设置数据库审计

审计概述

背景信息

数据库安全对数据库系统来说至关重要。MogDB将用户对数据库的所有操作写入审计日志。数据库安全管理员可以利用这些日志信息，重现导致数据库现状的一系列事件，找出非法操作的用户、时间和内容等。

关于审计功能，用户需要了解以下几点内容:

• 审计总开关audit_enabled支持动态加载。在数据库运行期间修改该配置项的值会立即生效，无需重启数据库。默认值为on，表示开启审计功能。
• 除了审计总开关，各个审计项也有对应的开关。只有开关开启，对应的审计功能才能生效。
• 各审计项的开关支持动态加载。在数据库运行期间修改审计开关的值，不需要重启数据库便可生效。

目前，MogDB支持以下审计项如表1所示。

表 1 配置审计项

安全相关参数及说明请参见表2。

表 2 安全相关参数及说明

操作步骤

1. 以操作系统用户omm登录数据库主节点。

2. 使用如下命令连接数据库。

   gsql -d mogdb -p 8000

   Copy

   mogdb为需要连接的数据库名称，8000为数据库主节点的端口号。

3. 检查审计总开关状态。

   a. 用show命令显示审计总开关audit_enabled的值。

   MogDB=# SHOW audit_enabled;

   Copy

   如果显示为off，执行\q命令退出数据库。

   b. 执行如下命令开启审计功能，参数设置立即生效。

   gs_guc set -N all -I all -c "audit_enabled=on"

   Copy

4. 配置具体的审计项。

    说明:

   • 只有开启审计功能，用户的操作才会被记录到审计文件中。
   • 各审计项的默认参数都符合安全标准，用户可以根据需要开启其他审计功能，但会对性能有一定影响。

   以开启对数据库所有对象的增删改操作的审计开关为例，其他配置项的修改方法与此相同，修改配置项的方法如下所示:

   gs_guc reload -N all -I all -c "audit_system_object=12295"

   Copy

   其中audit_system_object代表审计项开关，12295为该审计开关的值。

查看审计结果

前提条件

• 审计功能总开关已开启。
• 需要审计的审计项开关已开启。
• 数据库正常运行，并且对数据库执行了一系列增、删、改、查操作，保证在查询时段内有审计结果产生。
• 数据库各个节点审计日志单独记录。

背景信息

• 只有拥有AUDITADMIN属性的用户才可以查看审计记录。有关数据库用户及创建用户的办法请参见用户。

• 审计查询命令是数据库提供的sql函数pg_query_audit，其原型为:

  pg_query_audit(timestamptz startime,timestamptz endtime,audit_log)

  Copy

  参数startime和endtime分别表示审计记录的开始时间和结束时间，audit_log表示所查看的审计日志信息所在的物理文件路径，当不指定audit_log时，默认查看连接当前实例的审计日志信息。

   说明: startime和endtime的差值代表要查询的时间段，其有效值为从startime日期中的00:00:00开始到endtime日期中的23:59:59之间的任何值。请正确指定这两个参数，否则将查不到需要的审计信息。

操作步骤

1. 以操作系统用户omm登录数据库主节点。

2. 使用如下命令连接数据库。

   gsql -d mogdb -p 8000

   Copy

   mogdb为需要连接的数据库名称，8000为数据库主节点的端口号。

3. 查询审计记录。

   MogDB=# select * from pg_query_audit('2021-03-04 08:00:00','2021-03-04 17:00:00');
   time          |      type      | result | userid | username  | database  |     client_conninfo     |    object_name    |  detail_info |     node_name     |            thread_id            | local_port | remote_port
   ------------------------+----------------+--------+--------+-----------+-----------+-------------------------+-------------------+--------------+-------------------+---------------------------------+------------+-------------
   2021-03-04 08:00:08+08 | login_success  | ok     | 10     | omm  | mogdb | gsql@::1 | mogdb    | login db(postgres) success,SSL=Off | dn_6001_6002_6003 | 140477687527168@668131208211425 |   17778      | 46946

   Copy

   该条记录表明，用户omm在time字段标识的时间点登录数据库mogdb。其中client_conninfo字段在log_hostname启动且IP连接时，字符@后显示反向DNS查找得到的主机名。

   说明：

   对于登录操作的记录，审计日志detail_info结尾会记录SSL信息，SSL=on表示客户端通过SSL连接，SSL=off表示客户端没有通过SSL连接。

维护审计日志

前提条件

用户必须拥有审计权限。

背景信息

• 与审计日志相关的配置参数及其含义请参见表1。

  表 1 审计日志相关配置参数

  配置项	含义	默认值
  audit_directory	审计文件的存储目录。	/var/log/mogdb/用户名/pg_audit
  audit_resource_policy	审计日志的保存策略。	on（表示使用空间配置策略）
  audit_space_limit	审计文件占用的磁盘空间总量。	1GB
  audit_file_remain_time	审计日志文件的最小保存时间。	90
  audit_file_remain_threshold	审计目录下审计文件的最大数量。	1048576

