查看審計(jì)日志
審計(jì)日志記錄了數(shù)據(jù)庫(kù)活動(dòng)的詳細(xì)信息，通過查看審計(jì)日志，您可以跟蹤相關(guān)數(shù)據(jù)庫(kù)潛在的惡意行為或未授權(quán)訪問、調(diào)查安全事件原因。審計(jì)日志也可以幫您滿足合規(guī)要求。本文介紹如何查看審計(jì)日志。
前提條件
已為需要且支持查看審計(jì)日志的數(shù)據(jù)資產(chǎn)開啟日志審計(jì)功能。具體內(nèi)容，請(qǐng)參見配置并開啟審計(jì)模式。
日志說明
日志存儲(chǔ)位置
開啟數(shù)據(jù)審計(jì)模式后，采集的日志存儲(chǔ)在阿里云日志服務(wù)的日志庫(kù)（Logstore）中：
Project
sddp-${uid}-${regionId}，其中${uid}是您阿里云賬號(hào)的UID，${regionId}為對(duì)應(yīng)數(shù)據(jù)庫(kù)所在地域的ID代碼。logstore
類別
數(shù)據(jù)庫(kù)類型
logstore
關(guān)系型數(shù)據(jù)庫(kù)
RDS
rds_log
PolarDB
dsc_polardb_log
PolarDB-X
dsc_drds_log
OceanBase
dsc_oceanbase_log
非關(guān)系型數(shù)據(jù)庫(kù)
Redis
dsc_redis_log
MongoDB
dsc_mongodb_log
非結(jié)構(gòu)化數(shù)據(jù)庫(kù)
OSS
dsc_oss_log
大數(shù)據(jù)
TableStore
dsc_ots_log
MaxCompute
dsc_odps_tunnel_log
AnalyticDB MySQL版
dsc_ads_log
AnalyticDB PostgreSQL版
dsc_gpdb_log
自建數(shù)據(jù)庫(kù)
MySQL
dsc_self_built_db_log
SQL Server
PostgreSQL
Oracle
常用字段說明
字段 | 說明 |
client_ip | 客戶端IP。 |
clusterId | 集群ID。 |
collector_type | 日志采集類型。 |
db | 數(shù)據(jù)庫(kù)名稱。 |
db_type | 數(shù)據(jù)庫(kù)引擎類型。 |
effect_row | 影響行數(shù)。 |
execute_time | 執(zhí)行時(shí)間。 |
fail | 執(zhí)行結(jié)果。 |
hash | 哈希值。 |
instance_id | 實(shí)例ID。 |
latency | 執(zhí)行耗時(shí)，單位：微秒。 |
node_name | 節(jié)點(diǎn)名稱。 |
operate_type | 操作類型。 |
origin_time | SQL原始執(zhí)行時(shí)間。 |
region_id | 地域ID。 |
return_rows | 結(jié)果集返回行數(shù)。 |
sql | SQL文本。 |
thread_id | 線程ID。 |
uid | 用戶ID。 |
update_rows | 更新影響行數(shù)。 |
user | 登錄用戶名。 |
查看數(shù)據(jù)審計(jì)日志（新版）
在左側(cè)導(dǎo)航欄，選擇日志分析。
在日志分析頁(yè)面右上角，單擊體驗(yàn)新版。
如果頁(yè)面右上角顯示回到舊版，則跳過此步驟。
在日志分析頁(yè)面左側(cè)產(chǎn)品類型導(dǎo)航欄，單擊目標(biāo)產(chǎn)品類型。您可以查看當(dāng)前產(chǎn)品日志存儲(chǔ)位置。
在右側(cè)日志區(qū)域可以根據(jù)區(qū)域、實(shí)例、賬號(hào)、操作類型等參數(shù)搜索并查看目標(biāo)數(shù)據(jù)庫(kù)或Bucket的操作日志。
您也可以根據(jù)查詢語(yǔ)法和分析語(yǔ)法，輸入查詢和分析語(yǔ)句，對(duì)目標(biāo)數(shù)據(jù)資產(chǎn)的日志進(jìn)行分析。更多使用說明，請(qǐng)參見查詢和分析日志。
查詢和分析示例
查看某個(gè)RDS實(shí)例下數(shù)據(jù)庫(kù)中表被訪問的情況，獲取訪問用戶、操作類型、操作結(jié)果等。
* and instance_id: rm-bp1******5u5w and db: s****p and table_name : sys_d*****it
查看訪問某個(gè)RDS實(shí)例的某個(gè)數(shù)據(jù)表的IP分布情況。
* and instance_id: rm-bp1*****5u5w and db: s****p and table_name : sys_d*****it | select user,client_ip,count(*) group by user,client_ip
統(tǒng)計(jì)名為某個(gè)Bucket中某個(gè)目錄下所有文件的外網(wǎng)流出流量。
* and __topic__ : oss_access_log and bucket: examplebucket and host : "examplebucket.oss-cn-hangzhou.aliyuncs.com" not sync_request : cdn | select SUM(content_length_out) AS total_traffic_out_byte WHERE url_decode(object) LIKE 'exampledir/%'
