常见问题

数据库安全服务 常见问题 文档版本 15 发布日期 2019-01-15 华为技术有限公司

版权所有 华为技术有限公司 2019 保留一切权利 非经本公司书面许可, 任何单位和个人不得擅自摘抄 复制本文档内容的部分或全部, 并不得以任何形式传播 商标声明 和其他华为商标均为华为技术有限公司的商标 本文档提及的其他所有商标或注册商标, 由各自的所有人拥有 注意 您购买的产品 服务或特性等应受华为公司商业合同和条款的约束, 本文档中描述的全部或部分产品 服务或特性可能不在您的购买或使用范围之内 除非合同另有约定, 华为公司对本文档内容不做任何明示或默示的声明或保证 由于产品版本升级或其他原因, 本文档内容会不定期进行更新 除非另有约定, 本文档仅作为使用指导, 本文档中的所有陈述 信息和建议不构成任何明示或暗示的担保 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 i

目录 目录 1 功能类... 1 1.1 数据库安全服务支持哪些类型的数据库?... 1 1.2 数据库安全服务可以保护哪些数据库?... 1 1.3 为登录数据库安全服务实例而创建的弹性 IP 如何防止 DDoS 攻击?...2 1.4 为什么购买数据库安全服务实例后不能马上查看创建中的实例?... 2 1.5 数据库安全服务可以提供哪些关键的精细化功能?... 2 1.6 数据库防护控制台的配置流程是什么?... 2 1.7 数据库安全服务是否需要 MySQL 的 root 用户权限?...3 1.8 数据库安全服务产生的日志是否可以导入用户自己的日志分析平台?... 3 1.9 使用数据库安全服务需要对业务侧进行哪些配置?... 3 1.10 数据库安全服务防护与 Web 应用防火墙的 SQL 注入防护有哪些区别?... 4 1.11 动态数据脱敏功能是否会修改数据库的原始数据?... 4 1.12 数据库安全服务是否对用户业务有延时影响?... 4 1.13 忘记 HexaTier 初始登录密码时如何处理?... 4 1.14 什么是数据库安全审计?... 4 1.15 数据库安全审计可以应用于哪些场景?... 4 1.16 数据库安全审计如何收费?... 4 1.17 数据库安全审计支持哪些性能规格?... 4 1.18 数据库安全审计支持哪些数据库?... 5 1.19 数据库安全审计支持数据库部署在哪些操作系统上?... 5 1.20 数据库安全审计后续将提供哪些功能?... 5 1.21 数据库安全审计支持双向审计吗?... 5 1.22 数据库安全审计 Agent 客户端的进程名称是什么?... 6 1.23 数据库安全审计 Agent 客户端日志的保存在哪里?... 6 1.24 数据库安全审计的操作日志默认保存多久?... 6 1.25 数据库安全审计的审计数据默认保存多久?... 6 1.26 数据库安全审计的审计日志是否支持备份?... 6 1.27 数据库安全审计的操作日志是否可以迁移?... 6 1.28 数据库安全审计发生异常, 多长时间用户可以收到告警信息?... 6 1.29 每天发送告警总条数与每天收到的邮件数是相同的吗?... 6 2 地域类... 7 2.1 哪些区域可以使用数据库安全服务?... 7 3 约束限制类... 8 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 ii

目录 3.1 使用 HexaTier 有哪些约束限制?... 8 3.2 HexaTier 对浏览器版本有什么要求?... 8 4 操作类... 9 4.1 如何登录 HexaTier?... 9 4.2 如何运行 Agent 程序?...11 4.3 如何卸载 Agent 程序?... 13 4.4 如何查看数据库的 Agent 程序的运行状态?... 13 4.5 如何查看数据库安全审计的版本信息?... 13 4.6 如何查看数据库安全审计所有的告警信息?... 14 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 iii

