什么是数据库安全服务？
数据库安全服务DBSS的功能特性
数据库安全审计提供用户行为发现审计、多维度分析、实时告警和报表功能。
-
用户行为发现审计
- 关联应用层和数据库层的访问操作。
- 提供内置或自定义隐私数据保护规则，防止审计日志中的隐私数据（例如，帐号密码）在控制台上以明文显示。
- 关联应用层和数据库层的访问操作。
- 提供内置或自定义隐私数据保护规则，防止审计日志中的隐私数据（例如，帐号密码）在控制台上以明文显示。
-
多维度线索分析
- 行为线索
- 支持审计时长、语句总量、风险总量、风险分布、会话统计、SQL分布等多维度的快速分析。
- 会话线索
- 支持根据时间、数据库用户、客户端等多角度进行分析。
- 语句线索
- 提供时间、风险等级、数据用户、客户端IP、数据库IP、操作类型、规则等多种语句搜索条件。
- 行为线索
- 支持审计时长、语句总量、风险总量、风险分布、会话统计、SQL分布等多维度的快速分析。
- 会话线索
- 支持根据时间、数据库用户、客户端等多角度进行分析。
- 语句线索
- 提供时间、风险等级、数据用户、客户端IP、数据库IP、操作类型、规则等多种语句搜索条件。
-
风险操作、SQL注入实时告警
- 风险操作
- 支持通过操作类型、操作对象、风险等级等多种元素细粒度定义要求监控的风险操作行为。
- SQL注入
- 数据库安全审计提供SQL注入库，可以基于SQL命令特征或风险等级，发现数据库异常行为立即告警。
- 系统资源
- 当系统资源（CPU、内存和磁盘）占用率达到设置的告警阈值时立即告警。
- 风险操作
- 支持通过操作类型、操作对象、风险等级等多种元素细粒度定义要求监控的风险操作行为。
- SQL注入
- 数据库安全审计提供SQL注入库，可以基于SQL命令特征或风险等级，发现数据库异常行为立即告警。
- 系统资源
- 当系统资源（CPU、内存和磁盘）占用率达到设置的告警阈值时立即告警。
-
针对各种异常行为提供精细化报表
- 会话行为
- 提供客户端和数据库用户会话分析报表。
- 风险操作
- 提供风险分布情况分析报表。
- 合规报表
- 提供满足数据安全标准（例如Sarbanes-Oxley）的合规报告。
- 会话行为
- 提供客户端和数据库用户会话分析报表。
- 风险操作
- 提供风险分布情况分析报表。
- 合规报表
- 提供满足数据安全标准（例如Sarbanes-Oxley）的合规报告。
数据库安全服务DBSS的产品优势
数据库安全审计提供的旁路模式数据库审计功能，可以对风险行为进行实时告警。同时，通过生成满足数据安全标准的合规报告，可以对数据库的内部违规和不正当操作进行定位追责，保障数据资产安全。
-
部署简单
采用数据库旁路部署方式，操作简单，快速上手。
采用数据库旁路部署方式，操作简单，快速上手。
-
全量审计
支持对华为云上的RDS、ECS/BMS自建的数据库进行审计。
支持对华为云上的RDS、ECS/BMS自建的数据库进行审计。
-
快速识别
实现99%+的应用关联审计、完整的SQL解析、精确的协议分析。
实现99%+的应用关联审计、完整的SQL解析、精确的协议分析。
-
高效分析
每秒万次入库、海量存储、亿级数据秒级响应。
每秒万次入库、海量存储、亿级数据秒级响应。
-
多种合规
满足等保三级数据库审计需求。
满足网安法，SOX等国内外法案。
满足等保三级数据库审计需求。
满足网安法，SOX等国内外法案。
-
三权分立
系统管理员，安全管理员，审计管理员权限分离，满足审计安全需求。
系统管理员，安全管理员，审计管理员权限分离，满足审计安全需求。
数据库安全服务与其他云服务的关系
-
数据库安全服务DBSS与弹性云服务器的关系
数据库安全服务实例创建在弹性云服务器上，用户可以通过该实例，为弹性云服务器上的自建数据库提供安全审计功能。
数据库安全服务实例创建在弹性云服务器上，用户可以通过该实例，为弹性云服务器上的自建数据库提供安全审计功能。
-
数据库安全服务DBSS与关系型数据库的关系
