oracle审计程序,Oracle审计

审计

Oracle

数据库系统提供对其内部的活动进行审计的功能，简单来说，就是

Oracle

系统对任何用户所做的登录、操作数据库对象进行自动登记，以便使数据库管理者在事后进行监督和检查。

通常对以下

3

种情况进行审计：

设计类型

说明

登录审计

对每一个企图登录到

Oracle

的用户进行审计(无论其登录是否成功)

数据活动审计

对任何涉及数据库对象的活动都被审计，如连接

oracle

、建表、建立角色、建立表空间等都被审计

对象审计

任何用户对表的操作都可以进行审计，如对表

select,insert,update,delete

操作可被审计

审计环境设置

在默认情况下，系统为了节省资源、减少

I/O

操作，其数据库的审计功能是关闭的。若要启用审计功能，

Oracle

系统管理员要对审计有关的参数进行设置，将

Audit_trail

设置为

TRUE.

1

)

查看数据库审计参数

SQL> show parameters audit_trail

NAME                                 TYPE        VALUE

------------------------------------ ----------- ------------------------------

audit_trail                          string      NONE

2)

修改audit_trail参数，为使生效，重启数据库。

SQL> alter system set audit_trail=DB,extended scope=spfile;

System altered

SQL> shutdown immediate

数据库已经关闭。

已经卸载数据库。

ORACLE

例程已经关闭。

SQL> startup

ORACLE

例程已经启动。

Total System Global Area  591396864 bytes

Fixed Size                  1250308 bytes

Variable Size             180358140 bytes

Database Buffers          402653184 bytes

Redo Buffers                7135232 bytes

数据库装载完毕。

数据库已经打开。

Settings for the AUDIT_TRAIL Initialization Parameter

说明：audit_trail = { none | os | db [,extended ] | xml [,extended ] }详细可以参考

none

:

默认值，不做审计

db

:

将audit trail记录在数据库的审计相关表中，如aud$

db,extended

: Behaves the same as

AUDIT_TRAIL=DB, but also populates

the SQL bind and SQL text CLOB-type columns

of the

SYS.AUD$

table

os

:

将oracle audit trail记录在操作系统文件中，文件名有audit_file_dest参数指定。对sys用户审计必须选OS

xml

:

Writes

to the operating system audit record file in XML format.

xml,extended:

Behaves the same

as

AUDIT_TRAIL=XML

, but also includes SQL text and SQL bind information in the operating system XML audit files.

一般情况下，Oracle 11g安装完毕后审计视图会自动建立。有些oracle版本可能没有建立这些视图。如果要建立相应的审计视图，以sysdba运行/oracle_home/rdbms/admin/cataudit.sql

SQL> start D:\oracle\product\10.2.0\db_1\RDBMS\ADMIN\cataudit.sql

Table dropped

Table created

Comment added

……

(

此处省略若干行)

