Logs de auditoria no Banco de Dados do Azure para MySQL

  • Artigo

APLICA-SE A: Banco de Dados do Azure para MySQL – Servidor individual

Importante

O Banco de Dados do Azure para servidor único MySQL está no caminho de desativação. É altamente recomendável que você atualize para o Banco de Dados do Azure para o servidor flexível MySQL. Para obter mais informações sobre como migrar para o Banco de Dados do Azure para o servidor flexível MySQL, consulte O que está acontecendo com o Banco de Dados do Azure para Servidor Único MySQL?

No Banco de Dados do Azure para MySQL, o log de auditoria está disponível para os usuários. O log de auditoria pode ser usado para acompanhar a atividade no nível do banco de dados e normalmente é usado para conformidade.

Configurar o log de auditoria

Importante

Recomenda-se registrar apenas os tipos de eventos e os usuários necessários para fins de auditoria a fim de garantir que o desempenho do servidor não seja muito afetado e que seja coletada uma quantidade mínima de dados.

Por padrão, o log de auditoria fica desabilitado. Para habilitá-lo, configure audit_log_enabled como ATIVO.

Outros parâmetros que você pode ajustar incluem:

  • audit_log_events: controla os eventos a serem registrados em log. Confira a tabela abaixo para ver eventos de auditoria específicos.
  • audit_log_include_users: usuários do MySQL a serem incluídos para registro em log. O valor padrão para esse parâmetro é vazio, o que incluirá todos os usuários para registro em log. Isso tem prioridade mais alta em relação a audit_log_exclude_users. O parâmetro pode ter até 512 caracteres.
  • audit_log_exclude_users: usuários do MySQL a serem excluídos do registro em log. O parâmetro pode ter até 512 caracteres.

Observação

audit_log_include_users tem prioridade mais alta em relação a audit_log_exclude_users. Por exemplo, se audit_log_include_users = demouser e audit_log_exclude_users = demouser, o usuário será incluído nos logs de auditoria porque audit_log_include_users tem prioridade mais alta.

Evento Descrição
CONNECTION - Início da conexão (bem-sucedida ou malsucedida)
- Reautenticação de usuário com usuário/senha diferente durante a sessão
– Encerramento da conexão
DML_SELECT Consultas SELECT
DML_NONSELECT Consultas INSERT/DELETE/UPDATE
DML DML = DML_SELECT + DML_NONSELECT
DDL Consultas como "DROP DATABASE"
DCL Consultas como "GRANT PERMISSION"
ADMIN Consultas como "SHOW STATUS"
GENERAL Tudo em DML_SELECT, DML_NONSELECT, DML, DDL, DCL e ADMIN
TABLE_ACCESS - Disponível para MySQL 5.7 e MySQL 8.0
- Instruções de leitura de tabela, como SELECT ou INSERT INTO ... SELECIONAR
- Instruções de exclusão de tabela, como DELETE ou TRUNCATE TABLE
- Instruções de inserção de tabela, como INSERT ou REPLACE
– Instruções de atualização de tabela, como UPDATE

Acesse os logs de auditoria

Os logs de auditoria são integrados aos logs de diagnóstico do Azure Monitor. Depois de habilitar os logs de auditoria no servidor MySQL, você pode emiti-los para logs do Azure Monitor, hubs de eventos ou armazenamento do Azure. Para saber mais sobre como habilitar logs de diagnóstico no portal do Azure, confira o artigo do portal sobre log de auditoria.

Observação

As contas de armazenamento Premium não têm suporte se você envia os logs para o armazenamento do Azure por meio de diagnóstico e configurações

Esquemas de logs de diagnóstico

As seções a seguir descrevem a saída dos logs de auditoria do MySQL com base no tipo de evento. Dependendo do método de saída, os campos incluídos e a ordem em que aparecem podem variar.

Conexão

Propriedade Descrição
TenantId Sua ID de locatário
SourceSystem Azure
TimeGenerated [UTC] Carimbo de data/hora quando o log foi gravado, em UTC
Type Tipo do log. Sempre AzureDiagnostics
SubscriptionId GUID para a assinatura a que o servidor pertence
ResourceGroup Nome do grupo de recursos ao qual o servidor pertence
ResourceProvider Nome do provedor de recursos. Sempre MICROSOFT.DBFORMYSQL
ResourceType Servers
ResourceId URI de recurso
Resource Nome do servidor
Category MySqlAuditLogs
OperationName LogEvent
LogicalServerName_s Nome do servidor
event_class_s connection_log
event_subclass_s CONNECT, DISCONNECT, CHANGE USER (disponível somente para MySQL 5.7)
connection_id_d ID de conexão exclusiva gerada pelo MySQL
host_s Em branco
ip_s Endereço IP do cliente que está se conectando ao MySQL
user_s Nome do usuário que está executando a consulta
db_s Nome do banco de dados conectado a
\_ResourceId URI de recurso

Geral

O esquema abaixo se aplica aos tipos de evento GENERAL, DML_SELECT, DML_NONSELECT, DML, DDL, DCL e ADMIN.