数据库安全服务可以为关系型数据库服务中的RDS实例提供安全审计功能。
数据库安全服务可以为关系型数据库服务中的RDS实例提供安全审计功能。
-
数据库安全服务DBSS与裸金属服务器的关系
数据库安全服务可以为裸金属服务器上的自建数据库提供安全审计功能。
数据库安全服务可以为裸金属服务器上的自建数据库提供安全审计功能。
-
数据库安全服务DBSS与云审计服务的关系
云审计服务（Cloud Trace Service，CTS）记录数据库安全服务相关的操作事件，方便用户日后的查询、审计和回溯，具体请参见《云审计服务用户指南》。
云审计服务（Cloud Trace Service，CTS）记录数据库安全服务相关的操作事件，方便用户日后的查询、审计和回溯，具体请参见《云审计服务用户指南》。
-
数据库安全服务DBSS与对象存储服务的关系
对象存储服务（Object Storage Service，简称OBS）是一个基于对象的海量存储服务，为客户提供海量、安全、高可靠、低成本的数据存储能力。数据库安全审计支持将数据库的审计日志备份到OBS桶，实现高可用容灾。
对象存储服务（Object Storage Service，简称OBS）是一个基于对象的海量存储服务，为客户提供海量、安全、高可靠、低成本的数据存储能力。数据库安全审计支持将数据库的审计日志备份到OBS桶，实现高可用容灾。
-
数据库安全服务DBSS与云监控服务的关系
云监控服务（Cloud Eye）为用户提供一个针对弹性云服务器、带宽等资源的立体化监控平台。使您全面了解云上的资源使用情况、业务的运行状况，并及时收到异常报警做出反应，保证业务顺畅运行。详情请参见《云监控服务用户指南》
云监控服务（Cloud Eye）为用户提供一个针对弹性云服务器、带宽等资源的立体化监控平台。使您全面了解云上的资源使用情况、业务的运行状况，并及时收到异常报警做出反应，保证业务顺畅运行。详情请参见《云监控服务用户指南》
-
数据库安全服务DBSS与消息通知服务的关系
消息通知服务（Simple Message Notification，简称SMN），是一个可拓展的高性能消息处理服务。
关于SMN的详细内容，请参见《消息通知服务用户指南》。
消息通知服务（Simple Message Notification，简称SMN），是一个可拓展的高性能消息处理服务。
关于SMN的详细内容，请参见《消息通知服务用户指南》。
-
数据库安全服务DBSS与统一身份认证服务的关系
统一身份认证服务（Identity and Access Management，简称IAM）为数据库安全服务提供了权限管理的功能。
需要拥有DBSS System Administrator权限的用户才能使用DBSS。
如需开通该权限，请联系拥有Security Administrator权限的用户，详细内容请参考《统一身份认证服务用户指南》。
统一身份认证服务（Identity and Access Management，简称IAM）为数据库安全服务提供了权限管理的功能。
需要拥有DBSS System Administrator权限的用户才能使用DBSS。
如需开通该权限，请联系拥有Security Administrator权限的用户，详细内容请参考《统一身份认证服务用户指南》。
-
数据库安全服务产品咨询类
什么是数据库安全审计？
数据库安全服务（Database Security Service，DBSS）是一个智能的数据库安全服务，基于机器学习机制和大数据分析技术，提供数据库审计，SQL注入攻击检测，风险操作识别等功能，保障云上数据库的安全。
-
数据库安全服务购买类
购买实例时提示资源售罄时如何处理？
当您在购买数据库安全审计时，界面提示资源售罄，请您单击管理控制台左上角的
，选择其他区域后购买或提交工单。DBSS支持的区域说明，请参见哪些区域可以使用数据库安全服务？。
提交工单的详细操作，请参见：提交工单。
-
数据库安全服务审计功能类
数据库安全审计可以应用于哪些场景？
