Log de auditoria do banco de dados

O ClickHouse fornece logs de auditoria do banco de dados por padrão. Esta página se concentra em logs relevantes para a segurança. Para mais informações sobre os dados registrados pelo sistema, consulte a documentação sobre tabelas de sistema.

Logs relevantes para a segurança

O ClickHouse registra eventos do banco de dados relevantes para a segurança principalmente nos logs de sessão e de consulta.

O system.session_log registra tentativas de login bem-sucedidas e malsucedidas, bem como a origem da tentativa de autenticação. Essas informações podem ser usadas para identificar ataques de preenchimento de credenciais ou de força bruta contra uma instância do ClickHouse.

Exemplo de consulta que mostra falhas de login

select event_time
    ,type
    ,user
    ,auth_type
    ,client_address 
FROM clusterAllReplicas('default',system.session_log) 
WHERE type='LoginFailure' 
LIMIT 100

O system.query_log registra a atividade de consultas executadas em uma instância do ClickHouse. Essas informações podem ser úteis para determinar quais consultas um agente malicioso executou.

Exemplo de consulta para buscar atividades do usuário "compromised_account"

SELECT event_time
    ,address
    ,initial_user
    ,initial_address
    ,forwarded_for
    ,query 
FROM clusterAllReplicas('default', system.query_log) 
WHERE user=’

Retenção de dados de log nos serviços

Clientes que precisam de retenção por mais tempo ou de maior durabilidade dos logs podem usar visões materializadas para alcançar esses objetivos. Para mais informações sobre visões materializadas — o que são, seus benefícios e como implementá-las — consulte nossos vídeos e a documentação sobre visões materializadas.

Exportando logs

Os logs do sistema podem ser gravados ou exportados para um local de armazenamento em vários formatos compatíveis com sistemas SIEM. Para mais informações, consulte a documentação sobre funções de tabela. Os métodos mais comuns são: