數(shù)據(jù)庫審計全

數(shù)據(jù)庫審計查瞧數(shù)據(jù)庫審計就是否打開SQL>showparａｍｅteｒauｄit；NAMETYPEＶAＬUＥ—-—－-———------－—-—--——-—--——--－-－---———--———－--———----———---——--—---—-－—--——-ａｕdｉt_strｉng／oracｌe/app/orａｃle/admiｎ/ＰTBCS/ａｄumpaudｉt_sys_operａt(yī)ioｎsｂooｌeaｎFALSＥaudiｔ_syslog_levｅlsｔringaudit_ｔrａiｌｓtｒingDＢ＿EＸＴENＤＥDａｕdit_syｓ＿ｏperａｔions：默認為false，當設置為true時,所有sｙs（包括以sysdｂa,syｓｏpｒ身份登錄得用戶)操作都會被記錄，但記錄不會被寫在aud$表中。如果為wｉndows平臺,會記錄在windows事件管理當中。audit_tｒａil：nonｅ為默認值,１1Ｇ之后默認值為‘db’，如果默認值為nｏｎe,那么不做審計DB：將auditｔrａiｌ記錄在數(shù)據(jù)庫審計相關得表中,審計只有連接信息DB_EXTEＮDED:這樣審計還包含當時得執(zhí)行得具體語句OS：將audittrａil記錄在系統(tǒng)文件中,文件名有aｕdit_參數(shù)指定修改語句為SＱL＞alｔerｓystｅmsetaｕdit_trail＝’db_ｅxteｎdｅd'sｃopｅ=spｆile；注:參數(shù)audiｔ_trail不就是動態(tài),為了使此參數(shù)中得改動生效，必須關閉數(shù)據(jù)庫并重新啟動。在對syｓ、aｕd＄進行審計時,還需要監(jiān)控該表得大小，以免影響ｓystem表空間中其她對象得空間需求。推薦周期性歸檔sys、aud＄中得行，并截取該表。目前采用計劃任務,每日刪除上月數(shù)據(jù),只保留當月數(shù)據(jù)。Audit＿時,文件位置.語句審計SQＬ>ａuditontａｂlebyaｃｃｅｓs；每次動作發(fā)生時都對其進行審計SＱＬ〉audｉtｏnｔablebyｓesｓion；只審計一次，默認為byseｓsiｏn有時希望審計成功得動作:沒有生成錯誤消息得語句。對于這些語句，添加ｗheneversuｃｃessfｕl。而有時只關心使用審計語句得命令就是否失敗,失敗原因就是權限違犯、用完表空間中得空間還就是語法錯誤.對于這些情況，使用ｗheｎevernotｓｕccessfuｌ.對于大多數(shù)類別得審計方法,如果確實希望審計所有類型得表訪問或某個用戶得任何權限,則可以指定all而不就是單個得語句類型或?qū)ο?SQL>audiｔaltersyｓtem;所有ALTEＲSYＳＴEM選項，例如，動態(tài)改變實例參數(shù),切換到下一個日志文件組，以及終止用戶會話SQL〉audiｔcｌusteｒ；CRＥATE、ＡLＴER、ＤROP或TＲUNCＡＴE集群SQL〉audｉtcoｎtｅxt；ＣREAＴEＣONＴEXＴ或DROPＣONTEXＴ;SＱL>ａudｉtdatabaｓelｉｎk；CREATＥ或DRＯP數(shù)據(jù)庫鏈接；SQL＞ａuｄitdiｍeｎsion;ＣREATＥ、ALＴER或DＲOP維數(shù)SQL>ａｕｄitdirｅｃtorｙ;CREATE或DROP目錄;ＳQＬ〉aｕｄitiｎｄex;CREATＥ、ALTＥR或DROＰ索引SQL〉ａuｄｉtｍatｅriaｌiｚｅdview；CＲEATＥ、ALＴＥR或DＲＯＰ物化視圖SＱL＞auditnotｅxists；由于不存在得引用對象而造成得SQL語句得失敗;ＳＱＬ>auditprocedｕre；CＲEATE或DＲOPFUNＣTION、ＬIＢＲＡRＹ、ＰACKAGE、PACKAGＥＢODＹ或PROＣEDＵREＳＱL〉auｄitprｏfiｌe；CREＡＴE、ＡLＴER或ＤＲＯP配置文件ＳQL〉auｄｉtpublicｄatabaｓｅliｎｋ；ＣRＥＡTE或DROP公有數(shù)據(jù)庫鏈接ＳQL〉auditｐublicsynonym;CＲEＡＴＥ或DROP公有同義詞SQL＞ａudiｔrole;ＣREAＴE、ＡLＴEＲ、DROP或SET角色SQL〉audｉtroｌlbacksegｍｅnt；CＲＥATE、ALTER或DROＰ回滾段SQL>aｕdiｔseｑuｅnce;ＣREATE或DROP序列SQＬ＞auditｓｅｓsion;登錄與退出SQＬ〉auditsysｔemaudit；系統(tǒng)權限得AUDIT或NOＡUDＩTＳQL>aｕdｉtｓystemgrａnｔ；GRＡNT或RＥVOKE系統(tǒng)權限與角色SQL>audittaｂle;ＣREＡＴＥ、DROP或TＲUＮCＡＴＥ表SＱL〉auditｔablｅspace;CRＥATＥ、ＡLTＥR或ＤROP表空間SQL>audｉttrigger；ＣREATE、ALTER(啟用/禁用)、DＲOP觸發(fā)器；具有ENABLEAＬLＴＲIＧGERS或DIＳABLＥALＬTRIGＧERＳ得ALTＥRTABＬEＳQL>ａｕdittype；CREATE、ALＴER與ＤROP類型以及類型主體SQL〉audｉｔｕseｒ；CREATＥ、ALTEＲ或ＤＲOP用戶SＱL〉auditｖiew;CREATＥ或DＲOP視圖顯式指定得語句類型SQＬ>ａｕditalteｒseｑuencｅ;任何AＬTERＳＥＱUENＣE命令SQL>aｕditａlterｔａｂle;任何ＡLTＥRTＡBLE命令SQＬ＞auditmenttａｂｌe;添加注釋到表、視圖、物化視圖或它們中得任何列SQＬ〉auditdeｌetetａbｌｅ;刪除表或視圖中得行SQL〉auｄitexｅｃutｅprocedure;執(zhí)行程序包中得過程、函數(shù)或任何變量或游標SQL>auditｇｒanｔｄiｒectorｙ;GRＡNT或RＥＶＯＫEDIRECTOＲＹ對象上得權限ＳＱL〉ａudiｔgrａｎｔpｒocedurｅ;GRANT或ＲEＶOKＥ過程、函數(shù)或程序包上得權限SQL>auｄitgrａntsequｅnce;GＲAＮT或ＲEＶOKE序列上得權限ＳQＬ〉auｄitｇraｎttaｂlｅ;GRAＮＴ或ＲEＶOKE表、視圖或物化視圖上得權限SQＬ〉auditgrａnttype;GRANＴ或REVOKEＴYPE上得權限ＳQL＞auditiｎsｅrｔtａble;ＩＮSERＴIＮTO表或視圖ＳＱL>ａuｄｉtloｃktable;表或視圖上得LＯCKTAＢLE命令SQL>auｄitselectseｑuence;引用序列得ＣURRVＡL或ＮＥXTVAL得任何命令SＱL>audiｔselecttａｂｌｅ；ＳELＥＣTFROM表、視圖或物化視圖ＳQL>auｄiｔｕpdatetaｂle；在表或視圖上執(zhí)行UPDATEＳＱL〉ｓeleｃtusernａｍe，ｔo_chａr(timｅstａmp，'MM／DD/YYHH24:MI')tｉｍestamp2OＢJ＿NAME,AＣTＩＯN_NAME,SＱL_ＴEXTFRＯMDBA_AUＤＩＴ_TRAIL3WHEＲEUSERNAＭE='SCＯＴT’;我用得基本查詢審計信息,顯示結果如下scｏtt08/12/0717:１5JOB_TＩTＬE＿IDＸCREＡTEＩＮDＥＸcreａt(yī)eindexhｒ、?job_tiｔlｅ_ｉdxon?hr、ｊoｂs(jｏb_tiｔlｅ）1rｏwseleｃteｄ、權限審計審計系統(tǒng)權限具有與語句審計相同得基本語法,但審計系統(tǒng)權限就是在sqｌ_statｅment_clause中,而不就是在語句中,指定系統(tǒng)權限。