Activer l'audit / la journalisation

Oracle

-- Unified Auditing (12c+):
CREATE AUDIT POLICY table_audit
  ACTIONS SELECT, INSERT, UPDATE, DELETE ON hr.employees;
AUDIT POLICY table_audit;
-- Monitoring: SELECT * FROM unified_audit_trail ORDER BY event_timestamp DESC;

Avec Unified Auditing, une politique est créée puis activée avec AUDIT ; les enregistrements sont conservés dans la vue unified_audit_trail.

PostgreSQL

-- pgaudit extension (recommended; first shared_preload_libraries = 'pgaudit' + restart + CREATE EXTENSION pgaudit):
ALTER SYSTEM SET pgaudit.log = 'write, ddl';
SELECT pg_reload_conf();
-- Simple built-in method:
ALTER SYSTEM SET log_statement = 'ddl';
SELECT pg_reload_conf();

pgaudit fournit une journalisation d'audit détaillée ; réglez-le avec ALTER SYSTEM pour l'appliquer à tout le serveur (un SET au niveau session n'audite que cette session). Sans l'extension, une journalisation de base s'active avec log_statement ('ddl','mod','all'). Surveillez le volume des journaux.

MySQL

-- Enterprise/MariaDB audit plugin:
INSTALL PLUGIN audit_log SONAME 'audit_log.so';
SET GLOBAL audit_log_policy = 'ALL';
-- Simple alternative (all queries):
SET GLOBAL general_log = 'ON';

Le plugin audit_log (Enterprise, ou server_audit dans MariaDB) conserve une piste d'audit détaillée ; general_log journalise toutes les requêtes mais dégrade les performances.

SQL Server

USE master;
CREATE SERVER AUDIT Audit_A TO FILE (FILEPATH = 'C:\\audit\\');
ALTER SERVER AUDIT Audit_A WITH (STATE = ON);
USE mydb;
CREATE DATABASE AUDIT SPECIFICATION db_spec
  FOR SERVER AUDIT Audit_A
  ADD (SELECT, INSERT, UPDATE, DELETE ON SCHEMA::dbo BY public)
  WITH (STATE = ON);

Créez et activez d'abord une cible SERVER AUDIT (fichier/journal d'événements), puis définissez les événements à suivre avec une AUDIT SPECIFICATION de serveur ou de base.

MongoDB

# MongoDB Enterprise / Atlas only. Configuration (mongod.conf):
#   auditLog:
#     destination: file
#     format: JSON
#     path: /var/log/mongodb/audit.json
#     filter: '{ atype: { $in: ["authCheck","createCollection","dropCollection"] } }'
# mongod --auditDestination file --auditPath /var/log/mongodb/audit.json

L'audit n'est disponible que dans Enterprise et Atlas ; il s'active avec la section auditLog de la configuration mongod. Il n'existe pas dans l'édition Community.

Redis

ACL LOG
# Shows rejected authentication/command/key access attempts.
# To reset: ACL LOG RESET
# For general command auditing: an external proxy or MONITOR (with care).

ACL LOG enregistre automatiquement les événements de sécurité (échecs d'authentification, commandes/clés non autorisées) ; l'audit complet des commandes n'est pas intégré.

Elasticsearch

# elasticsearch.yml (on all nodes, restart required):
xpack.security.audit.enabled: true
# Optional event filter:
xpack.security.audit.logfile.events.include: [ "authentication_failed", "access_denied" ]

La journalisation d'audit s'active avec xpack.security.audit.enabled ; elle se règle dans elasticsearch.yml et nécessite un redémarrage du nœud (non dynamique). Nécessite une licence commerciale.