   说明:

  如果使用gs_om工具部署MogDB，则审计日志路径为 "/var/log/mogdb/用户名/pg_audit"。

• 审计日志删除命令为数据库提供的sql函数pg_delete_audit，其原型为:

  pg_delete_audit(timestamp startime,timestamp endtime)

  Copy

  其中参数startime和endtime分别表示审计记录的开始时间和结束时间。

• 目前常用的记录审计内容的方式有两种: 记录到数据库的表中、记录到OS文件中。这两种方式的优缺点比较如表2所示。

  表 2 审计日志保存方式比较

  方式	优点	缺点
  记录到表中	不需要用户维护审计日志。	由于表是数据库的对象，如果一个数据库用户具有一定的权限，就能够访问到审计表。如果该用户非法操作审计表，审计记录的准确性难以得到保证。
  记录到OS文件中	比较安全，即使一个帐户可以访问数据库，但不一定有访问OS这个文件的权限。	需要用户维护审计日志。

  从数据库安全角度出发，MogDB采用记录到OS文件的方式来保存审计结果，保证了审计结果的可靠性。

操作步骤

1. 以操作系统用户omm登录数据库主节点。

2. 使用如下命令连接数据库。

   gsql -d mogdb -p 8000

   Copy

   mogdb为需要连接的数据库名称，8000为数据库主节点的端口号。

3. 选择日志维护方式进行维护。

   • 设置自动删除审计日志

     审计文件占用的磁盘空间或者审计文件的个数超过指定的最大值时，系统将删除最早的审计文件，并记录审计文件删除信息到审计日志中。

      说明: 审计文件占用的磁盘空间大小默认值为1024MB，用户可以根据磁盘空间大小重新设置参数。

     配置审计文件占用磁盘空间的大小（audit_space_limit）

     a. 查看已配置的参数。

     MogDB=# SHOW audit_space_limit;
     audit_space_limit
     -------------------
     1GB
     (1 row)

     Copy

     如果显示结果不为1GB（1024MB），执行\q命令退出数据库。

     b. 建议执行如下命令设置成默认值1024MB。

     gs_guc reload -N all -I all -c "audit_space_limit=1024MB"

     Copy

     配置审计文件个数的最大值（audit_file_remain_threshold）

     a. 查看已配置的参数。

     MogDB=# SHOW audit_file_remain_threshold;
     audit_file_remain_threshold
     -----------------------------
     1048576
     (1 row)

     Copy

     如果显示结果不为1048576，执行\q命令退出数据库。

     b. 建议执行如下命令设置成默认值1048576。

     gs_guc reload -N all -I all -c "audit_file_remain_threshold=1048576"

     Copy

   • 手动备份审计文件

     当审计文件占用的磁盘空间或者审计文件的个数超过配置文件指定的值时，系统将会自动删除较早的审计文件，因此建议用户周期性地对比较重要的审计日志进行保存。

     a. 使用show命令获得审计文件所在目录（audit_directory）。

     MogDB=# SHOW audit_directory;

     Copy

     b. 将审计目录整个拷贝出来进行保存。

   • 手动删除审计日志

     当不再需要某时段的审计记录时，可以使用审计接口命令pg_delete_audit进行手动删除。

     以删除2012/9/20到2012/9/21之间的审计记录为例:

     SELECT pg_delete_audit('2012-09-20 00:00:00','2012-09-21 23:59:59');

     Copy

设置文件权限安全策略

背景信息

数据库在安装过程中，会自动对其文件权限（包括运行过程中生成的文件，如日志文件等）进行设置。其权限规则如下:

• 数据库程序目录的权限为0750。

• 数据库数据文件目录的权限为0700。

  MogDB部署时通过创建xml配置文件中的tmpMppdbPath参数指定目录（若未指定，则默认创建/tmp/$USER_mppdb目录）来存放".s.PGSQL.*"文件，该目录和文件权限设置为0700。

• 数据库的数据文件、审计日志和其他数据库程序生成的数据文件的权限为0600，运行日志的权限默认不高于0640。

• 普通操作系统用户不允许修改和删除数据库文件和日志文件。

数据库程序目录及文件权限

数据库安装后，部分程序目录及文件权限如表1所示。

表 1 文件及目录权限

建议

数据库在安装过程中，会自动对其文件权限（包括运行过程中生成的文件，如日志文件等）进行设置，适合大多数情况下的权限要求。如果用户产品对相关权限有特殊要求，建议用户安装后定期检查相关权限设置，确保完全符合产品要求。