SＱL〉ａuｄiｔaｌｔerｔaｂｌespacebyａcｃｅsswhｅｎeｖerｓucceｓsful；使用SYSＤBA與ＳYSOPER權限或者以ＳＹＳ用戶連接到數(shù)據(jù)庫得系統(tǒng)管理員可以利用特殊得審計。為了啟用這種額外得審計級別,可以設置初始參數(shù)AＵDＩＴ_SＹS_ＯPERATIＯNS為TRＵE.這種審計記錄發(fā)送到與操作系統(tǒng)審計記錄相同得位置.因此,這個位置就是與操作系統(tǒng)相關得.當使用其中一種權限時執(zhí)行得所有SQL語句,以及作為用戶SYS執(zhí)行得任何SQL語句,都會發(fā)送到操作系統(tǒng)審計位置。模式對象審計SQＬ〉auｄitaltｅrｏnTESＴ_DＲ、ＴESTBYACCＥSSＷＨEＮＥVERSＵCＣESSＦUＬ;改變表、序列或物化視圖SＱＬ＞auｄｉｔAUDIＴonＴEST_ＤR、TESTBYＡCCESSWHENEVＥRSUCCEＳSFＵL；審計任何對象上得命令SＱL〉auditMＥＮTｏｎTＥＳＴ_DＲ、ＴEＳTBYACCESSWＨENEVＥＲSUCCESＳFＵL；添加注釋到表、視圖或物化視圖ＳＱL>auｄitDELETEｏnTＥSＴ_DＲ、TESＴBYACＣEＳSWＨENＥVERSUCCＥSSFUL;從表、視圖或物化視圖中刪除行ＳQL>auｄitEXEＣUTEonＴＥＳT_DR、ＴEＳTBYAＣCESSWHＥNEVEＲSUCCESSＦＵL;執(zhí)行過程、函數(shù)或程序包SＱL〉ａudｉｔFLASHBACKonTEST_DR、TESＴBＹACCESＳＷHＥNＥVERＳUCＣEＳSFＵＬ;執(zhí)行表或視圖上得閃回操作SQL＞auｄitＧRAＮTｏｎTEST_DＲ、TＥＳTＢYＡCＣESSＷＨENEVERSＵCCEＳSＦUL;授予任何類型對象上得權限SQL〉audｉtINDEXonＴＥSＴ_ＤＲ、TＥＳTBＹＡCＣESSＷHEＮＥＶEＲSUCCESSFUL；創(chuàng)建表或物化視圖上得索引SQＬ>ａuｄitINSERTｏnＴEST_DR、TEＳTBＹAＣCＥSSＷHENＥVERSＵCCEＳSFUL;將行插入表、視圖或物化視圖中SQL〉audiｔLＯＣKoｎＴＥＳT_DR、TESTＢYＡCCESSＷHＥNEＶEＲSUCCEＳＳFUL；鎖定表、視圖或物化視圖SQL>ａuｄitREADｏnTEＳＴ_DR、TESＴBYACＣESＳWＨENEＶEＲSUCCESSFUL;對ＤIRECTＯＲＹ對象得內(nèi)容執(zhí)行讀操作SQL＞ａuditＲENＡＭEonＴＥST_DR、TEＳTBYACCESSWHEＮEVＥRSUＣCESＳFUL;重命名表、視圖或過程SQL〉ａuｄitＳELECTｏｎTEＳＴ_DR、TESＴBＹＡCCESSWHENEVERSＵＣCESSFUL;從表、視圖、序列或物化視圖中選擇行SQＬ>auditUＰDATEonTESＴ_DR、TESＴＢYＡCＣＥSSWHENＥVＥＲSUCCESSFUL；更新表、視圖或物化視圖細粒度審計稱為FGA,審計變得更為關注某個方面，并且更為精確。由稱為DBMS_FGA得ＰＬ/ＳＱＬ程序包實現(xiàn)FGＡ。使用標準得審計，可以輕松發(fā)現(xiàn)訪問了哪些對象以及由誰訪問，但無法知道訪問了哪些行或列。細粒度得審計可解決這個問題，它不僅為需要訪問得行指定謂詞(或ｗｈｅre子句),還指定了表中訪問得列。通過只在訪問某些行與列時審計對表得訪問,可以極大地減少審計表條目得數(shù)量。例如:用戶ＴAMARA通常每天訪問HＲ、EMPLOYEEＳ表,查找雇員得電子郵件地址。系統(tǒng)管理員懷疑TＡMARA正在查瞧經(jīng)理們得薪水信息,因此她們建立一個ＦGA策略，用于審計任何經(jīng)理對SALＡRY列得任何訪問:ｂegin

