最新Oracle审计功能详解

Oracle审计功能详解

一、审计分类：

Oracle中审计总体上可分为“标准审计”和“细粒度审计”后者也称为“基于政策的审计”，在Oracle10G之后功能得到很大增强。其中标准审计可分为用户级审计和系统级审计。用户级审计是任何Oracle用户可设置的审计，主要是用户针对自己创建的数据库表或视图进行审计，记录所有用户对这些表或视图的一切成功和(或)不成功的访问要求以及各种类型的SQL操作。系统级审计只能由DBA设置，用以监测成功或失败的登录要求、监测GRANT和REVOKE操作以及其他数据库级权限下的操作。

二、标准审计：

2.1 分类：

在ORACLE中分别支持以下三种标准审计类型：

◆语句审计，对某种类型的SQL语句审计，不指定结构或对象。

◆特权审计，对执行相应动作的系统特权的使用审计。

◆对象审计，对一特殊模式对象上的指定语句的审计。

这三种标准审计类型分别对如下3方面进行审计：

◆审计语句的成功执行、不成功执行，或者其两者。

◆对每一用户会话审计语句执行一次或者对语句每次执行审计一次。

◆对全部用户或指定用户的活动的审计。

当数据库的审计功能打开后，在语句执行阶段产生审计记录。审计记录包含有审计

的操作、用户执行的操作、操作的日期和时间等信息。审计记录可存在数据字典表（称

为审计记录）或操作系统审计记录中。数据库审计记录是在SYS模式的AUD$表中。

2.2 和审计相关的两个主要参数

Audit_sys_operations：

默认为false，当设置为true时，所有sys用户（包括以sysdba,sysoper身份登录的用户）的操作都会被记录，audit trail不会写在aud$表中，这个很好理解，假如数据库还

未启动aud$不可用，那么像conn /as sysdba这样的连接信息，只能记录在其它地方。假如是windows平台，audti trail会记录在windows的事件管理中，假如是linux/unix

平台则会记录在audit_file_dest参数指定的文件中。

Audit_trail：

None：是默认值，不做审计；

DB：将audit trail 记录在数据库的审计相关表中，如aud$，审计的结果只有连接信息；DB,Extended：与DB一样，但是审计结果里面除了连接信息还包含了当时执行的SQL_ TEXT和SQL_BIND；

OS：将audit trail 记录在操作系统文件中，文件名由audit_file_dest参数指定；

XML：10g里新增，将audit trail以XML格式记录在操作系统文件中；

XML,Extended：与XML一样，但是审计结果里面除了连接信息还包含了当时执行的SQ L_TEXT和SQL_BIND

注：这两个参数是static参数，需要重新启动数据库才能生效。

2.3 审计级别

当开启审计功能后，可在三个级别对数据库进行审计：Statement(语句)、Privilege（权限）、object（对象）。

Statement：

按语句来审计，比如audit table 会审计数据库中所有的create table,drop table,truncat e table语句，alter session by cmy会审计cmy用户所有的数据库连接。

用法：AUDIT sql_statement_clause BY {SESSION | ACCESS} WHENEVER [NOT] SUCCESSF UL;

表1列出了可以审计的语句类型，并且在每个类别中包含了相关语句的简要描述。如果指定all，则审计该列表中的任何语句。然而，表2中的语句类型在启用审计时不属于all 类别；必须在audit命令中显式地指定它们。

表1 包括在ALL类别中的可审计语句

Privilege：

按权限来审计，当用户使用了该权限则被审计，如执行grant select any table to a，当执行了audit select any table语句后，当用户a 访问了用户b的表时（如select * fro m b.t）会用到select any table权限，故会被审计。注重用户是自己表的所有者，所以用户访问自己的表不会被审计。

用法：审计系统权限具有与语句审计相同的基本语法，但审计系统权限是在sql_stateme nt_clause中，而不是在语句中，指定系统权限

Object：

按对象审计，只审计on要害字指定对象的相关操作，如aduit alter,delete,drop,insert o n cmy.t by scott; 这里会对cmy用户的t表进行审计，但同时使用了by子句，所以只会对scott用户发起的操作进行审计。注重Oracle没有提供对schema中所有对象的审计功能，只能一个一个对象审计，对于后面创建的对象，Oracle则提供on default子句来实现自动审计，比如执行audit drop on default by access;后，对于随后创建的对象的drop操作都会审计。但这个default会对之后创建的所有数据库对象有效，似乎没办法指定只对某个用户创建的对象有效，想比trigger可以对schema的DDL进行“审计”，这个功能稍显不足。

用法：AUDIT schema_object_clause BY {SESSION | ACCESS} WHENEVER [NOT] SUCCESSFUL;

schema_object_clause指定对象访问的类型以及访问的对象。可以审计特定对象上14

2.4 审计的一些其他选项

by access / by session：

by access 每一个被审计的操作都会生成一条audit trail。

by session 一个会话里面同类型的操作只会生成一条audit trail，默认为by session。

whenever [not] successful：

whenever successful 操作成功(dba_audit_trail中returncode字段为0) 才审计, whenever not successful 反之。省略该子句的话，不管操作成功与否都会审计。

2.5 和审计相关的视图

dba_audit_trail：保存所有的audit trail，实际上它只是一个基于aud$的视图。其它的视图dba_audit_session,dba_audit_object,dba_audit_statement都只是dba_audit_trail的一个子集。

dba_stmt_audit_opts：可以用来查看statement审计级别的audit options，即数据库设置过哪些statement级别的审计。dba_obj_audit_opts,dba_priv_audit_opts视图功能与之类似

all_def_audit_opts：用来查看数据库用on default子句设置了哪些默认对象审计。

1. SYS.AUD$

审计功能的底层视图,如果需要对数据进行删除,只需要对aud$视图进行删除既可,其他视图里的数据都是由aud$所得.

2. DBA_AUDIT_EXISTS

列出audit not exists和audit exists产生的审计跟踪,我们默认的都是audit exists.

3. DBA_AUDIT_TRAIL

可以在里面查处所有审计所跟踪的信息，保存所有的audit trail，实际上它只是一个基于aud$的视图。其它的视图dba_audit_session,dba_audit_object,dba_audit_sta tement都只是dba_audit_trail的一个子集。

4. DBA_AUDIT_OBJECT

可以查询所有对象跟踪信息.(例如,对grant,revoke等不记录),信息完全包含于dba_a udit_trail

5. DBA_AUDIT_SESSION

所得到的数据都是有关logon或者logoff的信息.

6. DBA_AUDIT_STATEMENT

列出grant ,revoke ,audit ,noaudit ,alter system语句的审计跟踪信息.

7. DBA_PRIV_AUDIT_OPTS

通过系统和由用户审计的当前系统特权

8. DBA_OBJ_AUDIT_OPTS

可以查询到所有用户所有对象的审计选项

9. DB_STMT_AUDIT_OPTS

可以用来查看statement审计级别的audit options，即数据库设置过哪些statemen t级别的审计。dba_obj_audit_opts,dba_priv_audit_opts视图功能与之类似