数据库审计怎么部署？

本文目录导读：

1. 路径一：使用数据库自带审计功能（原生/免费）
2. 路径二：使用第三方专业审计工具（商业或开源）
3. 路径三：网络流量抓包旁路部署（零侵入方式）
4. 总结：如何选择适合你的部署方式？
5. 部署后必须做的3件事：

数据库审计的部署方式取决于你的数据库类型（如 MySQL、PostgreSQL、Oracle、SQL Server）、业务需求（合规性、安全监控、性能影响）以及技术栈（云原生还是自建）。

通常有以下三种主流的部署路径,你可以根据自身情况选择其一或组合使用：

使用数据库自带审计功能（原生/免费）

这是最基础、成本最低的方式,适合中小规模或对性能影响不敏感的环境。

1. MySQL（通用/企业版）

   • 通用日志（General Log）：记录所有 SQL 语句，但性能开销大,一般只用于调试。
   • 二进制日志（Binlog）：记录数据变更，配合 mysqlbinlog 工具审计 DDL/DML。
   • 审计插件（MySQL Enterprise Audit / MariaDB Audit Plugin）：推荐方式。
     • 部署步骤：
       1. 下载安装审计插件（如 server_audit.so）。
       2. 在 my.cnf 中配置：plugin-load=server_audit.so、server_audit_logging=ON。
       3. 重启 MySQL 服务。
       4. 查看审计日志文件（通常位于数据目录下）。

2. PostgreSQL

   • 内置日志：最常用方式。
   • 部署步骤：
     1. 修改 postgresql.conf：

        logging_collector = on
        log_statement = 'all'   # 或 'ddl', 'mod'
        log_directory = 'pg_log'
        log_filename = 'postgresql-%Y-%m-%d.log'

     2. 重启 PostgreSQL。
     3. 注意：log_statement = 'all' 会产生大量日志，建议生产环境用 'mod' 或 'ddl'。
   • 高级方案：使用 pgaudit 扩展，提供更细粒度的审计（按对象、按角色、按命令类型）。

3. SQL Server

   • 服务器审计（Server Audit）：最推荐方式。
   • 部署步骤：
     1. 创建审计对象：定义输出目标（文件、安全日志、应用程序日志）。
     2. 创建服务器审计规范：定义审计的事件（如 FAILED_LOGIN_GROUP、SERVER_ROLE_MEMBER_CHANGE_GROUP）。
     3. 创建数据库审计规范：定义审计的具体数据库操作（如 SELECT、INSERT、UPDATE、DELETE）。
     4. 启用审计：通过 T-SQL 或 SSMS 图形化界面启用。
   • 注意：SQL Server 审计资源消耗可控,是生产环境的首选。

使用第三方专业审计工具（商业或开源）

适用于需要跨平台统一管理、低性能开销、高并发、或满足等保/GDPR等合规要求的场景。

1. 商业方案（功能全面,支持多数据库类型）

   • Imperva SecureSphere / IBM Guardium：业界标杆，可旁路部署（网络流量审计）,对数据库性能影响极小。
   • SolarWinds Database Performance Analyzer：集成审计与性能监控。
   • 安华金和（国内）：专注数据库审计与安全，支持 Oracle、MySQL、PostgreSQL 等,适合等保合规。
   • 云厂商自带审计（如阿里云 DAS、腾讯云 DB Audit、AWS RDS Audit Logs）：在云上使用最简单,通常一键开启。

2. 开源方案（适合技术团队定制）

   • DataSunrise：开源版支持 MySQL、PostgreSQL，可代理部署,无需修改应用代码。
   • pgBadger + PostgreSQL：专用于 PostgreSQL 的日志分析工具,将原生日志转为可视化报告。
   • MySQL Audit Plugin（McAfee 维护的旧版）：功能简单,但社区活跃。

网络流量抓包旁路部署（零侵入方式）

这种方式对数据库本身性能零影响，适合高可用、高并发生产环境,通常由安全团队主导。

1. 原理：在数据库服务器或交换机的镜像端口（SPAN/Mirror Port）上部署探针，抓取所有网络流量，解析数据库协议（如 MySQL、Oracle TNS）。
2. 工具：
   • Wireshark / Tcpdump：手动分析,不适合生产长期使用。
   • Zeek（原Bro） + 数据库分析脚本：可以自动化解析并存储。
   • 商业安全设备：Imperva、GreenSQL 等。
3. 优点：不修改数据库配置，不占用数据库 CPU/IO，可审计所有SQL（包括管理员操作）。
4. 缺点：如果数据库使用SSL/TLS加密链路，需要配置SSL解密（会引入额外性能开销和安全隐患）。

如何选择适合你的部署方式？

部署后必须做的3件事：

1. 日志存储策略：审计日志不能存在数据库本机磁盘（避免日志满导致数据库挂掉），必须实时发送到专门的日志服务器（如 ELK / Splunk / S3 对象存储）。
2. 最小化审计项：不要全开 ALL，只审计 DDL、DML 的 DELETE/UPDATE、登录失败、权限变更,否则日志量巨大。
3. 测试影响：上线前用 sysbench 或 jmeter 压测，观察开启审计后的 QPS（每秒查询数）下降幅度，通常应控制在 5%-10% 以内。

如果你能告诉我具体的数据库类型（如 MySQL 8.0、Oracle 19c）和部署环境（云上还是本地）,我可以给出更精确的配置命令和步骤。