監査の設定

監査は、SAP HANA データベースで実行または試行されたアクションを可視化するものです。これにより、たとえば、機密データへの読込アクセスをログに記録し、監視することができます。そのため、ポリシーの基本セットを登録することをお奨めします。

監査は、テナントデータベースごとに有効化および無効化することができます。また、SAP HANA コックピットまたは SQL 文を使用してデータベースごとに個別に設定することができます。1 つのデータベースで監査設定を変更しても、SAP HANA システムの他のデータベースの監査には影響しません。

監査ロギングはデフォルトでは無効化されています。

SAP HANA データベースの監査サービスを通じて、データベースで実行される特定のアクションを監視および記録することができます。このサービスを使用するには、最初にデータベースに対してサービスを有効化します。その後、必要な監査ポリシーを登録および有効化することができます。

監査証跡はシステムデータベースでのみ設定され、後でテナントデータベースで変更することはできません。監査エントリは、監査ポリシーがトリガされると、1 つまたは複数の監査証跡 (データベーステーブル、linux syslog、CSV ファイル、またはカーネルトレース) に登録されます。

監査ポリシーでは、監査対象のアクションを定義します。また、監査に関連するアクションを実行する条件の概要についても説明します。アクションが実行されると、監査ポリシーがトリガされ、監査イベントが監査証跡に書き込まれます。監査ポリシーはデータベース固有です。

監査ポリシーでは、監査対象のアクションをいくつでも指定できますが、すべてのアクションを同じポリシーで結合できるわけではありません。監査ポリシーでは、監査対象のアクションに加えて、実際に監査されるイベントの数をさらに絞り込むパラメータを指定します。監査対象のアクションのステータス (成功または失敗) を定義し、スキーマやテーブルなどのターゲットオブジェクトを特定します。また、監査対象のユーザと監査レベル (ALERT、WARNING、INFO など) を設定する必要があります。

監査ポリシーがトリガされると、対応するレベルの監査エントリが監査証跡に書き込まれます。これにより、監査対象のアクションのチェックツールで重要な情報を見つけやすくなります。

アクションは、SQL 文によるデータベース内のアクションの実行に対応します。たとえば、システム内のユーザプロビジョニングを追跡するには、SQL 文CREATE USERおよびDROP USERの実行を監査する監査ポリシーを作成します。

ほとんどのアクションは単一の SQL 文の実行に対応していますが、複数の SQL 文の実行に対応するアクションもあります。たとえば、アクションはGRANT ANY SQL 文GRANT PRIVILEGE、、GRANT ROLE、GRANT STRUCTURED PRIVILEGEおよびGRANT APPLICATION PRIVILEGEに対する複数のエンティティの付与を監査します。

通常監査されるその他のアクションには、オブジェクトの登録、データベース内のデータのクエリまたは操作、ユーザ権限の変更、システム設定やデータへのアクセスと変更などがあります。

成功したアクションと失敗したアクションの両方を記録することができます。

ユーザ、ロール、権限イベントに関する SAP HANA データベースの変更に対する監査可能なアクションの例は以下のとおりです。

• ユーザの作成または削除、役割の作成または削除

• ロールの付与または取消

• SQL 権限、システム権限、および分析権限の付与または取消

• 分析権限の作成または削除

• データベースへの接続試行などのユーザの認証

システム設定の変更 (.ini ファイル、ライセンスキーのアップロード、すべてのシステムライセンスの設定または設定解除、データボリューム暗号化の変更など) は、ログに記録可能なアクションです。設定変更に対して監査ロギングを有効化すると、パラメータの以前の値が監査証跡に書き込まれます。

スキーマ、テーブル、ビュー、およびプロシージャ内の機密データへのアクセスまたはそのデータに加えた変更を監査することができます。データへの書込アクセスと読込アクセス (SELECT、INSERT、UPDATE、DELETE、EXECUTE 文) の両方を記録することができます。

監査が有効な場合、特定のアクションが常に監査されるため、それをユーザ定義の監査ポリシーに含めることはできません。監査証跡では、これらのアクションには内部監査ポリシー必須監査ポリシーのラベルが付けられます。

必須監査アクションには、監査ポリシーの登録、変更、削除、および監査証跡からの監査エントリの削除 (カラムストアデータベーステーブルに書き込まれている場合) が含まれます。監査の有効化/無効化、監査証跡ターゲットの変更、監査証跡ターゲットの場所の変更 (CSV テキストファイルの場合) などの監査設定に対する変更は、監査アクションとしてもログに記録されます。

