Aurora PostgreSQL Audit Tools

Introduzione

Nell’ambiente attuale, in cui la sicurezza è sempre più sentita, le capacità di audit del database non sono più opzionali, ma componenti essenziali di ogni strategia di governance dei dati. Con l’aumento dei requisiti normativi come GDPR, HIPAA, PCI DSS e SOX, le organizzazioni devono implementare meccanismi di audit robusti per i propri database Amazon Aurora PostgreSQL.

Secondo il Data Breach Investigations Report 2024 di Verizon, le intrusioni di sistema e gli accessi non autorizzati rimangono minacce significative in tutti i settori. Ciò sottolinea l’importanza di implementare soluzioni di audit complete per i propri ambienti di database.

Questa guida esplora i vari strumenti di audit disponibili per Amazon Aurora PostgreSQL, confrontandone le funzionalità, gli approcci di implementazione e i casi d’uso migliori.

Strumenti di Audit Nativi per Aurora PostgreSQL

Di serie, Aurora PostgreSQL offre diversi strumenti di audit integrati per monitorare l’attività del database. In questa sezione, esamineremo brevemente ciascuno di essi.

Logging Standard di PostgreSQL

Aurora PostgreSQL eredita le funzionalità di registrazione di base di PostgreSQL, che offrono caratteristiche di audit di base tramite parametri di configurazione:

-- Parametri comuni relativi all'audit per PostgreSQL
log_statement = 'all'          -- Registra tutte le istruzioni SQL
log_connections = on           -- Registra tutti i tentativi di connessione
log_disconnections = on        -- Registra la chiusura di una sessione
log_duration = on              -- Registra la durata delle istruzioni
log_min_duration_statement = 0 -- Registra la durata di tutte le istruzioni

Questi parametri possono essere configurati attraverso il gruppo di parametri AWS RDS associato al cluster Aurora PostgreSQL.

Limitazioni del Logging Standard

Pur essendo utili, il logging standard di PostgreSQL presenta diverse limitazioni:

• Granularità limitata e opzioni di filtraggio ridotte
• Impatto sulle prestazioni a livelli di logging elevati
• Nessuna separazione integrata delle responsabilità
• Capacità di conformità limitate

Estensione pgAudit

L’Estensione di Audit per PostgreSQL (pgAudit) potenzia notevolmente le capacità nativa di audit di PostgreSQL, fornendo registrazioni dettagliate delle sessioni e degli oggetti.

Caratteristiche Principali

• Registrazione dell’audit a livello di sessione (istruzioni dell’utente)
• Registrazione dell’audit a livello di oggetto (operazioni su oggetti specifici)
• Classi di audit personalizzabili
• Supporto per il logging a livello di oggetto e a livello di istruzione

Implementazione

Come descritto nel AWS Database Blog, l’implementazione di pgAudit prevede:

1. Abilitare l’estensione nel proprio gruppo di parametri:

   shared_preload_libraries = 'pgaudit'
   

2. Creare l’estensione:

   CREATE EXTENSION pgaudit;
   

3. Configurare le impostazioni di audit:

   -- A livello di istanza (tramite il gruppo di parametri)
   pgaudit.log = 'DDL,ROLE,WRITE,READ'
   
   -- A livello di database
   ALTER DATABASE your_database SET pgaudit.log = 'DDL,ROLE';
   
   -- A livello di ruolo
   ALTER ROLE your_role SET pgaudit.log = 'WRITE,READ';
   

Esempio di Audit Log

2024-02-24 15:27:43.154 UTC:[15432]:LOG:  AUDIT: SESSION,25,1,WRITE,INSERT,TABLE,public.customer,"INSERT INTO customer (id, name) VALUES (1, 'John Smith')",<not logged>

Flussi di Attività del Database AWS

Caratteristiche Principali

• Monitoraggio dell’attività quasi in tempo reale
• Integrazione con i servizi AWS (Kinesis, Lambda, ecc.)
• Crittografia tramite AWS KMS
• Separazione delle responsabilità tra DBA e personale di sicurezza

Implementazione

Per abilitare i Flussi di Attività del Database è necessario:

1. Configurare i prerequisiti:

   • Impostare un gateway NAT nel tuo VPC
   • Configurare l’endpoint AWS KMS
   • Impostare i permessi IAM appropriati

2. Abilitare la funzionalità:

   AWS Console > RDS > Databases > [Il tuo Cluster Aurora] > Actions > Avvia flusso di attività del database
   

3. Configurare l’elaborazione del flusso:

   • Creare un flusso di consegna Kinesis Data Firehose
   • Impostare Lambda per l’elaborazione
   • Configurare S3 per l’archiviazione
   • Impostare degli avvisi tramite CloudWatch e SNS

Esempio di Integrazione

Per una guida dettagliata all’implementazione, consulta il tutorial passo-passo di AWS che copre:

• Creazione di funzioni Lambda per elaborare e inviare avvisi sui dati del flusso
• Impostazione di bucket S3 per l’archiviazione a lungo termine
• Configurazione di CloudWatch e SNS per l’invio di avvisi

Soluzione di Audit DataSunrise

Per le organizzazioni che richiedono capacità di audit avanzate al di là degli strumenti nativi, DataSunrise offre una soluzione completa di terze parti.

