Oracle审计机制详解
"Oracle审计是Oracle数据库系统提供的一种安全特性,用于记录并追踪数据库操作,以便于监控数据库的使用情况和审计活动。审计信息可以存储在操作系统文件中(默认位于$ORACLE_BASE/admin/$ORACLE_SID/adump/)或者数据库内的SYS.AUD$表中,可以通过视图dba_audit_trail来查看审计轨迹。尽管审计默认是关闭的,但特定的操作如管理员权限连接、数据库启动和关闭等会被强制记录。" 在Oracle中,审计主要分为以下几个方面: 1. **审计类型**: - OS Audit Trail: 操作系统级别的审计,记录对数据库实例进行管理操作(如以管理员权限连接、启动和关闭数据库)的信息,这些信息通常保存在操作系统文件中。 - DB Audit Trail: 数据库审计,记录在数据库内部发生的操作,如SQL语句的执行,权限的授予和撤销等,这些信息存储在数据库的SYS.AUD$表中。 - Extended Audit Trail: 扩展审计,提供了更详细的审计选项,包括对特定操作和特权的跟踪。 2. **审计启用与配置**: - 默认情况下,审计功能是关闭的。若需启用,需要设置审计参数,例如AUDIT_TRAIL。AUDIT_TRAIL参数有多种模式,如NONE(不启用审计)、DB(启用数据库审计,审计信息存储在数据库中)和OS(启用操作系统审计,信息存储在文件中)。此外,EXTENDED选项可以增加更详细的审计信息。 3. **审计策略**: - 审计可以针对特定的用户、操作、对象或权限进行。例如,可以审计所有CREATE TABLE、DROP TABLE和TRUNCATE TABLE等DDL操作,或者审计GRANT SELECT ANY TABLE权限的行为。 - 审计还可以按事件触发,如AUDIT SELECT ANY TABLE会记录所有尝试访问任何表的SELECT操作,而AUDIT PRIVILEGE ON CMY.TB BY SCOTT则只审计用户SCOTT对表CMY.TB的操作。 - 可以通过BY ACCESS或BY SESSION来控制审计记录的生成,前者根据每个操作创建审计记录,后者根据会话创建审计记录。 4. **审计选项**: - 可以使用WHENEVER NOT SUCCESSFUL或WHENEVER SUCCESSFUL来指定只有在操作失败或成功时才记录审计信息。 - DROP ON DEFAULT审计会在删除对象时记录,而ACCESS ON DEFAULT则会在访问默认对象时记录,这对于跟踪权限的使用非常有用。 5. **审计维护与分析**: - 审计信息可能会快速增长,因此需要定期清理和分析,以确保数据库性能不受影响。可以通过SQL查询视图dba_audit_trail来检查审计轨迹,也可以编写脚本进行审计信息的定期备份和清理。 6. **安全性考虑**: - 虽然审计可以增强数据库的安全性,但过度审计可能导致性能下降和存储需求增加。因此,应谨慎选择要审计的事件和对象,以平衡安全性和效率。 Oracle审计是一个强大的工具,它可以帮助数据库管理员监控用户行为,确保数据安全,同时在必要时追溯和分析操作历史。正确配置和使用审计可以提升数据库管理的透明度和可控性。
审计(Audit)用于监视用户所执行的数据库操作,并且Oracle会将审计跟踪结果存放到OS文件(默认位置为$ORACLE_BASE/admin/$ORACLE_SID/adump/)或数据库(存储在system表空间中的SYS.AUD$表中,可通过视图dba_audit_trail查看)中。默认情况下审计是没有开启的。
不管你是否打开数据库的审计功能,以下这些操作系统会强制记录:用管理员权限连接Instance;启动数据库;关闭数据库。
2、和审计相关的两个主要参数
Audit_sys_operations:
默认为false,当设置为true时,所有sys用户(包括以sysdba,sysoper身份登录的用户)的操作都会被记录,audit trail不会写在aud$表中,这个很好理解,如果数据库还未启动aud$不可用,那么像conn /as sysdba这样的连接信息,只能记录在其它地方。如果是windows平台,audti trail会记录在windows的事件管理中,如果是linux/unix平台则会记录在audit_file_dest参数指定的文件中。
Audit_trail:
None:是默认值,不做审计;
DB:将audit trail 记录在数据库的审计相关表中,如aud$,审计的结果只有连接信息;
DB,Extended:这样审计结果里面除了连接信息还包含了当时执行的具体语句;
OS:将audit trail 记录在操作系统文件中,文件名由audit_file_dest参数指定;
XML:10g里新增的。
注:这两个参数是static参数,需要重新启动数据库才能生效。
3、审计级别
