開啓數據庫審計

開啓審計參數

SQL> show parameter audit
 
NAME                                        TYPE       VALUE
----------------------------------------------- ------------------------------
audit_file_dest                      string      /u01/app/oracle/admin/mydb/adump
audit_sys_operations                boolean  FALSE
audit_syslog_level                 string
audit_trail                                string     NONE
 
SQL> alter system setaudit_trail=db,extended scope=spfile;
2、重啓數據庫

靜態參數，爲了使參數生效，須要重啓數據庫

SQL> shutdown immediate;
Database closed.
Database dismounted.
ORACLE instance shut down.
SQL> startup
ORACLE instance started.
 
Total System Global Area  599785472 bytes
Fixed Size              2085776 bytes
Variable Size                192941168 bytes
Database Buffers      398458880 bytes
Redo Buffers                 6299648 bytes
Database mounted.
Database opened.
SQL> show parameter audit
 
NAME                                        TYPE       VALUE
----------------------------------------------- ------------------------------
audit_file_dest                      string      /u01/app/oracle/admin/mydb/adump
audit_sys_operations                    boolean  FALSE
audit_syslog_level                 string
audit_trail                                string     DB, EXTENDED
3、設置對錶進行審計

這樣每次有用戶對錶進行操做，那麼都會有相應的記錄被添加到aud$中，而Oracle爲了方便讀取數據，建立了視圖。

雖然會記錄每一個用戶對錶的操做，可是不會記錄sys用戶的操做，其餘全部用戶都會作記錄。

SQL> conn / as sysdba
Connected.
SQL> audit all on zx.num_t by accesswhenever successful;
 
Audit succeeded.
 
SQL> set linesize 200
SQL> select * from dba_obj_audit_opts;
 
OWNER                             OBJECT_NAME                 OBJECT_TYPE      ALT  AUD   COM   DEL   GRA   IND  INS   LOC  REN   SEL   UPD  REF EXE   CRE   REA     WRI   FBK
------------------------------------------------------------ ----------------- ----- ----- ----- ----- ---------- ----- ----- ----- ----- ----- --- ----- ----- ----- ----- -----
ZX                              NUM_T                               TABLE            A/-   A/-  A/-   A/-   A/-   A/-  A/-   A/-   A/-   A/-   A/-  -/- -/-   -/-   -/-  -/-   A/-
前面列中

A表示access，每次被審計的操做都會記錄，好比開啓了scott.emp的select審計，那麼任何人select這張表都會觸發一次審計，而且記錄在aud$中。

S表示session，每一個會話被審計的操做都記錄一次。

使用不一樣用戶對zx.num_t表作不一樣訪問：

SQL> conn zx/zx
Connected.
SQL> select count(*) from zx.num_t;
 COUNT(*)
----------
          0
SQL> insert into zx.num_t (id1)values(1);
1 row created.
SQL> commit;
Commit complete.
SQL> conn scott/tiger
Connected.
SQL> select count(*) from zx.num_t;
 COUNT(*)
----------
          1
SQL> delete from zx.num_t;
1 row deleted.
SQL> commit;
Commit complete.
SQL> insert into zx.num_t (id2)values(2);
1 row created.
SQL> rollback;
Rollback complete.
4、查詢審計記錄

SQL> alter session setnls_date_format='yyyymmdd hh24:mi:ss';
 
Session altered.
 
SQL> set lines 200
col OS_USERNAME for a10
col USERNAME for a11
col USERHOST for a10
col TERMINAL for a10
col TIMESTAMP for a20
col obj_name for a10
col OWNER for a10
col ACTION_NAME for a11
col TRANSACTIONID for a16
col sql_text for a50
SELECT USERNAME,
      USERHOST,
      TIMESTAMP,
      OWNER,
      OBJ_NAME,
      ACTION_NAME,
      SQL_TEXT
 FROM DBA_AUDIT_TRAIL
 WHERE OBJ_NAME='NUM_T'
 ORDER BY TIMESTAMP;
 
