Audit del Database per ClickHouse

ClickHouse è un database analitico ad alte prestazioni progettato per l’elaborazione di dati su larga scala. La sua architettura privilegia la velocità e l’esecuzione parallela, rendendolo efficace per ambienti che gestiscono carichi di lavoro significativi. Queste caratteristiche aumentano anche l’importanza di mantenere un processo di audit in grado di tracciare come i dati vengono accessi e modificati.

ClickHouse offre diversi meccanismi integrati per la registrazione delle query e degli eventi di sistema. Tuttavia, questi componenti nativi non sono pensati come strumenti di auditing completi e conformi. Le organizzazioni che operano in settori regolamentati o in ambienti che richiedono registri di attività verificabili potrebbero necessitare di funzionalità di auditing e governance più avanzate.

Questo documento illustra le funzionalità di auditing native di ClickHouse e descrive come DataSunrise le potenzia con il monitoraggio centralizzato e funzionalità orientate alla conformità. Per argomenti correlati, consultare i materiali di DataSunrise su Database Activity Monitoring e le basi dei Audit Logs.

Importanza dell’Audit del Database

L’audit del database fornisce visibilità su come un sistema viene utilizzato, quali utenti hanno eseguito specifiche query e come i dati sono stati accessi o modificati. Supporta la governance operativa, aiuta a rilevare attività non autorizzate e costituisce una base per indagini strutturate sugli incidenti.

Le organizzazioni soggette a requisiti normativi come il GDPR, HIPAA, PCI DSS o SOX devono mantenere tracce di audit complete. Le linee guida di DataSunrise sulle regolamentazioni di conformità dei dati spiegano ulteriormente come i meccanismi di audit contribuiscono alla preparazione normativa.

Le tracce di audit sono inoltre strettamente correlate a concetti come la Storia dell’Attività dei Dati e la Sicurezza del Database, entrambi basati su un logging accurato e un monitoraggio continuo.

Capacità di Audit Native in ClickHouse

ClickHouse include diversi meccanismi di logging interni che forniscono insieme informazioni sulle query degli utenti, tentativi di autenticazione, operazioni di sistema ed eventi di storage in background.

Query Log

ClickHouse registra le query eseguite nella tabella system.query_log. Questo log contiene il testo SQL, l’identità dell’utente, l’indirizzo IP del client, la durata dell’esecuzione, il consumo di risorse e metadati aggiuntivi. In confronto, DataSunrise offre un auditing basato su regole più flessibile nella sua Guida all’Audit.

<query_log replace="true">
    <database>system</database>
    <table>query_log</table>
    <flush_interval_milliseconds>1000</flush_interval_milliseconds>
</query_log>

SELECT event_time, type, user, query
FROM system.query_log
ORDER BY event_time DESC
LIMIT 20;

Access Log

Gli eventi relativi all’autenticazione sono memorizzati nella tabella system.access_log, inclusi accessi riusciti, tentativi di login falliti ed eventi del ciclo di vita delle sessioni:

SELECT *
FROM system.access_log
ORDER BY event_time DESC
LIMIT 20;

Il comportamento di autenticazione è un componente fondamentale in framework di sicurezza più ampi come il Controllo degli Accessi Basato sui Ruoli (RBAC).

Part Log

Operazioni a livello di storage quali creazione di partizioni, fusioni, cancellazioni ed esecuzione di mutazioni sono catturate nella tabella system.part_log:

SELECT event_time, event_type, table, rows
FROM system.part_log
ORDER BY event_time DESC
LIMIT 20;

Queste operazioni si riferiscono a eventi di modifica del database, che si integrano naturalmente con i principi delineati nelle Tracce di Audit.

Server Logs

ClickHouse genera log diagnostici a livello server contenenti tracce, avvisi, errori e messaggi di sistema. Questi log sono principalmente destinati alla risoluzione dei problemi più che all’audit strutturato.

