Системные отчеты

Раздел Отчеты предоставляет набор преднастроенных отчётов для анализа безопасности баз данных и действий пользователей. Системные отчёты помогают выявлять потенциальные угрозы, аномалии и нарушения политик безопасности.

Обзор раздела

В левой панели отображается Список отчётов, сгруппированных по категориям:

• Учетные записи — отчёты по действиям пользователей и учётных записей БД
• Базы данных — отчёты по изменениям и уязвимостям баз данных

Для быстрого поиска нужного отчёта используйте поле Поиск в верхней части списка.

Действия

Структура отчёта

Каждый отчёт содержит:

1. Панель фильтров — настройки поиска в логах
2. График количества событий — визуализация активности за период
3. Таблица данных — детальная информация о событиях

Общие фильтры отчётов

Экспорт данных

Большинство отчётов поддерживают экспорт в форматы:

• CSV — для обработки в табличных редакторах
• PDF — для формирования документов

Отчёты по учётным записям

Аудит действий суперпользователей

Отчёт фиксирует все действия учётных записей с привилегиями суперпользователя (DBA, SYS, SYSDBA и др.). Мониторинг суперпользователей критически важен, так как они имеют неограниченный доступ к данным.

Отслеживаемые данные:

• SQL-запросы, выполненные суперпользователями
• Подключения к базам данных
• Изменения структуры и данных

Попытка подбора пароля УЗ

Отчёт выявляет попытки брутфорс-атак — множественные неудачные попытки аутентификации, которые могут свидетельствовать о подборе пароля злоумышленником.

Критерии обнаружения:

• Множественные неудачные попытки входа с одного хоста
• Перебор различных учётных записей
• Аномальная частота попыток аутентификации

Подключение УЗ во внеурочное время

Отчёт фиксирует подключения к базам данных в нерабочее время. Такие подключения могут указывать на несанкционированный доступ или компрометацию учётной записи.

Настройка политики: Для работы отчёта необходимо настроить разрешённые временные окна для подключений через раздел «Настройка политики».

Попытка доступа заблокированной УЗ

Отчёт выявляет попытки подключения с использованием заблокированных или истёкших учётных записей. Такие попытки могут указывать на использование скомпрометированных учётных данных.

Отслеживаемые события:

• Попытки входа под заблокированной УЗ
• Попытки входа под УЗ с истёкшим сроком действия
• Попытки входа под удалённой УЗ

Аудит действий технических пользователей

Отчёт фиксирует действия технических (сервисных) учётных записей, которые используются приложениями для доступа к базам данных. Мониторинг таких УЗ важен для выявления нецелевого использования.

Отслеживаемые данные:

• SQL-запросы от технических УЗ
• Подключения сервисных аккаунтов
• Нетипичная активность сервисных УЗ

Удаление записей критичных данных

Отчёт фиксирует операции удаления данных из таблиц, содержащих критическую информацию. Удаление критичных данных может свидетельствовать о злонамеренных действиях или ошибках администрирования.

Отслеживаемые события:

• DELETE-операции на критичных таблицах
• Массовое удаление записей
• Удаление данных привилегированными пользователями

Изменение записей критичных данных

Отчёт аналогичен предыдущему, но фиксирует операции изменения (UPDATE) данных в таблицах с критической информацией. Структура и колонки совпадают с отчётом «Удаление записей критичных данных».

Отслеживаемые события:

• UPDATE-операции на критичных таблицах
• Массовое изменение записей
• Модификация данных привилегированными пользователями

Работа под одной УЗ с нескольких терминалов

Отчёт выявляет одновременное использование одной учётной записи с нескольких рабочих станций. Такая активность может указывать на компрометацию учётных данных или их несанкционированное распространение.

Критерии обнаружения:

• Одновременные сессии одной УЗ с разных IP-адресов
• Параллельная работа с разных терминалов

Доступ к данным ограниченного доступа

Отчёт фиксирует обращения к таблицам и объектам, содержащим персональные данные (ПДн) или иную конфиденциальную информацию. Помогает контролировать соблюдение политик доступа к чувствительным данным.

Отслеживаемые данные:

• SELECT-запросы к таблицам с ПДн
• Доступ к конфиденциальным объектам
• Выгрузка данных ограниченного доступа

Перебор фильтров в SQL-запросе

Отчёт выявляет подозрительную активность, когда пользователь выполняет множество запросов с последовательным перебором значений в фильтрах (WHERE-условиях). Такое поведение может указывать на попытку массовой выгрузки данных.

Критерии обнаружения:

• Множественные запросы с инкрементальными ID
• Перебор значений в условиях фильтрации
• Аномально высокое количество однотипных запросов

Выгрузка диапазонов строк в SQL-запросе

Отчёт аналогичен предыдущему, но фиксирует запросы с использованием LIMIT/OFFSET или ROWNUM для постраничной выгрузки данных. Структура и колонки совпадают с отчётом «Перебор фильтров в SQL-запросе».

