Audit Log di Greenplum

L'importanza di mantenere registri di audit completi negli ambienti di Greenplum Database è diventata sempre più critica, poiché le organizzazioni si trovano ad affrontare crescenti sfide in materia di cybersecurity. Le ricerche di Gartner rivelano che le organizzazioni che implementano soluzioni avanzate di logging e monitoraggio degli audit dei database riducono il rischio di violazioni dei dati fino al 70%, oltre a ridurre i tempi di risposta agli incidenti di quasi la metà.

Comprendere i Log di Audit di Greenplum

Il sistema di registrazione degli audit di Greenplum opera su tutte le istanze del database (coordinatore e segmenti), catturando informazioni dettagliate sulle operazioni del database, le attività degli utenti e gli eventi di sistema. L'infrastruttura di logging è composta da diversi componenti chiave:

Componenti Principali

File di Log in formato CSV
- Ogni istanza del database mantiene i propri file di log
- I log vengono archiviati in un formato CSV standardizzato
- Contengono registrazioni dettagliate degli eventi con i relativi timestamp
- Inclusi dati di identificazione degli utenti e informazioni sulle sessioni
Sistema di Gestione dei Log
- Gestisce la rotazione e l’archiviazione dei log
- Amministra l’allocazione dello spazio di archiviazione
- Controlla i periodi di conservazione
- Coordina il logging distribuito tra i segmenti
Strumenti di Analisi
- Utilità gplogfilter per l'analisi dei log
- Cataloghi di sistema per il tracciamento dei metadati
- Query SQL personalizzate per l'investigazione dei log
- Integrazione con strumenti di monitoraggio esterni e strutture di logging

Configurare i Log di Audit di Greenplum

Configurazione di Base

Per abilitare una registrazione completa degli audit in Greenplum, implementa le seguenti impostazioni essenziali:

-- Abilita la registrazione CSV
ALTER SYSTEM SET log_destination = 'csvlog';

-- Configura i parametri base di logging
ALTER SYSTEM SET logging_collector = on;
ALTER SYSTEM SET log_truncate_on_rotation = on;
ALTER SYSTEM SET log_rotation_age = '1d';
ALTER SYSTEM SET log_rotation_size = '100MB';

-- Abilita la registrazione dettagliata
ALTER SYSTEM SET log_error_verbosity = 'verbose';
ALTER SYSTEM SET log_min_messages = 'info';

Configurazione Avanzata del Logging

Per capacità di audit potenziate, aggiungi le seguenti impostazioni aggiuntive:

-- Abilita dettagli estesi di logging
ALTER SYSTEM SET log_connections = on;
ALTER SYSTEM SET log_disconnections = on;
ALTER SYSTEM SET log_duration = on;
ALTER SYSTEM SET log_statement = 'all';
ALTER SYSTEM SET log_min_duration_statement = '1000';

-- Configura il prefisso della linea di log per un contesto dettagliato
ALTER SYSTEM SET log_line_prefix = '%t [%p]: [%l-1] user=%u,db=%d,app=%a,client=%h ';

Esempi Pratici di Implementazione

1. Analisi dei Tentativi di Autenticazione

Monitora i tentativi di accesso falliti e i pattern sospetti di autenticazione:

SELECT event_time,
       user_name,
       database_name,
       remote_host,
       event_message
FROM gp_toolkit.gp_log_system
WHERE event_severity = 'LOG'
AND event_message LIKE '%autenticazione fallita%'
ORDER BY event_time DESC
LIMIT 10;

Esempio di output:

Orario Evento	Nome Utente	Nome Database	Host Remoto	Messaggio Evento
2024-02-14 15:30:45	analyst	salesdb	10.0.1.100	autenticazione fallita
2024-02-14 15:28:32	etl_user	datamart	10.0.1.101	autenticazione fallita
2024-02-14 15:25:18	admin	production	10.0.1.102	autenticazione fallita

2. Tracciamento delle Operazioni DDL

Monitora le modifiche allo schema e le modifiche strutturali:

SELECT event_time,
       user_name,
       database_name,
       event_message
FROM gp_toolkit.gp_log_system
WHERE event_severity = 'INFO'
AND (event_message LIKE 'CREATE%'
     OR event_message LIKE 'ALTER%'
     OR event_message LIKE 'DROP%')
AND event_time >= current_timestamp - interval '24 hours'
ORDER BY event_time DESC;

Esempio di output:

Orario Evento	Nome Utente	Nome Database	Messaggio Evento
2024-02-14 16:45:22	admin	production	CREATE TABLE sales_2024
2024-02-14 16:30:15	dev_lead	staging	ALTER TABLE customers ADD COLUMN
2024-02-14 16:15:08	etl_user	datamart	DROP INDEX idx_customer_id

3. Analisi delle Prestazioni delle Query

Analizza query a lunga esecuzione e pattern di prestazioni sulla tabella clients:

SELECT event_time,
       user_name,
       database_name,
       substring(event_message from 'duration: (\d+\.\d+) ms') as duration_ms,
       substring(event_message from 'statement: (.*)') as query
FROM gp_toolkit.gp_log_system
WHERE event_message LIKE '%duration:%'
AND database_name = 'testdb'
AND event_message LIKE '%public.clients%'
AND event_time >= current_timestamp - interval '1 hour'
ORDER BY duration_ms::float DESC
LIMIT 5;

