Кто выгрузил платежи, или Пример расследования инцидента на аудите в Postgres Pro Enterprise

Утечка данных почти никогда не выглядит как взлом — чаще это тихий SELECT без LIMIT от роли, у которой и так есть доступ. Заметить такое штатными средствами PostgreSQL почти невозможно: аудита как отдельной подсистемы там нет, а есть лишь разрозненные логи, из которых расследование превращается в quest с grep. В этой статье — как с помощью pg_proaudit и pgpro-otel-collector превратить эту головную боль в один запрос на LogsQL.

Сможете ли вы прямо сейчас, за пять минут, ответить ИБ на вопрос «кто читал таблицу платежей, с какого адреса и сколько строк выгрузил»? Если ваш PostgreSQL не подготовлен заранее — нет. И дело не в лени админа, а в том, что штатного аудита в PostgreSQL просто не существует. Разберём, почему так, и как эту дыру закрывает Postgres Pro Enterprise.