THIẾT KẾ HỆ THỐNG BÁO CÁO & KIỂM TOÁN IBM GUARDIUM DATA PROTECTION
1. TỔNG QUAN KIẾN TRÚC & USE CASE
1.1. Mục tiêu Thiết kế
Reporting và Audit Subsystem được thiết kế nhằm cung cấp khả năng tự động hóa kiểm soát an ninh, phân tích truy vấn dữ liệu sâu và đáp ứng toàn diện các tiêu chuẩn tuân thủ quốc tế như PCI-DSS (v4.0), GDPR, SOX, và HIPAA.
Giải pháp kết hợp linh hoạt giữa ba nhóm báo cáo:
- Pre-built Reports: Các mẫu báo cáo tiêu chuẩn tích hợp sẵn của IBM Guardium.
- Current Custom Reports: Báo cáo customize đang vận hành tại hệ thống hiện tại.
- Proposed Reports: Báo cáo đề xuất mới nhằm tối ưu hóa khả năng giám sát theo đặc thù hạ tầng dữ liệu doanh nghiệp.
Hệ thống báo cáo được chuẩn hóa thành 5 nhóm phân hệ chức năng đáp ứng đầy đủ các yêu cầu quản trị an ninh CSDL:
Nhóm | Mô tả chi tiết |
| Nhóm 1: Giám sát Hoạt động Cơ sở dữ liệu & Truy vấn SQL | Theo dõi chi tiết hoạt động truy vấn theo từng tài khoản, nhóm truy vấn tổng hợp, và các truy vấn bất thường ngoài giờ hành chính hoặc ngày nghỉ cuối tuần. |
| Nhóm 2: An ninh Xác thực, Đăng nhập & Đánh giá Độ tin cậy | Thống kê sự cố đăng nhập thất bại, dấu hiệu tấn công dò vét mật khẩu (Brute-force), và các kết nối có độ tin cậy thấp thông qua bộ đánh giá thời gian thực RTTE (Real-time Trust Evaluator). |
| Nhóm 3: Kiểm soát & Giám sát Vi phạm Chính sách Bảo vệ Dữ liệu | Thống kê tổng hợp và chi tiết vi phạm chính sách an ninh; theo dõi lịch sử các hành động ngăn chặn chủ động bao gồm NGẮN KẾT NỐI (S-TAP TERMINATE), CHE GIẤU DỮ LIỆU (REDACT), và VIẾT LẠI TRUY VẤN (QUERY REWRITE). |
| Nhóm 4: Phát hiện & Bảo vệ Dữ liệu Nhạy cảm | Quản lý danh mục các thể hiện CSDL tự động phát hiện (Discovered Instances), vị trí dữ liệu nhạy cảm PII/Thẻ thanh toán (Retail Sensitive Data), và thống kê chi tiết các bảng CSDL chứa thông tin quan trọng. |
| Nhóm 5: Kiểm toán Đặc quyền & Toàn vẹn Hệ thống DDL | Giám sát việc gán và sử dụng quyền PUBLIC trên MSSQL/Oracle; kiểm soát hoạt động của các tài khoản quản trị tối cao (sysadmin, serveradmin, securityadmin); theo dõi thay đổi cấu trúc dữ liệu (DDL DROP, ALTER, CREATE); đảm bảo nguyên tắc Tách biệt Trách nhiệm (SoD) đối với nhóm tài khoản DBA. |
STT | Tên Báo cáo | Trạng thái | Query Domain / Main Entity | Các trường thông tin (Attributes / Fields) | Điều kiện lọc (Criteria / Filters) | Hình thức Trực quan hóa |
NHÓM 1: GIÁM SÁT HOẠT ĐỘNG CSDL & TRUY VẤN SQL | ||||||
1.1 | 51Sec - Detailed DB Activities Report | Đã thực hiện | Access Period | Timestamp, DB User, Client IP, Server IP, Service Name, Full SQL, Command Class | Action Type = 'ACCESSED' | Tabular Report |
1.2 | 51Sec - SQL Query Summary Report | Đã thực hiện (copy) | Access Period | DB User, Command Class, Target Table, SQL Count | Group By: DB User, Command Class | Tabular Report |