Esempio di output:

Orario Evento	Nome Utente	Nome Database	Durata (ms)	Query
2024-02-14 16:45:22	analyst	testdb	5842.3	SELECT * FROM public.clients WHERE birth_date > ‘1990-01-01’
2024-02-14 16:30:15	admin	testdb	4521.8	UPDATE public.clients SET sex = ‘F’ WHERE id BETWEEN 1000 AND 2000
2024-02-14 16:15:08	etl_user	testdb	3845.2	SELECT first_name, last_name FROM public.clients WHERE sex = ‘M’
2024-02-14 16:10:45	dev_lead	testdb	2954.7	DELETE FROM public.clients WHERE id < 100
2024-02-14 16:05:33	support	testdb	2145.9	SELECT COUNT(*) FROM public.clients GROUP BY sex

Migliorare i Log di Audit con DataSunrise

Sebbene la registrazione nativa degli audit di Greenplum offra capacità essenziali, gli ambienti aziendali moderni richiedono soluzioni più sofisticate. DataSunrise risponde a queste esigenze estendendo le capacità di logging di Greenplum tramite la sua innovativa piattaforma per la sicurezza dei database.

Operando come proxy tra le applicazioni e Greenplum Database, DataSunrise intercetta e analizza in tempo reale tutto il traffico del database. Ciò consente un monitoraggio completo senza modificare l'infrastruttura del database o il codice dell'applicazione esistente.

Interfaccia del Dashboard dei Tracciati di Audit di DataSunrise — Dashboard dei Risultati e delle Analisi dei Tracciati di Audit di DataSunrise

La piattaforma trasforma i dati grezzi degli audit in informazioni di sicurezza operative attraverso:

Raccolta centralizzata dei log e analisi in tempo reale su tutte le istanze del database
Rilevamento intelligente dei pattern e identificazione delle anomalie
Reportistica automatizzata per la conformità a GDPR, HIPAA e PCI DSS
Integrazione con l'infrastruttura di sicurezza esistente e i sistemi SIEM

L'interfaccia intuitiva di DataSunrise permette ai team di sicurezza di identificare e rispondere rapidamente a potenziali minacce alla sicurezza, mentre i dashboard personalizzabili aiutano a filtrare il superfluo e concentrarsi sugli eventi di sicurezza rilevanti. Questa combinazione di capacità di monitoraggio avanzate e design user-friendly rende la soluzione efficace per le organizzazioni che cercano di potenziare l'infrastruttura di audit logging di Greenplum.

Migliori Pratiche per la Gestione dei Log di Audit

Prestazioni e Archiviazione

Implementare la rotazione automatica dei log in base alla dimensione e all'età dei file
Abilitare una registrazione selettiva in base alla criticità dell'operazione e alla sensibilità dei dati
Pianificare operazioni di logging intensive durante le ore di bassa attività
Monitorare la capacità di archiviazione e adeguare le politiche di conservazione di conseguenza
Utilizzare la compressione per i log archiviati, al fine di ottimizzare l'utilizzo dello spazio

Sicurezza e Controllo degli Accessi

Crittografare i file di log sia a riposo che in transito
Implementare controlli degli accessi basati sui ruoli per la gestione dei log
Monitorare e generare alert per tentativi non autorizzati di accesso ai log
Verificare regolarmente l'integrità dei file di log
Mantenere credenziali per il logging separate da quelle delle applicazioni

Soluzioni di Terze Parti e Integrazione

Utilizzare soluzioni di terze parti come DataSunrise per potenziare le capacità di logging native
Implementare una gestione centralizzata dei log e analisi
Configurare sistemi di alerting e monitoraggio in tempo reale
Abilitare meccanismi automatizzati di risposta alla sicurezza
Sfruttare analisi avanzate per il rilevamento delle minacce

Conformità e Documentazione

Documentare tutte le configurazioni e le modifiche relative ai log
Generare report di conformità automatizzati per le esigenze regolamentari
Mantenere tracciamenti dettagliati degli accessi e delle modifiche ai log
Rivedere e aggiornare regolarmente le politiche di logging
Stabilire chiare politiche di conservazione in linea con le normative di settore

Conclusione

Una efficace registrazione degli audit in Greenplum richiede un approccio bilanciato che combini le capacità native con strumenti specializzati. Sebbene Greenplum offra robuste funzionalità di logging integrate, le organizzazioni spesso traggono vantaggio dall'implementare soluzioni aggiuntive come DataSunrise per potenziare le proprie capacità di sicurezza e conformità.

Il successo nell'implementazione dei log di audit dipende dalla capacità di trovare il giusto equilibrio tra il monitoraggio completo e le prestazioni del sistema. La valutazione regolare e l'aggiornamento delle politiche di logging, uniti a una selezione appropriata degli strumenti, consentono alle organizzazioni di mantenere una solida postura di sicurezza pur soddisfacendo i requisiti operativi.

Scopri come DataSunrise può migliorare le capacità di audit logging di Greenplum prenotando oggi stesso una demo online.