数据库日志审计管理细则

数据库日志审计管理细则一、总则1.1目的为规范公司数据库操作行为的记录、采集、存储、分析与追溯，及时发现越权访问、违规篡改、数据泄露和异常批量操作，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及《信息安全技术网络安全等级保护基本要求》（GB/T22239），制定本细则。1.2适用范围本细则适用于公司部署在生产、测试、开发、灾备及云环境中的全部数据库，包括但不限于关系型数据库（MySQL、PostgreSQL、Oracle、SQLServer）、分布式数据库、NoSQL数据库（MongoDB、Redis、HBase）、大数据组件（Hive、Impala）及数据库即服务（DBaaS）实例。第三方运维人员、外包开发人员、云服务商驻场人员通过账号、堡垒机或API对上述数据库进行的访问，同样适用本细则。1.3术语界定•数据库审计日志：数据库引擎自身产生或由审计代理采集的，记录登录、注销、权限变更、结构变更、数据访问、管理操作等行为的结构化记录。•特权账号：具备SYSDBA、root、sa、SUPER、GRANTOPTION或等效权限的数据库账号。•敏感表：存储个人信息、账户凭证、支付信息、商业秘密或定级为机密及以上数据的表，清单由数据安全工作组每年发布一次。•WORM存储：一次写入、多次读取（WriteOnceReadMany）的不可篡改存储介质。1.4管理原则•全量记录原则：生产环境数据库的登录、特权操作、DDL、敏感表DML必须全量审计，不得仅依赖抽样。•权责分离原则：数据库管理员（DBA）不得同时拥有审计策略配置权和审计日志删除权；审计日志由安全审计员独立管理。•不可篡改原则：日志从产生到归档必须保证完整性，任何账号不得在线修改、覆盖或删除审计记录。•最小可用原则：审计数据的查阅仅限授权人员，调阅内容遵循"按需最小字段、按需最小时间范围"。二、组织与职责2.1角色设置数据库日志审计工作设置四类角色，同一人员不得同时兼任两类相互制约的角色。角色归属部门核心职责不得兼任数据库管理员（DBA）运维部数据库运维、配合开启审计功能、执行告警处置中的技术止损安全审计员安全审计员信息安全部审计策略配置、日志分析、事件定性、日志调阅审批DBA、业务开发负责人业务数据Owner各业务部门确认敏感表清单、审批敏感数据查询、评估业务影响审计日志管理员审计日志管理员信息安全部日志平台组日志存储、归档、备份、完整性校验数据库实例管理2.2岗位职责清单1.DBA必须在新实例交付后2个工作日内完成审计参数配置，并向安全审计员提交《数据库审计接入确认单》；数据库版本升级、迁移或参数变更前，必须评估审计配置是否失效。2.安全审计员每个工作日至少查看2次审计告警平台（建议时间为09:30与16:30），对高危告警必须在15分钟内签收，2小时内形成初步定性。3.业务数据Owner对敏感表的新增、下线、字段变更负有申报义务，变更后1个工作日内同步至数据资产目录，审计规则随之更新。4.审计日志管理员每月5日前完成上月日志完整性校验，校验结果存档不少于3年；发现日志断流必须在4小时内发起溯源。三、审计范围与事件分类3.1必须审计的事件生产环境数据库必须对下列七类事件全量记录；测试、开发环境至少记录第1、2、3、6类。1.登录与会话事件：成功登录、登录失败、登出、会话超时、密码修改、密码重置失败。2.权限管理事件：账号创建、锁定、解锁、删除，角色授予与回收，密码策略变更。3.结构变更事件（DDL）：CREATE、ALTER、DROP、TRUNCATE、RENAME、存储过程与触发器的创建及修改。4.敏感数据操作事件（DML）：对敏感表的SELECT、INSERT、UPDATE、DELETE、MERGE，必须包含影响行数。