查看數(shù)據(jù)審計(jì)日志（舊版）
日志模式說明
分析模式：從時(shí)間維度查看對(duì)應(yīng)產(chǎn)品的審計(jì)日志，包括行為時(shí)間和內(nèi)容（實(shí)例名稱、賬號(hào)、執(zhí)行時(shí)長(zhǎng)、客戶端IP等）。
僅RDS、PolarDB、PolarDB-X、MongoDB、OceanBase、自建數(shù)據(jù)庫(kù)、ADB-MYSQL和ADB-PG數(shù)據(jù)庫(kù)支持該功能。
列表模式：從實(shí)例維度查看對(duì)應(yīng)產(chǎn)品的審計(jì)日志，包括實(shí)例名稱、數(shù)據(jù)庫(kù)、賬號(hào)、客戶端IP、操作類型、影響行數(shù)等。
TableStore、MaxCompute、Redis僅支持從實(shí)例維度查看審計(jì)日志，控制臺(tái)沒有分析模式和列表模式頁(yè)簽，默認(rèn)展示實(shí)例維度的日志列表。
OSS僅支持從Bucket維度查看審計(jì)日志，控制臺(tái)沒有分析模式和列表模式頁(yè)簽，默認(rèn)展示Bucket維度的日志列表。
查看數(shù)據(jù)庫(kù)SQL操作統(tǒng)計(jì)
在左側(cè)導(dǎo)航欄，選擇日志分析。
在日志分析頁(yè)面右上角，單擊回到舊版。
如果頁(yè)面右上角顯示體驗(yàn)新版，則跳過此步驟。
在日志分析頁(yè)面，查看最近12小時(shí)、最近1天、最近7天或最近30天內(nèi)，統(tǒng)計(jì)的SQL操作語(yǔ)句（Select、Insert、Delete、Update、其他）執(zhí)行數(shù)量趨勢(shì)圖和圖表。
按時(shí)間查看日志
在左側(cè)導(dǎo)航欄，選擇日志分析。
在日志分析頁(yè)面右上角，單擊回到舊版。
如果頁(yè)面右上角顯示體驗(yàn)新版，則跳過此步驟。
在日志分析頁(yè)面左側(cè)產(chǎn)品類型導(dǎo)航欄，單擊目標(biāo)產(chǎn)品類型。
在分析模式下，查看對(duì)應(yīng)云產(chǎn)品日志記錄。
選擇需要查看審計(jì)活動(dòng)的時(shí)間段后，DSC按照時(shí)間由近及遠(yuǎn)的順序展示數(shù)據(jù)庫(kù)活動(dòng)。您可根據(jù)控制臺(tái)顯示的條件參數(shù)，搜索查看滿足指定條件的審計(jì)日志。
單擊目標(biāo)記錄操作列的詳情，可查看該條日志記錄的詳細(xì)信息，包括客戶端信息、服務(wù)端信息、行為信息等。
按實(shí)例查看日志
在左側(cè)導(dǎo)航欄，選擇日志分析。
在日志分析頁(yè)面右上角，單擊回到舊版。
如果頁(yè)面右上角顯示體驗(yàn)新版，則跳過此步驟。
在日志分析頁(yè)面左側(cè)產(chǎn)品名稱導(dǎo)航欄，單擊目標(biāo)產(chǎn)品名稱。
在日志列表上方，單擊列表模式。
Redis、OSS、TableStore和MaxCompute產(chǎn)品僅支持從實(shí)例維度查看日志，默認(rèn)不顯示列表模式按鈕。
在列表模式下，查看日志記錄。
您可根據(jù)控制臺(tái)顯示的條件參數(shù)，搜索查看滿足指定條件的審計(jì)日志。
單擊目標(biāo)記錄操作列的詳情，可查看該條日志記錄的詳細(xì)信息，包括客戶端信息、服務(wù)端信息、行為信息等。
導(dǎo)出日志
在左側(cè)導(dǎo)航欄，選擇日志分析。
在日志分析頁(yè)面右上角，單擊回到舊版。
如果頁(yè)面右上角顯示體驗(yàn)新版，則跳過此步驟。
在日志分析頁(yè)面左側(cè)產(chǎn)品名稱導(dǎo)航欄，單擊目標(biāo)產(chǎn)品名稱。
選擇需要查看的時(shí)間段，以及其他信息，單擊搜索。
單擊導(dǎo)出。
操作完成后，可導(dǎo)出當(dāng)前頁(yè)面顯示的所有日志記錄。
相關(guān)文檔
在線查詢的審計(jì)日志會(huì)保存在數(shù)據(jù)安全中心提供的存儲(chǔ)空間中，您可以查看當(dāng)前存儲(chǔ)空間容量使用情況，并管理在線存儲(chǔ)日志和歸檔存儲(chǔ)日志的崔楚規(guī)則。更多內(nèi)容，請(qǐng)參見管理日志存儲(chǔ)。
DSC默認(rèn)為數(shù)據(jù)資產(chǎn)提供內(nèi)置審計(jì)規(guī)則，包括數(shù)據(jù)庫(kù)審計(jì)規(guī)則、OSS審計(jì)規(guī)則、MaxCompute審計(jì)規(guī)則，并支持自定義審計(jì)規(guī)則。開啟審計(jì)告警規(guī)則后，可根據(jù)審計(jì)日志檢測(cè)數(shù)據(jù)資產(chǎn)的異常操作、數(shù)據(jù)泄漏、漏洞攻擊、SQL注入等風(fēng)險(xiǎn)。詳細(xì)內(nèi)容，請(qǐng)參見配置并開啟審計(jì)告警規(guī)則。
開啟審計(jì)告警規(guī)則后，DSC會(huì)將命中規(guī)則條件的行為，上報(bào)至DSC的審計(jì)告警。您可以根據(jù)告警信息和審計(jì)日志分析處理相關(guān)風(fēng)險(xiǎn)。詳細(xì)內(nèi)容，請(qǐng)參見查看和處理審計(jì)告警。