利用Oracle審計(jì)功能記錄數(shù)據(jù)庫操作.doc

1、1、什么是審計(jì)審計(jì)（ Audit) 用于監(jiān)視用戶所執(zhí)行的數(shù)據(jù)庫操作，并且Oracle 會將審計(jì)跟蹤結(jié)果存放到OS 文件（默認(rèn)位置為 $ORACLE_BASE/admin/$ORACLE_SID/adump/）或數(shù)據(jù)庫（存儲在system 表空間中的SYS.AUD$ 表中，可通過視圖dba_audit_trail查看）中。默認(rèn)情況下審計(jì)是沒有開啟的。不管你是否打開數(shù)據(jù)庫的審計(jì)功能，以下這些操作系統(tǒng)會強(qiáng)制記錄：用管理員權(quán)限連接Instance ；啟動數(shù)據(jù)庫；關(guān)閉數(shù)據(jù)庫。2、和審計(jì)相關(guān)的兩個主要參數(shù)Audit_sys_operations ：默認(rèn)為 false ，當(dāng)設(shè)置為 true時(shí)，所有 sys

2、用戶（包括以 sysdba,sysoper身份登錄的用戶）的操作都會被記錄， audit trail 不會寫在 aud$ 表中，這個很好理解，如果數(shù)據(jù)庫還未啟動aud$ 不可用，那么像 conn /assysdba 這樣的連接信息，只能記錄在其它地方。如果是windows 平臺， audti trail 會記錄在 windows 的事件管理中，如果是 linux/unix平臺則會記錄在 audit_file_dest 參數(shù)指定的文件中。Audit_trail ：None ：是默認(rèn)值，不做審計(jì)；DB ：將 audit trail記錄在數(shù)據(jù)庫的審計(jì)相關(guān)表中，如aud$ ，審計(jì)的結(jié)果只有連接信息；D

3、B_Extended ：這樣審計(jì)結(jié)果里面除了連接信息還包含了當(dāng)時(shí)執(zhí)行的具體語句；OS ：將 audit trail記錄在操作系統(tǒng)文件中，文件名由audit_file_dest參數(shù)指定；XML ： 10g 里新增的。注：這兩個參數(shù)是static 參數(shù)，需要重新啟動數(shù)據(jù)庫才能生效。3、審計(jì)級別當(dāng)開啟審計(jì)功能后，可在三個級別對數(shù)據(jù)庫進(jìn)行審計(jì)：Statement( 語句 )、 Privilege （權(quán)限）、 object （對象）。Statement ：按語句來審計(jì)，比如audit table會審計(jì)數(shù)據(jù)庫中所有的create table,drop table,truncate table語句， alt

4、ersession by cmy會審計(jì) cmy 用戶所有的數(shù)據(jù)庫連接。Privilege ：按權(quán)限來審計(jì)，當(dāng)用戶使用了該權(quán)限則被審計(jì)，如執(zhí)行 grant select any table to a，當(dāng)執(zhí)行了 audit select anytable 語句后，當(dāng)用戶a 訪問了用戶b 的表時(shí)（如select * from b.t ）會用到 select any table權(quán)限，故會被審計(jì)。注意用戶是自己表的所有者，所以用戶訪問自己的表不會被審計(jì)。Object ：按對象審計(jì)， 只審計(jì) on 關(guān)鍵字指定對象的相關(guān)操作，如 aduit alter,delete,drop,insert on cmy.t

5、 by scott;這里會對 cmy 用戶的 t 表進(jìn)行審計(jì)，但同時(shí)使用了by 子句，所以只會對scott 用戶發(fā)起的操作進(jìn)行審計(jì)。注意 Oracle 沒有提供對schema 中所有對象的審計(jì)功能，只能一個一個對象審計(jì)，對于后面創(chuàng)建的對象，Oracle 則提供 on default子句來實(shí)現(xiàn)自動審計(jì)，比如執(zhí)行audit drop on default by access;后，對于隨后創(chuàng)建的對象的drop 操作都會審計(jì)。但這個default 會對之后創(chuàng)建的所有數(shù)據(jù)庫對象有效，似乎沒辦法指定只對某個用戶創(chuàng)建的對象有效，想比trigger 可以對 schema 的 DDL 進(jìn)行“審計(jì)”，這個功能稍顯

6、不足。4、審計(jì)的一些其他選項(xiàng)by access / by session：by access每一個被審計(jì)的操作都會生成一條audit trail 。by session一個會話里面同類型的操作只會生成一條audit trail ，默認(rèn)為by session 。whenever not successful：whenever successful操作成功 (dba_audit_trail中 returncode字段為 0) 才審計(jì) ,whenever not successful反之。省略該子句的話，不管操作成功與否都會審計(jì)。5、和審計(jì)相關(guān)的視圖dba_audit_trail ：保存所有的aud

7、it trail ，實(shí)際上它只是一個基于aud$ 的視圖。其它的視圖dba_audit_session,dba_audit_object,dba_audit_statement都只是 dba_audit_trail的一個子集。dba_stmt_audit_opts：可以用來查看statement審計(jì)級別的audit options ，即數(shù)據(jù)庫設(shè)置過哪些statement級別的審計(jì)。 dba_obj_audit_opts,dba_priv_audit_opts視圖功能與之類似all_def_audit_opts：用來查看數(shù)據(jù)庫用on default子句設(shè)置了哪些默認(rèn)對象審計(jì)。6、取消審計(jì)將對應(yīng)審

