Oracle審計功能說明

1、Oracle審計功能審計分類：Oracle中審計總體上可分為“標(biāo)準(zhǔn)審計”和“細(xì)粒度審計”后者也稱為“基于政策的審計”，在Oracle10G之后功能得到專門大增強(qiáng)。其中標(biāo)準(zhǔn)審計可分為用戶級審計和系統(tǒng)級審計。用戶級審計是任何Oracle用戶可設(shè)置的審計，要緊是用戶針對自己創(chuàng)建的數(shù)據(jù)庫表或視圖進(jìn)行審計，記錄所有用戶對這些表或視圖的一切成功和(或)不成功的訪問要求以及各種類型的SQL操作。系統(tǒng)級審計只能由DBA設(shè)置，用以監(jiān)測成功或失敗的登錄要求、監(jiān)測GRANT和REVOKE操作以及其他數(shù)據(jù)庫級權(quán)限下的操作。標(biāo)準(zhǔn)審計：2.1 分類：在ORACLE中分不支持以下三種標(biāo)準(zhǔn)審計類型： 語句審計，對某種類型的S

2、QL語句審計，不指定結(jié)構(gòu)或?qū)ο蟆?特權(quán)審計，對執(zhí)行相應(yīng)動作的系統(tǒng)特權(quán)的使用審計。 對象審計，對一專門模式對象上的指定語句的審計。這三種標(biāo)準(zhǔn)審計類型分不對如下3方面進(jìn)行審計： 審計語句的成功執(zhí)行、不成功執(zhí)行，或者其兩者。 對每一用戶會話審計語句執(zhí)行一次或者對語句每次執(zhí)行審計一次。 對全部用戶或指定用戶的活動的審計。 當(dāng)數(shù)據(jù)庫的審計功能打開后，在語句執(zhí)行時期產(chǎn)生審計記錄。審計記錄包含有審計的操作、用戶執(zhí)行的操作、操作的日期和時刻等信息。審計記錄可存在數(shù)據(jù)字典表（稱為審計記錄）或操作系統(tǒng)審計記錄中。數(shù)據(jù)庫審計記錄是在SYS模式的AUD$表中。2.2設(shè)置ORACLE標(biāo)準(zhǔn)審計：下列步驟能夠設(shè)置ORACL

3、E的標(biāo)準(zhǔn)審計功能： 修改初始化參數(shù)文件（init.ora）假如使用服務(wù)器參數(shù)文件使用alter system set = scope=spfile|both，詳情參照1.1節(jié)中關(guān)于參數(shù)文件的介紹），設(shè)置 AUDIT_TRAIL參數(shù)，同時重啟數(shù)據(jù)庫。AUDIT_TRAIL的取值如下： DB/TRUE：啟動審計功能，同時把審計結(jié)果存放在數(shù)據(jù)庫的 SYS.AUD$ 表中 OS：啟動審計功能，并把審計結(jié)果存放在操作系統(tǒng)的審計信息中 DB_EXTENDED：具有DB/TRUE的功能，另外填寫AUD$的SQLBIND和SQLTEXT字段 NONE/FALSE：關(guān)閉審計功能 2.設(shè)置AUDIT_TRAIL參

4、數(shù)：假如設(shè)置 AUDIT_TRAIL = OS, 還需要修改參數(shù)AUDIT_FILE_DEST。 假如操作系統(tǒng)支持設(shè)置AUDIT_TRAIL=OS，文件會自動存放在AUDIT_FILE_DEST所指定的目錄下，同時文件名包含進(jìn)程的PID。 比如： AUDIT_FILE_DEST = $ORACLE_HOME/rdbms/audit $ ls -l $ORACLE_HOME/rdbms/audit -rw-rw- 1 ora92 dba 881 Mar 17 09:57 ora_13264.aud $ ps -ef|grep 13264 ora92 13264 13235 0 09:56:43

