配置并开启审计模式

前提条件

• 已开通数据安全中心免费版实例或已购买数据安全中心企业版实例。具体操作，请参见数据安全中心免费版服务或购买数据安全中心。

• 已完成数据资产授权。具体操作，请参见资产授权。

• 如果开启云数据库 OceanBase 版实例下数据审计功能，必须先开启目标OceanBase实例下目标租户的SQL审计。具体操作，请参见SQL 审计。

  重要

  开启目标OceanBase实例下目标租户的SQL审计后，才能参照本文开启目标OceanBase实例下审计模式。开启审计模式成功后，该实例下所有已经开启SQL审计的租户下数据库可使用数据审计服务。

背景信息

新授权实例的审计模式默认为关闭状态。您需要为数据库资产开启并配置审计模式，DSC才能采集到对应数据资产的操作日志到审计日志中，进而根据审计日志通过审计告警规则对数据资产进行数据泄露、漏洞攻击、SQL注入等风险检测并上报告警信息。

审计模式说明

DSC支持原生日志采集和流量采集（Agent）两种审计模式。您可以根据实际情况选择合适的审计模式。

开启原生日志采集

管理Agent

1. 在资产管理页签，单击Agent管理页签。

2. 查看资源消耗趋势图。

   1. 单击目标资产操作列的监控。

   2. 在监控信息对话框，单击对应资源页签，并在右上角选择时间范围，查看对应资源使用情况。

      

3. 配置Agent运行的监控参数。

   1. 单击目标资产操作列的配置。

   2. 在配置面板，展开对应配置项，根据实际服务器运行情况进行设置。

      

      配置项	描述
      数据采集保护	Agent资源的使用限制。 CPU亲和性 CPU亲和性（也称为CPU关联性）指的是让进程尽可能长时间在指定的CPU上运行，而不被迁移到其他处理器上。在多核系统中，每个CPU都具备缓存，用于存储进程的使用信息。如果进程被调度到其他CPU上运行，原先缓存的信息可能无法被新CPU使用，导致CPU缓存命中率下降，从而降低处理性能。 启用CPU亲和性后，Agent将仅在单个CPU核心上工作。禁用CPU亲和性后，Agent将在多个CPU核心上工作，这种情况下可能会占用您较多的CPU资源。默认启用，建议您启用CPU亲和性。 如果修改配置，Agent会自动重启生效。 采集数据最大CPU使用率 （单位：百分比） 设置Agent最大CPU使用率。默认值为100%，取值范围：0%~100%，填0表示不限制。 Agent所占有的CPU使用率不会超过该设定值。如果该值设置过小，会导致审计数据不全面，建议您设置合理的值。 采集数据最大内存使用量 （单位：MB） 设置Agent最大内存使用量。 Agent缓存数据包所占用的内存不会超过该设定值。如果该值设置过小，会导致审计数据不全面。默认值为200 MB。该值不能超过设备的最大内存，且不能超过2000 MB。
      系统保护	系统资源超过设置的任一阈值时，Agent暂停工作，直到所有指标低于阈值。 CPU使用率阈值 （单位：百分比） 默认值100%，取值范围：0%~100%，填0表示不限制。 内存使用率阈值 （单位：百分比） 默认值100%，取值范围：0%~100%，填0表示不限制。 系统磁盘读IO阈值 （单位：KB/s） 默认值0，表示不限制。不能超过系统磁盘的最大读速率。 系统磁盘写IO阈值 （单位：KB/s） 默认值0，表示不限制。不能超过系统磁盘的最大写速率。
      进程保护	当Agent的CPU或内存使用超过设定值时，Agent将自动修复异常。 CPU异常保护阈值 （单位：百分比） 在正常情况下，Agent的CPU使用不会超出配置的上限，该配置可作为兜底保护，以防止特殊情况的发生。 默认值为100%，填0表示关闭CPU异常保护功能。 内存异常保护阈值 （单位：MB） 该配置可作为兜底保护，以防止特殊情况的发生。默认值为300 MB，填0表示关闭内存异常保护功能。
      抓包与过滤设置	默认无需配置。根据资产管理配置IP抓取流量，特殊场景下Agent会根据此配置进行网卡流量采集。 抓包网口 设置需要抓取流量包的网口。多个网口请使用空格分隔。 设置该参数后，数据审计服务只抓取您设置的网口上的流量。不设置此参数时，默认抓取全部网口上的流量。 抓包过滤串 设置抓包的过滤串。 配置后，数据审计服务将不再根据配置的资产自动抓包，只在抓包网口抓取匹配该过滤串的流量。配置示例：(host 192.168.1.100 and port 3306) or (host 192.168.1.101 and port 3306)。 按工具过滤 配置后将不再转发指定客户端工具的流量，可填写多个，多个值请用半角逗号分隔。配置示例：JDBC,Navicat Premium.exe。 按账号过滤 配置后将不再转发指定数据库账号的流量，可填写多个，多个值请用半角逗号分隔。配置示例：root,sa。
      本地回环审计配置	Agent安装在数据库服务器，且存在无TCP连接的访问行为，可以配置本地审计，实现不通过TCP/IP连接的本地数据库访问审计。 说明 本地审计支持审计非网络形式（进程间通信等）的数据库通信数据，目前仅支持Oracle、PostgreSQL、MySQL、SQL Server和DB2的特定版本。 回环网口 设置回环网口的名称。 不设置时会自动识别回环网口的名称。不建议您设置该参数。 回环抓包过滤串 设置回环抓包过滤串。 配置后，将不再根据配置的资产自动抓包，只在回环网口抓取匹配该过滤串的流量。配置示例：(port 3306) or (port 3307)。 回环网口替换IP(v4) 设置本地回环的IPv4地址。 设置该地址后，数据库审计服务会将网络流量中本地回环的IPv4地址改为该地址。不设置此参数时，不做任何变更。 回环网口替换IP(v6) 设置本地回环的IPv6地址。 设置该地址后，数据库审计服务会将网络流量中本地回环的IPv6地址改为该地址。不设置此参数时，不做任何变更。
      其他	Agent的其他配置 调试模式 选择启用或禁用调试模式。 启用调试模式后，数据库审计服务会记录更详细的调试日志。 数据传输加密 选择启用或禁用数据传输加密。 启用后会对Agent转发的数据进行加密。

4. 挂起、停止或卸载目标资产的Agent。

   1. 单击目标资产操作列的，单击挂起、停止或卸载。

   2. 在弹出的对话框中，查看挂起、停止或卸载影响后，单击确定。

      • 挂起

        

      • 停止

        

      • 卸载

        

配置审计告警

• DSC默认为数据资产提供内置审计规则，包括数据库审计规则、OSS审计规则、MaxCompute审计规则，并支持自定义审计规则。开启审计告警规则后，可根据审计日志检测数据资产的异常操作、数据泄露、漏洞攻击、SQL注入等风险。详细内容，请参见配置并开启审计告警规则。

• 开启审计告警规则后，DSC会将命中规则条件的行为，上报至DSC的审计告警。您可以根据告警信息和审计日志分析处理相关风险。详细内容，请参见查看和处理审计告警。

常见问题

相关文档

• 完成对应数据资产的审计模式配置后，您可以在日志分析页面查看该数据资产的审计日志，详细内容，请参见查看审计日志。

• 在线查询的审计日志会保存在数据安全中心提供的存储空间中，您可以查看当前存储空间容量使用情况，并管理在线存储日志和归档存储日志的存储规则。更多内容，请参见管理日志存储。