笔记：审计表查询

知识点：
1，Audit_sys_operations：
默认为false，当设置为true时，所有sys用户（包括以sysdba, sysoper身份登录的用户）的操作都会被记录，audit trail不会写在aud$表中，这个很好理解，如果数据库还未启动aud$不可用，那么像conn /as sysdba这样的连接信息，只能记录在其它地方。如果是windows平台，audti trail会记录在windows的事件管理中，如果是linux/unix平台则会记录在audit_file_dest参数指定的文件中。

2，Audit_trail：
None：是默认值，不做审计；
DB：将audit trail 记录在数据库的审计相关表中，如aud$，审计的结果只有连接信息；
DB,Extended：这样审计结果里面除了连接信息还包含了当时执行的具体语句；
OS：将audit trail 记录在操作系统文件中，文件名由audit_file_dest参数指定；
XML：10g里新增的。

3，Oracle没有提供对schema中所有对象的审计功能，只能一个一个对象审计

开始表查询的审计：
1，开启审计（最低DB级别）

alter system set audit_trail=db scope=spfile;
重启数据库后生效

2，开启审计查询

audit select on scott.emp;

3，查看数据

set linesize 300
set pagesize 9999
col os_username for a10
col username for a10
col userhost for a10
col terminal for a10
col TIMESTAMP for a20
col owner for a10
col obj_name for a10
col action_name for a20
col sql_text for a100
col sessionid for 999999999
col os_process for a5                                                                                                  
select OS_USERNAME,USERNAME,USERHOST,TERMINAL,to_char(TIMESTAMP,'yyyy-mm-dd hh24:mi:ss'),OWNER,   
obj_name,ACTION_NAME,ses_actions,sessionid,os_process,sql_text from dba_audit_trail where TIMESTAMP>sysdate-7 and obj_name='TEST';

4,ses_actions说明
SES_ACTIONS表示审计对象进行的操作，其中出事未标识符"_"，S表示执行成功，F表示执行失败。
该字段共16个字符，每个字符的位置表示不同的操作，位置与操作的对应关系如下

1  ALTER
2  AUDIT
3  COMMENT
4  DELETE
5  GRANT 
6  INDEX
7  INSERT 
8  LOCK
9  RENAME
10 SELECT 
11 UPDATE
12 REFERENCES
13 EXECUTE
14  
15  
16  

官方解释

	Session summary (a string of 16 characters, one for each action type in the order ALTER, AUDIT, COMMENT, DELETE, GRANT, INDEX, INSERT, LOCK, RENAME, SELECT, UPDATE, REFERENCES, and EXECUTE). Positions 14, 15, and 16 are reserved for future use. The characters are:
- - None
S - Success
F - Failure
B - Both

5，取消审计

 noaudit select on scott.emp;

注意事项：
1，注意sys.aud$空间问题
2，开启审计将会对性能有所影响