Oracle數(shù)據(jù)庫審計(jì)

1、2010年9月Oracle數(shù)據(jù)庫專題數(shù)據(jù)庫安全性數(shù)據(jù)庫審計(jì)XMOUGMEMBER編寫人：EmpoliLiu背景：數(shù)據(jù)庫審計(jì)，顧名思義，就是捕捉和存儲(chǔ)發(fā)生在數(shù)據(jù)庫內(nèi)部的事件信息。本文檔重點(diǎn)關(guān)注，1:標(biāo)準(zhǔn)的數(shù)據(jù)庫審計(jì)(Standarddatabaseauditing)通過初始化參數(shù)AUDIT_TRAIL控制實(shí)例級(jí)別的審計(jì)。2：基于值的審計(jì)(Value-basedauditing)它拓展了標(biāo)準(zhǔn)數(shù)據(jù)庫審計(jì)，不僅捕捉審計(jì)事件，還捕捉那些被insert,update和delete的值?；谥档膶徲?jì)通過觸發(fā)器來實(shí)現(xiàn)。3:細(xì)粒度審計(jì)(Fine-grainedauditing)它拓展了標(biāo)準(zhǔn)數(shù)據(jù)庫審計(jì)，捕捉準(zhǔn)確的

2、SQL語句。接下來具體分析，每種審計(jì)都有相對(duì)應(yīng)的介紹與實(shí)驗(yàn)。操作系統(tǒng)版本：RedhatEnterpriseLinux5.1數(shù)據(jù)庫版本:Oracle10g數(shù)據(jù)庫審計(jì)介紹與實(shí)驗(yàn)一（標(biāo)準(zhǔn)的數(shù)據(jù)庫審計(jì)）Audit_trail相當(dāng)于是一個(gè)開關(guān)，默認(rèn)不打開。SQLSQLashwparameterauditNAMETYPEVALUEAuditfile,rieitstrihg/uOl/app/oracle/adntln/orcl/aCiiimPaudit&y5icp&ratlonFALSEauditsyslcglevelstringAitdlttrailstringNONE那么，如何打開呢？由于audit_t

3、rail參數(shù)值有多種，這里只列舉兩種。如下是第一種,audit_trail=dbSQtalteraudittrall=dbscope=spfile；SysteaaltereduSQLshutdownlMiediateDatabaseclosed.Databdedinouriited.ORACLEinstanceshutS0lstartupORACLEinstancestartedaTotalSysteaGlobalArea536S7G912bytesFixedSize1220408bytesVarioleSize163578056bytesDatabaseBuffers364964448byt

4、esRecbuffersbytesDatabasesaumtedDatopenedSQL-SthGwpAraflieterauditNAMETYPEVALUEaudit_filp_(Je5tstrlngi/uOlZpp/oracIe/#dnln/orcl/aduPaudltsjrsrationsboola-nFALSEaudit務(wù)yioglevelstringsudlltrailstringD&2010年9月標(biāo)準(zhǔn)數(shù)據(jù)庫審計(jì)的數(shù)據(jù)放于基表aud$，而aud$位于system表空間上，眾所周知，system表空間是存放數(shù)據(jù)字典表的地方，為避免因?qū)徲?jì)而較大的影響數(shù)據(jù)庫的性能，應(yīng)將此表移到其它表空間上

5、。生產(chǎn)環(huán)境建議建一個(gè)單獨(dú)的表空間存放審計(jì)表，本文將審計(jì)表移動(dòng)到users表空間上，如下圖WorkspaceEnterSQL,PUSQLandSQLPlusstatemiants.*rromdbajablestwherttab!&_nam&=AllD$;.EkstuIe).LoadScripijSavScriptji.CanceT)底層表是AUD$，那么如何知道上層該查詢哪些表呢？SYSALIOSUSERSVALID10Select*fromdietdwhered.table_namelikeAUD%;ALL_KF_AuD(T_OP7AudlingoptionsFornaw甲crcglodobf

6、oclsU託R_0&J_AyDir_QPT5AudHng甲1彌rgrfiwnSX1詁阿R*rh刖1腿引owoption附D6ADG加JDITjyTBAudliiFO汕1出品Mdviewtwilh副闊釵閒申iWMiDSA_STMT_AUDr_0PTSDK；ribGurrcrnEyElFiaudtrgqXkrra-kdseIhssywnandbyutctDfiA_PRIV_AUOIT.OPTSDwcritcscurrHTlsyslemphiiogbeingacrossIhn-syslomandbyuserDfiA_AUOIT_TRAJLZUIoiidltnijrtriKU$JeR_WDlTTRA|