5.非敏感表批量操作事件：单条SQL预计或实际影响行数超过10000行的DML，或单次结果集导出超过5000行的查询。6.特权管理事件：实例启停、参数修改、备份恢复、主备切换、日志清理、审计策略变更。7.异常与拒绝事件：SQL执行报错、权限拒绝、连接数耗尽、死锁、SQL注入特征语句被数据库或网关拦截的记录。3.2可豁免审计的情形•数据库内部调度账号执行的、已在调度平台登记并具备唯一任务编号的统计任务，可对其高频只读SQL做采样记录，但登录、权限变更、DDL仍必须全量记录。•豁免必须由业务数据Owner提出、安全审计员审批，豁免清单每季度复核一次；超过6个月未复核的豁免自动失效。3.3日志字段规范每条审计日志必须至少包含下列字段，字段缺失率不得高于0.1%。字段说明示例/要求event_id全局唯一事件编号UUIDevent_time事件发生时间精确到毫秒，统一UTC+8db_instance_id数据库实例唯一标识CMDB资产编号db_type与db_version数据库类型及版本MySQL8.0.32client_ip与client_host客户端IP与主机名经堡垒机转换后的真实来源IPserver_ip与port数据库服务端地址IPv4/IPv6db_user数据库账号个人账号必须可追溯到自然人os_user与source_program操作系统用户与客户端工具如navicate、jdbcsql_text完整SQL文本超长SQL截断长度不低于4000字符，同时保存全文对象存储地址object_owner、object_name、object_type操作对象库、模式、表、视图、过程rows_affected影响行数失败语句记为0result_code与error_message执行结果0为成功，非0记录错误号与摘要session_id与transaction_id会话与事务标识用于还原完整操作链log_hash当前记录哈希用于逐条完整性校验四、日志采集与配置管理4.1采集架构优先采用"数据库审计代理+日志平台"旁路采集方式；若数据库版本不支持代理或云平台限制代理安装，则采用数据库原生审计插件+Syslog转发；严禁通过在业务服务器上安装抓包软件后以明文文件方式长期留存日志。•审计代理必须独立部署，资源占用上限为数据库宿主机CPU的5%、内存的512MB；超过阈值必须告警而不是自动停止采集。•日志从产生到进入日志平台可检索状态的端到端延迟，正常情况下不得超过60秒；超过5分钟视为断流。•审计链路必须启用TLS1.2及以上加密传输，禁止使用SSLv3、TLS1.0、TLS1.1。4.2时间同步•所有数据库主机、代理服务器、日志平台节点必须配置不少于2个内部NTP源，时间偏差不得超过±1秒。•安全审计员每周一09:00前检查一次时间偏差报表；偏差超过1秒的实例必须在当日内校正，校正操作本身作为特权事件记录。•严禁直接在数据库主机上手工修改系统时间；确需修改必须先冻结该实例的审计定位用途，由运维负责人与安全审计员双人审批后执行。4.3审计参数基线以MySQL为参考基准，其他数据库按等效能力映射：配置项基线值说明audit_log_policyALL记录所有登录与查询事件audit_log_formatJSON保证字段可解析audit_log_strategyASYNCHRONOUS异步写入，避免阻塞业务；队列满时必须告警而非静默丢弃audit_log_connection开启连接与断开事件audit_log_query_dcl开启DCL语句必须记录general_log生产关闭避免与审计插件重复且无完整性保护log_bin开启配合审计做数据变更还原binlog_expire_logs_seconds≥1209600不少于14天，作为审计短期追溯补充审计策略变更必须通过变更工单实施，变更前后各导出一次策略快照，快照与工单一并归档。