1.3 | 51Sec - Off-hours SQL Activity Report | Đã thực hiện | Access Period | Timestamp, DB User, Client IP, Full SQL, Client Host Name | Time NOT BETWEEN 08:00 AND 18:00 OR DayOfWeek IN ('SAT', 'SUN') | Date Line Chart & Tabular Report |
1.4 | 51Sec - Discovered DB Instances | Đã thực hiện | Discovered Instances | Discovery Date, Host IP, Port, Database Type, Status (Managed/Unmanaged) | None | Pie chart |
NHÓM 2: AN NINH XÁC THỰC & ĐÁNH GIÁ ĐỘ TIN CẬY | ||||||
2.1 | 51Sec - Failed Login Attempts | Đã thực hiện | Exception | Timestamp, DB User, Client IP, Server Name, Error Code, Exception Description | Exception Type = 'LOGIN_FAILED' | Bar Chart & Tabular Report |
2.2 | RTTE Untrusted Connections (đợi 3-7 ngày từ 27-09 để xem kết quả ML) | Đề xuất mới | Real-time Trust Evaluator | Timestamp, Client IP, DB User, Trust Score, Risk Factor, Action Taken | Trust Score < 50 | Gauge / Donut Chart |
| NHÓM 3: KIỂM SOÁT & VI PHẠM CHÍNH SÁCH BẢO VỆ DỮ LIỆU | ||||||
3.1 | 51Sec - Policy Violation Summary | Đã thực hiện | Policy Violations | Policy Name, Rule Description, Severity, Count, Last Occurrence | Severity IN ('HIGH', 'CRITICAL') | Bar Chart |
3.2 | 51Sec - Policy Violation Details | Đã thực hiện | Policy Violations | Timestamp, Policy Name, Rule Name, DB User, Client IP, Full SQL | None (Filtered by date range) | Detailed Table |
3.3 | 51Sec - Active Block & Terminate Log | Đã thực hiện | Policy Violations | Timestamp, DB User, Client IP, Rule Name, Action (S-TAP TERMINATE), SQL Executed | Action Executed = 'S-TAP TERMINATE' | Table with Severity Color |
3.4 | Data Masking (REDACT) Audit | Đề xuất mới | Access Period | Timestamp, DB User, Target Table, Target Column, Masking Pattern Applied | Rule Action = 'REDACT' | Table |
3.5 | 51Sec - Query Rewrite Audit Log | Đã thực hiện (hiện nó bị noise log) | Full Sql | Timestamp, DB User, Original SQL, Rewritten SQL, Policy Rule | Rule Action = 'QUERY REWRITE' | Table |
| NHÓM 4: KIỂM TOÁN ĐẶC QUYỀN & TOÀN VẸN HỆ THỐNG DDL | ||||||
4.1 | Sysadmin / Superuser Activity Log | Đã thực hiên (có sẵn) | Full Sql | Timestamp, DB User, Client Host, Program Name, Full SQL | DB User IN ('sa', 'sys', 'system', 'postgres') | Detailed Table |
4.2 | 51Sec - DDL Structure Change Tracking | Đã thực hiên (có sẵn) | Command | Timestamp, DB User, Command Class (CREATE, ALTER, DROP), Object Name | Command Class IN ('DDL_CREATE', 'DDL_ALTER', 'DDL_DROP') | Timeline Chart / Table |
Hệ thống bảng điều khiển được phân chia thành 3 Dashboard chuyên biệt, trực quan hóa toàn bộ danh mục báo cáo kỹ thuật đã được cấu hình ở Phần 3:
4.1. Dashboard 01: Data Discovery & Classification Dashboard
- Đối tượng sử dụng: Compliance Officer, Data Protection Officer (DPO), IT Auditor.
- Mục tiêu: Theo dõi toàn diện tài sản dữ liệu, phát hiện các thể hiện CSDL mới và giám sát mức độ phân loại dữ liệu nhạy cảm.