7、LAudi1InallTlne剛啟aiiI1忖thmwD6AAUOIT_5E55IONWlaxfdliXBlreeoacereftrti聞CONNECTmLH5CCNNEC7USER_AUDIT_5E55IONAllaudlEraiFBDDidsconcerningCONNECTandDISCONNECTDBA_AUDI1STATEME.NTAudL1rnilreconi;cirEmngi滬nt,rirvDfcn,andl,noaudiLandahcfmyskmUSER_MJDIT_STATEMENTAudi1rnilraconccrcaTiirgrant,wdqaiidl,rmaucil:n

8、ndal:nrsystomD6A_AUDI7QBJECTAijdlinulHKDfdsforwtHREfnlsccruvhng哲塵I龜囤吟Dly:t出斜qLLwLgt.Smvincx?庇巳(pubtejdniRhFi朋h*|pjUsynenym,口代曲1他M諭er.rdlbeekaegin-enLrde,u磚USEH_MJDn_G&flEGlAudLIrailrecwd5flwtrtenienhccrceningcbjecljs,spccfizall:L-afal?,ciatcr,viewindten,flcpience,pubiGdsHabasBlink,|puUicsynonym,prKo

9、dLJfia,br)ga,Drdlbacksfigm#ihlabtaspaca,rd,uwDeA_AUOlT_EXlSTS譏憐創(chuàng)enlrifipriCy_COUjMNSAllfin訐ga：r-4daujlingpdicycoLmnsinlhcUQtM駐UER_AUDlTJaaJClESMltin。grair4daudilingpdtu$fgr曲oc坊InuforvchiniHUMR_AUDn_PaJG_COLUWSUaara鋼即削圖plk民聞剛cyelumnaInlhe陽百l陽DA_FGA_ftUDI匚THAILAlllintaudL靳曲1曲言DSACOMMONAUDITmAJlCwnbine

10、dStandsandRneGrainedaudlGrailmflriH2010年9月參數(shù)audit_trail=db后，就可以開始審計(jì)了，如下圖凡是有誰查詢hr用戶的employees表，就將它記錄進(jìn)aud$表。SQLselectccuntJfromC0UNT(*JSQLauditselectonhrBemployeesAudit5UCeled.SQlconnhr/hrConnectedi.SQL*selectcount(Jfromhr.eniployees；COUNT(-167SQL*selectccuiit(*)fromdud$selectcountf*)fro*aySERRORatlin

11、e1!0942;tableorviewHe遅弓noteMlttSQL*conn/asS/&dbaConnected.1QIlselectcount()fromaud$C0UNT()而此時(shí)，我再以hr用戶登錄，然后再次查詢，發(fā)現(xiàn)底層aud$表又記了一條記錄,SQL*connhr/brConnected,SQLtountf)fromhr.Employees，；COUUT(*ie?50Lconn/mssysdbconnected,SQLtel&ctcount(r)from呂蛀d$；COUNTf*|而后，我又想，如果是同一個(gè)session查多次會(huì)怎么樣？同一個(gè)hr我讓它查兩次發(fā)現(xiàn)，同一個(gè)session

12、查多次只會(huì)記錄一次。SQLselect匚ount(*)fromaudS;COQNT*)SQLselectcount(*)fromaud$匚0UNTf百3總結(jié)：默認(rèn)情況下，同一session查多次只會(huì)記錄一次，不同session不論用戶是否相同，查幾次就會(huì)記錄幾次。2010年9月繼續(xù)往下思考如果我要讓它哪怕是同一個(gè)session,查一次就要它記錄一次怎么做?OK,如下(默認(rèn)是bysession，所依此處改成byaccess)SQLauditselectonhr.employeesbyaccess；Auditsucceeded.再看,同一session差了兩次SQLselectcount(*)fr

13、omhr.employees；COUNT(*)1375QLselectcount(*)fromhr.employees；COUNT(*)107數(shù)據(jù)也就跟著記錄了兩次SQLselectcount(*)fromaud$；C0UNT(*)Sselectcount(*)fromaud$C0UNT(*)5缺點(diǎn)：對(duì)數(shù)據(jù)庫的影響極大,會(huì)造成最多50%性能的下降。2010年9月接下來，將audit_trail改為另一個(gè)值db_extended審計(jì)都是大動(dòng)作，所以都要經(jīng)歷一次數(shù)據(jù)庫的重啟。USER11SYS*5QLaltersystemsetaudittraildbextendedSystemaltered.2

