Amazon RDS for SQL Server DB インスタンスの監査

このセクションでは、Amazon RDS 上の SQL Server の監査オプション (監査の作成、監査ログの表示、結果のモニタリングなど) について説明します。

前提条件

サポートバージョン

C2 監査モードの使用

C2 監査モードは、Amazon RDS for SQL Server DB パラメータグループのパラメータです。デフォルトでは無効となっています。パラメータ値を 1 に更新することで有効にできます。C2 監査モードを有効にすると、ユーザーログイン、ストアドプロシージャ呼び出し、オブジェクトの作成と削除などのイベントが監査されます。このモードは、すべて監査するか何も監査しないため、大量のデータが生成させる可能性があります。

監査の作成と表示

Amazon RDS for SQL Server データベースは、監査と監査仕様の作成を伴う組み込みの SQL Server 監査メカニズムを使用して監査できます。 

マルチ AZ インスタンスでは、データベース監査仕様オブジェクトがすべてのノードにレプリケートされます。  サーバー監査とサーバー監査の仕様はすべてのノードにレプリケートされないため、手動で作成する必要があります。

オプショングループの設定

Amazon RDS for SQL Server DB インスタンスで SQL Server 監査を実行するオプショングループを設定するには、次の手順に従います。詳細な手順については、Amazon RDS ドキュメントの「SQL Server Audit」を参照してください。

監査の作成

サーバー監査を作成するには、次のスクリプトを使用します。このスクリプトは、指定したファイルパスに監査ファイルを作成します。構文、引数、例については、Microsoft SQL Server のドキュメントを参照してください。エラーを回避するには、Amazon RDS ドキュメントに記載されている制限のリストを確認してください。

--Creating the server audit
 use master
 GO
 CREATE SERVER AUDIT [Audit-<<servername>>]
 TO FILE  ( FILEPATH = N'D:\rdsdbdata\SQLAudit', MAXSIZE = 2 MB, RESERVE_DISK_SPACE = OFF)
 WITH ( QUEUE_DELAY = 1000, ON_FAILURE = CONTINUE)
 GO
-- Enabling the server audit  
 ALTER SERVER AUDIT [Audit-<<servername>>] WITH (STATE = ON) ;
 GO

監査仕様の作成

サーバー監査を作成した後、次のコードを使用してサーバー監査仕様を作成することで、サーバーレベルのイベントを記録できます。この仕様によって、サーバー監査中にチェックされる内容が決まります。構文、引数、例については、Microsoft SQL Server のドキュメントを参照してください。次の仕様では、失敗したログインアクションを監査し、サーバーオブジェクトの作成、変更、削除を追跡します。アクションのリストについては、Microsoft SQL Server ドキュメントを参照してください。

--Creating server audit specification
 USE [master]
 GO
 CREATE SERVER AUDIT SPECIFICATION [Audit-Spec-<<servername>>]
 FOR SERVER AUDIT  [Audit-<<servername>>]
 ADD (FAILED_LOGIN_GROUP), ADD (SERVER_OBJECT_CHANGE_GROUP)
 GO
--Enables the audit 
 ALTER SERVER AUDIT [Audit-<<servername>>]  
 WITH (STATE = ON);  
 GO 

次のコードを使用すると、データベースレベルのイベントを記録するデータベース監査仕様を作成できます。この例では、INSERT アクションを監査します。構文、引数、その他の例については、Microsoft SQL Server のドキュメントを参照してください。

--Creating database audit specification
 USE [<<DBName>>]
 GO
 
 CREATE DATABASE AUDIT SPECIFICATION [DatabaseAuditSpecification-<<DBName>>]
 FOR SERVER AUDIT [Audit-<<ServerName>>]
 ADD (INSERT ON DATABASE::[<<DBName>>] BY [dbo])
 WITH (STATE = ON)
 GO

監査ログの表示

次のクエリを使用して、監査ログを確認できます。監査ログは、Amazon S3 にアップロードされるまで DB インスタンスに保持されます。SQLSERVER_AUDIT オプションの保持を有効にすると、Amazon RDS はファイルを保持用フォルダ (D:\rdsdbdata\SQLAudit\transmitted) に移動します。

また、保持用フォルダの監査レコードを表示するには、フィルタを D:\rdsdbdata\SQLAudit\transmitted\*.sqlaudit に変更します。

--Viewing audit logs
SELECT   * 
	FROM     msdb.dbo.rds_fn_get_audit_file
	             ('D:\rdsdbdata\SQLAudit\*.sqlaudit'
	             , default
	             , default )
--Viewing audit logs in retention folder
SELECT   * 
	FROM     msdb.dbo.rds_fn_get_audit_file
	             ('D:\rdsdbdata\SQLAudit\transmitted\*.sqlaudit'
	             , default
	             , default )

SQL Server データベースを監査するための追加オプションについては、以下の AWS および Microsoft のドキュメントで説明されています。

モニタリング

RDS のデータベースアクティビティストリームを使用すると、SQL Server Audit イベントを Imperva、McAfee、IBM のデータベースアクティビティ監視ツールと統合できます。詳細については、Amazon RDS ドキュメントの「Microsoft SQL Server の監査」を参照してください。