Microsoft SQL Server: настройка источника

Запись в журнал событий. Например, события журналов сервера Microsoft SQL Server записываются в журнал Application.

Отдельная настройка журналирования событий. Например, отдельно настраиваются события аудита команд SQL Server.

Откройте SQL Server Management Studio.

В боковом меню перейдите в раздел Security.

Откройте контекстное меню Audits и выберите вариант New Audit…​. Будет создан новый объект аудита SQL Server.

Выберите действие, которое будет запущено при сбое журнала аудита:

В качестве назначения аудита выберите из выпадающего списка вариант Application Log.

Нажмите на кнопку OK.

Откройте контекстное меню созданного аудита и выберите вариант Enable Audit.

Откройте контекстное меню Server Audit Specifications и выберите вариант New Server Audit Specification…​. Откроется окно настроек нового объекта спецификации аудита SQL Server.

Введите название аудита.

Выберите аудит, созданный на уровне сервера.

Укажите в таблице типы событий, которые необходимо логировать.

Нажмите на кнопку ОК.

Откройте SQL Server Management Studio.

Подключитесь к базе данных, для которой необходимо включить аудит.

В боковом меню перейдите в раздел Security выбранной базы данных.

Откройте контекстное меню папки Database Audit Specifications и выберите вариант New Database Audit Specification…​. Откроется окно настроек нового объекта аудита SQL Server.

Введите имя аудита.

Выберите аудит, созданный на уровне сервера.

Укажите типы событий, которые необходимо логировать.

Нажмите на кнопку OK.

Откройте SQL Server Management Studio.

Создайте Extended Events-сессию с логированием в файл:

DROP EVENT SESSION IF EXISTS TrackBackupCryptoFile ON SERVER;
GO

CREATE EVENT SESSION TrackBackupCryptoFile
ON SERVER
ADD EVENT sqlserver.sql_statement_completed
(
    ACTION (
        sqlserver.sql_text,
        sqlserver.username,
        sqlserver.client_hostname,
        sqlserver.nt_username
    )
    WHERE
        sqlserver.sql_statement_completed.statement LIKE '%BACKUP%CERTIFICATE%' OR
        sqlserver.sql_statement_completed.statement LIKE '%BACKUP%SERVICE%MASTER%KEY%' OR
        sqlserver.sql_statement_completed.statement LIKE '%BACKUP%MASTER%KEY%' OR
        sqlserver.sql_statement_completed.statement LIKE '%BACKUP%SYMMETRIC%KEY%'
)
ADD TARGET package0.event_file
(
    SET filename = 'C:\AuditLogs\TrackBackupCrypto.xel',
        max_file_size = 10,
        max_rollover_files = 5
);
GO

ALTER EVENT SESSION TrackBackupCryptoFile ON SERVER STATE = START;

Создайте представление для просмотра событий из файла:

CREATE VIEW dbo.BackupCryptoAuditLogView AS
SELECT
    event_xml.value('(event/@timestamp)[1]', 'datetime') AS EventTime,
    ISNULL(event_xml.value('(event/action[@name="username"]/value)[1]', 'nvarchar(100)'), 'N/A') AS SqlLogin,
    ISNULL(event_xml.value('(event/action[@name="client_hostname"]/value)[1]', 'nvarchar(100)'), 'N/A') AS HostName,
    ISNULL(event_xml.value('(event/action[@name="nt_username"]/value)[1]', 'nvarchar(100)'), 'N/A') AS WindowsUser,
    ISNULL(event_xml.value('(event/data[@name="statement"]/value)[1]', 'nvarchar(max)'), 'N/A') AS Statement,
    ISNULL(event_xml.value('(event/action[@name="sql_text"]/value)[1]', 'nvarchar(max)'), 'N/A') AS FullSQL
FROM sys.fn_xe_file_target_read_file('C:\AuditLogs\TrackBackupCrypto*.xel', NULL, NULL, NULL) AS xelog
CROSS APPLY (SELECT CAST(xelog.event_data AS XML) AS event_xml) AS evt;
GO

Настройте автозапуск при старте SQL Server:

-- Создаем процедуру автозапуска
CREATE PROCEDURE StartTrackBackupCrypto
AS
BEGIN
    IF NOT EXISTS (
        SELECT * FROM sys.dm_xe_sessions WHERE name = 'TrackBackupCryptoFile'
    )
    BEGIN
        ALTER EVENT SESSION TrackBackupCryptoFile ON SERVER STATE = START;
    END
END;
GO

-- Включаем запуск при старте SQL Server
EXEC sp_procoption 'StartTrackBackupCrypto', 'startup', 'on';

Предоставьте необходимые права для просмотра представления сервисной учетной записи, созданной ранее:

GRANT SELECT ON dbo.BackupCryptoAuditLogView TO [имя пользователя];
EXEC sp_addrolemember 'db_datareader', [имя пользователя];
EXEC sp_addsrvrolemember 'VIEW SERVER STATE', [имя пользователя];

В веб-интерфейсе R-Vision SIEM перейдите в раздел Агенты → Группы агентов.

Создайте группу и добавьте в нее узел, на котором установлен агент.

В созданной группе узлов в секции Чтение файлов нажмите на кнопку Добавить настройку ().

В выпадающем списке Тип журнала выберите вариант eventchannel.

В поле Имя журнала введите значение Application.

Если необходимо выбирать события по определенным критериям, введите в поле Фильтр (формат XPATH) выражение XPath. Если фильтр не нужен, введите символ *.

Нажмите на кнопку Сохранить.

Дождитесь применения политики группы на узле. Сбор событий настроен.

В интерфейсе R-Vision SIEM создайте секрет со строкой подключения. Для этого:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.

Добавьте на конвейер элемент Точка входа для событий аудита команд MS SQL со следующими параметрами:

Добавьте на конвейер дополнительный элемент Точка входа для событий выгрузки ключей и сертификатов со следующими параметрами:

Добавьте на конвейер элемент Нормализатор с правилом Microsoft SQL Server (идентификатор правила: RV-N-212).

Соедините нормализатор с точками входа.

Добавьте на конвейер элемент Конечная точка типа Хранилище событий.

Соедините конечную точку с нормализатором.

Сохраните и установите конфигурацию конвейера.

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.

Добавьте на конвейер элемент Точка входа со следующими параметрами:

Добавьте на конвейер элемент Нормализатор с правилом Microsoft SQL Server (идентификатор правила: RV-N-192).

Соедините нормализатор с точкой входа.

Добавьте на конвейер элемент Конечная точка типа Хранилище событий.

Соедините конечную точку с нормализатором.

Сохраните и установите конфигурацию конвейера.