SQL Server 审计 第一篇：介绍（Audit）

SQL Server 审计系列：

• SQL Server 审计 第一篇：介绍(Audit)
• SQL Server 审计 第二篇： 创建审计
• SQL Server 审计 第三篇：查看审计数据

审计(Audit)用于追踪和记录SQL Server实例，或者单个数据库中发生的事件(Event)，审计运作的机制是通过捕获事件(Event)，把事件包含的信息写入到事件日志(Event Log)或审计文件(Audit File)中，为review提供最真实详细的数据。

审计主要包含服务器审计对象(Server Audit，简称审计对象)、服务器级别的审计规范(Server Audit Specification)、数据库级别的审计规范(Database Audit Specification)和目标(Target)。

• 审计对象是在服务器级别上创建的对象，必须启用，用于指定审计数据的存储方式和存储路径，并提供工具查看审计数据。
• 服务器级别的审计规范用于记录服务器级别的事件(Event)，
• 数据库级别的审计规范用于记录数据库级别的事件，
• Target是指用于存储Audit数据的媒介，可以是File、Windows Security Event Log 或 Windows Application Event Log，常用的Target是File。

SQL Server使用 Extended Events来帮助创建审计，也就是说，审计是在扩展事件的基础上设计的功能，专门用于审核数据库的安全。为了启用审计，首先需要创建一个SQL Server 实例级的审计对象，然后创建从属于它的“服务器审计规范”或“数据库审计规范”，审计输出的结果数据可以存储到审计文件(File)、安全日志(Security Log)和应用程序日志(Application Log)中。

一，审计对象的构成

构成审计的成分主要有4大类：审计对象、服务器级别的审计规范、数据库级别的审计规范和目标(Target)。

• 审计对象可以包含一个或多个审计规范，用于指定输出结果存储的路径。审计对象创建时默认的状态是disable。
• 服务器级别的审计规范，从属于审计对象，它包含服务器级别的审计动作组(Audit Action Group)或单个Audit Action，这些动作组或动作由Extended Events触发。
• 数据库级别的审计规范，也从属于审计对象，它包含数据库级别的审计动作组(Audit Action Group)或单个Audit Action，这些动作组或动作由Extended Events触发。
• Target(也称作Audit Destination)用于存储审计的结果，Target可以是一个file，Windows Security Event log 或者Windows application event log.

Action Group 是预定义的一组Action，每一个Action(也称作Action Event)都是一个原子事件，因此，Action Group也是由Action Event构成的组合。当Event(也称作Action)发生时，Event被发送到审计对象(audit)中，SQL Server把数据记录到Target中。关于审计的动作组和动作的详细信息，请阅读官方文档：SQL Server