Анализ журналов аудита и отчетов Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse — это реляционное хранилище корпоративного масштаба на основе озера данных, с архитектурой, готовой к будущему, встроенным ИИ и новыми функциями. Если вы не знакомы с хранилищем данных, начните с Fabric Data Warehouse. Существующие рабочие нагрузки выделенных пулов SQL могут быть обновлены до Fabric для доступа к новым возможностям в области науки о данных, аналитики в реальном времени и создания отчётов.

• Start a Fabric бесплатная пробная версия.
• Ассистент по миграции для Fabric Data Warehouse.

Вы можете анализировать журналы аудита Azure Synapse Analytics, отправленные в Azure Monitor Log Analytics, Центры событий Azure или служба хранилища Azure.

Анализ журналов с помощью Log Analytics

Если вы решите писать журналы аудита в Log Analytics:

1. В портале Azure ищите базы данных SQL и выберите свою базу, или найдите SQL серверы и выберите свой Synapse SQL сервер.
2. В меню ресурсов в разделе "Безопасность" выберите "Аудит".
3. В верхней части страницы аудита выберите "Просмотр журналов аудита".

Note

Кнопка "Просмотр журналов аудита" отображается на страницах аудита на уровне сервера и на уровне базы данных. При выборе из ресурса базы данных отображаются записи аудита, относящиеся к этой базе данных. При выборе из ресурса сервера вы увидите записи аудита для всех баз данных на этом сервере. Убедитесь, что вы перейдёте к правильному уровню ресурса, исходя из области журналов аудита, которые нужно проверить.

У вас есть два способа просмотреть журналы на странице записей аудита:

• Выберите Log Analytics в верхней части страницы, чтобы открыть представление журналов в рабочей области Log Analytics, где можно настроить диапазон времени и поисковый запрос.
• Выберите панель мониторинга "Вид" в верхней части страницы, чтобы открыть панель мониторинга, отображающую сведения о журналах аудита, где можно детализировать сведения о аналитике безопасности или доступе к конфиденциальным данным. Эта панель мониторинга помогает получить аналитические сведения о безопасности данных. Кроме того, можно настроить диапазон времени и поисковый запрос.

Tip

Параметр панель мониторинга доступен только при доступе к записям аудита на странице аудита на уровне базы данных с активированным аудитом. Если вы настроили аудит только на уровне сервера, вы всё равно можете задавать запросы к данным аудита напрямую в рабочем пространстве Log Analytics, используя шаги из следующего раздела.

Запрашивайте журналы аудита прямо в Log Analytics

Вы также можете получить доступ к журналам аудита непосредственно из рабочей области Log Analytics, не перейдя на страницу аудита. Этот подход полезен, если у вас есть только аудит на уровне сервера или когда требуется выполнять пользовательские запросы в нескольких базах данных.

1. В портале Azure откройте рабочее пространство Log Analytics, настроенное как место назначения для аудита.
2. В разделе Общие выберите Журналы.
3. Начните с простого запроса, например search "SQLSecurityAuditEvents" для просмотра журналов аудита.

Здесь можно использовать журналы Azure Monitor для выполнения расширенных поисков по данным журнала аудита. Журналы Azure Monitor предоставляют аналитические сведения о работе в режиме реального времени с помощью интегрированного поиска и пользовательских панелей мониторинга, чтобы легко анализировать миллионы записей во всех ваших рабочих нагрузках и серверах. Дополнительные сведения о языке и командах поиска в журналах Azure Monitor можно найти в справочнике по поиску в журналах Azure Monitor.

Анализ журналов с помощью Центров событий

Если вы решили записывать журналы аудита в Event Hubs:

• Чтобы использовать данные журналов аудита из Центров событий, необходимо настроить поток для использования событий и записи их в целевой объект. Дополнительные сведения см. в документации Центры событий Azure.
• Журналы аудита в Центрах событий записываются в тексте событий Apache Avro и хранятся с помощью форматирования JSON с кодировкой UTF-8. Для чтения журналов аудита можно использовать потоки событий Avro Tools, Microsoft Fabric потоки событий или аналогичные средства, которые обрабатывают этот формат.

Анализ журналов в служба хранилища Azure

Если вы решите записывать журналы аудита в аккаунт хранения Azure, вы можете использовать несколько способов просмотра журналов:

• Журналы аудита агрегируются в выбранном вами аккаунте во время настройки. Журналы аудита можно просматривать с помощью таких инструментов, как обозреватель хранилищ Azure. В хранилище Azure журналы аудита сохраняются в виде коллекции объектов в контейнере с именем sqldbauditlogs. Для получения дополнительной информации об иерархии папок хранилища, правилах именования и формате журнала см. формат журнала аудита Azure Synapse Analytics.

  1. В портале Azure ищите SQL-серверы и выберите свой сервер.
  2. В меню ресурсов в разделе "Безопасность" выберите "Аудит".
  3. В верхней части страницы аудита выберите "Просмотр журналов аудита". Откроется страница записей аудита , и вы можете просмотреть журналы.
  4. Вы можете просмотреть определенные даты, выбрав фильтр в верхней части страницы записей аудита .
  5. Вы можете переключаться между записями аудита, которые создаются политикой аудита сервера и политикой аудита базы данных, переключая Audit Source.

• Используйте системную функцию sys.fn_get_audit_file (T-SQL), чтобы вернуть данные журнала аудита в табличном формате. Дополнительные сведения об использовании этой функции см. в sys.fn_get_audit_file.

• Используйте Merge Audit Files в SQL Server Management Studio (доступно начиная с SSMS 17):

  1. В меню SSMS выберите Файл>Открыть>Объединить файлы аудита.

  2. Откроется диалоговое окно "Добавление файлов аудита ". Выберите один из вариантов Add, чтобы выбрать, следует ли объединять файлы аудита с локального диска или импортировать их из служба хранилища Azure. Вы должны предоставить данные служба хранилища Azure и ключ аккаунта.

  3. После того как вы добавите все файлы для слияния, выберите OK , чтобы завершить операцию слияния.

  4. Объединенный файл откроется в SSMS, где вы сможете его просмотреть и проанализировать, а также экспортировать в XEL или CSV-файл или в таблицу.

• Используйте Power BI. Вы можете просматривать и анализировать данные журнала аудита в Power BI. Дополнительные сведения см. в разделе Использование Azure Log Analytics в Power BI.

• Скачайте файлы журналов из контейнера Blob-хранилища Azure через портал или с помощью инструмента, например Обозреватель службы хранилища Azure.

  • После загрузки лог-файла локально дважды кликните по нему, чтобы открыть, просмотреть и проанализировать логи в SSMS.
  • Вы также можете скачать несколько файлов одновременно в Обозреватель службы хранилища Azure. Для этого щелкните правой кнопкой мыши по нужной вложенной папке и выберите "Сохранить как", чтобы сохранить в локальную папку.

• После загрузки нескольких файлов или вложенной папки, содержащей файлы журнала, можно объединить их локально, как описано выше в инструкциях по объединению файлов аудита в SSMS.

• Получение журналов аудита BLOB программным способом: выполнение запроса к файлам расширенных событий используя PowerShell.

Связанные материалы

• Аудит в Azure Synapse Analytics
• Настройка аудита для Azure Synapse Analytics
• Формат журнала аудита Azure Synapse Analytics