数据库安全审计采用数据库旁路部署方式，在不影响用户业务的提前下，可以对华为云上的RDS、ECS/BMS自建的数据库进行灵活的审计。
基于数据库风险操作，监视数据库登录、操作类型（数据定义、数据操作和数据控制）和操作对象，有效对数据库进行审计。
从风险、会话、SQL注入等多个维度进行分析，帮助您及时了解数据库状况。
提供审计报表模板库，可以生成日报、周报或月报审计报表（可设置报表生成频率）。同时，支持发送报表生成的实时告警通知，帮助您及时获取审计报表。
-
数据库安全服务审计Agent相关
数据库安全审计的Agent提供哪些功能？
使用数据库安全审计功能，必须在数据库节点或应用节点安装Agent。
数据库安全审计的Agent主要提供以下功能：
- 获取访问数据库流量
- 将流量数据上传到审计系统
- 接收审计系统配置命令
- 上报数据库状态监控数据
-
数据库安全服务审计操作类
如何添加Hbase数据库并进行审计？
Hbase数据库包含一个主Master节点，一个备Master节点和多个RegionServer节点。
添加Hbase数据库审计时，需将Master节点和RegionServer节点看做独立的数据库进行添加。
约束条件
- 仅支持hbase(protobuf)格式协议解析，不支持hbase(thrift)协议。
- 仅支持simple和kerberos认证方式。
说明：kerberos认证场景又分为这三种场景：仅认证、认证+完整性校验、认证+完整性校验+加密场景。
目前华为云支持：仅认证场景。
暂不支持：认证+完整性校验、认证+完整性校验+加密两个场景
操作示例
HBase数据库包含一个主Master，一个备Master和2个RegionServer节点。
- 主Master节点IP为192.168.0.1，其服务端口为16000。
- 备Master节点IP为192.168.0.2，其服务端口为16000。
- RegionServer1节点IP为192.168.0.3，其服务端口为16020。
- RegionServer1节点IP为192.168.0.4，其服务端口为16020。
添加该HBase数据库进行审计时，需添加4个数据库，其IP和端口分别为：
- 192.168.0.1:16000(对应主Master节点)。
- 192.168.0.2:16000(对应备Master节点)。
- 192.168.0.3:16020(对应RegionServer1节点)。
- 192.168.0.4:16020(对应RegionServer2节点)。
说明：如果没有备master节点，可以不添加备master数据库。
MRS集群该如何使用HBase数据库审计
MRS集群如果按照默认方式创建，其创建的集群使用的kerberos认证模式下的"认证+加密"方式，该配置下，DBSS无法正常审计到数据，需将其改为我们支持的认证方式。
MRS集群kerberos认证场景下认证方式的更改：
前往集群管理页面，在FusionInsight Manager系统中，选择“集群 > 待操作集群的名称 > HBase > 配置 -> 基础配置”，在这里面找到"hbase.rpc.protection"配置项，更改其对应的值。
"hbase.rpc.protection"配置项值对应的认证方式：
- authentication: 仅认证
- integrity: 认证+完整性校验
- privacy: 认证+完整性校验+加密
-
数据库安全服务审计故障排查类
无法使用数据库安全审计
问题现象
触发数据库流量后，在SQL语句列表页面搜索执行的语句，不能搜索到相关的审计信息。
建议您按照本章节的操作步骤排查无法审计SQL语句的原因并进行修改。
- 检查数据库信息是否正确以及数据库的审计是否已开启
- 检查审计范围中对应数据库是否已启用
- 检查数据库的Agent程序运行状态
- 检查数据库安全审计实例安全组规则是否开放
检查数据库信息是否正确以及数据库的审计是否已开启
1.登录管理控制台。
2. 在页面上方选择“区域”后，单击页面左上方的