Observação

Para sql_text, o log será truncado se exceder 2048 caracteres.

Propriedade Descrição
TenantId Sua ID de locatário
SourceSystem Azure
TimeGenerated [UTC] Carimbo de data/hora quando o log foi gravado, em UTC
Type Tipo do log. Sempre AzureDiagnostics
SubscriptionId GUID para a assinatura a que o servidor pertence
ResourceGroup Nome do grupo de recursos ao qual o servidor pertence
ResourceProvider Nome do provedor de recursos. Sempre MICROSOFT.DBFORMYSQL
ResourceType Servers
ResourceId URI de recurso
Resource Nome do servidor
Category MySqlAuditLogs
OperationName LogEvent
LogicalServerName_s Nome do servidor
event_class_s general_log
event_subclass_s LOG, ERROR, RESULT (disponível somente para MySQL 5.6)
event_time Hora de início da consulta no carimbo de data/hora UTC
error_code_d Código de erro se a consulta falhar. 0 significa nenhum erro
thread_id_d ID do thread que executou a consulta
host_s Em branco
ip_s Endereço IP do cliente que está se conectando ao MySQL
user_s Nome do usuário que está executando a consulta
sql_text_s Texto completo da consulta
\_ResourceId URI de recurso

Acesso à tabela

Observação

Os logs de acesso à tabela são apenas saída para MySQL 5.7.
Para sql_text, o log será truncado se exceder 2048 caracteres.

Propriedade Descrição
TenantId Sua ID de locatário
SourceSystem Azure
TimeGenerated [UTC] Carimbo de data/hora quando o log foi gravado, em UTC
Type Tipo do log. Sempre AzureDiagnostics
SubscriptionId GUID para a assinatura a que o servidor pertence
ResourceGroup Nome do grupo de recursos ao qual o servidor pertence
ResourceProvider Nome do provedor de recursos. Sempre MICROSOFT.DBFORMYSQL
ResourceType Servers
ResourceId URI de recurso
Resource Nome do servidor
Category MySqlAuditLogs
OperationName LogEvent
LogicalServerName_s Nome do servidor
event_class_s table_access_log
event_subclass_s READ, INSERT, UPDATE ou DELETE
connection_id_d ID de conexão exclusiva gerada pelo MySQL
db_s Nome do banco de dados acessado
table_s Nome da tabela acessada
sql_text_s Texto completo da consulta
\_ResourceId URI de recurso

Analisar logs nos Logs do Azure Monitor

Depois que os logs de auditoria são canalizados para os Logs do Azure Monitor por meio dos Logs de Diagnóstico, você pode fazer análises adicionais dos eventos auditados. Abaixo estão algumas consultas de exemplo para ajudar você a começar. Atualize as informações abaixo com o nome do servidor.

  • Listar eventos GERAIS em um servidor específico

    AzureDiagnostics
| where LogicalServerName_s == '<your server name>'
| where Category == 'MySqlAuditLogs' and event_class_s == "general_log"
| project TimeGenerated, LogicalServerName_s, event_class_s, event_subclass_s, event_time_t, user_s , ip_s , sql_text_s 
| order by TimeGenerated asc nulls last

  • Listar eventos de CONEXÃO em um servidor específico

    AzureDiagnostics
| where LogicalServerName_s == '<your server name>'
| where Category == 'MySqlAuditLogs' and event_class_s == "connection_log"
| project TimeGenerated, LogicalServerName_s, event_class_s, event_subclass_s, event_time_t, user_s , ip_s , sql_text_s 
| order by TimeGenerated asc nulls last

  • Resumir eventos auditados em um servidor específico

    AzureDiagnostics
| where LogicalServerName_s == '<your server name>'
| where Category == 'MySqlAuditLogs'
| project TimeGenerated, LogicalServerName_s, event_class_s, event_subclass_s, event_time_t, user_s , ip_s , sql_text_s 
| summarize count() by event_class_s, event_subclass_s, user_s, ip_s

  • Representar em gráfico a distribuição de tipo de evento de auditoria em um servidor específico

    AzureDiagnostics
| where LogicalServerName_s == '<your server name>'
| where Category == 'MySqlAuditLogs'
| project TimeGenerated, LogicalServerName_s, event_class_s, event_subclass_s, event_time_t, user_s , ip_s , sql_text_s 
| summarize count() by LogicalServerName_s, bin(TimeGenerated, 5m)
| render timechart

  • Listar eventos auditados em todos os servidores MySQL com Logs de Diagnóstico habilitados para logs de auditoria

    AzureDiagnostics
| where Category == 'MySqlAuditLogs'
| project TimeGenerated, LogicalServerName_s, event_class_s, event_subclass_s, event_time_t, user_s , ip_s , sql_text_s 
| order by TimeGenerated asc nulls last

Próximas etapas