ORACLE 细粒度审计

10g 默认不打开审计，11g 默认打开一部分审计功能，存储在DB中。
show parameter audit;

select OS_USERNAME,USERNAME,USERHOST,OWNER,OBJ_NAME,ACTION,SESSIONID,SQL_TEXT from dba_audit_trail;

创建审计策略的语法：

DBMS_FGA.ADD_POLICY (
object_schema VARCHAR2, 
object_name VARCHAR2, 
policy_name VARCHAR2,
audit_condition VARCHAR2, 
audit_column VARCHAR2, 
handler_schema VARCHAR2, 
handler_module VARCHAR2,
enable BOOLEAN, 
statement_types VARCHAR2,
audit_trail BINARY_INTEGER IN DEFAULT,
audit_column_opts BINARY_INTEGER IN DEFAULT);

参数说明

object_schema ：schema的名字,表或视图的拥有者
object_name ：对象名,表或视图的名字
policy_name ：审计策略名字,它和数据库中其他对象一样,需要有一个不重复,唯一的名字
audit_condition ：筛选条件比如可以选择哪些符合条件的操作被记录
audit_column ： 表中的某一列,可以只记录对表中某一列的操作.如果不指定表示审计所有的列
handler_schema ：是下面的handler_module的拥有者,其实也只能是创建policy的用户,而上面的object_schema可以是任意用户
handler_module ：可以是一个一个存储过程或函数,但监测到任何一条符合条件的操作时执行它.
enable：true 或false表示policy是开启或关闭状态,如果是false表示不进行审计
statement_types：表示哪些操作将被审计,可以填上select,insert,update,delete中的一个或几个
audit_trail ：有参数db,xml表示审计到的信息保存到数据库中或是以xml文件形式保存到磁盘上
audit_column_opts ：这个选项其实只有在audt_column中指定了某列时才起作用.它有any_columns,all_columns两个选项假如表中有eno,ename两列,并在audit_column中指定了这两列,那么选any_columns表示只要操作其中的任意一列都将被记录,而这里指定all_columns的话是说只有一个sql语句同时操作了这两列才被记录

创建好后我们可以通过SELECT * FROM DBA_AUDIT_POLICIES来查看.

如果我们对表temp执行了DML操作,那些信息将会被操作到sys用户下的表中,
Select* from sys.dba_fga_audit_trail可以查找到.
(注意这只有前面设置将记录信息保存到数据库才能这样查,如果保存到xml文件中可以
Select *from V$XML_AUDIT_TRAIL) 标准审计存储在AUD$ 表中。
FGA 的审计线索存储在 FGA_LOG$
SQL> truncate table fga_log$;

实验

创建一个精细化审计(Fine-Grained Auditing FGA)

SQL>show  parameter audit

audit_trail            string      DB

parameter audit_trail, must be from among extended, xml, db_extended, false, true, none, os, db
SQL>alter system set audit_trail=‘XML’|‘OS’|‘DB’| 默认DB是不记录精细化审计的，可以设置为DB_EXTEND 就可以实现精细化审计了。

SQL>alter system set audit_trail='DB_EXTENDED' scope='spfile'; 

数据库必须重启才能生效。
11g默认会打开一部分审计功能，所以system表空间会增大，可以关闭这个功能。审计信息存储在aud$中
2、创建一个FGA策略

sql> desc dbms_fga;

 OBJECT_SCHEMA                  VARCHAR2                IN     DEFAULT
 OBJECT_NAME                    VARCHAR2                IN
 POLICY_NAME                    VARCHAR2                IN
 AUDIT_CONDITION                VARCHAR2                IN     DEFAULT
 AUDIT_COLUMN                   VARCHAR2                IN     DEFAULT
 HANDLER_SCHEMA                 VARCHAR2                IN     DEFAULT
 HANDLER_MODULE                 VARCHAR2                IN     DEFAULT
 ENABLE                         BOOLEAN                 IN     DEFAULT
 STATEMENT_TYPES                VARCHAR2                IN     DEFAULT

例1：

 begin
 dbms_fga.add_policy(
 OBJECT_SCHEMA=>'HR',                   
 OBJECT_NAME =>'EMPLOYEES',                    
 POLICY_NAME =>'SAL_AUD',                    
 AUDIT_CONDITION =>'SALARY>3000',               
 AUDIT_COLUMN =>'SALARY',                                    
 ENABLE=>TRUE,                          
 STATEMENT_TYPES=>'SELECT,UPDATE');
END;

例2：

begin
dbms_fga.add_policy (
object_schema => 'HR',
object_name => 'EMPLOYEES',
policy_name => 'audit_emps_salary2',
audit_condition=> 'department_id=10',
audit_column  => 'SALARY,COMMISSION_PCT',
handler_schema => 'secure',
handler_module => 'log_emps_salary',
enable => TRUE,
statement_types => 'SELECT,UPDATE,delete');
End;

查看已创建的审计策略：

SELECT OBJECT_NAME,POLICY_NAME,ENABLED FROM DBA_AUDIT_POLICIES;

查询审计结果：

select * from  DBA_FGA_AUDIT_TRAIL;
select * from dba_common_audit_trail;

删除策略：

begin
DBMS_FGA.DROP_POLICY (
object_schema=>'HR',
object_name=>'TEST',
policy_name=>'aud_TEST');
end;

begin
DBMS_FGA.DROP_POLICY (
object_schema=>'HR',
object_name=>'EMPLOYEES',
policy_name=>'aud_EMP_SAL');
end;