4.4防篡改要求•审计日志写入日志平台后，原始文件在数据库本地保留7天用于补传，超过7天由系统自动回收；DBA不得手工删除本地审计文件。•日志平台必须启用WORM存储桶或等价的对象锁（ObjectLock）模式，保留期内任何管理员账号均不可删除。•每日02:00由系统对前一日日志生成SHA-256哈希清单并写入独立校验库；安全审计员每月抽取不少于10%的实例进行哈希比对。五、日志存储、留存与备份5.1留存周期数据类别在线可检索归档保存依据一般业务数据库审计日志≥90天自产生之日起≥180天（累计不少于6个月）网络安全等级保护要求含个人信息数据库审计日志≥180天累计≥1年个人信息保护合规要求金融、支付、核心交易数据库审计日志≥1年累计≥3年行业监管与反舞弊追溯特权操作与审计策略变更日志≥1年累计≥3年内部高危操作追溯安全事件相关日志事件结案后≥3年与案件追溯期一致事件取证留存周期只能长于、不得短于上表要求；业务部门因客户合同或境外监管要求需要延长留存的，以书面要求为准。5.2存储与备份•在线日志采用副本数不低于3的分布式存储，任意单盘损坏不得丢失日志。•归档日志优先采用加密对象存储，加密密钥由密钥管理系统（KMS）独立托管，日志管理员与DBA均不得直接接触明文密钥。•归档恢复每季度演练一次，要求任意一天日志在4小时内恢复至可查询状态；演练结果记录在《日志归档恢复演练记录表》。•严禁将生产审计日志恢复至开发或测试环境用于排错；确需使用时必须对client_ip、db_user、SQL中的字面量敏感值进行脱敏，脱敏规则由信息安全部发布。5.3到期销毁日志超过留存周期后，由日志平台每月生成到期清单，日志管理员核对无误后执行逻辑删除并触发介质层覆写或对象过期；涉及加密存储的，可通过销毁数据加密密钥方式实现不可恢复。销毁操作必须生成《审计日志销毁记录》，经信息安全部负责人审批后保存3年。六、审计分析与告警规则6.1告警分级告警分为高危、中危、低危三级，不同级别对应不同的响应时限和处置权限。级别判定标准（任一即触发）响应时限启动权限处置原则高危特权账号在非工作时间登录；生产库执行DROP/TRUNCATE；单条SQL影响敏感表行数≥10000；10分钟内同一账号失败登录≥5次后成功；审计策略被关闭或日志采集断流超过15分钟15分钟内签收，2小时内初报安全审计员可直接通知DBA阻断会话，事后1小时内补办审批先止损、后溯源；必要时锁定账号或断开会话中危敏感表非授权查询；工作时间批量导出5000~10000行；非白名单IP登录生产库；存储过程被异常修改；权限授予范围超出申请人岗位1小时内签收，1个工作日内定性安全审计员发起核实，DBA配合核实业务合理性，未确认前限制继续导出低危单账号10分钟内失败登录3~4次；非敏感表大批量查询；工具版本异常；SQL执行报错率突增超过基线3倍1个工作日内签收，3个工作日内汇总安全审计员自行处置纳入趋势分析，连续3次同类告警升级为中危非工作时间定义为工作日20:00至次日08:00以及法定节假日全天；经审批的变更窗口在窗口期内不触发"非工作时间登录"告警。6.2重点监控场景6.2.1账号与权限异常监控路径：弱口令或泄露口令→攻击者使用合法账号登录→试探权限后提升角色或创建后门账号→导出敏感数据。阻断点包括：限制来源IP、开启多因素认证、对GRANT、CREATEUSER实时告警、新建账号24小时内必须复核。•同一账号5分钟内在2个及以上不同城市或不同归属地IP登录，触发高危告警"疑似账号共用或凭据泄露"。•离职人员账号在离职手续生效后出现登录行为，无论成功与否，立即触发高危告警并由账号管理员在30分钟内禁用。6.2.2批量数据泄露监控路径：业务系统被拖库或内部人员违规导出→大结果集查询或分页高频查询→通过客户端工具落盘外传。