Auditoría de la base de datos de SQL Server

En esta página, se describe la auditoría de la base de datos en Cloud SQL mediante la funcionalidad de SQL Server Audit.

Descripción general

En Cloud SQL, las capacidades de SQL Server Audit incluyen las siguientes:

• Crear especificaciones de auditoría del servidor
• Seguir y registrar eventos a nivel de servidor y de base de datos

Para obtener información adicional sobre las capacidades de la SQL Server Audit, consulta SQL Server Audit (motor de base de datos).

Antes de comenzar

Antes de habilitar la auditoría de la base de datos, revisa los requisitos previos en esta sección.

Bucket de Cloud Storage para archivos de auditoría

Los archivos de auditoría (registros de auditoría) se suben a una ubicación de bucket de Cloud Storage. Por lo tanto, es posible que debas crear un bucket que sea propiedad de tu cuenta de Google Cloud.

Como alternativa, puedes usar una ubicación de bucket que sea propiedad de otra cuenta. Cuando habilitas la auditoría, si tienes los permisos necesarios, el rol roles/storage.objectAdmin se otorga de forma automática para subir los archivos de auditoría a la ubicación del bucket de la cuenta de servicio determinada. Si no tienes los permisos necesarios, debes otorgarlos para la cuenta de servicio más adelante.

Usuario válido para habilitar la auditoría

Para habilitar la auditoría y crear especificaciones de auditoría, el usuario sqlserver predeterminado debe estar disponible. Cuando creaste una instancia de Cloud SQL para SQL Server, se creó el usuario de sqlserver predeterminado.

Habilita la auditoría

Cuando habilitas la auditoría, se requiere una ubicación de Cloud Storage. Las siguientes opciones son opcionales:

• El período de retención de registros en la instancia
• El intervalo de carga (frecuencia de carga)

gcloud sql instances patch INSTANCE_NAME --audit-bucket-path=gs://my-bucket --audit-retention-interval=24h --audit-upload-interval=10m

{
   "databaseVersion":"database-version",
   "name":"instance-id",
   "region":"region",
   "rootPassword":"password",
   "settings":{
      "tier":"machine-type",
      "sqlServerAuditConfig":{
         "bucket":"gs://mybucket",
         "retentionInterval":"24h",
         "uploadInterval":"10m"
      }
   }
}

{
   "databaseVersion":"database-version",
   "name":"instance-id",
   "region":"region",
   "rootPassword":"password",
   "settings":{
      "tier":"machine-type",
      "sqlServerAuditConfig":{
         "bucket":"gs://mybucket",
         "retentionInterval":"24h",
         "uploadInterval":"10m"
      }
   }
}

Inhabilita la auditoría

En esta sección, se incluyen las opciones para inhabilitar la auditoría. Cuando inhabilitas la auditoría, se borran de la instancia todos los archivos de auditoría, incluidos los que aún no se subieron. Además, todas las auditorías del servidor están inhabilitadas y deben volver a habilitarse si se desea reanudar la auditoría. Los registros de auditoría que se subieron al bucket de Cloud Storage pueden permanecer, según la configuración de retención del bucket.

Las siguientes son las opciones para inhabilitar la auditoría.

gcloud sql instances patch INSTANCE_NAME --audit-bucket-path=

{
   "databaseVersion":"database-version",
   "name":"instance-id",
   "region":"region",
   "rootPassword":"password",
   "settings":{
      "tier":"machine-type",
      "sqlServerAuditConfig":{
      }
   }
}

{
   "databaseVersion":"database-version",
   "name":"instance-id",
   "region":"region",
   "rootPassword":"password",
   "settings":{
      "tier":"machine-type",
      "sqlServerAuditConfig":{
      }
   }
}

Carga automática de archivos de auditoría

Después de habilitar la auditoría, los archivos de auditoría generados se suben automáticamente a tu bucket de Cloud Storage especificado.

Los archivos de auditoría generados también se almacenan con la instancia hasta que venza el período de retención (intervalo) configurado. Después de ese período, los archivos de auditoría se borran de forma permanente, incluso los que no se pudieron subir.