Grant succeeded

Comment added

SQL>

运行完成毕后创建的对象

数据字典

说明

SIMT_AUDIT_OPTION_MAP

存放审计类型代码，如66表示insert table

AUDIT_ACTIONS

审计跟踪活动类型代码，可从类型号得到活动类型代码

ALL_DEF_AUDIT_OPTS

包含对象审计选项

DBA_SIMT_AUDIT_OPTS

描述通过系统并由用户审计的当前系统审计选项

USER_OBJ_AUDIT_OPTS

列出一个用户所有对象的审计选项

DBA_OBJ_AUDIT_OPTS

列出所有用户所有对象的审计选项

USER_AUDIT_TRAIL

与用户有关的审计跟踪条目

DBA_AUDIT_TRAIL

与所有用户有关的审计跟踪条目

USER_AUDIT_SESSION

系统中用户对象的审计跟踪记录

DBA_AUDIT_SESSION

系统中所有对象的审计跟踪记录

USER_AUDIT_STATEMENT

列出用户关于grant,revoke,audit,noaudit,alter system语句的审计跟踪信息

DBA_AUDIT_STATEMENT

列出所有用户grant,revoke,audit,noaudit,alter system语句的审计跟踪信息

USER_AUDIT_OBJECT

系统中用户对象的审计跟踪记录

DBA_AUDIT_OBJECT

系统中所有对象的审计跟踪记录

DBA_AUDIT_EXIST

列出audit not exists和audit exists产生的审计跟踪

V$XML_AUDIT_TRAIL

在Oracle 11g下，显示标准的精细审计并以XML写到操作系统路径下

如果不再需要审计，可运行/oracle_home/rdbms/admin/catnoaudit.sql脚本完成对审计视图的清除。但一般不建议这样做，一般建议如下：用sysdba执行alter system set audit_trail=FLASH scope=spfile,再重启实例即可，不必删除审计视图。

1

、登录审计

a)

设置登录审计

SQL> audit session;

审计已成功。//每一个与oracle连接的活动均需审计

SQL> audit session whenever successful;

审计已成功。//每一个与oracle连接成功的活动均需审计

SQL> audit session whenever not successfu

审计已成功。//每一个与oracle连接不成功的活动均需审计

SQL>

b)

查询审计信息

decode(returncode,'0','connected','1005','failed null','1017','failed',returncode) TYPE,

to_char(timestamp,'yyyy.mm.dd hh24:mi:ss')

登录时间,

to_char(logoff_time,'yyyy.mm.dd hh24:mi:ss')

退出时间

from dba_audit_session;

OS_USERNAME               USERNAME   TERMINA TYPE

登录时间退出时间

------------------------- ---------- ------- ---------- ------------------- -------------------

NT AUTHORITY\SYSTEM       DBSNMP     IBMT400 connected  2013.01.05 23:41:12 2013.01.05 23:41:11

IBMT400\FROG HONG         SCOTT      IBMT400 connected  2013.01.05 23:43:15 2013.01.05 23:43:17

IBMT400\FROG HONG         SCOTT      IBMT400 connected  2013.01.05 23:43:43

c)

取消登录审计

SQL> noaudit session;

Noaudit succeeded

2

、数据活动审计

进行create any table、drop any table、create any index, create procedure的操作进行审计

a)

语法

[no]audit { [,

…

] | [,

…

] } [ by [,

…

]] [by {session | access }] [whenever [not] successful];

system_priv:

表示oracle系统权限

by :

表示按照用户来登记

by session | access:

表示按照会话或访问来登记

whenever [not] successful:

表示成功与否

b)

设置使用数据活动的审计

SQL> audit delete any table by access whenever not successful;

Audit succeeded

SQL> audit execute any procedure whenever not successful;

Audit succeeded

c)

取消数据活动的审计

SQL> noaudit delete any table;

Noaudit succeeded

SQL> noaudit execute any procedure;

Noaudit succeeded

3

、对象审计

任何用户对表进行操作都可以进行审计，如对表select,insert,update,delete操作可被审计。

a)

语法

[no]audit { [,

…

] on { | default } [by {session | access }] [whenever [not]] successful];

其中:

object:

表示要审计的对象

by session | access:

表示按照会话或访问来登记，by session表示多次做同一操作只记录一次，如用户对emp表做了4次update,则只记录一次。by access表示每次操作均记录。

b)

设置对象emp表的审计

SQL> audit insert on scott.emp;       //

对emp表插入进行审计

Audit succeeded

SQL> audit all on scott.emp;        //

对emp表询、插入、修改、删除进行审计

Audit succeeded

SQL> audit delete on scott.emp by session;  //

连续对emp表进行删除多次只登记一次(按照会话登记)

Audit succeeded

c)

取消对象emp表的审计

SQL> noaudit insert on scott.emp;

Noaudit succeeded

SQL> noaudit all on scott.emp;

Noaudit succeeded

SQL> delete from sys.aud$ where obj$name='EMP';

0 rows deleted

SQL> truncate table sys.aud$;

Table truncated

5

、查询审计信息

SQL> select userid,userhost,terminal,obj$name,obj$creator,ses$actions from aud$;

审计是一把双刃剑，它能自动捕获很多信息，但是也会对系统性能和空间造成负面影响。