監査できるのは、データベースエンジン内で実行されるアクションのみです。アクションが実行されたときにデータベースエンジンがオンラインでない場合は、そのアクションを検出できないため、監査することができません。このようなアクションには、SAP HANA データベースインスタンスのアップグレードや OS コマンドを使用したシステム設定ファイルの直接的な変更などが含まれます。

アップグレードは、インスタンスがオフラインであるときにトリガされます。インスタンスが再度オンラインになったときに、どのユーザがいつアップグレードをトリガしたかを特定することはできません。

SQL を使用して行われた変更のみがデータベースエンジンに表示されます。システムがオフラインのときに設定ファイルを変更できます。

監査ポリシーがトリガされると、すなわちポリシーで定義された条件でポリシーのアクションが実行されると、監査エントリが 1 つまたは複数の監査証跡に登録されます。

本稼動システムでは、以下の監査証跡対象がサポートされています。

監査レベル (監査されるアクションの重大度) に対して個別の監査証跡対象を設定することができます。

監査レベルが EMERGENCY、CRITICAL、または ALERT の監査ポリシーの監査エントリは、該当する監査レベルに指定された監査証跡ターゲットに書き込まれます。監査レベルに監査証跡対象が設定されていない場合、エントリはデータベース用に設定された監査証跡対象に書き込まれます。

監査ポリシー固有の対象は、システムデータベースでも可能です。この場合、特定のポリシーの監査エントリは、指定された監査証跡ターゲットに書き込まれます。監査ポリシーに監査証跡対象が設定されていない場合、エントリは監査レベルの監査証跡対象 (設定されている場合)、またはデータベースに設定された監査証跡対象に書き込まれます。個別のポリシーごとに複数の監査証跡対象を設定することができます。

図 "監査ログの設定" は、SAP HANA コックピットを使用してシステムデータベースの監査ログを設定およびオンに切り替える方法の概要を示しています。

ウィザードを使用して、監査を迅速に有効化し、監査ポリシーの基本設定を適用することができます。

監査ポリシーをマニュアルで設定する代わりに、ウィザードを使用して SAP の推奨設定を適用することができます。これにより、監査ポリシーの使用を迅速に開始することができます。

監査ポリシーでは、監査するアクションをいくつでも指定することができます。すべてのアクションを同じポリシーで結合できるわけではないため、互換性のある監査アクションはグループ化されます。アクションを選択すると、選択したアクションと互換性がないすべてのアクションを選択できなくなります。

互換性のない監査アクションを 2 つ選択する場合は、2 つの個別の監査ポリシーを登録する必要があります。

監査ポリシーでは、監査対象のアクションに加えて、実際に監査されるイベントの数をさらに絞り込む追加パラメータも以下のように指定されます。

監査済みアクションステータス: 実行完了時、実行失敗時、またはその両方。

ターゲットオブジェクトまたはオブジェクト: スキーマ、テーブル、ビュー、プロシージャ、およびシーケンス。

監査対象ユーザ: すべてのユーザまたは個別ユーザを監査ポリシーに含めたり、監査ポリシーから除外したりすることができます。

監査レベル: EMERGENCY、ALERT、CRITICAL、WARNING、または INFO

監査ポリシーがトリガされると (つまり、ポリシーで定義された条件でポリシーのアクションが発生すると)、監査証跡に監査エントリが登録されます。

Firefighter ロギングでは、特定のユーザが実行したすべてのアクションのログが記録されます。これには、個別に監査できるすべてのアクション、および個別に監査できないアクションが含まれます。そのようなポリシーは、特定の権限を持つユーザのアクションを監査する場合に便利です。

SAP HANA 2.0 SPS04 以降では、システムデータベースから特定のテナントデータベースアクティビティを監査することができます。

通常、テナントデータベースの監査ポリシーは、テナントデータベース内から登録されます。ホスティングなどの一部のシナリオでは、テナントデータベースのアクティビティを一元的に監視するのが望ましい場合があります。

セッション管理、システム設定の変更、ライセンスのインストールや削除を除く特定の領域 (証明書の管理、認証、暗号化など) に対するアクションは、システムデータベースから直接監査することができます。

テナントデータベースに関してシステムデータベースで登録された監査ポリシーは、テナントデータベースに表示されますが、そこから変更することはできません。

監査テーブルが無期限に増大しないようにするには、テーブルをトランケートして古い監査エントリを削除します。システムの全体的なメモリ割当限度に関連して、テーブルのサイズが監視されます。デフォルトでは、割当限度の 5%、7%、9%、および 11% の定義済値に達すると、アラートが発行されます。この動作は、テーブルベースの監査ログの check 64 Total memory usage を使用して設定できます。監査テーブルをトランケートできるのは、システム権限 AUDIT OPERATOR を持つユーザだけです。

SAP HANA コックピットを使用して、特定の時間までに登録された監査エントリを監査テーブルから削除することができます。

内部データベーステーブルに監査エントリを書き込むように明示的に設定されている監査ポリシーの場合、監査保持期間を日数で指定することができます。監査エントリの保持期間が経過すると、監査エントリは削除されます。保持期間を既存の監査ポリシーに追加すると、その保持期間を超過した既存の監査エントリがすべて削除されます。

デフォルトの最短保存期間は 7 日です。

監査ログエントリを削除する必要がある理由として、該当するエントリが不要になった可能性が挙げられます。このようにエントリを削除することにより、データベースストレージを解放したり、会社のコンプライアンス要件を満たしたりすることができます。

保存期間を定義するには、SAP HANA コックピットを使用して新しい監査ポリシーを登録するか、既存の監査ポリシーを編集するかして、監査証跡ターゲットとしてデータベーステーブルを設定します。

テーブルが大きくなりすぎて、古いエントリを削除するのに十分なメモリがない場合は、以下の SQL コマンドを使用してテーブルを完全に空にします。 ALTER SYSTEM CLEAR AUDIT LOG ALL

SAP HANA コックピットの監査タイルでは、監査ログのステータスを表示し、有効な監査ポリシーをチェックすることができます。

監査済アクションが発生するたびに、1 つまたは複数の監査エントリが登録され、監査証跡に書き込まれます。監査証跡ターゲットがデータベーステーブルである場合は、SAP HANA コックピットの監査アプリで監査証跡を表示することができます。SAP HANA コックピットで監査証跡を照会、フィルタ、およびソートすることができます。レイアウトの設定には、いくつかのオプションがあります。

または、SAP HANA データベーステーブルを監査証跡ターゲットとして使用して、監査情報を迅速にクエリおよび分析することもできます。安全で不正変更の防止策が施された保管場所を備えています。監査エントリには、パブリックシステムビュー AUDIT_LOG からのみアクセスできます。このビューは読込専用です。システム権限 AUDIT OPERATOR を持つユーザのみが、基本となる内部テーブルから古いエントリを削除することができます。

SAP HANA コックピットの SQL コンソールで PUBLIC.AUDIT_LOG ビューを開くか、SQL コマンド SELECT * FROM "PUBLIC"."AUDIT_LOG" を使用してシステムビューを表示します。

監査ポリシーを設定して有効化するには、以下の SQL 文を例として使用することができます。

123
CREATE AUDIT POLICY policy_UserRoleManagement AUDITING ALL CREATE USER, DROP USER, CREATE ROLE, DROP ROLE LEVEL Critical;

ALTER AUDIT POLICY policy_UserRoleManagement ENABLE;

監査証跡が Linux システムログまたは CSV ファイルに書き込まれると、監査ログ出力は以下のようになります。

12
Syslog output (csv-compatible format ): /var/log/messages
August 13 13:29:55 WDFLBMT7346 HDB[5212]: 2023-08-14 13:29:55;indexserver;wdflbmt7346.wdf.sap.corp;H46;00;30003;H46;127.0.0.2;lu306309;6776;58060;policy_UserRoleManagement;CRITICAL;CREATE USER;SYSTEM;;;;;;JohnDoe;SUCCESSFUL;;;;;;create user JohnDoe identified by XXXXXXXXXXXXX;434597;

列ヘッダ名は監査証跡に書き込まれないため、マニュアルで追加する必要があります。

監査エントリは以下のように表示されます。

1
<Event Timestamp>;<Service Name>;<Hostname>;<SID>;<Instance Number>;<Port Number>;<Database Name>;<Client IP Address>;<Client Name>;<Client Process ID>;<Client Port Number>;<Policy Name>;<Audit Level>;<Audit Action>;<Session User>;<Target Schema>;<Target Object>;<Privilege Name>;<Grantable>;<Role Name>;<Target Principal>;<Action Status>;<Component>;<Section>;<Parameter>;<Old Value>;<New Value>;<Comment>;<Executed Statement>;<Session Id>; ...

詳細については、SAP HANA セキュリティガイドを参照してください。