USERNAME   USERHOST   TIMESTAMP     OWNER      OBJ_NAME   ACTION_NAME SQL_TEXT
----------- ---------- ------------------------------ ---------- -------------------------------------------------------------
ZX         rhel5     20161107 11:57:55    ZX       NUM_T        NOAUDIT OBJ noaudit all on num_t
                                                                             ECT
 
ZX         rhel5     20161107 12:00:07    ZX        NUM_T        SELECT     select count(*) from zx.num_t
ZX         rhel5     20161107 12:00:21    ZX       NUM_T        INSERT     insert into zx.num_t (id1) values(1)
SCOTT          rhel5     20161107 12:00:37    ZX       NUM_T        SELECT     select count(*) from zx.num_t
SCOTT          rhel5     20161107 12:00:45    ZX       NUM_T        DELETE     delete from zx.num_t
SCOTT          rhel5     20161107 12:01:27    ZX       NUM_T       INSERT     insert into zx.num_t (id2) values(2)
 
6 rows selected.
5、取消審計

SQL> noaudit all on num_t;
Noaudit succeeded.
6、清空aud$

這張系統表是能夠使用TRUNCATE命令截斷的。把它刪掉以後那麼視圖中的記錄也就相應消失了。

SQL> truncate table aud$;
SQL> SELECT * FROM DBA_FGA_AUDIT_TRAIL;
 
no rows selected
 

 

開啓審計參數

1.  
   SQL> show parameter audit
2.  
    
3.  
   NAME                                         TYPE       VALUE
4.  
   ----------------------------------------------- ------------------------------
5.  
   audit_file_dest                       string      /u01/app/oracle/admin/mydb/adump
6.  
   audit_sys_operations                boolean  FALSE
7.  
   audit_syslog_level                  string
8.  
   audit_trail                                 string     NONE
9.  
    
10.  
    SQL> alter system setaudit_trail=db,extended scope=spfile;

2、重啓數據庫

靜態參數，爲了使參數生效，須要重啓數據庫

1.  
   SQL> shutdown immediate;
2.  
   Database closed.
3.  
   Database dismounted.
4.  
   ORACLE instance shut down.
5.  
   SQL> startup
6.  
   ORACLE instance started.
7.  
    
8.  
   Total System  Global Area   599785472 bytes
9.  
   Fixed Size               2085776 bytes
10.  
    Variable Size                 192941168 bytes
11.  
    Database Buffers       398458880 bytes
12.  
    Redo Buffers                  6299648 bytes
13.  
    Database mounted.
14.  
    Database opened.
15.  
    SQL> show parameter audit
16.  
     
17.  
    NAME                                        TYPE       VALUE
18.  
    ----------------------------------------------- ------------------------------
19.  
    audit_file_dest                       string      /u01/app/oracle/admin/mydb/adump
20.  
    audit_sys_operations                     boolean   FALSE
21.  
    audit_syslog_level                  string
22.  
    audit_trail                                 string     DB, EXTENDED

3、設置對錶進行審計

這樣每次有用戶對錶進行操做，那麼都會有相應的記錄被添加到aud$中，而Oracle爲了方便讀取數據，建立了視圖。

雖然會記錄每一個用戶對錶的操做，可是不會記錄sys用戶的操做，其餘全部用戶都會作記錄。

1.  
   SQL> conn /  as sysdba
2.  
   Connected.
3.  
   SQL> audit all  on zx.num_t  by accesswhenever successful;
4.  
    
5.  
   Audit succeeded.
6.  
    
7.  
   SQL>  set linesize  200
8.  
   SQL>  select *  from dba_obj_audit_opts;
9.  
    
10.  
    OWNER                             OBJECT_NAME                 OBJECT_TYPE      ALT  AUD   COM   DEL   GRA   IND  INS   LOC  REN   SEL   UPD  REF EXE   CRE   REA     WRI   FBK
11.  
    ------------------------------------------------------------ ----------------- ----- ----- ----- ----- ---------- ----- ----- ----- ----- ----- --- ----- ----- ----- ----- -----
12.  
    ZX                              NUM_T                               TABLE            A/-   A/-  A/-   A/-   A/-   A/-  A/-   A/-   A/-   A/-   A/-  -/- -/-   -/-   -/-  -/-   A/-

