos funkciók közé tartoznak a következők:

C2 Auditálás
Közös megfelelőségi kritériumok
Bejelentkezés Auditálás
SQL Server auditálás
SQL Trace
Bővített események
Adatrögzítés módosítása
DML, DDL és bejelentkezési triggerek

Ez a cikk azoknak az adatbázis-adminisztrátoroknak szól, akik a C2-naplózást, a Common Compliance Criteria-t és az SQL Server-naplózást szeretnék használni. Nem fogunk megvizsgálni semmilyen harmadik féltől származó auditálási eszközt, bár ezek nagy segítséget jelenthetnek, különösen nagyobb környezetekben és szabályozott iparágakban.

A C2 auditálás és a Common Criteria Compliance engedélyezése

Ha jelenleg nem auditálja az SQL Servert, a legegyszerűbb a C2 auditálás engedélyezésével kezdeni. A C2 auditálás egy nemzetközileg elfogadott szabvány, amely bekapcsolható az SQL Serverben. Ellenőrzi az olyan eseményeket, mint a felhasználói bejelentkezések, a tárolt eljárások, valamint az objektumok létrehozása és eltávolítása. De mindent vagy semmit - nem választhatja ki, hogy mit vizsgáljon, és sok adatot generálhat. Ezenkívül a C2 auditálás karbantartási módban van, ezért valószínűleg eltávolítják az SQL Server egy jövőbeli verziójában.

A Common Criteria Compliance egy újabb szabvány, amely felülírja a C2 auditálást. Az Európai Unió fejlesztette ki, és az SQL Server 2008 R2 és újabb verzióiban engedélyezhető az Enterprise és Datacenter kiadásokban. De teljesítményproblémákat okozhat, ha a kiszolgáló nem eléggé specifikált ahhoz, hogy megbirkózzon a többletköltséggel.

A következőképpen engedélyezheti a C2-naplózást az SQL Server 2017-ben:

1. Nyissa meg az SQL Server Management Studio programot.

2. Csatlakozzon ahhoz az adatbázismotorhoz, amelyhez engedélyezni kívánja a C2 auditálást. A Csatlakozás a kiszolgálóhoz párbeszédpanelen ellenőrizze, hogy a Szerver típusa beállítása Adatbázismotor, majd kattintson a Csatlakozás lehetőségre.

3. A bal oldali Object Explorer panelen kattintson jobb gombbal az SQL Server-példányra felül, és válassza a Tulajdonságok lehetőséget a menüből.

4. A Kiszolgáló tulajdonságai ablakban kattintson a Biztonság elemre az Select a page alatt.

5. A Biztonság oldalon konfigurálhatja a bejelentkezés figyelését. Alapértelmezés szerint csak a sikertelen bejelentkezéseket rögzíti a rendszer. Alternatív megoldásként csak a sikeres bejelentkezéseket, vagy a sikertelen és a sikeres bejelentkezéseket is ellenőrizheti.

1. ábra: Hozzáférés-naplózás konfigurálása

6. Jelölje be a C2-naplókövetés engedélyezése lehetőséget az Opciók alatt.

7. Ha engedélyezni szeretné a C2 Common Criteria Compliance auditálását, jelölje be a Common Criteria megfelelőség engedélyezése lehetőséget.

A Common Criteria (CC) megfelelés egy rugalmas szabvány, amely különböző 1-től 7-ig terjedő EAL-szintekkel (Evaluation Assurance Levels, EAL) implementálható. A magasabb szintű EAL-ek ellenőrzési folyamata szigorúbb. Ha bejelöli a Közös feltételeknek való megfelelés engedélyezése jelölőnégyzetet az SQL Serverben, akkor engedélyezi a CC Compliance EAL1-et. Lehetőség van az SQL Server manuális konfigurálására az EAL4+ számára.

A CC Compliance engedélyezése megváltoztatja az SQL Server viselkedését. Például a táblaszintű DENY engedélyek elsőbbséget élveznek az oszlop szintű GRANT-okkal szemben, és a sikeres és a sikertelen bejelentkezéseket is ellenőrizni kell. Ezen túlmenően engedélyezve van a Residual Information Protection (RIP), amely felülírja a memóriafoglalásokat egy bitmintával, mielőtt azokat egy új erőforrás felhasználná.

8. Kattintson az OK gombra.

9. A kiválasztott beállítások alapján a rendszer kérheti az SQL Server újraindítását. Ha ezt az üzenetet kapja, kattintson az OK gombra a figyelmeztető párbeszédpanelen. Ha engedélyezte a C2 Common Criteria Compliance funkciót, indítsa újra a kiszolgálót. Ellenkező esetben kattintson ismét a jobb gombbal az SQL Server-példányra az Object Explorerben, és válassza az Újraindítás lehetőséget a menüből. A figyelmeztető párbeszédpanelen kattintson az Igen lehetőségre az SQL Server újraindításának megerősítéséhez.