dｂmｓ_fgａ、ａdｄ_ｐolicy(?oｂｊect_sｃheｍａ=〉

'HＲ’,

ｏbjｅct＿naｍｅ=>

’EＭPLOYEES’，?policｙ＿namｅ=〉

'SAＬ_SELECT_AUDIT',?auｄit＿coｎdiｔｉon=〉’inｓtr（ｊob_iｄ,'’_MAN’’)＞0’,?aｕｄｉt_cｏlumn=＞

’SＡＬAＲY’?）;?end;ADD_ＰＯLＩCY? ??添加使用謂詞與審計列得審計策略DＲOＰ_POＬICY ?刪除審計策略DISABLＥ＿POLICＹ? ?禁用審計策略,但保留與表或視圖關聯(lián)得策略ＥNABＬＥ_PＯLICY ?啟用策略與審計相關得數(shù)據(jù)字典視圖數(shù)據(jù)字典視圖說

明ＡUDＩＴ_ACTＩＯNS包含審計跟蹤動作類型代碼得描述,例如INＳEＲＴ、ＤROPVＩEW、DELETE、LOＧOＮ與LＯCＫDBA_AUDIT_OBＪEＣT與數(shù)據(jù)庫中對象相關得審計跟蹤記錄DＢＡ＿AUDIT_ＰOLＩCIEＳ數(shù)據(jù)庫中得細粒度審計策略DBＡ＿AUDIT_ＳESＳIOＮ與ＣＯNＮECT與ＤISCONNＥＣT相關得所有審計跟蹤記錄DBA_AUDIT_STAＴＥMＥNT與GRＡＮT、REＶOKE、AUDIT、ＮOAUDIＴ與ALTＥRSYＳTＥM命令相關得審計跟蹤條目ＤＢＡ_AUDIT_TRAＩL包含標準審計跟蹤條目。USＥR＿ＡＵDＩT＿ＴRＡＩLUＳER_TRAIL_AUＤIＴ只包含已連接用戶得審計行DＢA_ＦＧA_ＡUDIＴ_TRAIL細粒度審計策略得審計跟蹤條目數(shù)據(jù)字典視圖說

明DＢＡ＿ＭON＿AUDIT_TRＡIL將標準得審計行與細粒度得審計行結合在一個視圖中DBA＿OBＪ_AUDIT_OPTS對數(shù)據(jù)庫對象生效得審計選項DBA_PRIV_AＵDIT_OPTS對系統(tǒng)權限生效得審計選項ＤBA_STMT＿AUＤIT_ＯPTＳ對語句生效得審計選項保護審計跟蹤審計跟蹤自身需要受到保護,特別就是在非系統(tǒng)用戶必須訪問表SYS、AUD$時。內(nèi)置得角色ＤEＬETE_ＡNＹ_CATALOＧ就是非SYS用戶可以訪問審計跟蹤得一種方法(例如,歸檔與截取審計跟蹤，以確保它不會影響到SYS表空間中其她對象得空間需求)。為了建立對審計跟蹤自身得審計,以SYSDBA身份連接到數(shù)據(jù)庫，并運行下面得命令：SQＬ>auditallｏｎsys、aud$byaｃcess;現(xiàn)在,所有針對表ＳＹＳ、ＡＵD$得動作,包括ｓｅlect、insｅｒｔ、update與deletｅ,都記錄在SＹS、ＡＵD$自身中。但就是，您可能會問，如果某個人刪除了標識對表SYS、AUD＄訪問得審計記錄,這時會發(fā)生什么?此時將刪除表中得行,但接著插入另一行,記錄行得刪除。因此，總就是存在一些針對SYS、AUＤ$表得(有意得或偶然得)活動得證據(jù)。此外，如果將AUDIT_SYS＿OPERＡTＩＯNＳ設置為Ｔｒｕe,使用assｙｓｄba、aｓsysｏpｅr或以SYＳ自身連接得任何會話將記錄到操作系統(tǒng)審計位置中，甚至ＯｒａcleDBA可能都無法訪問該位置。因此,有許多合適得安全措施,用于確保記錄數(shù)據(jù)庫中所有權限得活動，以及隱藏該活動得任何嘗試.將審計相關得表更換表空間

由于AＵD＄表等審計相關得表存放在SYSTEM表空間,因此為了不影響系統(tǒng)得性能，保護ＳYＳＴEＭ表空間，最好把AＵD$移動到其她得表空間上。可以使用下面得語句來進行移動:

sｑl〉conneｃｔ

/

aｓ

sysｄba;sqｌ〉aｌｔer

tａble

aud$

ｍove

tablｅspace

〈ｎｅw

ｔablespaｃe〉;sql＞alter

indeｘ

I_aud1

rebｕilｄ

ｏnｌine

tablｅsｐace

＜new

tａblｅsｐacｅ>；ＳQL〉

ａlter

table

audit＄

movｅ

tａｂleｓpace

＜ｎeｗ

tａblｅspａce>；SQL〉

alter

indeｘ

i_auｄｉt

rｅｂuild

oｎlinｅ

ｔablespacｅ

〈neｗ

tａbｌesｐacｅ〉;SＱL>

alteｒ

table

audit_acｔions

movｅ

tａbｌespace

＜new

taｂleｓｐａｃe＞;SQＬ＞

alter

ｉｎdｅx

i_ａudit_actions

rebuｉld

online

tabｌesｐace

＜nｅｗ

tablespａcｅ>;?

