Мониторинг активности баз данных (DAM) и защита данных
Базы данных содержат самую критичную информацию организации, но большая часть действий в них выполняется теми, у кого уже есть легитимный доступ. Поэтому защита базы — это не только предотвращение внешней атаки, но и понимание того, кто и что делает с данными внутри.
Видимость на уровне данных
Кто, к какой базе, к каким объектам и какие действия выполнял.
Значимые события, а не весь SQL
В центр мониторинга уходит то, что действительно важно для безопасности.
Без влияния на продуктив
Метод сбора выбирается под инфраструктуру и проверяется под реальной нагрузкой.
Решения Database Activity Monitoring
Hafaza Tech проектирует и внедряет DAM и связанные решения по защите данных на базе Imperva и Krontech — от обследования критичных баз и выбора метода сбора до политик мониторинга, аудита и интеграции с центром мониторинга.
Основная платформа защиты данных в портфеле Hafaza Tech. Imperva Data Security Fabric объединяет несколько связанных уровней: поиск и классификацию данных, мониторинг активности, аналитику рисков, аудит и отчётность, защиту данных.
DAM обеспечивает мониторинг активности приложений и привилегированных пользователей, а классификация и аналитика добавляют контекст — насколько действие соответствует политике и чувствительности данных.
Интересна прежде всего там, где нужно централизованно контролировать активность в разнородной и гибридной инфраструктуре. При этом не все компоненты обязательны каждому заказчику — набор определяется задачами проекта.
Предлагает DAM как часть собственной архитектуры доступа к данным. Решение используется для мониторинга и аудита активности и может дополняться связанными средствами контроля, включая динамическое маскирование данных и управление доступом.
Дополнительный вариант для проектов, где требуется локальная архитектура мониторинга и защиты данных.
Конкретные СУБД, методы сбора и возможности проверяются на актуальной версии продукта в рамках проекта или пилота.
DAM расшифровывается как Database Activity Monitoring — мониторинг активности баз данных. Это не система управления доступом к базам: доступом управляет PAM и средства самой СУБД, а DAM отвечает за видимость и аудит того, что происходит внутри.
Что такое DAM
Наблюдать и анализировать то, что происходит внутри базы
Современный DAM должен помогать ответить не только на вопрос «какой запрос был выполнен», но и на более практичный: кто выполнил действие, к каким данным получил доступ, насколько это соответствует политике и требует ли событие расследования.
Что попадает в мониторинг
Аутентификация и подключения
SQL-запросы и команды СУБД
Доступ к таблицам, схемам и другим объектам
Действия привилегированных учётных записей
Активность служебных и прикладных записей
Изменение данных и конфигурации базы
Нарушения политик и нетипичное поведение
Легитимный доступ не означает допустимое действие
Доступ к базам есть у администраторов, разработчиков, поддержки, приложений, интеграций и подрядчиков.
Примеры, которые требуют контекста
Администратор выгружает большой объём клиентских данных. Служебная запись начинает обращаться к таблицам, которые обычно не использует. Приложение меняет привычный характер обращений.
Это не всегда атака
Причиной может быть новая версия приложения, изменение бизнес-процесса или административная задача. Но такое поведение требует объяснения и контекста безопасности.
Что даёт DAM
Видимость непосредственно на уровне активности в базе: не только факт успешной аутентификации, но и то, какие действия были выполнены и с какими данными.
Поэтому вопрос ставится не «есть ли у пользователя доступ», а «соответствует ли выполненное действие его роли, обычному поведению и политике».
Нативный аудит и DAM
DAM не обязательно заменяет встроенный аудит СУБД
Современные СУБД имеют собственные механизмы аудита, и во многих средах они закрывают значительную часть требований к журналированию. DAM может использовать нативный аудит, централизовать его и обогащать — в зависимости от архитектуры.
Где DAM добавляет ценность
Централизованный мониторинг разных СУБД
Единые политики безопасности
Нормализация активности
Контроль привилегированных пользователей
Единый журнал с поиском
Аналитика поведения и рисков
Интеграция с центром мониторинга
Два класса активности, за которыми следят в первую очередь
Для службы безопасности важнее всего различать действия людей с широкими правами и обращения приложений, которые генерируют основную часть трафика к базе.
