Auditing in Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse — это реляционное хранилище корпоративного масштаба на основе озера данных, с архитектурой, готовой к будущему, встроенным ИИ и новыми функциями. Если вы не знакомы с хранилищем данных, начните с Fabric Data Warehouse. Существующие рабочие нагрузки выделенных пулов SQL могут быть обновлены до Fabric для доступа к новым возможностям в области науки о данных, аналитики в реальном времени и создания отчётов.

Аудит Azure Synapse Analytics отслеживает события базы данных и записывает их в служба хранилища Azure, рабочую область Log Analytics в Azure Monitor или Центры событий Azure.

Аудит помогает вам:

  • Сохранять журнал аудита выбранных событий.
  • Понимайте активность базы данных и исследуйте расхождения или аномалии.
  • Отчитывайтесь о действиях с помощью запросов, рабочих книг и инструментов последующего мониторинга.
  • Поддерживайте соблюдение нормативных и организационных требований. Аудит сам по себе не гарантирует соблюдение требований.

Overview

Используйте аудит базы данных SQL, чтобы выполнять следующие действия:

  • Сохранить журнал аудита выбранных событий. Вы можете указать, какие категории действий базы данных должны проходить аудит.
  • Создавать отчеты по действиям, производимым с базой данных. Вы можете использовать предварительно настроенные отчеты и панель мониторинга для быстрого начала работы с отчетностью по действиям и событиям.
  • Проанализировать отчеты. Вы можете искать подозрительные события, необычную деятельность и тенденции.

Important

Аудит оптимизирован с учётом доступности и производительности SQL-пула. В периоды очень высокой активности или нагрузки на сеть транзакции могли проходить без фиксации каждого выбранного события.

Для сред с большим количеством баз данных, на которых выполняются интенсивные рабочие нагрузки OLTP, использование аудита на уровне сервера с параметрами по умолчанию может привести к очень большим объёмам аудита на логическом сервере. Поскольку все события из всех баз данных записываются в одну и ту же папку аудита, запросы к журналам аудита для одной базы данных становятся медленными и дорогостоящими в эксплуатационном плане. Чтобы повысить производительность и уменьшить шум, выполните приведенные ниже действия.

  • Переключитесь на аудит на уровне базы данных. Каждая база данных записывает данные в собственную папку журнала аудита, уменьшая общий объем отсканированных и ускоряя извлечение.
  • Проверьте конфигурацию аудита. Определите, требуется ли запись всех событий пакетной обработки или если настраиваемая отфильтрованная конфигурация может соответствовать вашим требованиям к безопасности и соответствию требованиям.

Защита конфиденциальной информации в журналах аудита

Текст проверяемого оператора SQL может содержать конфиденциальные значения, когда приложения объединяют эти значения в динамический SQL. Используйте параметры для значений данных, избегайте встраивания секретов или личных данных в текст запросов и ограничивайте доступ к журналу аудита только для авторизованных пользователей.

Права на назначение аудита управляют доступом вне SQL-движка. Применяйте наименьшие привилегии к служба хранилища Azure, Log Analytics и Event Hubs, а также отслеживайте доступ к этим ресурсам.

Limitations

  • Вы не можете включить аудит в приостановленном выделенном пуле SQL. Возобновите пул перед тем, как включить политику.
  • Управляемые удостоверения, назначаемые пользователем, не поддерживаются для аудита в Azure Synapse Analytics.
  • Управляемая идентичность, назначенная системой, поддерживается для целевого объекта служба хранилища Azure, когда учетная запись хранения находится за виртуальной сетью или брандмауэром. Управляемые идентичности не поддерживаются для Azure Synapse, если только аккаунт хранения не находится за виртуальной сетью или файрволом.
  • Пулы SQL Synapse поддерживают только стандартные группы действий аудита.
  • Аудит не поддерживается в базах данных с именами, содержащими ? символ. Это ограничение применимо как к аудиту на уровне сервера, так и к аудиту на уровне базы данных, поскольку базы данных, в именах которых есть ?, больше не поддерживаются в Azure.
  • Записи аудита хранят до 4000 символов в полях statement и data_sensitivity_information. Дополнительные символы усечены.

