學習Oracle的審計(Auditing)

審計（Audit）用于監視用戶所執行的數據庫操作，審計記錄可存在數據字典表（稱為審計記錄：存儲在system表空間中的 SYS.AUD$ 表中，可通過視圖dba_audit_trail查看）或操作系統審計記錄中（audit_file_dest參數決定）。默認情況下審計是沒有開啟的。

1、審計的類型有四種：

• Statement Auditing（語句審計）：在語句級別進行審計，如審計執行SELECT TABLE的語句，而不針對某一單獨的對象。

• Privilege Auditing（權限審計）：審計某一系統權限的使用情況，如果審計在創建表時用到的CREATE ANY TABLE權限。

• Schema Object Auditing（對象審計）：審計對指定對象上的操作，如審計對表scott.emp的INSERT操作。

• Fine-Grained Auditing（細粒度審計）：用于指定更細粒度的審計，用DBMS_FGA包來實現。

2、相關參數：

AUDIT_TRAIL參數

這參數決定數據庫審計的開啟和關閉。可以被賦與如下值

• DB，啟用數據庫審計，并把審計記錄記錄到數據庫中的SYS.AUD$
  

• XML，啟用數據庫審計，并把審計記錄在文件系統以XML文件的開始存放
  

• DB,EXTENDED，具有與DB一樣的功能，并在必要時在SYS.AUD$中記錄SQL bind and SQL text CLOB-type columns。

• XML,EXTENDED，具有與XML一樣的功能，并在可用時在XML文件中記錄SQL bind and SQL text CLOB-type columns。

• OS，啟用數據庫審計，并把審計記錄記錄到操作系統的文件中。

• NONE，不啟用數據庫審計，默認值。

AUDIT_FILE_DEST參數

如果AUDIT_TRAIL=OS，則審計記錄的文件，存放在AUDIT_FILE_DEST指定的目錄中。

AUDIT_SYS_OPERATIONS參數

指定是否啟用對SYS用戶的審計。默認為FALSE，啟用設置為TRUE。記錄不存放在AUD$中，而是記錄在其它地方。如果是windows平臺，audti trail會記錄在windows的事件管理中，如果是linux/unix平臺則會記錄在audit_file_dest參數指定的文件中。

3、啟用和停用數據庫審計

使用ALTER SYSTEM語句設置AUDIT_TRAIL參數，這個參數不可在線修改，修改后需重庫數據庫實例生效。例句如下：

ALTER SYSTEM SET AUDIT_TRAIL=DB,EXTENDED SCOPE=SPFILE;

停用數據庫審計使用如下語句，重啟數據庫生效

ALTER SYSTEM SET AUDIT_TRAIL=NONE SCOPE=SPFILE;

4、啟用和停止審計功能的語法：

1）啟用審計使用AUDIT語句

2）停止審計功能

要停用審計功能把上面的AUDIT改為NOAUDIT。

在啟用審計功能前，必須先設置AUDIT_TRAIL參數為非NONE，否則數據庫不會進行審計。

5、使用審計功能的示例

啟用數據庫審計

sys@TEST>alter system set audit_trail=DB scope=spfile;

System altered.

1）Statement Auditing（語句審計）

審計由SCOTT用戶發出的所有SELECT TABLE

sys@TEST>audit select table by scott;

Audit succeeded.

sys@TEST>select * from dba_stmt_audit_opts;

USER_NAME		       PROXY_NAME		      AUDIT_OPTION		     SUCCESS			    FAILURE
------------------------------ ------------------------------ ------------------------------ ------------------------------ ------------------------------
SCOTT							      SELECT TABLE		     BY SESSION 		    BY SESSION

scott@TEST>select count(*) from emp;

  COUNT(*)
----------
	14
	
sys@TEST>select timestamp,sql_text from dba_audit_trail;

TIMESTAMP	    SQL_TEXT
------------------- --------------------------------------------------------------------------------
2017-04-24 23:07:47 select count(*) from emp

2）Privilege Auditing（權限審計）

審計所有系統權限

sys@TEST>audit all privileges;

Audit succeeded.

sys@TEST>select * from dba_priv_audit_opts;

USER_NAME		       PROXY_NAME		      PRIVILEGE 		     SUCCESS			    FAILURE
------------------------------ ------------------------------ ------------------------------ ------------------------------ ------------------------------
							      FLASHBACK ARCHIVE ADMINISTER   BY ACCESS			    BY ACCESS
							      CREATE SESSION                 BY ACCESS			    BY ACCESS
......

[oracle@rhel6 ~]$ sqlplus scott/tiger
......
sys@TEST>select username,timestamp,priv_used from dba_audit_trail where priv_used is not null;

USERNAME		       TIMESTAMP	   PRIV_USED
------------------------------ ------------------- ------------------------------------------------------------------------------------------------------------------------
SCOTT			       2017-04-24 23:18:02 CREATE SESSION

3）Schema Object Auditing（對象審計）

審計對SCOTT.EMP表的select操作

sys@TEST>audit select on scott.emp;

Audit succeeded.

sys@TEST>select * from dba_obj_audit_opts;

OWNER	   OBJECT_NAM OBJECT_TYPE		     ALT   AUD	 COM   DEL   GRA   IND	 INS   LOC   REN   SEL	 UPD   REF   EXE   CRE	 REA   WRI   FBK
---------- ---------- ------------------------------ ----- ----- ----- ----- ----- ----- ----- ----- ----- ----- ----- ----- ----- ----- ----- ----- -----
SCOTT	   EMP	      TABLE			     -/-   -/-	 -/-   -/-   -/-   -/-	 -/-   -/-   -/-   S/S	 -/-   -/-   -/-   -/-	 -/-   -/-   -/-

scott@TEST>select ename from emp;

ENAME
------------------------------
SMITH
ALLEN
......

sys@TEST>select timestamp,sql_text from dba_audit_trail;

TIMESTAMP	    SQL_TEXT
------------------- --------------------------------------------------------------------------------
2017-04-24 23:24:28 select ename from emp

AUD$位于SYSTEM表空間，基于Oracle的穩定性及性能考慮，可以將審計相關的表移動到其他表空間。

alter table audit$ move tablespace <tablespace_name>;
alter index i_audit rebuild online tablespace <tablespace_name>;
alter table audit_actions move tablespace <tablespace_name>;
alter index i_audit_actions rebuild online tablespace <tablespace_name>;

官方文檔：http://docs.oracle.com/cd/B19306_01/network.102/b14266/auditing.htm#CHDJBDHJ

http://docs.oracle.com/cd/B19306_01/network.102/b14266/cfgaudit.htm#BABCFIHB

http://docs.oracle.com/cd/B19306_01/server.102/b14200/statements_4007.htm#i2059073

參考：http://blog.itpub.net/9399028/viewspace-712457/