审计规则必须同时识别单次大批量和化整为零两种方式：•单次SELECT返回行数超过5000行，触发中危；超过10000行，触发高危。•同一账号对同一敏感表10分钟内发起超过20次分页查询、累计行数超过10000行，即使单次均未超限，也触发高危"疑似拆分拖取"。•客户端工具识别为mysqldump、expdp、selectintooutfile、BI工具导出门禁之外的程序时，直接触发高危。6.2.3破坏性操作与勒索监控路径：入侵者获得DDL权限→先删除审计表或关闭审计→执行DROPTABLE、TRUNCATE或加密后勒索。阻断规则：•生产库DROP、TRUNCATE必须具备变更工单编号；无工单的语句触发高危，审计平台可联动数据库防火墙在执行前阻断。•审计策略关闭、审计代理停止、日志转发中断超过3分钟即产生预警，超过15分钟升级为高危并通知信息安全部负责人。•数据库备份文件被异常删除或备份任务被禁用，直接触发高危。6.2.4SQL注入与应用越权•日志中出现UNIONSELECT、INTOOUTFILE、LOAD_FILE、SLEEP(、BENCHMARK(、注释符--与布尔盲注特征组合时，结合来源IP和报错频率触发中危及以上告警。•同一业务账号在1分钟内返回超过50个不同用户主键数据，疑似水平越权遍历，推送至应用安全负责人核查。七、告警处置与事件调查7.1分级处置流程7.1.1高危事件处置SOP1.0~15分钟：安全审计员签收告警，通过日志平台回放最近30分钟操作链，判断是否为已审批变更。2.15~30分钟：无法排除风险的，立即通知值班DBA断开可疑会话或锁定账号；DBA必须在10分钟内执行，执行结果回传。3.30~60分钟：保护现场，导出涉事账号、IP、SQL、影响对象、影响行数，禁止重启数据库或清理临时表。4.2小时内：安全审计员完成初步定性，形成《数据库安全事件初报》，报送信息安全部负责人及业务数据Owner。5.24小时内：召开复盘会，确认数据是否泄露、是否需要对外通报、是否冻结相关账号；形成处置报告并明确整改责任人与完成时限。6.5个工作日内：整改措施必须落地；无法按时完成的，需提交延期申请，最长延期不超过10个工作日。7.1.2中危与低危事件处置•中危事件由安全审计员在1个工作日内通过工单、即时通讯或电话向操作人核实；操作人必须在4小时内提供业务依据（需求编号、工单编号或审批记录），不能提供的暂停相关账号敏感表查询权限。•低危事件纳入周报分析；同一账号7天内出现3次同类低危告警，自动升级为中危并对其进行安全提醒。7.2现场保护与证据链•调查期间，涉事时间段的日志、二进制日志、堡垒机录像、网络流量日志必须单独标记为"证据"，留存期限延长至事件结案后3年。•证据导出必须采用只读方式，导出介质加密并由两人分别保管密码与文件；严禁在调查结论形成前向被调查人透露完整证据细节，防止串供。•涉及违法犯罪的，由信息安全部会同法务部在24小时内决定是否向公安机关报案，报案前不得对外披露事件信息。7.3误报与规则优化•判定为误报的告警，安全审计员必须在平台中填写误报原因（业务正常、规则缺陷、字段缺失、资产归属错误之一），不得仅标记"忽略"。•同一规则月度误报率超过30%，必须在5个工作日内调整阈值或增加白名单维度；白名单必须精确到账号、IP、时间窗口和操作对象，严禁使用"全部允许"式通配规则。八、日志调阅、审批与保密8.1调阅权限•安全审计员因日常监测可在权限范围内检索日志，但跨系统批量导出日志必须经信息安全部负责人审批。•DBA因故障排错需要查看日志，仅限本责任实例，可查询脱敏后的SQL文本；涉及敏感字段字面量的，必须经业务数据Owner审批。•内审、合规、人力或法务部门因调查需要调阅日志，必须提交《数据库审计日志调阅申请单》，经信息安全部负责人和日志所涉业务部门负责人双签批准。