2024.11.14 12:32:11.452321 [ 12345 ] <Information> TCPHandler: Processed Query: SELECT * FROM events LIMIT 10
2024.11.14 12:32:11.452987 [ 12345 ] <Debug> MemoryTracker: Peak memory usage: 12.34 MiB
2024.11.14 12:32:11.453211 [ 12345 ] <Trace> executeQuery: Query execution finished
2024.11.14 12:32:12.001234 [ 23456 ] <Warning> Connection: Authentication failed for user 'testuser'

Per un’analisi operativa più approfondita, gli utenti di DataSunrise possono inoltre fare riferimento a funzionalità quali le Notifiche in Tempo Reale.

Capacità di DataSunrise per ClickHouse

DataSunrise potenzia l’audit di ClickHouse attraverso la cattura dettagliata delle attività, regole granulari, mascheramento, analisi comportamentale, notifiche in tempo reale, report di conformità e visibilità in ambienti eterogenei. Queste capacità si allineano strettamente con il più ampio framework di sicurezza di DataSunrise descritto nella Guida alla Sicurezza.

Audit Logging Completo

DataSunrise cattura attività di ClickHouse quali esecuzione di query, modifiche allo schema e accessi ai dati, memorizzando ogni evento con metadati completi.

• Garantisce dati di audit coerenti e strutturati
• Conserva una cronologia cronologica degli eventi per revisioni a lungo termine
• Registra sia operazioni riuscite che non riuscite
• Consente analisi forense dettagliate
• Completa flussi di lavoro più ampi come la Generazione di Report

Configurazione Avanzata delle Regole

Possono essere create policy dettagliate per indirizzare specifiche operazioni SQL, tabelle, utenti o condizioni di accesso.

• Supporta l’attivazione delle regole basata su condizioni
• Consente auditing selettivo per set di dati sensibili
• Semplifica il raggruppamento e l’organizzazione delle policy
• Si integra con Learning Rules and Audit

Protezione dei Dati Sensibili

Con il data masking dinamico e statico, DataSunrise previene l’esposizione di informazioni sensibili nei log di audit.

• Garantisce protezione coerente attraverso gli ambienti
• Maschera i dati sensibili prima della memorizzazione
• Supporta controlli di privacy per la conformità
• Completa le migliori pratiche per la gestione delle Informazioni Personali

Avvisi in Tempo Reale

Notifiche tramite Slack, Microsoft Teams, email e webhook aiutano gli amministratori a rispondere rapidamente agli eventi critici.

• Evidenzia violazioni di policy o anomalie
• Supporta catene di escalation
• Consente una risposta immediata
• Funziona insieme alle protezioni del Firewall per Database

Analisi Comportamentale e delle Anomalie

La piattaforma identifica modelli di utilizzo insoliti e deviazioni dal comportamento normale.

• Individua attività irregolari nel database
• Evidenzia query rare o ad alto rischio
• Monitora i cambiamenti comportamentali nel tempo
• Si allinea con l’Analisi del Comportamento Utente

Report di Conformità

Supporta report automatizzati allineati a GDPR, HIPAA, PCI DSS e SOX.

• Riduce la preparazione manuale
• Include template di report standardizzati
• Consolida riassunti rilevanti delle attività
• Opera in congiunzione con il Compliance Manager

Confronto: Auditing Nativo di ClickHouse vs DataSunrise

Conclusione

ClickHouse fornisce strumenti di logging di base che catturano aspetti chiave dell’attività sul database. Tuttavia, le organizzazioni che richiedono supervisione centralizzata, protezione dei dati sensibili e reportistica conforme spesso traggono vantaggio da capacità di auditing avanzate.

DataSunrise estende l’audit di ClickHouse tramite logging completo, configurazione granulare delle regole, mascheramento, avvisi, analisi comportamentale, reportistica di conformità e visibilità unificata su piattaforme differenti. Queste funzionalità creano un framework di audit completo adatto a esigenze operative, di sicurezza e normative.