5、? 0:00 oracleV92 (DESCRIPTION=(LOCAL=Y) SQL select spid, program, username from v$process; SPID PROGRAM USERNAME - - - . 13264 oraclefrhp11 (TNS V1-V3) ora92 3. 確認(rèn)審計相關(guān)的表是否差不多安裝 SQLPLUS connect / AS SYSDBA SQLPLUS select * from sys.aud$; - 沒有記錄返回 SQLPLUS select * from dba_audit_trail; - 沒有記錄返回 假如做上述查

6、詢的時候發(fā)覺表不存在，講明審計相關(guān)的表還沒有安裝，需要安裝。 SQLPLUS connect / as sysdba SQLPLUS $ORACLE_HOME/rdbms/admin/cataudit.sql 審計表安裝在SYSTEM表空間。因此要確保SYSTEM表空間又足夠的空間存放審計信息。4. 關(guān)閉并重啟數(shù)據(jù)庫 5. 設(shè)置所需要的審計信息 下面是一個例子 SQL connect system/manager SQL grant audit system to scott; SQL connect scott/tiger SQL audit session; 停止審計： SQL noaud

7、it session; 通常設(shè)置了標(biāo)準(zhǔn)審計后差不多上通過Audit語句開啟審計，使用noaudit語句收回審計。如下所示：對修改SC表結(jié)構(gòu)或數(shù)據(jù)的操作進(jìn)行審計可使用如下語句：AUDIE ALTER，UPDATE ON SC;取消對SC表的一切審計可使用如下語句：NOAUDIT ALL ON SC;2.3設(shè)置審計的實(shí)例（對試圖嘗試口令的訪問的審計）：以下是一個審計的實(shí)例，用于記錄嘗試通過野蠻嘗試法破譯ORACLE帳號口令的例子：1. 修改審計相關(guān)參數(shù)（參照上面介紹的方法） 2. 重啟數(shù)據(jù)庫 3. 設(shè)置審計信息 SQLAUDIT ALL BY ACCESS WHENEVER NOT SUCCESS

8、FUL 4. 查詢AUD$ SQL select returncode, action#, userid, userhost, terminal,timestamp from aud$ RETURNCODE ACTION# USERID USERHOST TERMINAL - - - - - 1017 100 SCOTT WPRATA-BR 1017 100 SCOTT WPRATA-BR 1017 100 SCOTT WPRATA-BR ORA-1017的含義為錯誤的用戶名口令。通過查看AUD$表能夠清晰地看到WPRATA-BR嘗試破譯SCOTT的口令。能夠通過下面一個存儲過程來分析AUD$

9、表，找出可疑的信息：create or replace procedure AuditLogin(Since Varchar2,Times PLS_Integer)isUSER_ID VARCHAR2(20);cursor c1 is select userid,count(*) from sys.aud$ where returncode=1017 and timestamp#=to_date(Since,yyyy-mm-dd) group by userid;cursor C2 IS Select userhost, terminal,TO_CHAR(timestamp#,YYYY-MM-

10、DD:HH24:MI:SS) from sys.aud$ WHERE returncode=1017 and timestamp#=to_date(Since,yyyy-mm-dd) AND USERID=USER_ID;ct PLS_INTEGER;V_USERHOST VARCHAR2(40);V_TERMINAL VARCHAR(40);V_DATE VARCHAR2(40);BEGIN OPEN C1; dbms_output.enable(1024000); LOOP FETCH C1 INTO USER_ID,CT; EXIT WHEN C1%NOTFOUND; IF(CT=TIM

11、ES) THEN DBMS_OUTPUT.PUT_LINE(USER BROKEN ALARM:|USER_ID); OPEN C2; LOOP FETCH C2 INTO V_USERhOST,V_TERMINAL,V_DATE; DBMS_OUTPUT.PUT_LINE(CHR(9)|HOST:|V_USERHOST|,TERM:|V_TERMINAL|,TIME:|V_DATE); EXIT WHEN C2%NOTFOUND; END LOOP; close c2; END IF; END LOOP; close c1;END;/一下是執(zhí)行結(jié)果：SQLset serveroutput o

