CSAP-SA-AK9570

1. CSAP-SA-AK9570 能不能记数据库操作日志？

• ✅ 能记：数据库连接/断开、账号登录、SQL 执行记录（select/insert/update/delete 这类）、性能监控类（慢查询、连接数等）
• ⚠️ 粒度取决于数据库侧开了什么审计​ + SA 侧用什么方式接

操作 Agent 主机上的数据库（如执行数据库脚本），Agent 会定时上报数据库的性能监控日志；在【日志中心 > 全文检索】选日志类型"数据库日志"可查到。

💡 关键点：SA 系列不靠 DPI 深度解析 SQL 包来审计（那是 DBAudit/CSAP-DB 的活），它靠的是"DB 自己把审计日志吐出来 → SA 收 + 范式化解析"。所以 SQL 级细粒度能不能拿到，70% 看 DB 侧审计开没开，SA 只是接收和展示端。

2. 一台服务器关联了数据库，只能记本服务器上操作 DB 的日志吗？

• ✅ 本机 mysql -uroot -p→ 能记（client_ip 显示 127.0.0.1 或 sock）
• ✅ 其他服务器远程连 → 能记（client_ip 是真实源 IP）
• ❌ 记不到的是：DB 服务器自己没落盘的（比如 general log 没开，只开了 error log）

3. 其他电脑登录数据库的操作，会不会记录？

• DB 服务器上装了 SA 的 Agent​ → 不管哪儿连的（本机/其他服务器/办公网跳板），DB 服务端日志里都有，Agent 统一扒上来 ✅
• DB 配了 syslog / 审计插件外发​ 指向 SA → 也是服务端统一发，不分来源 ✅
• 走 流量镜像​ 且连接是跨机远程（走物理网卡）→ SA 镜像口能收到 3306/1521/5432 的会话 ✅
• 走 流量镜像​ 但连接是本机 localhost​ → 镜像收不到 ❌（上面说了）

🎯 给你现场的判断建议

1. DB 侧审计先开到位
   • MySQL：general_log = ON+ general_log_file路径，或者开 audit_log（企业版）
   • Oracle：开 audit_trail = OS或 DB，配 audit_sys_operations
   • PG：log_statement = all+ log_cOnnections= on
2. SA 侧确认采集方式
   • 装 Agent → 【配置中心 > 数据源管理 > Agent 管理】看 Agent 在线没
   • 没装 Agent 纯靠 DB syslog 外发 →【日志中心 > 全文检索】选"数据库日志"看有没有进来
3. 日志类型对不对得上
   SA 收 DB 日志是按 VDB（设备库）范式化解析的，如果你们的 MySQL 是特供版/老版本，可能设备型号下拉里没有，可以厂商型号都选"其他"先收着，需要细解析再找华三做适配

⚠️ 一句定性：AK9570 作为综合日志审计，记"谁、什么时候、从哪 IP、对哪个 DB、执行了什么 SQL"这种操作级审计是没问题的，但它不是 DBAudit——如果你要的是"SQL 注入检测、敏感数据脱敏、返回行数、执行时长分布"这种 DBA 级细粒度，那是 CSAP-DB（专业数据库审计）的活，AK9570 不干这个。

1.CSAP-SA-AK9570日志审计设备是否可以记录数据库的操作日志？

数据库支持上传日志就可以

2.一台服务器关联了数据库，只能记录在本服务器操作数据库的日志吗？

有外发需求，需要配置日志服务器

3.通过其他电脑登录数据库的操作记录时候会记录操作日志？

可以的