前面列中

A表示access，每次被審計的操做都會記錄，好比開啓了scott.emp的select審計，那麼任何人select這張表都會觸發一次審計，而且記錄在aud$中。

S表示session，每一個會話被審計的操做都記錄一次。

使用不一樣用戶對zx.num_t表作不一樣訪問：

1.  
   SQL> conn zx/zx
2.  
   Connected.
3.  
   SQL> select count (*) from zx.num_t;
4.  
    COUNT(*)
5.  
   ----------
6.  
              0
7.  
   SQL> insert into zx.num_t (id1)values( 1);
8.  
   1 row created.
9.  
   SQL> commit;
10.  
    Commit complete.
11.  
    SQL> conn scott/tiger
12.  
    Connected.
13.  
    SQL> select count (*) from zx.num_t;
14.  
     COUNT(*)
15.  
    ----------
16.  
               1
17.  
    SQL> delete from zx.num_t;
18.  
    1 row deleted.
19.  
    SQL> commit;
20.  
    Commit complete.
21.  
    SQL> insert into zx.num_t (id2)values( 2);
22.  
    1 row created.
23.  
    SQL> rollback;
24.  
    Rollback complete.

4、查詢審計記錄

1.  
   SQL> alter session setnls_date_format= 'yyyymmdd hh24:mi:ss';
2.  
    
3.  
   Session altered.
4.  
    
5.  
   SQL>  set lines  200
6.  
   col OS_USERNAME  for a10
7.  
   col USERNAME  for a11
8.  
   col USERHOST  for a10
9.  
   col TERMINAL  for a10
10.  
    col TIMESTAMP  for a20
11.  
    col obj_name  for a10
12.  
    col OWNER  for a10
13.  
    col ACTION_NAME  for a11
14.  
    col TRANSACTIONID  for a16
15.  
    col sql_text  for a50
16.  
    SELECT USERNAME,
17.  
          USERHOST,
18.  
          TIMESTAMP,
19.  
          OWNER,
20.  
          OBJ_NAME,
21.  
          ACTION_NAME,
22.  
          SQL_TEXT
23.  
      FROM DBA_AUDIT_TRAIL
24.  
      WHERE OBJ_NAME= 'NUM_T'
25.  
      ORDER  BY TIMESTAMP;
26.  
     
27.  
    USERNAME   USERHOST   TIMESTAMP     OWNER      OBJ_NAME   ACTION_NAME SQL_TEXT
28.  
    ----------- ---------- ------------------------------ ---------- -------------------------------------------------------------
29.  
    ZX         rhel5      20161107  11: 57: 55    ZX       NUM_T        NOAUDIT OBJ noaudit all  on num_t
30.  
                                                                                 ECT
31.  
     
32.  
    ZX         rhel5      20161107  12: 00: 07    ZX        NUM_T         SELECT      select count(*)  from zx.num_t
33.  
    ZX         rhel5      20161107  12: 00: 21    ZX       NUM_T        INSERT     insert  into zx.num_t (id1) values( 1)
34.  
    SCOTT          rhel5      20161107  12: 00: 37    ZX       NUM_T         SELECT      select count(*)  from zx.num_t
35.  
    SCOTT          rhel5      20161107  12: 00: 45    ZX       NUM_T        DELETE     delete  from zx.num_t
36.  
    SCOTT          rhel5      20161107  12: 01: 27    ZX       NUM_T       INSERT     insert  into zx.num_t (id2) values( 2)
37.  
     
38.  
    6 rows selected.

5、取消審計

1.  
   SQL> noaudit all  on num_t;
2.  
   Noaudit succeeded.

6、清空aud$

這張系統表是能夠使用TRUNCATE命令截斷的。把它刪掉以後那麼視圖中的記錄也就相應消失了。

1.  
   SQL>  truncate table aud$;
2.  
   SQL> SELECT * FROM DBA_FGA_AUDIT_TRAIL;
3.  
    
4.  
   no rows selected