1 功能类 1 功能类 1.1 数据库安全服务支持哪些类型的数据库? 本章节介绍数据库安全服务支持的数据库类型以及版本 数据库防护支持的数据库类型为 : Microsoft SQL Server 2008-2014 MySQL 5.5-5.7 PostgreSQL 9.4-9.5 DWS 1.2.3 说明 数据库安全防护支持 DDM(Distributed Database Middleware, 分布式数据库中间件 ), 由于 DDM 机制问题, 当前数据库安全服务仅支持 DDM 部分功能 数据库安全审计支持的数据库类型为 : MySQL 5.0 MySQL 5.1 MySQL 5.5 MySQL 5.6 MySQL 5.7 MySQL 8.0 1.2 数据库安全服务可以保护哪些数据库? 数据库安全服务可以对相同虚拟私有云及其子网下的 ECS 自建数据库和 RDS 关系型数据库提供保护 在非同一虚拟私有云及其子网下的 ECS 自建数据库 BMS 自建数据库和 RDS 关系型数据库, 由于网络限制的原因不能对其提供保护 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 1

1 功能类 1.3 为登录数据库安全服务实例而创建的弹性 IP 如何防止 DDoS 攻击? DDoS 高防是对 IP 地址进行 DDoS 攻击防护的一种网络安全服务 建议每一个弹性 IP 都对接 DDoS 高防, 从而保证创建的弹性 IP 免受 DDoS 攻击影响 1.4 为什么购买数据库安全服务实例后不能马上查看创建中的实例? 购买数据库安全服务实例时, 由于实例所在的虚拟机创建系统盘和网络配置需要少许时间, 所以需要在虚拟机配置完成才能查看创建中的数据库安全服务实例 1.5 数据库安全服务可以提供哪些关键的精细化功能? 本章节介绍数据库安全服务提供的关键精细化功能 数据库安全服务可以提供以下精细化功能 : 精细至表级访问控制, 控制维度包括 IP 用户 应用等 精细至列级审计, 审计维度包括 IP 用户 应用等 精细至列级动态脱敏, 脱敏策略灵活 1.6 数据库防护控制台的配置流程是什么? 本章节介绍数据库防护控制台 HexaTier 的关键配置操作流程 登录 HexaTier 后, 需要在 HexaTier 上对 DBSS 实例进行安全防护配置操作, 才可以对接华为云上的数据库, 对数据库提供防护和审计功能 HexaTier 关键的配置操作说明及流程如图 1-1 所示 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 2

1 功能类 图 1-1 HexaTier 配置流程 1.7 数据库安全服务是否需要 MySQL 的 root 用户权限? 不需要 数据库安全服务对 MySQL 进行安全防护, 只需要 MySQL 分配拥有读写权限的用户 1.8 数据库安全服务产生的日志是否可以导入用户自己的日志分析平台? 可以 数据库安全服务产生的日志可以归档到远程日志数据库, 用户可以使用自己的日志分析平台从远程日志数据库读取相应的日志进行分析 1.9 使用数据库安全服务需要对业务侧进行哪些配置? 本章节介绍使用数据库安全服务在业务侧需要执行哪些配置操作 使用数据库安全服务需要对业务侧进行以下配置 : 1. 在 HexaTier 上创建受保护数据库时配置代理, 并确认代理的状态为 激活 2. 修改数据库信息, 将数据库指向 HexaTier 上设置的代理地址和端口 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 3

