Audit e monitoraggio

Il database auditing registra chi ha fatto cosa, quando e da dove. È essenziale per rilevare gli abusi, analizzare gli incidenti e dimostrare la conformità.

Il controllo degli accessi previene le azioni non autorizzate; l'auditing indica quando i controlli sono stati messi alla prova o aggirati.

Acquisisca gli eventi importanti per la sicurezza e la conformità:

• Accessi e tentativi di accesso non riusciti.
• Modifiche ai privilegi e ai ruoli (GRANT, REVOKE).
• Modifiche allo schema (CREATE, ALTER, DROP).
• Accessi alle tabelle sensibili.
• Esportazioni massive di dati.

La maggior parte dei motori include una funzione di audit. La abiliti invece di affidarsi esclusivamente ai log dell'applicazione, perché il database vede ogni query, indipendentemente dal client.

PostgreSQL utilizza l'estensione pgAudit per generare log di audit dettagliati e strutturati, conformi alla maggior parte dei requisiti normativi.

Numerosi accessi non riusciti ripetuti dalla stessa origine spesso indicano un attacco brute force o di credential stuffing. Sottoponga questi eventi ad audit e invii un avviso quando viene superata una soglia.

• Tracci i tentativi non riusciti per account e per indirizzo IP di origine.
• Blocchi o limiti i tentativi dopo N errori.
• Avvisi il team di sicurezza in tempo reale.

I due concetti sono correlati, ma diversi:

• L'auditing è il registro permanente degli eventi per una revisione successiva.
• Il monitoraggio è l'analisi in tempo reale che genera avvisi.

Registra gli eventi nei log tramite l'auditing, quindi monitora questi log per intervenire rapidamente.

Invii i log di audit a un sistema SIEM (Security Information and Event Management) centralizzato. Centralizzare i log impedisce a un aggressore di cancellare le prove locali e consente di correlare gli eventi tra i sistemi.

Definisca il comportamento normale, quindi generi avvisi in caso di deviazioni:

• Un account di sola lettura che improvvisamente esegue UPDATE.
• Query alle 3 di notte da un'applicazione attiva solo durante l'orario lavorativo.
• Una singola query che restituisce milioni di righe, possibile esfiltrazione.

I log di audit sono a loro volta un bersaglio. Gli aggressori cercano di eliminarli o modificarli per nascondere le proprie tracce.

• Scriva i log in uno storage append-only o remoto.
• Limiti chi può leggere o eliminare i dati di audit.
• Utilizzi la separazione dba del database, in modo che gli utenti dell'applicazione non possano disabilitare l'audit.

L'audit è utile solo se i log vengono conservati e sottoposti effettivamente a revisione.

• Imposti un periodo di conservazione conforme alle policy, spesso pari o superiore a 1 anno.
• Pianifichi revisioni periodiche, non soltanto verifiche al momento di un incidente.
• Automatizzi i report per fornire le evidenze di conformità.

L'audit comporta un sovraccarico. Lo ottimizzi in modo da non compromettere le prestazioni del database.

• Sottoponga ad audit le tabelle sensibili e le azioni con privilegi elevati, non ogni SELECT.
• Reindirizzi la scrittura dei log su un disco separato o su uno stream.
• Verifichi prima l'impatto sulle prestazioni in staging.

Distinguere l'audit dal monitoraggio.

L'audit e il monitoraggio offrono visibilità sulle attività del database:

• Sottoponga ad audit gli accessi, le modifiche ai privilegi, le modifiche allo schema e gli accessi ai dati sensibili.
• Utilizzi gli strumenti nativi, come pgAudit e i plugin di audit, insieme a un SIEM centralizzato.
• Monitora i log per generare avvisi sulle anomalie in tempo reale.
• Protegga, conservi e sottoponga regolarmente a revisione i log.