データベース監査ログ

ClickHouse では、デフォルトでデータベース監査ログを利用できます。このページでは、セキュリティ関連のログに焦点を当てます。システムによって記録されるデータについて詳しくは、システムテーブル のドキュメントを参照してください。

ClickHouse では、セキュリティ関連のデータベースイベントは主にセッションログとクエリログに記録されます。

system.session_log には、ログインの成功・失敗の試行に加え、認証試行元の場所も記録されます。この情報は、ClickHouse インスタンスに対するクレデンシャルスタッフィング攻撃やブルートフォース攻撃の特定に役立ちます。

ログイン失敗を示すサンプルクエリ

select event_time
    ,type
    ,user
    ,auth_type
    ,client_address 
FROM clusterAllReplicas('default',system.session_log) 
WHERE type='LoginFailure' 
LIMIT 100

system.query_log には、ClickHouse インスタンスで実行されたクエリのアクティビティが記録されます。この情報は、脅威アクターがどのようなクエリを実行したかを特定する際に役立ちます。

"compromised_account" ユーザーのアクティビティを検索するためのサンプルクエリ

SELECT event_time
    ,address
    ,initial_user
    ,initial_address
    ,forwarded_for
    ,query 
FROM clusterAllReplicas('default', system.query_log) 
WHERE user=’

より長期間の保持やログの耐久性が必要な場合は、materialized view を使用してこれらの要件を満たすことができます。materialized view の詳細、概要、利点、実装方法については、materialized view のビデオとドキュメントをご覧ください。

システムログは、SIEM システムと互換性のあるさまざまなフォーマットでストレージに書き込んだり、エクスポートしたりできます。詳細については、テーブル関数 のドキュメントを参照してください。最も一般的な方法は次のとおりです。

• S3 に書き込む
• GCS に書き込む
• Azure Blob Storage に書き込む