14、010年9月2010年9月SQLshutdownImmediateHBDatabdseclosed.Databssdlsmounte-d.ORACLEInstanceshutdown,SQLstartup5P2-O042:unknowncommandSQLstartupORACLEInstancestarted.startuprestoflimeIgnored.2010年9月5368709121226400167772366366710144716S000bytesbytesbytesbytesbytesTotalSystemGlobalAreaFijcedSizeVarlsbliBSizeD

15、atabaseBuffersRedoBuffersDatabaserunted.Databaseopeneda5QLshowparameterauditNAMETYPEVALUEauditfiledeststring/uOl/app/Diracle/admin/orcl/aduPauditsysoperationsbooleariFALSEaudiwlog-_3elStringaudittrailstringDBEXTENDEDDb_extended的審計(jì)程度可以細(xì)化到用戶執(zhí)行了哪條SQL語句。這個(gè)是audit_trail=db所做不到的。如下2010年9月2010年9月2010年9月數(shù)據(jù)庫審

16、計(jì)介紹與實(shí)驗(yàn)二(基于值的審計(jì))創(chuàng)建一個(gè)表sysog，此表用來記錄sys以sysdba角色登錄數(shù)據(jù)庫的情況。oracleserveradnninjssqlplus/nologSQL*Pl.us:Release102+G,1.6-ProductiononThuSep221;53:332019Copyright(c)1982,2065rOracle*AllrightsreservedSQLconn/assysdbaConnected.S0LshowuserUSERisSYSSQLcreatetablesyslog(avarchar2(266)tablespaceusers;Tablecreatedd

17、escsysLog;NameNull?TypeAVARCHAR2(299)創(chuàng)建一個(gè)觸發(fā)器，在sys登錄數(shù)據(jù)庫時(shí)就往sys_log表中插入此sys在何時(shí)，何地，以何種操作系統(tǒng)用戶的方式登錄數(shù)據(jù)庫中。HieEditViewlerminaTabsHelpSQL*Plus:Release10,2,6.1.0-ProductiononThuSep221:55:342G10Copyright(C)1932p2985,Oracle.Allrightsreserved.SQLconn/assysdbaConnected.SQLselect*fromsyslog;norowsselectedSQLcreatea

18、rreplacetriggertrgsyslogafterlogonondatabasewhenuser=SYS*)begininsertintosys_Iogvalues(Logon411user11atJ|to_char(sysdate,yyyy-mm-ddhh24:ml:ssF)|syscontext(serenvFipaddress*)|syscontext(userenv*f1os_user*);commit；end；Conn/assysdba與connsys/oracle由于都是以本地方式登錄，所以IP不會(huì)記錄。通過tnsname網(wǎng)絡(luò)方式登錄就會(huì)記錄IP。2010年9月數(shù)據(jù)庫審計(jì)介

19、紹與實(shí)驗(yàn)三（細(xì)粒度審計(jì)）首先，創(chuàng)建一張表。SQLconn/a&Connected.SQLcreatetabletlBjMavarcar220O)tablespaceusers；createtabletIBh(avarcjar2(2G0)tablespaceusersERRORatline1:ORAGiD9右7:missingrightparenthesisSQLcreatetabletlh(avarchar2(2Q9)tablespaceusersTable匚eatedS0Ldesctl9hNameNull?TypeAVARCHAR22Se)sqlselectfromtie_hnorowsse

20、lected其次，創(chuàng)建一個(gè)存儲(chǔ)過程。細(xì)粒度審計(jì)需要fireaprocedure意譯為觸發(fā)一個(gè)存儲(chǔ)過程。SQL*createorreplaceprocedureplOa(objectschemaobjectnmevarchiarSp41pollc_naiievarcharl)asbegininsertIntatiehvalues(s-yscontext(*userenw1fkasuser*Jj；commit;gend；/ProcedureCreated.SQLdearp!0a;PROCEDUREpieaArgumeriitNameTypeIn/OutDefauilt7OBJECTSCHEMAVARCHAR2INobject,naheVAHCMAR2INPOLICYIWIEVARC