当开启审计功能后,可在三个级别对数据库进行审计:Statement(语句)、Privilege(权限)、object(对象)。
Statement:
按语句来审计,比如audit table 会审计数据库中所有的create table,drop table,truncate table语句,alter session by cmy会审计cmy用户所有的数据库连接。
Privilege:
按权限来审计,当用户使用了该权限则被审计,如执行grant select any table to a,当执行了audit select any table语句后,当用户a 访问了用户b的表时(如select * from b.t)会用到select any table权限,故会被审计。注意用户是自己表的所有者,所以用户访问自己的表不会被审计。
Object:
4、审计的一些其他选项
by access / by session:
by access 每一个被审计的操作都会生成一条audit trail。
by session 一个会话里面同类型的操作只会生成一条audit trail,默认为by session。
whenever [not] successful:
whenever successful 操作成功(dba_audit_trail中returncode字段为0) 才审计,
whenever not successful 反之。省略该子句的话,不管操作成功与否都会审计。
5、和审计相关的视图
dba_audit_trail:保存所有的audit trail,实际上它只是一个基于aud$的视图。其它的视图dba_audit_session,dba_audit_object,dba_audit_statement都只是dba_audit_trail的一个子集。
dba_stmt_audit_opts:可以用来查看statement审计级别的audit options,即数据库设置过哪些statement级别的审计。dba_obj_audit_opts,dba_priv_audit_opts视图功能与之类似
all_def_audit_opts:用来查看数据库用on default子句设置了哪些默认对象审计。
6、取消审计
将对应审计语句的audit改为noaudit即可,如audit session whenever successful对应的取消审计语句为noaudit session whenever successful;
7、10g中的审计告知一切
Oracle 数据库 10g 审计以一种非常详细的级别捕获用户行为,它可以消除手动的、基于触发器的审计。
假定用户 Joe 具有更新那张表的权限,并按如下所示的方式更新了表中的一行数据:
update SCOTT.EMP set salary = 12000 where empno = 123456;
您如何在数据库中跟踪这种行为呢?在 Oracle 9i 数据库及其较低版本中,审计只能捕获“谁”执行此操作,而不能捕获执行了“什么”内容。例如,它让您知道 Joe 更新了 SCOTT 所有的表EMP,但它不会显示他更新了该表中员工号为 123456 的薪水列。它不会显示更改前的薪水列的值 ― 要捕获如此详细的更改,您将不得不编写您自己的触发器来捕获更改前的值,或使用 LogMiner 将它们从存档日志中检索出来。
细粒度审计(FGA) ,是在 Oracle 9i 中引入的,能够记录 SCN 号和行级的更改以重建旧的数据,但是它们只能用于 select 语句,而不能用于 DML ,如 update 、insert 和delete 语句。因此,对于 Oracle 数据库 10g 之前的版本,使用触发器虽然对于以行级跟踪用户初始的更改是没有吸引力的选择,但它也是唯一可靠的方法。
剩余5页未读,继续阅读
- 粉丝: 0
- 资源: 5
- 我的内容管理 展开
- 我的资源 快来上传第一个资源
- 我的收益 登录查看自己的收益
- 我的积分 登录查看自己的积分
- 我的C币 登录后查看C币余额
- 我的收藏
- 我的下载
- 下载帮助
最新资源
- 李兴华Java基础教程:从入门到精通
- U盘与硬盘启动安装教程:从菜鸟到专家
- C++面试宝典:动态内存管理与继承解析
- C++ STL源码深度解析:专家级剖析与关键技术
- C/C++调用DOS命令实战指南
- 神经网络补偿的多传感器航迹融合技术
- GIS中的大地坐标系与椭球体解析
- 海思Hi3515 H.264编解码处理器用户手册
- Oracle基础练习题与解答
- 谷歌地球3D建筑筛选新流程详解
- CFO与CIO携手:数据管理与企业增值的战略
- Eclipse IDE基础教程:从入门到精通
- Shell脚本专家宝典:全面学习与资源指南
- Tomcat安装指南:附带JDK配置步骤
- NA3003A电子水准仪数据格式解析与转换研究
- 自动化专业英语词汇精华:必备术语集锦