8、計(jì)語句的audit 改為 noaudit 即可，如 audit session whenever successful對應(yīng)的取消審計(jì)語句為noaudit session whenever successful;8、實(shí)例講解8.1 、激活審計(jì)sqlplus / as sysdbaSQL show parameter auditNAMETYPEVALUE- - -audit_file_deststring/u01/app/oracle/admin/ORCL/adumpaudit_sys_operationsbooleanFALSEaudit_syslog_levelstringaudit_trai

9、lstringNONESQL alter system set audit_sys_operations=TRUE scope=spfile;-審計(jì)管理用戶 (以 sysdba/sysoper角色登陸 )SQL alter system set audit_trail=db_extended scope=spfile;SQL startup force;SQL show parameter auditNAMETYPEVALUE- - -audit_file_deststring/u01/app/oracle/admin/ORCL/adumpaudit_sys_operationsboolean

10、TRUEaudit_syslog_levelstringaudit_trailstringDB_EXTENDED8.2 、開始審計(jì)sqlplus / as sysdba- 記錄對一個表的所有操作SQL audit all on t_test;SQL conn u_testSQL select * from t_test;SQL insert into u_test.t_test (c2,c5) values (test1,2);SQL commit;SQL delete from u_test.t_test;SQL commit;SQL conn /as sysdbaSQL selectOS_

11、USERNAME,username,USERHOST,TERMINAL,TIMESTAMP,OWNER,obj_name,ACTION_NAME,sessionid,os_process,sql_bind,sql_text from dba_audit_trail;sql audit select table by u_test by access;如果在命令后面添加by user 則只對 user 的操作進(jìn)行審計(jì),如果省去 by 用戶 ,則對系統(tǒng)中所有的用戶進(jìn)行審計(jì)( 不包含 sys 用戶 ).例：AUDIT DELETE ANY TABLE;- 審計(jì)刪除表的操作AUDIT DELETE A

12、NY TABLE WHENEVER NOT SUCCESSFUL;- 只審計(jì)刪除失敗的情況AUDIT DELETE ANY TABLE WHENEVER SUCCESSFUL;- 只審計(jì)刪除成功的情況AUDIT DELETE,UPDATE,INSERT ON user.table by test;- 審計(jì)test用戶對表user.table的delete,update,insert操作8.3 、撤銷審計(jì)SQL noaudit all on t_test;9、審計(jì)語句多層環(huán)境下的審計(jì)：appserve- 應(yīng)用服務(wù)器， jackson-clientAUDIT SELECT TABLE BY app

13、serve ON BEHALF OF jackson;審計(jì)連接或斷開連接：AUDIT SESSION;AUDIT SESSION BY jeff, lori;- 指定用戶審計(jì)權(quán)限 (使用該權(quán)限才能執(zhí)行的操作) ：AUDIT DELETE ANY TABLE BY ACCESS WHENEVER NOT SUCCESSFUL;AUDIT DELETE ANY TABLE;AUDIT SELECT TABLE, INSERT TABLE, DELETE TABLE, EXECUTE PROCEDURE BY ACCESSWHENEVER NOT SUCCESSFUL;對象審計(jì)：AUDIT DELE

14、TE ON jeff.emp;AUDIT SELECT, INSERT, DELETE ON jward.dept BY ACCESS WHENEVER SUCCESSFUL;取消審計(jì)：NOAUDIT session;NOAUDIT session BY jeff, lori;NOAUDIT DELETE ANY TABLE;NOAUDIT SELECT TABLE, INSERT TABLE, DELETE TABLE,EXECUTE PROCEDURE;NOAUDIT ALL;- 取消所有 statement審計(jì)NOAUDIT ALL PRIVILEGES;- 取消所有權(quán)限審計(jì)NOAUDI

15、T ALL ON DEFAULT;- 取消所有對象審計(jì)10 、清除審計(jì)信息DELETE FROM SYS.AUD$;DELETE FROM SYS.AUD$ WHERE obj$name=EMP;11 、審計(jì)視圖STMT_AUDIT_OPTION_MAP- 審計(jì)選項(xiàng)類型代碼AUDIT_ACTIONS- action 代碼ALL_DEF_AUDIT_OPTS- 對象創(chuàng)建時(shí)默認(rèn)的對象審計(jì)選項(xiàng)DBA_STMT_AUDIT_OPTS- 當(dāng)前數(shù)據(jù)庫系統(tǒng)審計(jì)選項(xiàng)DBA_PRIV_AUDIT_OPTS- 權(quán)限審計(jì)選項(xiàng)DBA_OBJ_AUDIT_OPTSUSER_OBJ_AUDIT_OPTS; - 對象審計(jì)選

16、項(xiàng)DBA_AUDIT_TRAILUSER_AUDIT_TRAIL-審計(jì)記錄DBA_AUDIT_OBJECTUSER_AUDIT_OBJECT- 審計(jì)對象列表DBA_AUDIT_SESSIONUSER_AUDIT_SESSION- session 審計(jì)DBA_AUDIT_STATEMENTUSER_AUDIT_STATEMENT- 語句審計(jì)DBA_AUDIT_EXISTS- 使用 BY AUDIT NOT EXISTS選項(xiàng)的審計(jì)DBA_AUDIT_POLICIES- 審計(jì) POLICIESDBA_COMMON_AUDIT_TRAIL- 標(biāo)準(zhǔn)審計(jì) + 精細(xì)審計(jì)12 、將審計(jì)結(jié)果表從system表空間里移動到別的表空間上實(shí)際上 sys.aud$ 表上包含了兩個 lob