1 功能类 1.10 数据库安全服务防护与 Web 应用防火墙的 SQL 注入防护有哪些区别? Web 应用防火墙的 SQL 注入防护需要依赖规则库识别攻击 数据库安全服务通过内置的数据库引擎, 可以全面覆盖数据库的各类语句, 不需要依赖规则库识别攻击 相比 Web 应用防火墙的 SQL 注入防护, 数据库安全服务识别的攻击更准确 1.11 动态数据脱敏功能是否会修改数据库的原始数据? 不会 数据库安全服务的动态数据脱敏功能修改的是从数据库返回给应用的响应数据, 不会修改数据库的原始数据 1.12 数据库安全服务是否对用户业务有延时影响? 数据库安全服务通过反向代理为数据库提供安全防护服务, 对用户业务的延时一般小于 3ms 在用户业务高峰期, 延时可能有变化 1.13 忘记 HexaTier 初始登录密码时如何处理? 登录 HexaTier 时, 如果忘记设置的 HexaTier 初始密码, 请联系客服处理 1.14 什么是数据库安全审计? 数据库安全审计 (Database Audit, 简称 DBAudit) 是数据库安全服务提供的旁路模式数据库审计功能, 通过实时记录用户访问数据库行为, 形成细粒度审计的合规性管理, 对风险行为进行实时告警, 对攻击行为进行阻断 同时, 数据库安全审计可以通过生成满足数据安全标准 (HIPAA Sarbanes-Oxley 和 PCIHIPAA Sarbanes-Oxley 和 PCI) 的合规报告, 对数据库的内部违规和不正当操作进行定位追责, 有效检测并阻断外部入侵, 保障数据资产安全 1.15 数据库安全审计可以应用于哪些场景? 数据库安全审计适用于对数据安全有较高安全要求的企业或保密机构 1.16 数据库安全审计如何收费? 公测期间, 您可以免费使用数据库安全审计 1.17 数据库安全审计支持哪些性能规格? 数据库安全审计支持以下 3 种规格 : 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 4

1 功能类 基础版 : 最多支持 3 个数据库实例 专业版 : 最多支持 6 个数据库实例 高级版 : 最多支持 30 个数据库实例 1.18 数据库安全审计支持哪些数据库? 数据库安全审计支持的数据库类型为 : MySQL 5.0 MySQL 5.1 MySQL 5.5 MySQL 5.6 MySQL 5.7 MySQL 8.0 1.19 数据库安全审计支持数据库部署在哪些操作系统上? 数据库安全审计支持部署在以下操作系统上的数据库 : LINUX64 UNIX WINDOWS 1.20 数据库安全审计后续将提供哪些功能? 数据库安全审计后续将提供以下高阶审计功能, 敬请期待 关联审计 压缩协议 SQL 注入检测 漏洞扫描 漏洞检测 拖库检测 阻断会话 审计日志加密 自学习动态建模黑白名单 数据库类型 版本 字符集 端口 操作系统自识别 1.21 数据库安全审计支持双向审计吗? 数据库安全审计默认使用双向审计 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 5

1 功能类 1.22 数据库安全审计 Agent 客户端的进程名称是什么? Agent 客户端进程名称为 : /opt/dbss_audit_agent/bin/audit_agent 1.23 数据库安全审计 Agent 客户端日志的保存在哪里? Agent 客户端日志存放路径为 : /opt/dbss_audit_agent/log/audit_agent.log 1.24 数据库安全审计的操作日志默认保存多久? 数据库安全审计的操作日志将一直保存 1.25 数据库安全审计的审计数据默认保存多久? 审计数据将一直保存 1.26 数据库安全审计的审计日志是否支持备份? 当前支持手动和自动两种备份方式 审计日志将备份到对象存储服务上, 系统将自动为您创建桶, 并按用量收费 1.27 数据库安全审计的操作日志是否可以迁移? 当前不支持迁移数据库操作日志 1.28 数据库安全审计发生异常, 多长时间用户可以收到告警信息? 在数据库安全审计正常运行的情况下, 从发生异常到收到告警邮件最大时延不超过 5 分钟 1.29 每天发送告警总条数与每天收到的邮件数是相同的吗? 是的 一条警告信息对应一个通知邮件 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 6

2 地域类 2 地域类 2.1 哪些区域可以使用数据库安全服务? 本章节介绍数据库安全服务支持的区域 华东 - 上海二 华南 - 广州 华北 - 北京一 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 7