Az SQL Server Audit engedélyezése

Az SQL Server auditálás engedélyezhető a C2 auditálás helyett; dönthet úgy is, hogy mindkettőt engedélyezi. Az SQL Server Audit objektumok konfigurálhatók úgy, hogy kiszolgálószinten vagy SQL Server adatbázis szinten gyűjtsenek eseményeket.

Szerver auditálási objektum létrehozása

Hozzon létre egy szerverszintű SQL Server audit objektumot:

1. A bal oldali Object Explorer panelen bontsa ki a Biztonság elemet.

2. Kattintson a jobb gombbal az Ellenőrzések elemre, és válassza az Új audit… menüpontot a menüből. Ezzel egy új SQL Server Audit objektumot hoz létre a szerverszintű naplózáshoz.

3. Az Audit létrehozása ablakban adjon nevet a megfigyelési beállításoknak az Audit name mezőben.

4. Adja meg, hogy mi történjen, ha az SQL Server naplózása meghiúsul az naplózási hiba segítségével. Választhatja a Folytatás lehetőséget, vagy leállíthatja a kiszolgálót, vagy leállíthatja az ellenőrzött adatbázis-műveleteket. Ha a Művelet sikertelensége lehetőséget választja, a nem auditált adatbázis-műveletek továbbra is működni fognak.

2. ábra: Szerver szintű SQL Server audit objektum létrehozása

5. Az Ellenőrzési cél legördülő menüben kiválaszthatja, hogy az SQL-naplót fájlba írja-e, vagy az eseményeket a Windows biztonsági naplójában vagy az alkalmazás eseménynaplójában szeretné-e megfigyelni. Ha fájlt választ, meg kell adnia a fájl elérési útját.

Vegye figyelembe, hogy ha a Windows biztonsági eseménynaplójába szeretne írni, az SQL Servernek engedélyt kell adnia. Az egyszerűség kedvéért válassza ki az Alkalmazás eseménynaplóját. Ezenkívül a megfigyelési objektum részeként egy szűrőt is felvehet az eredmények szűk halmazának biztosítására; a szűrőket Transact-SQL-ben (T-SQL) kell írni.

6. Kattintson az OK gombra.

7. Az új megfigyelési konfigurációt az Object Explorerben, az Auditok alatt találja. Kattintson a jobb gombbal az új naplózási konfigurációra, és válassza a menü Ellenőrzés engedélyezése parancsát.

8. Kattintson a Bezárás gombra az Audit engedélyezése párbeszédpanelen.

Adatbázis-audit objektum létrehozása

Az adatbázis-szintű naplózáshoz szükséges SQL Server naplózási objektum létrehozásához a folyamat kissé eltér, és először létre kell hoznia legalább egy szerverszintű naplózási objektumot.

1. Bontsa ki az Adatbázisok elemet az Object Explorer alkalmazásban, és bontsa ki azt az adatbázist, amelyen a naplózást be szeretné állítani.

2. Bontsa ki a Security mappát, kattintson jobb gombbal az Adatbázis-ellenőrzési specifikációk elemre, és válassza az New Database Audit Specification… lehetőséget a menüből.

3. ábra: Szervernaplózási specifikáció létrehozása adatbázis-szintű ellenőrzéshez

3. A Műveletek alatti Tulajdonságok ablakban a legördülő menük segítségével állítson be egy vagy több ellenőrzési művelettípust, válassza ki az auditálni kívánt utasításokat (például DELETE vagy INSERT), az objektumosztályt, amelyen a művelet végrehajtásra kerül, és így tovább. .

4. Ha végzett, kattintson az OK gombra, majd engedélyezze a megfigyelési objektumot úgy, hogy jobb gombbal rákattint, és kiválasztja az Adatbázis-naplózási specifikáció engedélyezése lehetőséget.

Az SQL Server ellenőrzési naplóinak megtekintése

C2 Audit SQL Server naplók az SQL Server példány alapértelmezett adatkönyvtárában tárolódnak. Minden naplófájl legfeljebb 200 megabájtos lehet. A korlát elérésekor automatikusan új fájl jön létre.

A Log File Viewer nevű natív megoldás az SQL Server naplóinak megtekintéséhez. A használatához tegye a következő lépéseket:

1. Az SQL Server Management Studio Object Explorer paneljén bontsa ki a Biztonság elemet, és

2. Kattintson a jobb gombbal a megtekinteni kívánt megfigyelési objektumra, és a menüből válassza a Vizsgálati naplók megtekintése lehetőséget.

3. A Log File Viewerben a naplók a jobb oldalon jelennek meg. Függetlenül attól, hogy a naplók fájlba vagy a Windows eseménynaplójába vannak írva, a Log File Viewer megjeleníti a naplókat.

4. A Log File Viewer tetején kattintson a Szűrő lehetőségre a megjelenített naplóbejegyzések testreszabásához. Az SQL Server fájlnaplói .sqlaudit formátumban kerülnek mentésre, és nem olvashatók, ezért a Log File Explorer lehetővé teszi, hogy az Exportálás gombra kattintva mentse a naplókat vesszővel tagolt .log fájlformátumba. .