12、n;SQL execute auditlogin(2004-01-01,2);USER BROKEN ALARM:SYS HOST:,TERM:XUJI,TIME:2004-09-22:11:08:00 HOST:,TERM:XUJI,TIME:2004-09-22:11:08:01 HOST:,TERM:XUJI,TIME:2004-09-22:11:09:29 HOST:,TERM:XUJI,TIME:2004-09-22:11:09:29PL/SQL 過程已成功完成。2.4將審計相關(guān)的表移動到其他表空間：由于AUD$表等審計相關(guān)的表存放在SYSTEM表空間，因此為了不阻礙系統(tǒng)的性能，愛護(hù)

13、SYSTEM表空間，最好把AUD$移動到其他的表空間上。能夠使用下面的語句來進(jìn)行移動：sqlconnect / as sysdba;sqlalter table aud$ move tablespace ;sqlalter index I_aud1 rebuild online tablespace ;SQL alter table audit$ move tablespace ;SQL alter index i_audit rebuild online tablespace ;SQL alter table audit_actions move tablespace ;SQL alter

14、index i_audit_actions rebuild online tablespace ;細(xì)粒度審計： 細(xì)粒度審計 (FGA)（通過 Oracle9i 引入）能夠理解為“基于政策的審計”。與標(biāo)準(zhǔn)的審計功能相反，F(xiàn)GA 可用于指定生成審計記錄必需的條件：FGA 政策通過使用“dbms_fga”程序包以編程方式綁定到對象（表、視圖）。類似于用于通過 VPD (dbms_rls) 進(jìn)行訪問操縱的程序包，它同意您創(chuàng)建任何需要的條件，例如：僅當(dāng)以下條件為真時審計事件： 在早上九點(diǎn)到下午六點(diǎn)之間或在星期六和星期日對某個表進(jìn)行了訪問。 使用了公司網(wǎng)絡(luò)外部的某個 IP 地址。 選定或更新了特定列。 使

15、用了該列的特定值。 這將創(chuàng)建更有意義的審計線索，因為無需記錄每一個人對表的每一次訪問。從 Oracle 數(shù)據(jù)庫 10g 開始，F(xiàn)GA 支持在一個策略中使用“選擇”、“插入”、“更新”和“刪除”語句的任意組合。事實(shí)上，綁定到表的 FGA 政策簡化了審計政策的治理，因為這將只需在數(shù)據(jù)庫中對其更改一次，不用在每個應(yīng)用程序中一次次進(jìn)行。此外。不管用戶通過何種方式連接至數(shù)據(jù)庫（通過應(yīng)用程序、Web 接口或通過 SQL*Plus），其操作都會記錄下來。3.1 使用細(xì)粒度審計： 1、創(chuàng)建測試表： create table ACCOUNT(AACT_NO number not null, CUST_ID nu

16、mber not null, BALANCE number(15,2); 2、添加審計策略： begin DBMS_FGA.DROP_POLICY(object_schema = TEST, object_name = ACCOUNT, policy_name = ACCOUNT_ACCESS);end;這段代碼必須由具有執(zhí)行程序包 dbms_fga 權(quán)限的用戶來執(zhí)行。建議應(yīng)該建立一個專門的用戶來專門負(fù)責(zé)添加審計策略。該過程有許多參數(shù)，具體含義如下：OBJECT_SCHEMA對其定義了 FGA 策略的表或視圖的所有者OBJECT_NAME表或視圖的名稱POLICY_NAME策略的名稱，由用戶自