Crea auditorías de servidores

Después de habilitar la auditoría, el usuario sqlserver predeterminado tiene permisos para crear, modificar y descartar las auditorías del servidor.

Usa el comando CREATE SERVER AUDIT para definir auditorías de servidores nuevas. También puedes usar la interfaz de usuario de SQL Server Management Studio (SSMS) para crear auditorías de servidores.

Las siguientes categorías de parámetros se aplican a todas las auditorías de servidor:

Lee auditorías

Lee auditorías de una instancia

Para recuperar los datos de un archivo de auditoría creado por una auditoría del servidor, puedes usar el siguiente procedimiento almacenado: msdb.dbo.gcloudsql_fn_get_audit_file. El procedimiento msdb.dbo.gcloudsql_fn_get_audit_file acepta los mismos parámetros que la función sys.fn_get_audit_file.

Por lo tanto, para obtener información sobre el uso de ese procedimiento almacenado, consulta sys.fn_get_audit_file.

A continuación, se muestra un ejemplo del uso del procedimiento msdb.dbo.gcloudsql_fn_get_audit_file para recuperar datos de auditoría:

SELECT event_time, statement FROM msdb.dbo.gcloudsql_fn_get_audit_file('/var/opt/mssql/audit/*', NULL, NULL) WHERE statement LIKE '%INSERT%'

Lee auditorías de un bucket

Para leer las auditorías de un bucket de Cloud Storage, puedes descargar los archivos del bucket a una instancia de SQL Server. Esa instancia de SQL Server podría ser la siguiente:

• Una instancia de Windows de Compute Engine
• Una instancia de Linux de Compute Engine
• Otro tipo de instancia que ejecuta SQL Server

Los archivos de auditoría del bucket deben transferirse a una ubicación accesible para esa instancia, como su disco local. Luego, para mostrar información de los archivos de auditoría, ejecuta la función sys.fn_get_audit_file con un miembro del rol fijo de servidor serveradmin. Por ejemplo, desde una instancia de Windows, si transferiste archivos de auditoría a D:\Audit, puedes usar un comando similar al siguiente:

SELECT event_time, statement FROM sys.fn_get_audit_file('D:\Audit\*.*', NULL, NULL) WHERE statement LIKE '%INSERT%'

Métricas de supervisión

Puedes supervisar las operaciones relacionadas con la auditoría como parte de las métricas de Cloud SQL, disponibles a través del Explorador de métricas:

• database/sqlserver/audits_upload_count. Esta métrica indica el total de intentos de carga de archivos de auditoría, tanto los que se realizaron correctamente como los que fallaron. Revisa esta métrica para supervisar si las cargas se realizaron correctamente.
• database/sqlserver/audits_size. Esta métrica indica cuánto espacio en disco usan los archivos de auditoría almacenados en la instancia en el momento de una medición. Esta métrica proporciona el tamaño total de los archivos de auditoría en la instancia, en bytes.

Prácticas recomendadas

• Para evitar transferir archivos grandes entre regiones, considera lo siguiente:
  • Crea buckets multirregionales de Cloud Storage o
  • Configura el bucket de destino de Cloud Storage en la misma región que la instancia
• Antes de usar la funcionalidad de Auditoría de SQL Server, considera habilitar los aumentos automáticos de almacenamiento. Según su tamaño total y los intervalos de retención, los archivos de auditoría pueden necesitar un espacio significativo en el disco.
• Después de habilitar la auditoría, verifica que tu instancia pueda subir archivos de auditoría a tu bucket de Cloud Storage. Si el solicitante que configuró la auditoría no tenía los permisos necesarios para subir archivos al bucket de Cloud Storage, los permisos no se otorgan de forma automática.
• Configura una política de alertas basada en métricas para recibir notificaciones sobre intentos de carga fallidos y uso excesivo del disco.
• Para evitar retener demasiados archivos de auditoría durante demasiado tiempo, configura una política de retención de datos para tu bucket de Cloud Storage.