Caratteristiche Principali

• Gestione centralizzata dell’audit su piattaforme di database
• Filtraggio avanzato e auditing basato su regole
• Reportistica di conformità e invio di avvisi
• Analisi del comportamento e rilevamento delle anomalie
• Integrazione con soluzioni SIEM

Funzionalità Avanzate

DataSunrise va oltre le funzionalità di audit di base con:

• Analisi del Comportamento Utente per il rilevamento delle anomalie
• Reportistica di Conformità Automatica per i requisiti normativi
• Mascheramento Dinamico dei Dati per informazioni sensibili
• Integrazione con oltre 40 piattaforme di dati per una sicurezza unificata

Confronto degli Strumenti di Audit per Aurora PostgreSQL

Caratteristica	Logging Standard	pgAudit	Flussi di Attività del Database	DataSunrise
Complessità di Implementazione	Bassa	Bassa	Media	Media
Livello di Dettaglio	Di base	Elevato	Elevato	Molto elevato
Impatto sulle Prestazioni	Media	Bassa-Media	Bassa (Async)	Bassa
Monitoraggio in Tempo Reale	No	No	Sì	Sì
Separazione delle Responsabilità	No	No	Sì	Sì
Reportistica di Conformità	Manuale	Manuale	Manuale	Automatica
Costo	Gratuito	Gratuito	Costi dei Servizi AWS	Licenza
Integrazione con AWS	Nativo	Nativo	Nativo	Di terze parti
Supporto Multi-database	No	No	No	Sì

Strategia di Implementazione e Migliori Pratiche per gli Strumenti di Audit di Aurora PostgreSQL

Una strategia di audit completa spesso impiega più strumenti in combinazione:

1. Livello Base: Abilita il logging standard di PostgreSQL per la risoluzione dei problemi generali
2. Livello di Dettaglio: Implementa pgAudit per un audit dettagliato a livello SQL
3. Livello di Sicurezza: Utilizza i Flussi di Attività del Database per il monitoraggio della sicurezza in tempo reale
4. Livello di Conformità: Considera DataSunrise per requisiti di conformità avanzati

Considerazioni sulle Prestazioni

• Monitora l’impatto su CPU e I/O del logging di audit
• Utilizza filtri appropriati per limitare l’ambito dell’audit
• Considera modalità asincrone, se disponibili
• Implementa strategie di rotazione e archiviazione dei log

Migliori Pratiche di Sicurezza

• Implementa la separazione delle responsabilità per i log di audit
• Cripta i dati di audit sia a riposo che in transito
• Utilizza il principio del privilegio minimo per l’accesso agli audit
• Stabilisci procedure regolari di revisione dei log di audit

Conformità Normativa

I diversi strumenti di audit supportano vari requisiti normativi:

Regolamento	Requisiti Chiave	Strumenti Consigliati
GDPR	Tracciamento degli accessi, Protezione dei dati	pgAudit + DataSunrise
HIPAA	Controlli sugli accessi, Monitoraggio dell’attività	Flussi di Attività del Database + DataSunrise
PCI DSS	Tracciamento degli utenti, Monitoraggio delle modifiche	pgAudit + Flussi di Attività del Database
SOX	Controllo delle modifiche, Verifica degli accessi	Flussi di Attività del Database + DataSunrise

Conclusione

La scelta degli strumenti di audit giusti per il tuo ambiente Amazon Aurora PostgreSQL dipende dai requisiti specifici in termini di sicurezza, conformità e monitoraggio operativo. Per molte organizzazioni, un approccio a più livelli che combini il logging nativo di PostgreSQL, pgAudit, i Flussi di Attività del Database e soluzioni di terze parti come DataSunrise fornisce la copertura più completa.

Implementando gli strumenti di audit appropriati e seguendo le migliori pratiche, le organizzazioni possono garantire il rispetto dei requisiti normativi mantenendo la visibilità sui propri ambienti di database. Per vedere come DataSunrise può migliorare la tua strategia di audit per Aurora PostgreSQL, programma una demo oggi.