17、定義 例如，ACCOUNTS_ACCESSPOLICY_TEXT在添加策略時指定的審計條件 例如，BALANCE = 11000POLICY_COLUMN審計列 例如，BALANCEENABLED假如啟用則為 YES，否則為 NO PF_SCHEMA擁有策略處理器模塊的模式（假如存在）PF_PACKAGE處理器模塊的程序包名稱（假如存在）PF_FUNCTION處理器模塊的過程名稱（假如存在）3、在定義了策略以后，當(dāng)用戶以通常的方式對表進(jìn)行查詢時，如下所示： select * from bank.accounts; 審計線索記錄此操作。能夠使用以下語句查看線索： select timestamp

18、, db_user,os_user,object_schema,object_name,sql_textfrom dba_fga_audit_trail;TIMESTAMP DB_USER OS_USER OBJECT_ OBJECT_N SQL_TEXT- - - - - -26-MAR-10 TEST ananda TEST ACCOUNT select * from account注意名為 DBA_FGA_AUDIT_TRAIL 的新視圖，它記錄細(xì)粒度的訪問信息。其中顯示了審計事件的時刻標(biāo)記、查詢者的數(shù)據(jù)庫用戶 ID、操作系統(tǒng)用戶 ID、查詢中所使用表的名稱和所有者，最后還有確切的查詢語

19、句。3.2 審計列和審計條件：默認(rèn)情況下會對被審計對象的所有列開啟審計，當(dāng)任何一列被訪問時都會紀(jì)錄一條審計信息，這在現(xiàn)實(shí)情況下不太常見，因為如此會使審計信息表增長過快造成存儲空間的壓力，因此通常都會設(shè)置審計條件，當(dāng)條件觸發(fā)時再發(fā)起審計。例如我們能夠?qū)ccount表的Balance列設(shè)置審計條件，當(dāng)訪問該列并觸發(fā)審計條件時才進(jìn)行審計。如下所示：begindbms_fga.add_policy (object_schema=TEST,object_name=ACCOUNT,policy_name=ACCOUNT_ACCESS,audit_column = BALANCE,audit_condit

20、ion = BALANCE = 11000 );end;該策略將在訪問BALANCE列同時只有訪問列值大于等于11000時才發(fā)起審計。因此依照該條件戶有如下不同審計狀態(tài)：SQL 語句審計狀態(tài)select balance from account;進(jìn)行審計。用戶選擇了在添加策略時所指定的審計列 BALANCE。select * from account;進(jìn)行審計。即使用戶沒有明確指定列 BALANCE，* 也隱含地選擇了它。select cust_id from account where balance TEST,object_name = ACCOUNT,policy_name = ACCO

21、UNT_ACCESS );end;關(guān)于更改策略而言，沒有隨取隨用的解決方案。要更改策略中的任何參數(shù)，必須刪除策略，再使用更改后的參數(shù)添加策略。然而能夠臨時禁用已有策略，如下所示：begindbms_fga.enable_policy (object_schema = TEST,object_name = ACCOUNT,policy_name = ACCOUNT_ACCESS,enable = FALSE );end;若要重新啟用它，可使用同一函數(shù)，只需將參數(shù) enable 設(shè)置為 TRUE。3.5 FGA 數(shù)據(jù)字典視圖：FGA 策略的定義位于數(shù)據(jù)字典視圖 DBA_AUDIT_POLICIES

22、 中。該市途中各列含義如下：SESSION_ID審計會話標(biāo)識符；與 V$SESSION 視圖中的會話標(biāo)識符不同TIMESTAMP審計記錄生成時的時刻標(biāo)記DB_USER發(fā)出查詢的數(shù)據(jù)庫用戶OS_USER操作系統(tǒng)用戶USERHOST用戶連接的機(jī)器的主機(jī)名CLIENT_ID客戶標(biāo)識符（假如由對打包過程 dbms_session.set_identifier 的調(diào)用所設(shè)置）EXT_NAME外部認(rèn)證的客戶名稱，如 LDAP 用戶OBJECT_SCHEMA對該表的訪問觸發(fā)了審計的表所有者OBJECT_NAME對該表的 SELECT 操作觸發(fā)了審計的表名稱POLICY_NAME觸發(fā)審計的策略名稱（假如對表定