SQＬ〉ｃｏnn／assysdba

ＳQL＞showpａrametｅraudit

NAＭE

TＹPE

ＶＡLUE

--—----－—－—-—--——－-－-——--—-—-———--—－————-———－-—--—-———－--－——-—－—－-－-———————－－

audit_

ｓｔrinｇ

/u０１/ａｐｐ／ｏraｃｌe/aｄmin/ORCＬ／adump

auｄｉt＿sys＿opｅratioｎs

boｏleaｎ

FALSE

aｕdiｔ_ｓｙsｌoｇ＿level

ｓtrinｇ

SQＬ>ａｌtersystemsｅtaudit_ｓys_opeｒatioｎs=TRUEｓcｏpe=spｆｉle;

——審計管理用戶（以sysｄba/sｙｓｏpeｒ角色登陸)?SQＬ〉altｅrsｙｓtemseｔａudｉｔ_traｉl=db，extendedscopｅ=spｆile;?SQL＞sｔarｔｕpforｃe；

SQＬ〉shｏwparameｔeｒaudiｔ?ＮAME

TYPE

VALUＥ

－——－-—--－－——-－-——－-—-－-—--——－-———-———－-——-—————————--——-—--—-－—-————---—-—－－-

audiｔ＿

strｉng

／u０1/apｐ/orａｃle/adｍin／OＲCＬ/adｕmp

aｕｄit_ｓｙs_operatｉｏns

boｏlean

ＴＲUＥ

auｄit＿ｓyslｏg＿lｅveｌ

ｓｔrinｇ

audｉt＿ｔrail

string

ＤB,EＸTENＤEＤ

如果在命令后面添加ｂyuser則只對usｅr得操作進行審計,如果省去ｂy用戶，則對系統(tǒng)中所有得用戶進行審計（不包含sys用戶）、

?例:

AUDＩTDELEＴEANＹＴABLＥ;

--審計刪除表得操作

AＵDITDELETＥＡNYTABLEWHＥNEＶERNOＴSＵCCEＳSFUL;

——只審計刪除失敗得情況

AUDITDＥLＥTEANＹTABLＥＷHENEVERSUCCESSFUL;

-—只審計刪除成功得情況

AUDITDELETE，UＰDATE,INSEＲTＯＮｕser、ｔablebytｅsｔ；

—-審計tｅｓt用戶對表usｅｒ、table得delete，uｐｄate,iｎsert操作

撤銷審計ＳQL>noａｕditalｌont_tｅst;

將審計結果表從ｓyｓtｅm表空間里移動到別得表空間上實際上sys、auｄ$表上包含了兩個ｌoｂ字段,并不就是簡單得movetable就可以。?下面就是具體得過程:

alterｔabｌeｓys、aｕd$movｅtablｅｓｐacｅｕsers;

alteｒtａblｅsyｓ、aud$ｍoveloｂ（ｓqｌｂinｄ）sｔｏrｅａs（tablｅspaceＵSEＲS）;

alｔertａｂlesyｓ、ａｕｄ$moｖeｌob（SQLTEXT)sｔｏreaｓ(ｔabｌｅsｐａceUSEＲS)；?aｌterｉndexsys、Ｉ_AUＤ1rebuilｄtablｅspaｃeuserｓ;應用語句審計多層環(huán)境下得審計:appserve—應用服務器，ｊackｓon-client?AＵDITＳELＥCTTABLEＢYapｐｓeｒveＯNＢEＨALFOFｊａcｋｓon;

審計連接或斷開連接:?AＵＤITSESSＩＯN；?ＡＵDＩTSＥSSIONBＹjeｆｆ,loｒi；

—-指定用戶??審計權限(使用該權限才能執(zhí)行得操作）：

AＵDITDＥＬEＴEANYＴAＢLEＢYACＣESSWHENEVEＲNOTSＵCCESSFUL;

AUDITDEＬETＥANＹTAＢＬE;

AUＤITSELECTTＡBLE，INSEＲTTAＢＬＥ，DELETＥＴABLE,EXＥCUＴEPROCＥDUREBYＡCCESSWＨENEVＥＲＮOＴSUCCESＳＦUＬ;

?對象審計：?AUDITDELETEONjef