4.2. Dashboard 02: Policy Violations & Threat Protection Dashboard
- Đối tượng sử dụng: SOC Analyst, Security Administrator, Incident Response Team.
- Mục tiêu: Giám sát thời gian thực các vi phạm chính sách an ninh, hành động ngăn chặn chủ động và đánh giá rủi ro kết nối.
4.3. Dashboard 03: Privileged User & Security Audit Dashboard
- Đối tượng sử dụng: IT Auditor, Security Manager, Chief Information Security Officer (CISO).
- Mục tiêu: Kiểm toán người dùng đặc quyền (DBA/Sysadmin), theo dõi biến động cấu trúc CSDL (DDL) và giám sát bất thường về thời gian truy cập.
5. QUY TRÌNH TỰ ĐỘNG HÓA KIỂM TOÁN & PHÂN QUYỀN
5.1. Phân quyền Truy cập theo Vai trò (Role-Based Access Control - RBAC)
Hệ thống phân quyền chi tiết dựa trên 5 nhóm báo cáo (Nhóm 1 đến Nhóm 5) và 3 Dashboard giám sát chuyên biệt đã thiết lập:
- Compliance Officer / DPO / IT Auditor: Toàn quyền truy cập Dashboard 01 (Data Discovery & Classification Dashboard) và các báo cáo thuộc Nhóm 4 (Phát hiện & Bảo vệ Dữ liệu Nhạy cảm: Discovered DB Instances, Retail Sensitive Data). Quyền xem (Read-only) các báo cáo kiểm toán PCI-DSS, GDPR, SOX, HIPAA.
- SOC Analyst / Security Administrator: Toàn quyền truy cập Dashboard 02 (Policy Violations & Threat Protection Dashboard) và các báo cáo Nhóm 2, Nhóm 3 (Failed Login, RTTE Untrusted Connections, Policy Violation Summary/Details, Active Block & Terminate Log, REDACT Audit, Query Rewrite Audit Log). Cấu hình quy tắc ngăn chặn (S-TAP TERMINATE), che giấu dữ liệu (REDACT) và đánh giá độ tin cậy kết nối (RTTE Score < 50).
- IT Auditor / CISO / Security Manager: Toàn quyền truy cập Dashboard 03 (Privileged User & Security Audit Dashboard) và các báo cáo Nhóm 1, Nhóm 5 (Detailed DB Activities, SQL Query Summary, Off-hours SQL Activity, Sysadmin/Superuser Activity Log, DDL Structure Change Tracking). Giám sát hành vi tài khoản đặc quyền (sa, sys, system, postgres) và truy cập ngoài giờ hành chính.
Quy trình Tự động hóa Báo cáo (Audit Process Automation):
- Thiết lập Audit Process Schedule tự động chạy và gửi trích xuất báo cáo theo chu kỳ (Hàng ngày: Off-hours Activity, Failed Logins; Hàng tuần: Policy Violation Summary, Discovered Instances; Hàng tháng: Privileged User Audit, DDL Tracking).
- Định dạng xuất bản: Xuất định dạng PDF mã hóa cho báo cáo quản trị/CISO và định dạng CSV/Excel cho các dữ liệu chi tiết (Detailed Table/Tabular Report).
- Chuyển tiếp và ký duyệt (Sign-off Workflow): Tự động phân phối kết quả kiểm toán qua Email hoặc đưa vào Audit Workflow Result yêu cầu Kiểm toán viên và CISO xác nhận phê duyệt trực tiếp trên giao diện IBM Guardium.
- Gửi cảnh báo thời gian thực (Real-time Syslog / SNMP Trap) tới trung tâm giám sát an ninh (IBM QRadar / Enterprise SIEM) đối với các sự kiện quan trọng:
- Vi phạm chính sách mức độ HIGH và CRITICAL (Báo cáo 3.1, 3.2).
- Hành động ngăn chặn chủ động S-TAP TERMINATE (Báo cáo 3.3).
- Kết nối nghi vấn có điểm tin cậy RTTE Trust Score < 50 (Báo cáo 2.2).
- Thay đổi cấu trúc CSDL DDL DROP/ALTER/CREATE (Báo cáo 4.2).