23、義了多個策略，則每個策略將插入一條記錄。在此情況下，該列顯示哪些行是由哪個策略插入的。)SCN記錄了審計的 Oracle 系統(tǒng)更改號SQL_TEXT由用戶提交的 SQL 語句 SQL_BIND由 SQL 語句使用的綁定變量（假如存在）3.6視圖和 FGA：假定在 ACCOUNTS 表上定義視圖 VW_ACCOUNT 如下： create view vw_account as select * from account;現(xiàn)在，假如用戶從視圖中而不是從表中進(jìn)行選擇： select * from vw_account;您將看到以下審計線索： select object_name, sql_text

24、from dba_fga_audit_trail;OBJECT_NAME SQL_TEXT- -ACCOUNT select * from vw_account注意，是基表名稱而不是視圖名稱出現(xiàn)在 OBJECT_NAME 列中，因為視圖中的選擇是從基表中進(jìn)行選擇。然而，SQL_TEXT 列記錄了用戶提交的實(shí)際語句。假如只希望審計對視圖的查詢而不是對表的查詢，能夠?qū)σ晥D本身建立策略。通過將視圖名稱而不是表的名稱傳遞給打包的過程 dbms_fga.add_policy 中的參數(shù) object_name，能夠完成這項工作。隨后 DBA_FGA_AUDIT_TRAIL 中的 OBJECT_NAME 列

25、將顯示視圖的名稱，同時可不能出現(xiàn)有關(guān)表訪問的附加記錄。3.7 其它用途： 除了記錄對表的選擇訪問，F(xiàn)GA 還可用于某些其它情況： 能夠?qū)?shù)據(jù)倉庫使用 FGA，以捕獲特定的表、視圖或物化視圖上發(fā)生的所有語句，這有助于打算索引。不需要到 V$SQL 視圖去獵取這些信息。即使 SQL 語句差不多超出了 V$SQL 的期限，在 FGA 審計線索中將會始終提供它。 由于 FGA 捕獲綁定變量，它能夠關(guān)心了解綁定變量值的模式，這有助于設(shè)計直方圖集合等。 能夠向?qū)徲嬚呋?DBA 發(fā)送警告，這有助于跟蹤惡意應(yīng)用程序。 由于 FGA 能夠作為 SELECT 語句的觸發(fā)器，能夠在需要這種功能的任何時候使用它。FG

26、A在10G中的增強(qiáng)：3.8.1 對所有DML的審計： 在9i中FGA只能對Select語句進(jìn)行審計，而不能對其他DML語句（Update、Delete、Insert）進(jìn)行審計，假如想對其他DML語句進(jìn)行審計那么只能采取數(shù)據(jù)庫處發(fā)起的形式來實(shí)現(xiàn)。在10G中實(shí)現(xiàn)了對所有DML語句的審計，如下所示：begin dbms_fga.add_policy ( object_schema = TEST, object_name = ACCOUNT, policy_name = ACCOUNT_ACCESS, audit_column = BALANCE, audit_condition = BALANCE

27、= 3000， statement_types = INSERT, UPDATE, DELETE, SELECT );end;通過statement_types = INSERT, UPDATE, DELETE, SELECT參數(shù)制定了新的策略，該策略能夠?qū)elect之外的所有DML操作進(jìn)行審計。因此依照新的審計條件和審計策略會有如下不同情況：第 1 種情況 之前：BALANCE = 1000 用戶發(fā)出： update account set balance = 1200 where ACCOUNT_NO = .舊的和新的 balance 都小于 3,000，審計條件不滿足；因此這條語句將可