Критерии обнаружения:

• Последовательные запросы с увеличением OFFSET
• Использование ROWNUM для постраничной выборки
• Массовая выгрузка данных по частям

Нарушение парольной политики

Отчёт выявляет учётные записи, пароли которых не соответствуют установленным требованиям безопасности. Помогает контролировать соблюдение парольной политики организации.

Проверяемые требования:

• Минимальная длина пароля
• Наличие специальных символов
• Сложность пароля
• Срок действия пароля

УЗ, созданные на короткий период

Отчёт выявляет учётные записи, которые были созданы и заблокированы в течение короткого периода времени. Такое поведение может указывать на создание временных УЗ для несанкционированных действий с последующим удалением следов.

Отслеживаемые события:

• Создание и быстрая блокировка УЗ
• Учётные записи с коротким сроком жизни
• Подозрительные паттерны управления УЗ

УЗ, разблокированные на короткий период

Отчёт выявляет учётные записи, которые были разблокированы, использованы и снова заблокированы в течение короткого времени. Такое поведение может указывать на временное использование заблокированных УЗ для несанкционированных действий.

Отслеживаемые события:

• Разблокировка и быстрая повторная блокировка УЗ
• Кратковременное использование заблокированных аккаунтов
• Подозрительные паттерны разблокировки

УЗ, в которых пароль не менялся длительное время

Отчёт выявляет учётные записи, пароли которых не менялись в течение длительного периода. Устаревшие пароли представляют риск безопасности и могут нарушать требования парольной политики организации.

Отслеживаемые данные:

• Учётные записи с устаревшими паролями
• Дата последней смены пароля
• Статус соответствия парольной политике

Добавление расширенных прав УЗ

Отчёт фиксирует события выдачи расширенных привилегий учётным записям. Мониторинг изменений прав доступа критически важен для контроля безопасности и соблюдения принципа минимальных привилегий.

Отслеживаемые события:

• Выдача привилегий GRANT
• Назначение ролей DBA, RESOURCE, CONNECT
• Предоставление системных привилегий (CREATE SESSION, CREATE VIEW и др.)

Отчёты по базам данных

Изменение настроек БД

Отчёт фиксирует изменения конфигурационных параметров баз данных. Мониторинг настроек критически важен для обеспечения безопасности и стабильности работы СУБД.

Отслеживаемые события:

• Изменение параметров безопасности
• Модификация настроек аудита
• Изменение системных параметров БД

Дополнительные фильтры:

Уязвимости БД

Отчёт предоставляет результаты сканирования баз данных на наличие уязвимостей и несоответствий требованиям безопасности. Помогает контролировать соответствие стандартам безопасности.

Дополнительные фильтры:

Информация о БД:

Статусы проверок:

• Всего — общее количество проверок
• Успешно — пройденные проверки
• Неудачно — обнаруженные проблемы
• Ручная — требуется ручная проверка

Уровни критичности:

• Критично — требует немедленного исправления
• Высокая — серьёзные уязвимости
• Средняя — умеренные риски
• Низкая — незначительные замечания

Удаление объектов БД

Отчёт фиксирует операции удаления объектов баз данных (таблиц, представлений, процедур, политик аудита и др.). Удаление объектов БД может свидетельствовать о злонамеренных действиях или ошибках администрирования.

Отслеживаемые события:

• DROP-операции на таблицах и представлениях
• Удаление хранимых процедур и функций
• Удаление политик аудита
• Удаление пользователей и схем

Работа нестандартного/запрещенного ПО в БД

Отчёт выявляет подключения к базам данных с использованием нестандартного или запрещённого программного обеспечения. Такие подключения могут указывать на попытки обхода политик безопасности.

Настройка политики: Для работы отчёта необходимо настроить список разрешённых приложений через раздел «Настройка политики».

Дополнительные фильтры:

Выгрузка данных из объектов БД утилитами вендора

Отчёт фиксирует операции экспорта данных с использованием штатных утилит вендора СУБД (exp, expdp, pg_dump и др.). Массовая выгрузка данных может указывать на попытку хищения информации.

Настройка политики: Для работы отчёта необходимо настроить список отслеживаемых утилит через раздел «Настройка политики».

Обнаружение SQL-инъекций

Отчёт выявляет потенциальные SQL-инъекции — попытки внедрения вредоносного SQL-кода через пользовательский ввод. SQL-инъекции являются одной из наиболее опасных уязвимостей веб-приложений.

Критерии обнаружения:

• Подозрительные конструкции в SQL-запросах
• Аномальные паттерны запросов
• Использование типичных техник SQL-инъекций