，选择“安全与合规 > 数据库安全服务”，进入数据库安全审计“总览”界面。3.在左侧导航树中，选择“数据库列表”，进入数据库列表页面。
4.在“实例列表”下拉列表框中选择数据库所在的实例。
5.查看数据库信息，
6.检查数据库信息是否正确。
如果数据库信息正确，请执行7。
如果数据库信息错误，请先单击“删除”，删除该数据库，再单击“添加数据库”，重新添加该数据库。
a.如果问题已解决，结束操作。
b.如果问题仍存在，请执行7。
7.检查数据库的审计是否已开启。
如果“审计状态”为“已开启”，请执行检查审计范围中对应数据库是否已启用。
如果“审计状态”为“已关闭”，请单击“开启”，开启数据库审计。
a.如果问题已解决，结束操作。
b.如果问题仍存在，请执行检查审计范围中对应数据库是否已启用。
检查审计范围中对应数据库是否已启用
在左侧导航树中，选择“数据库安全审计 > 审计规则”，进入审计范围列表页面，
如果“状态”为“已启用”，请执行检查数据库的Agent程序运行状态。
如果“状态”为“已禁用”，请单击“启用”，启用数据库对应的审计范围规则。
- 如果问题已解决，结束操作。
- 如果问题仍存在，请执行检查数据库的Agent程序运行状态。
检查数据库的Agent程序运行状态
1.使用跨平台远程访问工具（例如PuTTY）以root用户通过SSH方式，登录Agent的安装节点。
2.执行以下命令，查看Agent程序的运行状态。
ps -ef|grep audit_agent
如果界面回显以下信息，说明Agent程序运行正常，请执行4。
/opt/dbss_audit_agent/bin/audit_agent
如果界面无回显信息，说明Agent程序运行异常，请执行3。
3.执行以下命令，重新启动Agent。
service audit_agent restart
如果问题已解决，结束操作。
如果问题仍存在，请执行4。
4.执行以下命令，检查Agent与数据库安全审计实例之间的通信状态。
tailf /opt/dbss_audit_agent/log/audit_agent.log
如果界面回显类似以下信息，说明Agent与数据库安全审计实例之间通信正常，请执行效果验证。
如果界面回显类似以下信息，说明Agent与数据库安全审计实例之间通信异常，请检查数据库安全审计实例安全组规则是否开放。
检查数据库安全审计实例安全组规则是否开放
1.进入数据库安全服务管理界面。
2.在左侧导航树中，选择“数据库安全审计 > 数据库列表”，进入数据库列表页面。
3.在“实例列表”下拉列表框中选择数据库所在的实例。
4.记录Agent安装节点IP信息。
单击数据库左侧的
展开Agent的详细信息，并记录“安装节点IP”。5.在数据库列表的上方，单击“添加安全组规则”。
6.在弹出的弹框中，记录数据库审计实例的“安全组名称”（例如default）。
7.单击“前往处理”，进入“安全组”列表界面。
8.在列表右上方的搜索框中输入安全组“default”后，单击
或按“Enter”，列表显示“default”安全组信息。9.单击“default”，进入“入方向规则”页面。
10.检查安全组的入方向规则。
请检查该安全组的入方向规则是否已为4中的安装节点IP配置了TCP协议（端口为8000）和UDP协议（端口为7000-7100）规则。
如果该安全组已配置安装节点的入方向规则，请执行效果验证。
如果该安全组未配置安装节点的入方向规则，请执行11。
11.为安装节点添加入方向安全规则。
在入方向规则页面，单击“添加规则”，
在“添加入方向规则”对话框中，为4中的安装节点IP添加TCP协议（端口为8000）和UDP协议（端口为7000-7100）规则，
单击“确定”，完成添加入方向规则。
效果验证
在数据库中输入一条SQL语句后，在SQL语句列表页面搜索执行的语句。
如果可以搜索到输入的SQL语句信息，说明问题已解决。
如果不能搜索到输入的SQL语句信息，说明问题仍存在，请联系技术支持。