Замечания

  • События, инициированные SQLDBControlPlaneFirstPartyApp в журнале действий, являются внутренней функцией Azure уровня управления База данных SQL Azure. События, инициированные SQLDBControlPlaneFirstPartyApp, являются частью внутренней операции синхронизации между подсистемой SQL и Azure Resource Manager. Эти события являются обычной частью управления База данных SQL Azure и необходимы для правильного представления ресурсов и операций в Azure.
  • Хранилище класса Premium с BlockBlobStorage поддерживается. Поддерживается стандартное хранилище. Однако для записи журналов аудита в учетную запись хранения за виртуальной сетью или файрволом необходимо использовать учетную запись хранения общего назначения v2. Если вы используете универсальную учетную запись v1 или Хранилище BLOB-объектов, обновитесь до учетной записи хранения общего назначения v2. Для получения конкретных инструкций см. раздел «Запись журналов аудита в учетную запись хранения, защищенную виртуальной сетью и брандмауэром». Дополнительные сведения см. в разделе Типы учетных записей хранения.
  • При включении SQL-аудита и настройке ограничений исходящего сетевого трафика необходимо добавить полностью квалифицированные доменные имена вашей учетной записи хранилища для аудита в список разрешенных, чтобы гарантировать, что события аудита могут достичь места назначения. Если вы не добавите конечную точку хранилища в список разрешенных, трафик аудита блокируется, что приводит к потере событий аудита. После добавления необходимых FQDN аккаунтов хранения в список разрешений необходимо заново сохранить конфигурацию аудита, чтобы возобновить обычный поток событий аудита.
  • Иерархическое пространство имен поддерживается для всех типов стандартных учетных записей хранения и премиум-учетных записей хранения с BlockBlobStorage.
  • Журналы аудита записываются в Append Blobs в хранилище BLOB-объектов Azure в вашей подписке Azure.
  • Журналы аудита находятся в формате Xel и могут быть открыты с помощью SQL Server Management Studio (SSMS).
  • Чтобы настроить неизменяемое хранилище журналов для событий аудита на уровне сервера или базы данных, следуйте инструкциям для службы хранилища Azure. При настройке неизменяемого хранилища BLOB-объектов для аудита убедитесь, что разрешено защищенное добавление установлено на добавление BLOB-объектов или блокировку и добавление BLOB-объектов. Параметр None не поддерживается. Для политик удержания данных на основе времени период удержания учетной записи хранения должен быть короче, чем параметр хранения аудита SQL. Конфигурации, в которых задана политика хранения, но срок хранения для аудита SQL — 0, не поддерживаются.
  • Журналы аудита можно записывать в учетную запись хранилища Azure, защищенную виртуальной сетью или брандмауэром.
  • Подробнее о формате журнала, иерархии папки хранения и правилах наименования см. формат журнала аудита.
  • При использовании проверки подлинности Microsoft Entra записи о неудачных попытках входа не отображаются в журнале аудита SQL. Чтобы просмотреть записи аудита входа с ошибкой, необходимо посетить центр администрирования Microsoft Entra, в котором приводятся сведения об этих событиях.
  • После настройки настроек аудита вы можете включить новую функцию обнаружения угроз и настроить электронную почту на получение оповещений о безопасности. Использование функции обнаружения угроз позволяет настроить упреждающие оповещения об аномальной активности в базах данных, которая может указывать на потенциальные угрозы безопасности. Дополнительные сведения см. в статье "Расширенная защита от угроз SQL".
  • После копирования базы данных с включенным аудитом на другой логический сервер может появиться сообщение электронной почты, уведомляющее вас о сбое аудита. Эта ситуация является известной проблемой, и аудит должен работать должным образом в недавно скопированной базе данных.

Связанные материалы

  • Последнее обновление: