# 审计报表 企业在使用数据安全屋保护敏感数据时，涉及OBS数据访问、密钥使用等高频操作，需要对这些操作行为进行持续审计与合规监控。然而，数据访问和密钥操作分散在不同模块中，管理员难以快速掌握整体安全态势；未授权访问、密钥异常操作等风险事件一旦发生，若不能及时发现，将面临数据泄露与合规违规风险。如何集中监控数据安全屋中的数据访问与密钥使用情况，并实时掌握安全态势？通过审计报表功能，直观展示未授权访问次数、密钥异常操作数、合规密钥总数及密钥合规率等核心安全指标，并提供OBS数据访问审计、密钥使用审计、密钥自持模式、白名单管理四个子模块，帮助管理员一站式完成数据访问审计、密钥使用追踪与合规检查，及时发现并处置安全风险。 #### 前提条件 - 已[创建数据安全屋](https://support.huaweicloud.com/highsecurity-dsc/dsc_01_5102.html#dsc_01_5102__section1158005853712)，并已经在安全屋内添加了OBS存储资源或KMS密钥资源，详见[添加资源](https://support.huaweicloud.com/highsecurity-dsc/dsc_01_5102.html#dsc_01_5102__section16368018161615)章节。 - OBS数据访问审计依赖数据流转日志采集功能，确保已开启[数据流转](https://support.huaweicloud.com/highsecurity-dsc/dsc_01_5116.html)。 #### 查看审计报表 1. [登录DSC服务控制台](https://console.huaweicloud.com/dsc/)。 2. 在左侧导航栏中，选择"数据安全屋"，进入"数据安全屋"控制台。 3. 在左侧导航栏中，选择"审计与系统 \> 审计报表"，进入"审计报表"页面。 4. 在页面上方，下拉框中选择数据安全屋。 5. 查看目标安全屋的安全指标概览区。为您展示**未授权访问次数（近7天）** 、**密钥异常操作数（近7天）** 、**合规/密钥总数** 、**密钥合规率** 。 图1安全指标概览区 ![](https://support.huaweicloud.com/highsecurity-dsc/zh-cn_image_0000002776806454.png "点击放大") - **未授权访问次数（近7天）**：统计近7天内对OBS数据的未授权访问尝试次数。 - **密钥异常操作数（近7天）**：统计近7天内密钥的异常操作次数，如非法解密、越权使用等。 - **合规/密钥总数**：当前合规密钥数量与密钥总数量的比值（如0/2表示共2个密钥，0个合规）。 - **密钥合规率**：合规密钥占总密钥数的百分比，反映整体密钥合规状况。 6. 选择对应页签，可查看以下审计项报表。 - [OBS数据访问审计]：记录OBS桶及对象的访问行为日志，包括操作人、源IP、操作类型、操作结果、授权状态及风险等级，用于追踪数据访问轨迹与识别未授权访问。 - [密钥使用审计]：记录密钥的加密、解密、启用、禁用等操作行为，展示操作人、密钥ID、操作结果、异常状态及异常原因，用于监控密钥使用情况与识别异常操作。 - [密钥自持模式]：展示当前密钥的托管类型（平台托管/外部BYOK）、密钥状态与风险等级，用于管理密钥的托管方式并评估密钥安全风险。 - [白名单管理]：分为用户白名单和IP白名单两个子页签，管理允许访问数据安全屋的可信用户与IP列表，支持添加、批量删除及搜索筛选操作。 #### OBS数据访问审计 1. [登录DSC服务控制台](https://console.huaweicloud.com/dsc/)。 2. 在左侧导航栏中，选择"数据安全屋"，进入"数据安全屋"控制台。 3. 在左侧导航栏中，选择"审计与系统 \> 审计报表"，进入"审计报表"页面。 4. 选择"OBS数据访问审计"页签，支持通过属性筛选或关键字搜索快速定位特定审计记录，参数说明如[表1]所示。 图2OBS数据访问审计 ![](https://support.huaweicloud.com/highsecurity-dsc/zh-cn_image_0000002776845520.png "点击放大") 表1OBS数据访问审计参数说明 | 参数名称 | 参数说明 | |:---|:---| | **操作人** | 执行OBS访问操作的用户或服务账号。 | | **操作时间** | 操作发生的精确时间戳。 | | **源IP** | 发起访问请求的IP地址。 | | **操作类型** | 对OBS对象执行的操作类型，如读、写。 | | **操作结果** | 操作的执行结果，如成功或失败。 | | **桶名称** | 被访问的OBS桶名称。 | | **对象路径** | 被访问对象在桶内的完整路径。 | | **授权状态** | 该访问操作是否经过授权，用于识别未授权访问。 | | **风险等级** | 系统根据操作行为评估的风险级别，如高危、警告、无风险。 - **高危**：未加白的用户账号或IP成功访问了安全屋内的OBS数据，风险等级则为高危，如果确认该操作人的账号或IP为正常，则建议分别单击操作列的"加白用户"和"加白IP"，将该操作人的账户名或IP加到白名单。 - **警告**：未加白的用户账号或IP试图访问安全屋内的OBS数据，但操作结果为失败，风险等级则为警告。 - **无风险**：同时加白用户和IP后，该条审计数据的"风险等级"变为"无风险"。 | 5. 在目标审计数据的"操作"列，单击"加白用户"或"加白IP"，可将该操作人的账户或IP加到白名单，在"白名单管理"列表，可查看加白的用户或IP。 同时加白用户和IP后，该条审计数据的"风险等级"变为"无风险"。 #### 密钥使用审计 1. [登录DSC服务控制台](https://console.huaweicloud.com/dsc/)。 2. 在左侧导航栏中，选择"数据安全屋"，进入"数据安全屋"控制台。 3. 在左侧导航栏中，选择"审计与系统 \> 审计报表"，进入"审计报表"页面。 4. 选择"密钥使用审计"页签，支持通过属性筛选或关键字搜索快速定位特定审计记录，参数说明如[表2]所示。 图3密钥使用审计 ![](https://support.huaweicloud.com/highsecurity-dsc/zh-cn_image_0000002777012356.png "点击放大") 表2密钥使用审计参数列表 | 参数名称 | 参数说明 | |:---|:---| | **操作人** | 执行密钥操作的用户或服务账号。 | | **操作时间** | 密钥操作发生的精确时间戳。 | | **源IP** | 发起密钥操作请求的IP地址。 | | **操作类型** | 对密钥执行的操作类型，如加密、解密、轮转、启用、禁用、授权、删除等。 | | **密钥ID** | 被操作的密钥唯一标识。 | | **操作结果** | 操作的执行结果，如成功或失败。 | | **异常状态** | 该操作是否存在异常，如正常、异常等。 | | **异常原因** | 若操作异常，描述具体的异常原因，如越权使用、密钥已禁用等。 | | **风险等级** | 系统根据操作行为评估的风险级别，如高危、中等、警告、无风险。 - **高危**：未加白的用户账号或IP执行解密操作成功，风险等级则为高危，如果确认该操作人的账号或IP为正常，则建议分别单击操作列的"加白用户"和"加白IP"，将该操作人的账户名或IP加到白名单。 - **中等**：在22:00-06:00时间段内，安全屋内的用户账号或IP执行解密操作成功大于50次，风险等级则为中等。 - **警告**：未加白的用户账号或IP，或者22:00-06:00时间段内执行解密操作失败大于50次，则风险等级为警告。 - **无风险** ： - 安全屋内的用户账号或IP在06:00-22:00执行解密操作，风险等级为无风险。 - 所有用户账号或IP执行非解密操作，风险等级都为无风险。 - 同时加白用户账号和IP后，该条审计数据的"风险等级"变为"无风险"。 | 5. 在目标审计数据的"操作"列，单击"加白用户"或"加白IP"，可将该操作人的账户名或IP加到白名单，在"白名单管理"列表，可查看加白的用户或IP。 同时加白用户账号和IP后，该条审计数据的"风险等级"变为"无风险"。 #### 密钥自持模式 1. [登录DSC服务控制台](https://console.huaweicloud.com/dsc/)。 2. 在左侧导航栏中，选择"数据安全屋"，进入"数据安全屋"控制台。 3. 在左侧导航栏中，选择"审计与系统 \> 审计报表"，进入"审计报表"页面。 4. 选择"密钥自持模式"页签，支持通过属性筛选或关键字搜索定位特定密钥，参数说明如[表3]所示。 图4密钥自持 ![](https://support.huaweicloud.com/highsecurity-dsc/zh-cn_image_0000002776983188.png "点击放大") 表3密钥自持模式参数说明 | 参数名称 | 参数说明 | |:---|:---| | **密钥名称** | 用户自定义的密钥名称，用于标识和区分不同密钥。 | | **密钥ID** | 系统自动生成的密钥唯一标识，全局唯一。 | | **托管类型** | 密钥的托管方式。 - **平台托管**：密钥由DSC平台统一生成、存储和管理，用户无需自行维护密钥基础设施，适用于对密钥管理无特殊合规要求的场景。 - **外部BYOK**：用户使用自有密钥（外部KMS生成的密钥）接入DSC平台，密钥的创建由外部管理，但加密解密操作在平台侧完成，适用于用户需掌控密钥创建权但委托平台执行加解密的场景。 - **外部HYOK**：密钥完全由用户自持，密钥的创建、存储和加解密操作均在外部完成，平台不接触密钥明文，适用于对密钥控制权要求最高、需满足严格合规隔离要求的场景。 | | **密钥状态** | 密钥当前的状态，如启用（绿色）、禁用、待轮换等。 | | **风险等级** | 系统根据密钥使用情况、合规性等评估的风险级别，如中等、无风险。 - **托管类型** 为**平台托管** ，风险等级是**中等**。 - **托管类型** 为**外部BYOK** 和**外部HYOK** ，风险等级是**无风险**。 | | **创建时间** | 密钥创建的时间戳，含时区信息。 | #### 添加用户/IP白名单 1. [登录DSC服务控制台](https://console.huaweicloud.com/dsc/)。 2. 在左侧导航栏中，选择"数据安全屋"，进入"数据安全屋"控制台。 3. 在左侧导航栏中，选择"审计与系统 \> 审计报表"，进入"审计报表"页面。 4. 选择"白名单管理"页签，支持通过属性筛选或关键字搜索快速定位记录。 - **添加用户白名单** 1. 选择"用户白名单"页签，单击"添加"。 2. 在"添加用户白名单"弹框中，选择需要加入白名单的IAM用户。 图5添加用户白名单 ![](https://support.huaweicloud.com/highsecurity-dsc/zh-cn_image_0000002776821464.png "点击放大") 3. 单击"添加"，在用户白名单列表中，可查看添加的白名单用户。 如需移除白名单，在用户白名单列表中的"操作"列，单击"删除"。 - **添加IP白名单** 1. 选择"IP白名单"页签，单击"添加"。 2. 在"添加IP白名单"弹框中，输入需要加入白名单的IP地址。 图6添加IP白名单 ![](https://support.huaweicloud.com/highsecurity-dsc/zh-cn_image_0000002806226397.png "点击放大") 3. 单击"添加"，在IP白名单列表中，可查看添加的IP白名单。 如需移除白名单，在IP白名单列表中的"操作"列，单击"删除"。 #### 相关文档 - [数据流转](https://support.huaweicloud.com/highsecurity-dsc/dsc_01_5116.html)：DSC统一采集安全屋内OBS读写日志及KMS加解密SDK数据操作日志，动态捕获用户访问行为路径，能够全面支撑事件溯源与风险定位，直观展示数据流转情况，帮助运维及安全人员及时识别异常与安全风险。 - 对象存储服务（Object Storage Service，OBS）提供海量、安全、高可靠、低成本的数据存储能力，可供用户存储任意类型和大小的数据。适合企业备份/归档、视频点播、视频监控等多种数据存储场景。了解更多OBS服务，详见[对象存储服务](https://support.huaweicloud.com/obs/index.html)。 - [异常检测与修复](https://support.huaweicloud.com/highsecurity-dsc/dsc_01_5117.html)：安全屋风险扫描功能支持对安全屋策略配置进行自动化检测，可识别策略配置偏移和危险操作，并按风险等级触发告警，帮助管理员及时发现并处理安全屋安全隐患，保障安全屋隔离管理的安全性和有效性。 - [查看安全屋边界风险](https://support.huaweicloud.com/highsecurity-dsc/dsc_01_5115.html)：安全屋边界风险功能提供边界暴露面的全景可视化视图，支持拓扑视图和列表视图双模式展示，帮助安全管理员清晰掌握安全屋内所有网络边界访问路径及其安全状态，实现从暴露面可视到风险可识别、策略可管控、违规可阻断的闭环安全管理能力。