3 约束限制类 3 约束限制类 3.1 使用 HexaTier 有哪些约束限制? 本章节介绍 HexaTier 使用的约束限制 在使用 HexaTier 管理系统时, 需要注意以下约束限制 : 如果选择关系型数据库作为远程日志数据库, 需要将数据库配置变量 local_infile 的值修改为 ON ( 该参数的默认值为 OFF ) 如果选择保护关系型数据库, 需要将数据库变量 lower_case_table_names 的值修改为 1 ( 该参数的默认值为 0 ) 高级活动监控 不支持将数据表的名称修改为中文 3.2 HexaTier 对浏览器版本有什么要求? 本章节介绍 HexaTier 支持的浏览器版本 登录到 HexaTier 管理系统前, 请确认使用的浏览器满足表 3-1 要求 表 3-1 支持的浏览器版本 浏览器 版本 Google Chrome - Mozilla FireFox Internet Explorer 30.1 及以上 11.0 及以上 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 8

4 操作类 4 操作类 4.1 如何登录 HexaTier? 如果 DBSS 实例绑定了弹性 IP, 可以在数据库安全服务界面通过互联网登录到 HexaTier 或使用 DBSS 实例同一虚拟私有云中的弹性云服务器登录 HexaTier 如果 DBSS 实例未绑定弹性 IP, 只能使用 DBSS 实例同一虚拟私有云中的弹性云服务器登录 HexaTier 在数据库安全服务界面通过互联网登录 步骤 1 登录管理控制台 步骤 2 单击管理控制台左上角的, 选择区域或项目 步骤 3 单击页面上方的 服务列表, 选择 安全 > 数据库安全服务 DBSS 步骤 4 步骤 5 在左侧导航树中, 选择 数据库安全服务 > 数据库安全防护, 进入数据库安全防护实例列表界面 在需要登录 HexaTier 的实例页面框中, 单击 登录, 如图 4-1 所示, 系统跳转到该实例的 HexaTier 登录界面 图 4-1 登录 HexaTier 步骤 6 输入 HexaTier 的登录用户名 admin 和密码, 单击 登录 或按 Enter, 如图 4-2 所示, 进入 HexaTier 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 9

4 操作类 图 4-2 HexaTier 登录界面 ---- 结束 使用同一虚拟私有云中的弹性云服务器登录 步骤 1 步骤 2 在待管理的 DBSS 实例的同一个虚拟私有云下, 查看虚拟私有云中是否存在弹性云服务器 是 : 执行步骤 2 否 : 在该虚拟机私有云下创建弹性云服务器后, 执行步骤 2 使用满足如表 4-1 要求的浏览器, 输入以下地址后, 按 Enter, 进入 HexaTier 的登录界面 https:// 弹性云服务器的私有 IP:5000 如果不能访问 5000 端口, 则需要在安全组中添加 TCP(Transmission Control Protocol) 的 5000 端口访问权限 详细操作, 请参见 虚拟私有云用户指南 表 4-1 支持的浏览器版本 浏览器 版本 Google Chrome - Mozilla FireFox 30.1 及以上 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 10

4 操作类 浏览器 Internet Explorer 版本 11.0 及以上 步骤 3 输入 HexaTier 的登录用户名 admin 和密码, 单击 登录 或按 Enter, 如图 4-3 所示, 进入 HexaTier 图 4-3 HexaTier 登录界面 ---- 结束 4.2 如何运行 Agent 程序? 以 Linux 操作系统为例说明, 成功添加数据库且开启审计后, 请参照以下操作步骤, 运行 Agent 程序 步骤 1 步骤 2 步骤 3 步骤 4 登录管理控制台 单击页面上方的 服务列表, 选择 安全 > 数据库安全服务 DBSS, 进入数据库安全服务界面 在左侧导航树中, 选择 数据库安全服务 > 数据库安全审计, 进入数据库安全审计实例列表界面 在数据库安全审计实例列表中, 单击需要下载 Agent 客户端的实例名称, 如图 4-4 所示 图 4-4 数据库安全审计实例列表 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 11

