oracle的细粒度审计

导读：

　　

　　 oracle的细粒度审计

　　传统的 Oracle 数据库审计选件允许您在宏观级别上跟踪用户在对象上所执行的操作 — 例如，如果您审计对某个表的 SELECT 语句，则可以跟踪是谁从表中选择了数据。但是，您不知道他们选择了什么。利用数据操纵语句 — 如 INSERT、UPDATE 或 DELETE — 您可以通过使用触发器或使用 Oracle LogMiner 实用程序来分析归档日志，从而捕获任何的更改。因为简单的 SELECT 语句是不操纵数据的，它们既不启动触发器，也不记入到那些以后可以进行挖掘的归档日志中，所以这两种技术在涉及到 SELECT 语句的地方无法满足要求。

　　Oracle9i Database 推出了一种称为细粒度审计 (FGA) 的新特性，它改变了这种局面。该特性允许您将单个的 SELECT 语句联同用户提交的确切语句一起进行审计。除了简单地跟踪语句之外，FGA 还通过在每次用户选择特定的数据集时执行一段代码，提供了一种方法来模拟用于 SELECT 语句的触发器。在分为三部分的这一系列文章中，我将说明如何使用 FGA 解决实际问题。这第一部分的主要内容是构建基本的 FGA 系统。

　　示例安装

　　我们的示例基于一个银行系统，已经通过应用程序级的审计按照传统提供了用户访问特定数据的审计线索。但是，只要用户使用诸如 SQL*Plus 等工具从应用程序以外的地方访问数据，该系统就不能满足要求。在本文中，我将说明作为 DBA 的您能够如何使用 FGA 来完成捕获用户对特定行的 SELECT 访问的任务，无论访问的工具或机制是什么。

　　在我们的示例中，数据库有一个名为 ACCOUNTS 的表，由模式 BANK 拥有，其结构如下：

　　Name Null? Type

　　---------------- -------- ------------

　　ACCT_NO NOT NULL NUMBER

　　CUST_ID NOT NULL NUMBER

　　BALANCE NUMBER(15,2)

　　为了构造一个能够对任何在此表中选择的用户进行审计的系统，您需要定义对该表的 FGA 策略如下：

　　begin

　　dbms_fga.add_policy (

　　object_schema=>'BANK',

　　object_name=>'ACCOUNTS',

　　policy_name=>'ACCOUNTS_ACCESS'

　　);

　　end;

　　这段代码必须由具有执行程序包 dbms_fga 权限的用户来执行。但是，为了提高安全性，建议不要对用户 BANK（将要被审计的表的所有者）授予执行权限；而应该将权限授予一个安全的用户（比如 SECMAN），此用户应该执行添加策略的过程。

　　在定义了策略以后，当用户以通常的方式对表进行查询时，如下所示：

　　select * from bank.accounts;

　　审计线索记录此操作。您可以使用以下语句查看线索：

　　select timestamp,

　　db_user,

　　os_user,

　　object_schema,

　　object_name,

　　sql_text