•公安、监管机构依法调取日志的，由法务部核验法律文书并统一对外提供，任何个人不得直接向外部机构提供日志。8.2审批要素与时效调阅申请必须载明调阅事由、时间范围、实例与账号范围、字段范围、使用人、保存地点和销毁时间。审批通过后有效期不得超过5个工作日，到期后日志平台自动回收访问权限；导出文件必须加水印（含申请人、时间、工单号），并在使用目的完成后2个工作日内删除。8.3保密要求•审计日志中可能包含SQL语句里的身份证号、手机号、银行卡号等字面量；调阅结果默认对这些字段脱敏（如手机号保留前3后4：`138**1234`），确需明文的必须在申请中单列理由。•严禁将审计日志、告警截图、事件报告发布到个人邮箱、公共网盘、非工作群聊或外部AI工具；违反者按公司数据保密制度追责，造成泄露的依法承担法律责任。九、监督检查与考核9.1检查机制（PDCA闭环）•计划（Plan）：信息安全部每年1月制定年度审计检查计划，覆盖全部生产实例，每季度抽查比例不低于25%。•执行（Do）：检查内容包括审计是否开启、字段是否完整、留存是否达标、告警是否及时处置、调阅是否经过审批。•检查（Check）：月度出具《日志审计运行月报》，指标包括日志覆盖率、断流时长、字段完整率、高危告警响应时长、事件结案率；季度向公司信息安全委员会汇报。•改进（Act）：连续两个月不达标的指标纳入专项整改，整改责任人须在10个工作日内提交根因分析和纠正预防措施。9.2关键考核指标指标目标值统计周期生产库审计覆盖率100%月度日志字段完整率≥99.9%月度日志采集断流时长（单实例月累计）≤15分钟月度高危告警15分钟签收率100%月度高危事件2小时初报率100%月度归档日志恢复演练成功率100%季度调阅审批合规率100%季度9.3违规处理•擅自关闭、删除、篡改审计日志，或规避审计策略直连数据库的，给予记过及以上处分；导致事件无法追溯或数据泄露的，解除劳动合同并追究法律责任。•DBA未在规定时限内完成告警止损操作的，首次通报批评，二次取消当年评优资格，造成严重后果的按安全事故处理。•安全审计员隐瞒、迟报高危事件，或违规向无关人员泄露告警内容的，按照公司信息安全奖惩制度处理。•替代方案：若因审计组件缺陷确需临时关闭某项审计，必须提交变更工单，采用数据库防火墙镜像、网络流量审计或增强人工值守中的至少一种补偿措施，关闭窗口不超过4小时并全程留痕。十、培训与能力要求10.1培训矩阵岗位培训内容培训频次考核合格线DBA审计参数配置、代理排障、告警止损操作每年2次笔试90分+实操90分安全审计员告警分析、事件定性、证据固定、日志平台检索每年4次笔试90分+场景演练通过开发与测试人员日志保密、禁止生产直连、SQL编写规范每年1次笔试80分业务数据Owner敏感表申报、调阅审批责任、事件影响评估每年1次笔试80分新入职员工审计红线、违规后果、基本操作要求入职2周内线上考试80分10.2演练要求•每年至少组织2次数据库安全场景桌面推演，覆盖"内部违规导出""勒索破坏""账号泄露异地登录"三类场景。•每年至少组织1次实操演练，从告警产生到止损、初报、复盘全流程计时；高危场景要求从告警到账号锁定不超过30分钟，未达标的须在30日内重练。十一、附则1.本细则由信息安全部负责解释和修订；每年至少评审一次，遇到法律法规、数据库架构或监管要求重大变化时30日内启动修订。2.本细则自发布之日起施行；原有相关制度与本细则不一致的，以本细则为准，其中比本细则更严格的合同或监管要求继续有效。3.各业务部门可依据本细则制定实施手册，但不得降低本细则规定的记录范围、留存周期和响应时限。附件一数据库审计接入确认单（样表）项目内容工单编号DB-AUDIT-YYYYMMDD-XXX实例名称与CMDB编