数据库安全审计
数据库安全服务（Database Security Service，DBSS）提供数据库安全审计、数据库安全加密、数据库安全运维功能，数据库审计通过实时记录用户访问数据库行为，形成细粒度的审计报告，对风险行为和攻击行为进行实时告警。数据库安全加密将系统作为代理加密网关，部署在数据库和客户端应用程序之间，任何访问都需要经过该网关，从而实现数据安全加密功能。数据库安全运维管理通过统一登录、权限管控、多因素认证、操作审批等技术，可实现对于运维人员的最小化权限控制、危险操作阻断以及行为审计。
约束与限制
- 数据库安全服务不支持跨区域（Region）使用，且数据库必须和购买的实例在同一区域。
- 购买数据库安全审计实例配置VPC参数，必须与Agent安装节点（应用端或数据库端）所在的VPC保持一致。否则，将导致Agent与审计实例之间的网络不通，无法使用数据库安全审计。创建共享VPC请参见共享VPC。
数据库安全审计的Agent安装节点，请参见：如何选择数据库安全审计的Agent安装节点？。
配置数据库
数据库安全审计支持对华为云上的RDS关系型数据库、ECS/BMS自建数据库进行审计。购买数据库安全审计实例后，您需要将待审计的数据库添加至数据库安全审计实例中。成功添加数据库后，您可以查看数据库信息、关闭、删除数据库。
配置Agent
将待审计数据库添加至数据库安全审计实例后，您需要根据您在云上实际部署的数据库选择添加Agent的方式以及在应用端或数据库端安装Agent。Agent程序会获取访问数据库流量、将流量数据上传到审计系统、接收审计系统配置命令和上报数据库状态监控数据，帮助您实现对数据库的安全审计。安装Agent后，您才能开启数据库安全审计。支持在Linux操作系统和Windows操作系统安装Agent。数据库添加了Agent，您还可以查看Agent信息、关闭或删除Agent。
配置安全组规则
Agent添加完成后，您需要为数据库安全审计实例所在的安全组添加入方向规则TCP协议（8000端口）和UDP协议（7000-7100端口），使Agent与审计实例之间的网络连通，数据库安全审计才能对添加的数据库进行审计。
配置审计范围
数据库安全审计默认提供一条“全审计规则”的审计范围，可以对成功连接数据库安全审计的所有数据库进行安全审计。您也可以通过添加审计范围，设置需要审计的数据库范围。添加审计范围后，您可以查看审计范围信息，启用、编辑、禁用或删除审计范围。
SQL注入
数据库安全审计的SQL注入检测默认开启，您可以禁用或启用SQL注入的检测规则。一条审计数据只能命中SQL注入检测中的一个规则。
隐私数据保护
当需要对输入的SQL语句的敏感信息进行脱敏时，您可以通过开启隐私数据脱敏功能，以及配置隐私数据脱敏规则，防止数据库用户敏感信息泄露。
告警通知
通过设置告警通知，当数据库发生设置的告警事件时，您可以收到DBSS发送的告警通知，及时了解数据库的安全风险。否则，无论是否有危险，您都只能登录管理控制台自行查看，无法收到告警信息。告警通知信息可能会被误拦截，若您未收到相关告警信息，请在信息拦截中查看。系统每5分钟进行一次告警统计，并触发告警通知。
审计日志
数据库安全审计支持将数据库的审计日志备份到OBS桶，实现高可用容灾。您可以根据需要备份或恢复数据库审计日志。备份审计日志后，您可以查看备份的审计日志信息，或删除备份的审计日志。
实例管理
成功购买数据库安全审计实例后，您可以查看实例信息，开启、重启或关闭实例。
风险操作管理
成功添加风险操作后，您可以查看风险操作信息，启用、编辑、禁用、删除风险操作，或设置风险操作优先级。
报表管理
数据库安全审计默认提供一条“全审计规则”的审计范围，可以对成功连接数据库安全审计的所有数据库进行审计。添加的数据库连接到数据库安全审计实例后，您可以查看报表模板信息和报表结果。
如何使用数据库安全审计？
- 登录DSC服务控制台。
- 单击左上角的
，选择区域或项目。 - 在左侧导航树中选择，进入“数据库安全审计”页面。
- 关于数据库安全审计的详细介绍及使用，请参考数据库安全审计。