Привилегированная активность
Администраторы баз данных и другие привилегированные пользователи имеют широкие права внутри СУБД. Важно видеть не только факт входа, но и реальные действия: чтение чувствительных данных, изменение записей, создание пользователей, изменение прав и конфигурации, массовая выгрузка, административные команды.
DAM создаёт дополнительный уровень наблюдения и аудита для таких действий.
Приложения и служебные записи
Большую часть активности генерируют приложения и служебные учётные записи, а не люди напрямую. Поэтому нужно понимать, какие приложения обращаются к базе, под какими записями, к каким объектам обычно и какие операции для них нормальны.
Неожиданное изменение характера обращений может означать компрометацию, злоупотребление или просто обновление приложения — и требует контекста, а не автоматического вывода об атаке.
Поэтому базовая задача внедрения — не «включить запись всего», а научиться отличать нормальное поведение каждой категории от того, что требует разбора.
Одна и та же операция может иметь разный риск
Выборка из технической таблицы и выборка из таблицы с персональными данными — разные события безопасности.
Поэтому мониторинг усиливается поиском и классификацией данных. Это помогает понять, где находятся чувствительные данные, какие типы данных хранятся, кто к ним обращается и насколько доступ соответствует политике. При этом DAM работает и без отдельного уровня классификации — она просто повышает ценность мониторинга там, где важен именно контекст чувствительности.
Аномалия сама по себе не является инцидентом. Новая целевая база, необычное время, резкий рост объёма обращений или нетипичные команды — это повод для разбора вместе с контекстом: кто субъект, насколько критичен актив, какие данные затронуты и что происходит в бизнес-процессе.
Что может приоритизировать события
Чувствительность затронутых данных
Критичность актива
Роль и права субъекта
Отклонение от обычного поведения
Объём доступа
Время и источник подключения
Как DAM получает активность базы данных
Универсально лучшего способа нет: архитектура выбирается под СУБД, модель развёртывания и требования заказчика.
Например, сетевой мониторинг может иметь ограничения для локальных подключений к базе и для зашифрованного трафика, а вариант с агентом или нативным аудитом имеет другие эксплуатационные компромиссы. Поэтому метод сбора подбирается по реальной инфраструктуре, а не по одному универсальному шаблону.
Аудит и соответствие требованиям
Централизованный журнал активности баз данных
Система должна позволять восстановить картину события целиком. Это нужно для расследований, контроля привилегированных пользователей, внутреннего аудита, соответствия требованиям и криминалистического анализа.
Для чего используется журнал
Расследование инцидентов
Контроль привилегированных пользователей
Внутренний аудит
Соответствие требованиям
Криминалистический анализ
Сроки хранения проектируются заранее — с учётом объёма активности, хранилища, регуляторных требований и того, насколько глубоко в прошлое нужно уметь смотреть при расследовании.
DAM и центр мониторинга
DAM не должен существовать отдельно от процессов безопасности. При этом передавать в SIEM каждый SQL-запрос не нужно: для крупных баз это создаёт большой объём малоценной телеметрии и быстро упирается в стоимость хранения.
DAM выполняет роль специализированного фильтра и источника контекста: он разбирает активность на уровне базы и передаёт дальше только значимые для безопасности события. Так центр мониторинга получает видимость по базам данных, не анализируя весь поток запросов.
Что имеет смысл передавать в SIEM
Нарушения политик
Подозрительная привилегированная активность
Нетипичный доступ
Операции с высоким риском
Значимые события аудита
DAM и смежные технологии
DAM пересекается с другими средствами контроля, но не заменяет их. Для критичных систем эти технологии обычно используются совместно.
PAM
Управляет привилегированным доступом: кто, куда и на каких условиях его получает.
DAM
Контролирует активность внутри базы и обращения к объектам данных.
DLP
Контролирует использование и передачу чувствительной информации по каналам.
Маскирование данных
Скрывает или преобразует чувствительные значения.
Мониторинг производительности СУБД
Отвечает за задержки, блокировки, медленные запросы и доступность — это не задача безопасности.