4 操作类 步骤 5 在 实例详情 界面, 选择 维护 > 数据库管理, 进入数据库列表页面 步骤 6 在需要下载 Agent 客户端的数据库所在行的 操作 列, 单击 下载 agent, 如图 4-5 所示, 将 Agent 安装包下载到本地 图 4-5 下载 Agent 步骤 7 将下载的 Agent 安装包 xxx.tar 上传到数据库 ( 例如使用 WinSCP 工具 ) 步骤 8 步骤 9 使用 PuTTY 工具以 root 用户通过 SSH 方式, 登录数据库 执行以下命令, 进入 Agent 安装包 xxx.tar 所在目录 cd Agent 安装包所在目录 步骤 10 执行以下命令, 解压缩 xxx.tar 安装包 tar -xf xxx.tar 步骤 11 执行以下命令, 安装 Agent 客户端 sh install.sh 如果界面回显以下信息, 说明安装成功 start agent starting audit agent audit agent started start success install dbss audit agent done! 步骤 12 执行以下命令, 查看 Agent 程序的运行状态 ps -ef grep audit_agent 如果界面回显以下信息, 说明 Agent 程序运行正常 /opt/dbss_audit_agent/bin/audit_agent 步骤 13 执行以下命令, 查看 Agent 与审计服务器通信状态 tailf /opt/dbss_audit_agent/log/audit_agent.log 如果界面回显以下信息, 说明 Agent 与审计服务器通信正常 图 4-6 通信正常 ---- 结束 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 12

4 操作类 4.3 如何卸载 Agent 程序? 以 Linux 操作系统为例说明, 成功添加数据库且 Agent 成功运行后, 请参照以下操作步骤, 卸载 Agent 程序 步骤 1 步骤 2 使用 PuTTY 工具以 root 用户通过 SSH 方式, 登录数据库 执行以下命令, 卸载 Agent 程序 sh /opt/dbss_audit_agent/uninstall.sh ---- 结束 4.4 如何查看数据库的 Agent 程序的运行状态? 以 Linux 操作系统为例说明, 数据库侧安装 Agent 客户端后, 请参照以下操作步骤, 查看 Agent 程序的运行状态 步骤 1 步骤 2 使用 PuTTY 工具以 root 用户通过 SSH 方式, 登录数据库 执行以下命令, 查看 Agent 程序的运行状态 ps -ef grep audit_agent 如果界面回显以下信息, 说明 Agent 程序运行正常 /opt/dbss_audit_agent/bin/audit_agent ---- 结束 4.5 如何查看数据库安全审计的版本信息? 请参照以下操作步骤查看数据库安全审计的版本信息 步骤 1 步骤 2 步骤 3 步骤 4 登录管理控制台 单击页面上方的 服务列表, 选择 安全 > 数据库安全服务 DBSS, 进入数据库安全服务界面 在左侧导航树中, 选择 数据库安全服务 > 数据库安全审计, 进入数据库安全审计实例列表界面 在数据库安全审计实例列表中, 单击需要查看基本信息的实例名称, 如图 4-7 所示 图 4-7 数据库安全审计实例列表 步骤 5 在 实例详情 界面, 单击 基本信息 步骤 6 查看实例版本信息, 如图 4-8 所示 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 13

4 操作类 图 4-8 查看实例版本信息 ---- 结束 4.6 如何查看数据库安全审计所有的告警信息? 请参照以下操作步骤查看数据库安全审计的告警信息 步骤 1 步骤 2 步骤 3 步骤 4 登录管理控制台 单击页面上方的 服务列表, 选择 安全 > 数据库安全服务 DBSS, 进入数据库安全服务界面 在左侧导航树中, 选择 数据库安全服务 > 数据库安全审计, 进入数据库安全审计实例列表界面 在数据库安全审计实例列表中, 单击需要查看告警监控的实例名称, 如图 4-9 所示 图 4-9 数据库安全审计实例列表 步骤 5 步骤 6 在 实例详情 界面, 选择 监控 > 告警监控, 进入告警监控页面 查看告警监控信息, 如图 4-10 所示 图 4-10 查看告警监控信息 ---- 结束 文档版本 15 (2019-01-15) 版权所有 华为技术有限公司 14