28、不能被審計。第 2 種情況 之前：BALANCE = 1000 用戶發(fā)出： update account set balance = 3200 where ACCOUNT_NO = .新的 balance 大于 3,000，審計條件滿足；因此這條語句將 會被審計。 第 3 種情況 之前：BALANCE = 3200 用戶發(fā)出： update account set balance = 1200 where ACCOUNT_NO = .新的 balance 小于 3,000，但舊的 balance 大于 3,000。因此審計條件滿足，這條語句將被審計。 第 4 種情況 用戶插入一行，其中有 BA

29、LANCE = 3000 結(jié)果為 FALSE），這條語句可不能被審計。重要注意事項：假設(shè)該列有一個大于 3,000 的默認(rèn)值時，這條語句仍然可不能被審計，即使插入行的 balance 列值大于 3000。 注意關(guān)于DML語句的審計是由一個自動事務(wù)插入的；即使回滾 DML語句的操作，審計記錄也將存在可不能跟著回滾。3.8.2制定相關(guān)的列策略：在表 ACCOUNT 上定義的一個策略，如下： begin dbms_fga.add_policy ( object_schema = TEST, object_name = ACCOUNT, policy_name = ACCOUNT_SEL, audit

30、_column = ACCOUNT_NO, BALANCE, audit_condition = BALANCE = 3000, statement_types = SELECT );end;在某些情況下，列的組合可能專門重要，而不是某個特定的列。以上策略是在 ACCOUNT_NO 和 BALANCE 上定義的。那么假如用戶發(fā)出以下語句： select balance from accounts where account_no = 9995;這條語句將被審計，因為 balance 列被選中，且余額為 3,200，大于 3,000，滿足審計條件。假如一個用戶想查出在銀行的總余額，他發(fā)出： se

31、lect sum(balance) from account;這條查詢幾乎沒什么害處；它不明確指出帳戶所有者和帳戶余額。因此安全策略可能可不能要求審計這條查詢。只是，這條查詢 select balance from account where account_no = 9995必須被審計；因為它明確地指定了一個帳戶。默認(rèn)地，所有語句都被審計（不管使用了什么樣的列組合）。這將創(chuàng)建大量不需要的審計線索項目，并可能帶來一些空間限制問題。為了限制它們，您能夠指定僅當(dāng)在查詢中使用了希望的列組合時才開始審計。當(dāng)定義策略時，您能夠使用一個新的參數(shù)： audit_column_opts = DBMS_FGA.

32、ALL_COLUMNS那個參數(shù)將使策略僅當(dāng)列 ACCOUNT_NO 和 BALANCE 在查詢中都被訪問時才創(chuàng)建審計線索項目。例如，以下查詢將產(chǎn)生一個審計線索項目。 select account_no, balance from account;但這條查詢可不能產(chǎn)生審計線索項目。 select account_no from account;使用那個參數(shù)將把審計的數(shù)量限制在一個更易治理的大小。假如希望采納默認(rèn)的行為 即任意列被選中時都進(jìn)行審計，那么您能夠?qū)ν粎?shù)的使用不同值。 audit_column_opts = DBMS_FGA.ANY_COLUMNS3.8.3 與標(biāo)準(zhǔn)審計的結(jié)合： 通過

33、制定如下審計策略實(shí)現(xiàn)標(biāo)準(zhǔn)審計與細(xì)粒度審計的結(jié)合begin dbms_fga.add_policy ( object_schema = TEST, object_name = ACCOUNT, policy_name = ACCOUNT_SEL, audit_column = ACCOUNT_NO, BALANCE, audit_condition = BALANCE = 3000, statement_types = SELECT, audit_column_opts = DBMS_FGA.ALL_COLUMNS, audit_trail = DB );end;通過指定audit_trail = DB參數(shù)實(shí)現(xiàn)在細(xì)粒度審計時開啟標(biāo)準(zhǔn)審計。在 Oracle Database 10g 中，標(biāo)準(zhǔn)審計也得到了巨大的改進(jìn)。通過 AUDIT 命令執(zhí)行標(biāo)準(zhǔn)審計，它現(xiàn)在