oracle数据库审计（audit）

清疚 2021-12-04 02:07 465阅读 0赞

### oracle数据库审计（audit） ###

*  audit是否开启
 *  audit参数
 *   *  1、audit\_file\_dest
     *  2、audit\_sys\_operations
     *  3、audit\_syslog\_level
     *  4、audit\_trail
 *  审计级别
 *   *  1、Statement
     *  2、Privilege
     *  3、Object
     *  4、其他选项
 *  审计相关视图
 *   *  dba\_audit\_trail
     *  dba\_stmt\_audit\_opts
     *  all\_def\_audit\_opts
 *  取消审计
 *   *  noaudit
 *  示例

随着数据安全变得越来要重要，数据库审计的重要性也与日俱增，工作中也经常用到需要查询用户都有那些操作行为，所级记录一下oracle的审计功能。

# audit是否开启 #

SQL> show parameter audit;
    
    NAME                                 TYPE        VALUE
    ------------------------------------ ----------- ------------------------------
    audit_file_dest                      string      /u01/app/admin/oradb/adump
    audit_sys_operations                 boolean     FALSE
    audit_syslog_level                   string
    audit_trail                          string      DB

# audit参数 #

## 1、audit\_file\_dest ##

操作系统中审计记录的存放位置

## 2、audit\_sys\_operations ##

默认为false，当设置为true时，所有sys用户（包括以sysdba, sysoper身份登录的用户）的操作都会被记录，审计记录（audit trail）不会写在aud$ 表中，因为可能数据库还未启动，aud$不可用，像conn /as sysdba这样的连接信息，只能记录在其它地方。windows平台，audti trail会记录在windows的事件管理中，linux/unix平台则会记录在audit\_file\_dest参数指定的文件。

## 3、audit\_syslog\_level ##

默认情况下，aduit\_syslog\_level参数是关闭的，该参数的作用原理是利用操作系统的审计记录方法，像Linux/Unix平台上的syslog命令，和audit\_sys\_operations配合使用，可以把sys等用户的行为，记录到操作系统日志。

可参考：[https://blog.csdn.net/hanruiding/article/details/96968406][https_blog.csdn.net_hanruiding_article_details_96968406]

## 4、audit\_trail ##

None：不做审计；

DB：将audit trail 记录在数据库的审计相关表中，如aud$，审计的结果只有连接信息，适用于对数据库进行一般管理；  
oracle 11g，正常安装后，DB是默认选项。

DB,Extended：审计结果里面除了连接信息，还包含了当时执行的具体语句，执行audit\_trail=db的所有操作，并填充sys.aud$表的sql\_bind和sql\_text clob类型列；

OS：将audit trail 记录在操作系统文件中，文件名由audit\_file\_dest参数指定；

xml：以XML格式写入操作系统审核记录文件。记录审计节点的所有元素，但SQL\_文本和SQL\_绑定到操作系统XML审核文件除外。

xml, extended：执行audit\_trail=xml的所有操作，并尽可能填充sys.aud$表的SQL绑定和SQL文本CLOB类型列

注：参数是static参数，需要重新启动数据库才能生效。

# 审计级别 #

当开启审计功能后，可在三个级别对数据库进行审计：Statement(语句)、Privilege（权限）、object（对象）。

## 1、Statement ##

语句审计，对某种类型的SQL语句审计，不指定结构或对象。比如

audit table

会审计数据库中所有的create table,droptable,truncate table语句

audit session by cmy

会审计cmy用户所有的数据库连接。

## 2、Privilege ##

权限审计，当用户使用了该权限则被审计，如执行:

grant select any table to a

当执行

audit select any table

用户a 访问了用户b的表时如，会用到select any table权限，故会被审计。

select * from b.t

注意用户访问自己的表不会被审计。

## 3、Object ##

对象审计，对一特殊模式对象上的指定语句的审计。 如对指定对象的相关操作：

aduit alter,delete,drop,insert on cmy.t by scott

这里会对cmy用户的t表进行审计，但同时使用了by子句，所以只会对scott用户发起的操作进行审计。

注意：Oracle没有提供对schema中所有对象的审计功能，只能一个一个对象审计，对于后面创建的对象，Oracle则提供on default子句来实现自动审计，比如执行

audit drop on default by access;

对于随后创建的对象的drop操作都会审计。但这个default会对之后创建的所有数据库对象有效，似乎没办法指定只对某个用户创建的对象有效，想比 trigger可以对schema的DDL进行“审计”，这个功能稍显不足。

## 4、其他选项 ##

by access：每一个被审计的操作都会生成一条audit trail。

by session：一个会话里面同类型的操作只会生成一条audit trail，默认为by session。

whenever successful：操作成功(dba\_audit\_trail中returncode字段为0) 才审计。

whenever not successful：反之。省略该子句的话，不管操作成功与否都会审计。

# 审计相关视图 #

aud$ 是存放审计记录的表

## dba\_audit\_trail ##

保存所有的audit trail，实际上它只是一个基于aud$的视图。其它的视图user\_audit\_trail，dba\_audit\_session，user\_audit\_session，dba\_audit\_object，user\_audit\_object，dba\_audit\_statement，user\_audit\_statement都只是dba\_audit\_trail的一个子集。  
dba\_audit\_exists，使用BY AUDIT NOT EXISTS选项的审计  
dba\_audit\_policies，审计POLICIES  
dba\_common\_audit\_trail，标准审计+精细审计

## dba\_stmt\_audit\_opts ##

可以用来查看statement审计级别的audit options，即数据库设置过哪些statement级别的审计。dba\_obj\_audit\_opts，user\_obj\_audit\_opts，dba\_priv\_audit\_opts视图功能与之类似

## all\_def\_audit\_opts ##

用来查看数据库用on default子句设置了哪些默认对象审计。

STMT\_AUDIT\_OPTION\_MAP – 审计选项类型代码  
AUDIT\_ACTIONS – action代码

# 取消审计 #

## noaudit ##

将对应审计语句的audit改为noaudit即可，

audit session whenever successful;      ----审计
    
    noaudit session whenever successful;    ----取消审计

# 示例 #

SQL> alter system set audit_trail=db_extended scope=spfile;     ----开启审计
    SQL> shutdown immediate;
    SQL> startup                                   ----重启数据库
    SQL> AUDIT UPDATE,DELETE,INSERT ON test by access;      ----针对test表的更新、删除、插入开启审计，错误的也记录

用scott用户对test表进行操作

SQL> conn scott/scott      
    SQL> create table test as select * from emp;
    SQL> update test set emp1='111'; 
                      *
    第 1 行出现错误:
    ORA-00904: "EMP1": 标识符无效     
    SQL> delete from test where rownum=1;
     
    已删除 1 行。
    
    SQL> commit;

查询审计记录

SQL> select EXTENDED_TIMESTAMP,SESSION_ID,SQL_TEXT from DBA_COMMON_AUDIT_TRAIL ORDER BY EXTENDED_TIMESTAMP DESC;
     
    EXTENDED_TIMESTAMP                       SESSION_ID SQL_TEXT
    ---------------------------------------- ---------- ----------------------------
    ------------
    14-8月 -18 04.14.45.187000 下午 +08:00       190125 update test set emp1='111'
    14-8月 -18 04.26.02.968000 下午 +08:00       190125 delete from test where rownum=1
    ---------------------

[https_blog.csdn.net_hanruiding_article_details_96968406]: https://blog.csdn.net/hanruiding/article/details/96968406