【2022争霸赛*干货满满】DAS日志收集案例

感谢楼主分享，学习一下

感谢楼主分享，学习一下

感谢楼主的精彩分享，有助工作!

资料非常详细，感谢分享

感谢楼主的精彩分享，有助工作

都是经验之谈，收获满满，好评！！！！！！

好好学习，加油努力！！！！

一、实验背景

       用户环境的MySQL数据库分别部署在了Linux和Windows系统上，目前需要分别测试DAS设备对Linux和Windows系统的数据库日志审计功能。

• 实验目标
• 本实验需要掌握以下功能配置：

  1、Linux 系统下数据库服务器的DAS agent安装配置。

  2、Windows Server 系统下数据库服务器的DAS agent安装配置。
  二、实验环境
• 
• DAS添加业务系统“Linux MySQL”和“Windows MySQL”。
• Linux PC完成DAS Agent安装配置，DAS可以获取到日志信息。
• AD域服务器完成DAS Agent 安装配置，DAS可以获取到日志信息。
• 
  三、DAS初始化配置
• 登录DAS，在[系统管理/部署模式/业务系统]界面中，点击<添加>，新增业务系统：
• 
• 
  
  • 
  • 
    
  • 
    
  • 四、Agent下载安装
  • 登录DAS，在[系统管理/部署模式/运行模式]界面中，点击<数据库Agent客户端>，跳转界面，下载Linux和Windows Agent：
  • 
  • 将[EPS2.0_Build20161019.zip]上传到AD域服务器，进行解压，并安装：
  • 
  • 
  • 将[EPS2.0_Build20161102.tgz]上传到Linux PC，输入命令“tar -zxf EPS2.0_Build20161102.tgz”进行解压：
    
  • 
  • 
    
  • 依次执行命令“chmod 777 agent_installer.bin”和“./agent_installer.bin /opt”进行授权和安装：
  • 
  • 
    
  • Linux出现“install success”及“eps start success”则安装成功
  • 
  • 
    
  • 注意事项
  • Linux系统下安装Agent，在执行脚本时安装路径需要填写绝对路径
  • Linux系统下安装Agent，在执行脚本时安装路径需要填写绝对路径
  • Linux系统下安装Agent，在执行脚本时安装路径需要填写绝对路径
    

    
    

    
    

    
    
    
    

五、Linux 系统Agent配置

输入命令“cd /opt/config”，进入Agent配置文件目录

输入命令“vi das_agent_int”，修改Agent的配置文件。点击“i”键进入编辑模式，输入以下配置信息，输入完成后，点击“esc”键，输入“wq”保存并退出

• host = 172.16.10.120
• [capture]
• dev = eth1
• filter = tcp and port 3306
• 
• 
• 输入命令“cd /opt/bin”，在此目录下，执行命令“./eps_services restart”，重启agent
• 
• 结果验证
• 登录AD域服务器，使用桌面的navicat连接数据库172.16.10.202
• 
• 点击查看多个库信息
• 
• 回到DAS，可以查看到日志信息，源IP为“172.16.10.230”，业务地址为“172.16.10.202”的日志信息：
• 
• 
  

  
  

  
  

  
  
  
  
• 注意事项
• 日志信息需要等待一段时间后才会出现。
• DAS无法审计加密语句。
• DAS对MySQL数据库进行审计时MySQL数据库需要关闭加密流量。
• 在agent功能开启前已经建立的数据库连接日志无法审计，新的连接日志可以审计到。
• agent配置中请务必配置数据库通信网口配置，否则agent可能抓不到数据。
• 数据库Agent抓包方案会对网口流量产生影响，网络中的流量负载会加倍，使用过程中可以通过端口过滤掉非关键流量。

  
  

  
  

  
  

  
  
  
  

六、Windows Server 系统Agent配置

登录AD域服务器，打开“C:\Program Files\Sangfor\AC\EPS\1.0.000000\config”目录，找到“das_agent”文件，点击编辑：

填写以下参数信息，并进行保存

[server]

DAS agent连接的服务端地址

host = 172.16.10.120

[capture]

dev = 172.16.10.230

filter = tcp and port 3306

• 
  
  

  
  

  
  
  
  
  
  
  
  
  
  结果验证
  
  

• 登录域内主机，使用桌面的navicat连接数据库172.16.10.230：
• 
  
• 点击查看多个库信息
• 
  
  

  
  
  
  

• 
  

  
  

  
  
  
  注意事项
  
  
• 日志信息需要等待一段时间后才会出现。
• DAS无法审计加密语句。
• DAS对MySQL数据库进行审计时MySQL数据库需要关闭加密流量。
• 在agent功能开启前已经建立的数据库连接日志无法审计，新的连接日志可以审计到。
• agent配置中请务必配置数据库通信网口配置，否则agent可能抓不到数据。
• 数据库Agent抓包方案会对网口流量产生影响，网络中的流量负载会加倍，使用过程中可以通过端口过滤掉非关键流量。