IBM Guardium Chức năng audit và cảnh báo theo thời gian thực đối với hoạt động truy cập CSDL

BÁO CÁO THỰC NGHIỆM: CHỨC NĂNG AUDIT VÀ CẢNH BÁO THEO THỜI GIAN THỰC ĐỐI VỚI HOẠT ĐỘNG TRUY CẬP CSDL​

1. TỔNG QUAN VÀ MỤC TIÊU​

1.1. Mục tiêu thực nghiệm​

1.2. Kiến trúc giải pháp & Nguyên lý hoạt động​

• IBM Guardium S-TAP Agent: Được cài đặt tại máy chủ CSDL, chặn bắt lưu lượng mạng và cuộc gọi hàm tầng kernel/shared memory giữa Database Client và Database Engine mà không gây suy giảm hiệu năng RDBMS.
• Mã hóa lưu lượng: Toàn bộ dữ liệu giao dịch SQL được chuyển tiếp an toàn qua cổng bảo mật (16016/16018) về Guardium Collector.
• Policy Engine & Real-time Alerting: Đối sánh câu lệnh với tập luật bảo mật. Khi phát hiện vi phạm, hệ thống kích hoạt hành động kép: vừa ghi log chi tiết (LOG FULL DETAILS), vừa bắn cảnh báo tức thời (ALERT PER MATCH) lên phân hệ Incident Management / Policy Violations và chuyển tiếp SIEM/Syslog.

1.3. Bảng so sánh hai cơ chế: Giám sát định kỳ vs Cảnh báo thời gian thực​

2. CHUẨN BỊ VÀ THIẾT LẬP MÔI TRƯỜNG​

2.1. Kiểm tra trạng thái kết nối Agent (S-TAP Control)​

• S-TAP Host Oracle Database (IP: 10.30.197.85): Trạng thái Connected (Icon màu xanh lá).
• S-TAP Host Microsoft SQL Server (IP: 10.30.197.89): Trạng thái Connected (Icon màu xanh lá).

2.2. Nhóm đối tượng kiểm soát (Group Builder)​

• 50Sec - GRP_COMMAND_USER_MGMT: Chứa các lệnh quản trị user và phân quyền (CREATE USER, ALTER USER, DROP USER, CREATE LOGIN, ALTER LOGIN, DROP LOGIN, GRANT, REVOKE).
• 50Sec - GRP_COMMAND_DDL_CHANGES: Chứa các lệnh thay đổi cấu trúc bảng/schema (CREATE TABLE, ALTER TABLE, DROP TABLE, TRUNCATE, CREATE VIEW, DROP VIEW, CREATE TRIGGER).
• 50Sec - GRP_MONITORED_DATABASES: Danh sách IP máy chủ mục tiêu (10.30.197.85+%, 10.30.197.89+%).

3. THIẾT LẬP SECURITY POLICY & CƠ CHẾ CẢNH BÁO TỨC THỜI​

3.1. Cấu hình Policy Rules​

• Rule 1 (Audit & Alert User & Privilege Modifications):
• Rule Type: Access
• Criteria: Command In group 50Sec - GRP_COMMAND_USER_MGMT, Severity = High
• Actions:

1. LOG FULL DETAILS (Lưu trữ toàn bộ câu lệnh phục vụ kiểm toán)
2. ALERT PER MATCH: Notification Type = SYSLOG

Hình 3.1a: Cấu hình Rule Action cho Rule 1 (USER_MGMT) với LOG FULL DETAILS và ALERT PER MATCH (SYSLOG)​

• Rule 2 (Audit & Alert Schema & DDL Changes):
• Rule Type: Access
• Criteria: Command In group 50Sec - GRP_COMMAND_DDL_CHANGES, Severity = High
• Actions:

1. LOG FULL DETAILS
2. ALERT PER MATCH: Notification Type = SYSLOG

Hình 3.1b: Cấu hình Rule Action cho Rule 2 (DDL_CHANGES) với LOG FULL DETAILS và ALERT PER MATCH (SYSLOG)​

3.2. Kích hoạt và áp dụng Policy (Reinstall Policy)​

1. Truy cập Protect > Security Policies > Policy Installation.
2. Chọn Policy 50Sec - POL_AUDIT_DB_USER_CHANGES, chọn thao tác Install and Override để chính sách có hiệu lực ngay lập tức.

Hình 3.2a: Thao tác Install & Override chính sách POL_AUDIT_DB_USER_CHANGES​

1. Nhấn nút Reinstall trên thanh công cụ để đồng bộ quy tắc xuống toàn bộ S-TAP Agent.

Hình 3.2b: Thực hiện Reinstall Policy để áp dụng quy tắc xuống S-TAP Agent​

4. TIẾN TRÌNH THỰC NGHIỆM KIỂM TRA​

Kịch bản 1: Giám sát & Cảnh báo tạo User và gán quyền DBA trên Oracle​

Công cụ: SQL*Plus kết nối tài khoản quản trị (SYSTEM/SYSDBA).​

​

Hình 4.1b: Ghi nhận sự kiện vi phạm thời gian thực cho các lệnh tạo user và gán quyền trên trang Policy Violations / Incident Management​

Kịch bản 2: Giám sát & Cảnh báo thay đổi và phá hủy bảng (DDL) trên Oracle​

Công cụ: SQL*Plus trên schema nghiệp vụ RETAIL.​

​

Hình 4.2b: Guardium cảnh báo thời gian thực thao tác thay đổi cấu trúc bảng DDL trên Oracle​

Kịch bản 3: Giám sát & Cảnh báo leo thang đặc quyền Sysadmin trên Microsoft SQL Server​

Công cụ: SQL Server Management Studio (SSMS), đăng nhập tài khoản sa.​

Hình 4.3a: Thực thi lệnh CREATE LOGIN audit_test_user1 và ALTER SERVER ROLE sysadmin ADD MEMBER trên MS SQL Server​

Hình 4.3b: Cảnh báo vi phạm leo thang quyền sysadmin và tự động che giấu mật khẩu (Data Masking) trên Guardium​

Kịch bản 4: Giám sát & Cảnh báo tước quyền và xóa bảng trên Microsoft SQL Server​

Hình 4.4a: Thực thi câu lệnh REVOKE SELECT và DROP TABLE dbrders trên FinanceDB​

​

5. KẾT QUẢ VÀ ĐÁNH GIÁ THỰC NGHIỆM​

5.1. Kết quả Cảnh báo Thời gian thực (Incident Management / Policy Violations)​

• Thời gian phản hồi: Các sự kiện vi phạm xuất hiện ngay lập tức sau khi câu lệnh SQL kết thúc thực thi (độ trễ dưới 2 giây).
• Chi tiết vi phạm: Hiển thị đầy đủ Timestamp, Client IP (10.120.253.2, 10.30.197.89), DB User Name (SYS, sa), Severity (High), Rule Name bị kích hoạt và chuỗi SQL vi phạm.

5.2. Phân tích bảo mật chuyên sâu​

• Tính tức thời (Zero Latency): Khắc phục triệt để lỗ hổng của cơ chế kiểm toán định kỳ. Security Team nhận diện ngay cuộc tấn công leo thang quyền hoặc phá hoại dữ liệu tại thời điểm sự cố diễn ra.
• Mặt nạ hóa dữ liệu xác thực (Credential Protection): Guardium tự động phát hiện cú pháp chứa mật khẩu trong lệnh CREATE LOGIN và thực hiện mã hóa hiển thị dạng dấu sao (***********), ngăn chặn nguy cơ lộ lọt tài khoản quản trị ngay trong nội bộ đội ngũ audit.
• Cơ chế cảnh báo tức thời qua Syslog/SIEM (External Real-time Alerting): Khi quy tắc được cấu hình với hành động ALERT PER MATCH (Notification Type = SYSLOG), IBM Guardium không chỉ lưu thông tin vi phạm vào cơ sở dữ liệu nội bộ mà ngay lập tức định dạng thông tin sự kiện theo chuẩn Syslog (UDP/TCP port 514) và đẩy về các hệ thống giám sát tập trung như IBM QRadar, Splunk hoặc SIEM của trung tâm SOC. Nhờ cơ chế đẩy (push-based notification) chủ động này, đội ngũ trực vận hành an ninh mạng (SOC/Incident Response) sẽ nhận được thông báo cảnh báo trực tiếp trên giao diện giám sát sự cố tập trung hoặc hệ thống ticketing ngay tại thời điểm vi phạm xảy ra (độ trễ 0 - vài giây). Điều này giúp rút ngắn tối đa thời gian phát hiện và xử lý sự cố (MTTD/MTTR), loại bỏ hoàn toàn sự phụ thuộc vào việc nhân viên truy cập thủ công vào phân hệ Incident Management trên giao diện web Guardium để rà soát định kỳ.
• Tính toàn vẹn và phân tách vai trò (Separation of Duties - SoD): S-TAP hoạt động độc lập ở tầng kernel. Ngay cả tài khoản DBA cấp cao nhất (SYSDBA, sa) cũng không có thẩm quyền can thiệp, sửa đổi hay xóa nhật ký kiểm toán trên Guardium Collector.