PostgreSQL Audit Logging

Audit Logging

Neden Gereklidir ?

PostgreSQL kullanılan kuruma bağlı olarak, özellikle kurumlar büyüdükçe ve de kanuni olarak takip edilmesi gereken yerler olduğunda ( SPK’nın kontrolünde olan kurumlar gibi ) audit bir zorunluluk halini almaktadır. En temel haliyle, hangi kullanıcının ne zaman ve hangi IP adresinden giriş yaptıkları önemli bir bilgi olmaktadır. Benzer şekilde, veritabanındaki nesnelerin kimler tarafından yaratıldığı, kaldırıldığı gibi şeyler de çok önemli olmaktadır.

Bir başka açıdan da DBA’lerin veritabanından veri toplaması için de audit gereklidir.

PostgreSQL’in loglama özellikleri son birkaç yılda gelişmiştir. Ancak ne yazık ki bu özellikler bile her gereksinimi karşılayamamaktadır. Artan loglama ihtiyaçlarınız için pgaudit eklentisi de alt bölümde ele alınmıştır.

Audit Parametreleri

Bu başlık altında, yorumsuz olarak önemli parametreleri incelenmiştir. Bir sonraki bölümde de hangi parametrenin neye ayarlanması gerektiğini belirtilecektir.

LOG: process 32603 still waiting for ShareLock on transaction 3284after 1000.125 ms
STATEMENT: UPDATE film SET fulltext ='NewFullText';

Eğer bu transaction bir süre sonra lock alırsa:

LOG:   process 32603 acquired ShareLock on transaction 3284 after98925.356 ms
STATEMENT:  UPDATE film SET fulltext ='NewFullText';

gibi bir mesaj loglanır.

Güvenlik / İzleme için Değiştirilmesi Önerilen Parametreler

<   user=postgres   db=bilgemyte   host=[local]   pid=27245   time=2020-05-1312:26:50.331   BST   >   LOG:      statement:   INSERT   INTO   il   VALUES('35','İzmir','1');

<   user=postgres   db=bilgemyte   host=[local]   pid=27245   time=2020-05-1312:26:50.333 BST > LOG:  duration: 2.067 ms

<   user=postgres   db=bilgemyte   host=[local]   pid=27245   time=2020-05-1312:26:54.480 BST > LOG:  statement: SELECT * from il limit 1;

<   user=postgres   db=bilgemyte   host=[local]   pid=27245   time=2020-05-1312:26:54.480 BST > LOG:  duration: 0.298 ms

<   user=postgres   db=bilgemyte   host=[local]   pid=27245   time=2020-05-1312:27:02.763 BST > LOG:  statement: UPDATE il SET version='2';

<   user=postgres   db=bilgemyte   host=[local]   pid=27245   time=2020-05-1312:27:02.766 BST > LOG:  duration: 3.151 ms

DBA’ler için Değiştirilmesini Önerilen Parametreler

DBA’lerin bilgi toplaması için aşağıdaki parametrelerin değiştirilmesini önerilir. Burada “değiştirilmek” sözcüğünden kasıt, RPM kurulumlarında öntanımlı olarak gelen değerlerin değiştirilmesidir. Başka dağıtımlar ya da kaynak kod kurulumları farklı öntanımlı değerlerle geleceklerdir:

Daha Fazla Audit: pgaudit

PostgreSQL’in üstte yazdığımız parametre ve bilgilerden daha fazlasına gereksinim duyduğunuz durumlarda pgaudit eklentisini kullanabilirsiniz. Pgaudit ücretsiz ve açık kaynak kodludur.

pgaudit, PostgreSQL’in içindeki audit yeteneklerini audit yapacak kuruma daha uygun veri verecek şekilde genişletir. Loglamayı PostgreSQL’in kendi loglama altyapısını kullanarak yapacağından ayrı bir logger deamon çalışmayacaktır.

Pgaudit’in PostgreSQL YUM deposunda paketi bulunmaktadır. yum -yinstall pgaudit_96 komutu ile kurabilirsiniz. Paketi kurduktan sonra postgresql.conf içindeki shared_preload_libraries parametresine pgaudit değerini eklemeniz gerekir. Örnek:

shared_preload_libraries='pg_stat_statements, pgaudit'

Ayrıca, aşağıdaki parametreleri de postgresql.conf‘un en altına yazabilirsiniz:

pgaudit.log = 'all'
pgaudit.log_parameter='on'
pgaudit.log_relation='on'

Bu parametrelerin açıklamaları:

pgaudit.log: Hangi işlemlerin loglanacağını belirtir. Burada şu seçenekleriniz bulunmaktadır:

Önerilen ALL seçeneği hepsini loglar. Burada birden fazla seçenek de belirtebilirsiniz:

• pgaudit.log = 'ALL, -READ' ==> READ işlemleri dışındakileri loglar.
• pgaudit.log = 'READ, WRITE' ==> Sadece READ ve WRITE işlemlerini audit eder.

pgaudit.log_parameter: SQL ifadesinde verilen parametrelerin de loglanıp loglanmayacağını belirtir. Öntanımlı olarak kapalı gelir. pgaudit.log_relation: SELECT ya da DML ifadelerinde referans verilen her bir “relation” (TABLE, VIEW, vs) için ayrı bir log satırı eklenmesini sağlar.

Örnek bir log çıktısı şu şekildedir:

< user=postgres db=postgres host=[local] pid=29129 time=2017-07-23 12:35:58.582 BST > LOG:  statement: CREATE TABLE t3 (c1 int);

< user=postgres db=postgres host=[local] pid=29129 time=2017-07-23 12:35:58.583 BST > LOG:  AUDIT: SESSION,2,1,DDL,CREATE TABLE,TABLE,public.t3,CREATE TABLE t3 (c1 int);,<not logged>

< user=postgres db=postgres host=[local] pid=29129 time=2017-07-23 12:35:58.585 BST > LOG:  duration: 3.092 ms

< user=postgres db=postgres host=[local] pid=29129 time=2017-07-23 12:36:06.291 BST > LOG:  statement: INSERT INTO t3 VALUES (1);

< user=postgres db=postgres host=[local] pid=29129 time=2017-07-23 12:36:06.291 BST > LOG:  AUDIT: SESSION,3,1,WRITE,INSERT,TABLE,public.t3,INSERT INTO t3 VALUES (1);,<not logged>

< user=postgres db=postgres host=[local] pid=29129 time=2017-07-23 12:36:06.293 BST > LOG:  duration: 1.604 ms

< user=postgres db=postgres host=[local] pid=29129 time=2017-07-23 12:36:09.940 BST > LOG:  statement: DROP TABLE t3;

< user=postgres db=postgres host=[local] pid=29129 time=2017-07-23 12:36:09.941 BST > LOG:  AUDIT: SESSION,4,1,DDL,DROP TABLE,TABLE,public.t3,DROP TABLE t3;,<not logged>

< user=postgres db=postgres host=[local] pid=29129 time=2017-07-23 12:36:09.943 BST > LOG:  duration: 2.634 ms