海量智库第38期 | 早发现，早预防！语句序列审计：识别数据潜在安全威胁

数据库审计是数据库安全防御体系的重要组成部分。其中，语句序列审计作为数据库安全领域中的一种高级审计技术，能够为用户的数据安全提供可靠保障。它能够记录特定会话(Session)或事务(Transaction)中语句执行的完整先后顺序，不仅记录"做了什么"，还能记录"做的顺序"，帮助用户及时发现和预防安全威胁。

本期海量智库将为大家介绍语句序列审计的功能以及海量数据库Vastbase的实现原理。

-- 创建
CREATE AUDIT POLICY [IF NOT EXISTS] policy_name SEQUENCE BY ['SQL'] [normally | warning | block];
-- 修改
ALTER AUDIT POLICY [IF EXISTS] policy_name ADD SEQUENCE BY ['SQL'];
-- 删除
DROP AUDIT POLICY [IF EXISTS] policy_name;

• DDL 语句：CREATE、ALTER、DROP、ANALYZE、COMMENT、GRANT、REVOKE、SET、SHOW；

• DML 语句：SELECT、COPY、DEALLOCATE、DELETE、EXECUTE、INSERT、PREPARE、REINDEX、TRUNCATE、UPDATE。

• [normally | warning | block]表示审计策略的响应动作，若不指定，则默认响应动作为 normally。

• normally：响应动作为写普通级别日志。

• warning：响应动作为写告警日志。

• block：响应动作为阻断当前会话。

--1.启动语句序列审计功能
vb_guc reload -D $PGDATA -c "audit_enabled = on"
vb_guc reload -D $PGDATA -c "enable_security_policy = on"
vb_guc reload -D $PGDATA -c "audit_sequence_enabled = on"

--2. 创建基于语句序列的审计策略；修改策略，向策略追加 SQL 语句
CREATE AUDIT POLICY audit_p1 SEQUENCE BY ['CREATE TABLE audit_seq0(id int);'];
ALTER AUDIT POLICY audit_p1 ADD SEQUENCE BY ['INSERT INTO audit_seq0 VALUES(1);'];
ALTER AUDIT POLICY audit_p1 ADD SEQUENCE BY ['SELECT * FROM audit_seq0;'];

--3. 清理审计日志
SELECT * FROM pg_delete_audit(now()-1,now());

--4. 在客户端会话中按顺序执行策略中的 SQL 语句
CREATE TABLE audit_seq0 (id int);
INSERT INTO audit_seq0 VALUES(1);
SELECT * FROM audit_seq0;

--5. 查看审计日志,返回结果如下
SELECT type,result,detail_info FROM pg_query_audit(now()-0.01,now()) where type='audit_policy';
-- 示例输出：
    type   |    result    |                                        detail_info

--------------+--------+------------------------------------------------------------------------------------------------------------------------------------------
--------------------
audit_policy |ok | vastbase|vsql|local|vastbase|sequence||CREATE TABLE audit_seq0(id int)|INSERT INTO audit_seq0 VALUES(1)|SELECT * FROM audit_seq0|28626|no
rmally|
(1 rows)

CREATE AUDIT POLICY audit_p1 SEQUENCE BY ['CREATE TABLE audit_seq0(id int);'];

SELECT polname,oid,pollevel FROM gs_auditing_policy WHERE polname = 'audit_p1';
-- 示例输出：
 polname | oid   | pollevel
---------+-------+------------
 audit_p1| 19216 | normally
 (1 rows)

CREATE AUDIT POLICY audit_p1 SEQUENCE BY ['CREATE TABLE audit_seq0(id int);'];

SELECT polname,sqlsequence,firstsqllen FROM gs_auditing_policy_sequence WHERE polname = 'audit_p1';
-- 示例输出：
 polname | sqlsequence                     | firstsqllen
---------+---------------------------------+------------
 audit_p1| create table audit_seq0(id int) | 28
 (1 rows)