Cấu hình và Quản lý Chính sách & Quy tắc Giám sát Bảo mật
trên IBM Security Guardium Data Protection
1. MỤC TIÊU VÀ PHẠM VItrên IBM Security Guardium Data Protection
Tài liệu hướng dẫn thực hành này được xây dựng nhằm cung cấp quy trình chuẩn hóa dành cho Quản trị viên bảo mật trong việc cấu hình, vận hành và quản lý vòng đời của các quy tắc giám sát nền tảng IBM Security Guardium Data Protection.
2. TỔNG QUAN VỀ CƠ CHẾ POLICY & RULES TRONG IBM GUARDIUM
Trong IBM Guardium, Policy (Chính sách bảo mật) là tập hợp các quy tắc (Rules) được sắp xếp tuần tự theo mức độ ưu tiên từ trên xuống dưới nhằm kiểm soát toàn bộ lưu lượng dữ liệu (Database Traffic) đi qua agent S-TAP.
2.1. Rule Types
| Loại Quy Tắc (Rule Type) | Cơ Chế Phân Tích (Evaluation) | Trường Hợp Áp Dụng Điển Hình |
| Access Rule (Quy tắc truy cập) | Kiểm tra phiên kết nối (Session level) và câu lệnh SQL trước khi được thực thi tại Database (Client IP, DB User, OS User, SQL Command, Object). | Chặn/Ghi log truy cập tài khoản nhạy cảm, giám sát câu lệnh DDL nguy hiểm, bắt buộc mã hóa phiên kết nối. |
| Exception Rule (Quy tắc ngoại lệ) | Kiểm tra mã lỗi trả về từ Database (SQL Error Code) khi câu lệnh gặp sự cố hoặc thất bại. | Phát hiện tấn công SQL Injection (lỗi cú pháp lặp lại), tấn công brute-force mật khẩu (đăng nhập thất bại ORA-01017, MSSQL Error 18456). |
| Extrusion Rule (Quy tắc kết quả trả về) | Kiểm tra dữ liệu phản hồi từ Database Engine về Client (Duyệt theo Regex dữ liệu nhạy cảm hoặc kiểm tra Row Count). | Ngăn rò rỉ dữ liệu thẻ thanh toán (PCI-DSS), số CCCD/CMND, che giấu dữ liệu (Data Masking / Redaction), cảnh báo trích xuất dữ liệu hàng loạt. |
2.2. Rule Actions
Khi một phiên làm việc hoặc câu truy vấn khớp với điều kiện (Criteria) của Rule, Guardium sẽ kích hoạt một hoặc nhiều hành động được chỉ định:
- LOG FULL DETAILS: Ghi lại toàn bộ siêu dữ liệu và nội dung đầy đủ của câu lệnh SQL cùng các biến truyền vào (SQL Construct, Bind Variables) phục vụ điều tra chuyên sâu.
- LOG ONLY: Chỉ ghi lại thông tin phiên truy cập và câu lệnh tóm lược, không ghi chi tiết toàn bộ payload nhằm tiết kiệm dung lượng lưu trữ.
- ALERT PER CLIENT / PER SESSION: Phát cảnh báo ngay lập tức qua giao diện Quản trị (Incident Management), đồng thời có thể gửi bản tin Syslog (về SIEM như QRadar/Splunk), gửi SNMP Trap hoặc gửi Email trực tiếp cho SOC.
- S-TAP TERMINATE: Buộc ngắt kết nối phiên mạng (TCP Reset) ngay tại tầng nhân S-TAP trên Database Server khi phát hiện hành vi xâm phạm nghiêm trọng, ngăn chặn lệnh thực thi đến CSDL.
- REDACT (Extrusion Action): Áp dụng kỹ thuật che giấu dữ liệu nhạy cảm (thay thế số thẻ, căn cước thành ký tự 'X' hoặc chuỗi mã hóa) trước khi phản hồi về người dùng.
- IGNORE S-TAP SESSION: Loại bỏ và không phân tích phiên kết nối (thường áp dụng cho các tiến trình nội bộ an toàn của DB để tối ưu hóa hiệu năng).
- Groups: Tập hợp các đối tượng cùng loại (ví dụ: Danh sách Privileged DB Users, danh sách Sensitive Tables, danh sách Approved Application IPs). Việc dùng Groups giúp chính sách bảo mật linh hoạt, khi có thay đổi nhân sự hoặc địa chỉ IP, quản trị viên chỉ cần cập nhật Group mà không cần sửa đổi hay nạp lại Policy.
- Tuples: Cho phép nhóm kết hợp đa chiều (nhiều thuộc tính) với nhau, ví dụ: kết hợp bộ đôi (DB User, Client IP, Object) để quy định chính xác: User A chỉ được phép truy cập Bảng B từ Máy chủ C.
Guardium cung cấp sẵn một kho thư viện Template đạt chuẩn kiểm định an toàn quốc tế, giúp triển khai nhanh chóng:
- Baseline Financial / SOX Compliance Policy: Giám sát toàn bộ hoạt động của bảng kế toán tài chính, phân quyền và thay đổi lược đồ dữ liệu.
- PCI-DSS Data Protection Policy: Giám sát và che giấu dữ liệu thẻ thanh toán, phát hiện trích xuất dữ liệu thẻ.
- HIPAA & GDPR Privacy Policy: Phát hiện truy cập trái phép vào hồ sơ bệnh án, thông tin nhận dạng cá nhân (PII).
- Guardium Best Practice Security Policy: Bộ chính sách tiêu chuẩn phát hiện leo thang đặc quyền, rà quét lỗi SQL, tấn công injection và thay đổi cấu hình CSDL.