Более широкая архитектура защиты данных
Современные платформы дополняют мониторинг поиском и классификацией, аналитикой рисков, аудитом и защитой данных. Но DAM остаётся самостоятельным средством контроля: видимость и аудит активности.
Как Hafaza Tech внедряет DAM
Начинать со всех баз сразу не обязательно. Приоритет обычно получают платёжные системы, клиентские базы, хранилища учётных записей, финансовые системы и критичные бизнес-приложения.
01
Обследование
02
Охват
03
Архитектура
04
Пилот
05
Политики мониторинга
06
Интеграция с SIEM
07
Донастройка
08
Поддержка
09
Регулярный пересмотр
Определяем критичные базы, типы и версии СУБД, чувствительные данные, привилегированных пользователей, прикладные и служебные записи, существующий нативный аудит, сетевую архитектуру, требования соответствия и интеграцию с центром мониторинга.
Выбираем метод сбора под конкретную инфраструктуру и проверяем локальные и удалённые подключения, зашифрованный трафик, влияние на производительность, отказоустойчивость, сегментацию, хранилище и совместимость с СУБД.
Пилот проводится на реальной активности. Он должен ответить: видим ли мы нужные действия, различаем ли привилегированный, прикладной и служебный доступ, понятно ли, какие объекты данных были затронуты, сохраняется ли пригодный для поиска журнал, можно ли написать полезные политики без лишнего шума и что уходит в SIEM.
Отдельно проверяем видимость локальных подключений, поведение при зашифрованном трафике, работу выбранного метода сбора при сбое и влияние на производительность под реалистичной нагрузкой. Для DAM последний пункт особенно важен.
После пилота определяются политики для привилегированной активности, доступа к чувствительным данным, административных изменений, нетипичного поведения, критичных объектов и операций с высоким риском. Слишком широкие политики быстро создают шум, поэтому качество важнее количества правил.
После внедрения контролируем охват баз, состояние коллекторов и агентов, эффективность политик, ложные срабатывания, появление новых баз и прикладных записей, изменения в чувствительных данных и работоспособность интеграции с SIEM.
Imperva или Krontech?
Выбор зависит от архитектуры заказчика. Для DAM особенно важна проверка на реальной активности, поэтому мы предпочитаем пилот, а не сравнение таблиц функций.
Базы и среда
Типы СУБД, количество баз, локальная или облачная инфраструктура, гибридные сценарии.
Кого контролируем
Привилегированные пользователи, прикладные и служебные записи, требования к чувствительным данным.
Архитектура сбора
Метод сбора, видимость локального и зашифрованного трафика, отказоустойчивость.
Аудит
Глубина и сроки хранения, пригодность журнала для расследования и внутреннего аудита.
Интеграции
Передача значимых событий в SIEM и контекст для центра мониторинга.
Эксплуатация
Влияние на производительность, лицензирование, операционная сложность.
Что означает хороший DAM
Он должен позволять ответить на шесть вопросов — и сделать это без неоправданного влияния на работу базы.
Кто получил доступ к данным · что именно произошло внутри базы · какие объекты были затронуты · соответствует ли действие политике и обычному поведению · можно ли восстановить события для расследования и аудита · получит ли центр мониторинга значимый сигнал.
Есть еще вопросы? Мы обязательно ответим вам!
Не нашли ответа на свои вопросы? Отправьте свой вопрос ниже, и наша служба поддержки ответит на него в ближайшее время. Мы здесь, чтобы помочь вам с кибербезопасностью!
Задайте вопрос!
Получить консультацию!
Если вы хотите узнать больше о наших услугах в области кибербезопасности или не уверены, какие решения подойдут именно вам, оставьте заявку — и наши специалисты свяжутся с вами для бесплатной консультации.
Смежные решения
Дополняющие решения для комплексной защиты инфраструктуры и повышения общего уровня информационной безопасности.
PAM
Контроль привилегированного доступа к системам, в которых хранятся данные.
DLP
Контроль передачи чувствительной информации за пределы организации.
SIEM
Корреляция событий баз данных с остальной телеметрией безопасности.