Oracle登录及操作审计配置方案
1. 有哪些审计的方案？
说的再通俗点就是：数据库用户的登录记录，如何查看？
一般有两种方案：
(1) 使用trigger定制化用系统触发器来记录用户登录(注意：一般用户可设置，自用较多)。
(2) 开启库audit审计功能用Oracle库本身的审记功能来记录用户的操作信息, （注意：DBA操作较方便，需要权限较大）。
2. 如何实现上述审计？
方案一，使用trigger定制化
登录审计：
(1)给权限
grant select on v_$session to MDMCNOOC01;
--收回权限
revoke select_catalog_role from MDMCNOOC01;
(2) 创建表空间及相关表
-- 创建表空间
CREATE TABLESPACE logInfo DATAFILE
'/app/oracle/oradata/tablespace/logInfo_01.dbf' SIZE 1G AUTOEXTEND ON NEXT 50M MAXSIZE UNLIMITED
LOGGING
ONLINE
EXTENT MANAGEMENT LOCAL AUTOALLOCATE
BLOCKSIZE 8K
SEGMENT SPACE MANAGEMENT AUTO
FLASHBACK ON;
-- 创建用户登录表，并指定表空间为logInfo
CREATE TABLE LOGINFO_LOG
(
SESSION_ID NUMBER(8,0) NOT NULL,
LOGIN_ON_TIME DATE,
LOGIN_OFF_TIME DATE,
USER_IN_DB VARCHAR2(50),
MACHINE VARCHAR2(50),
IP_ADDRESS VARCHAR2(20),
RUN_PROGRAM VARCHAR2(50)
)
PCTFREE 10
PCTUSED 40
MAXTRANS 255
TABLESPACE logInfo
STORAGE(INITIAL 64K MINEXTENTS 1 MAXEXTENTS 2147483645 FREELISTS 1 FREELIST GROUPS 1 BUFFER_POOL DEFAULT)
NOCACHE
LOGGING
/
(3) 创建用户登录触发器
CREATE OR REPLACE TRIGGER LOGIN_ON_INFO
AFTER LOGON
ON DATABASE
BEGIN
INSERT into LOGINFO_LOG(session_id,login_on_time,login_off_time,user_in_db,machine,ip_address,run_program)
SELECT AUDSID,sysdate,null,sys.login_user,machine,SYS_CONTEXT('USERENV','IP_ADDRESS'),program
FROM v$session WHERE AUDSID=USERENV('SESSIONID');
END;
/
(4) 创建登出信息触发器
CREATE OR REPLACE TRIGGER LOGIN_OFF_INFO
BEFORE LOGOFF
ON DATABASE
Begin
update sys.LOGINFO_LOG set login_off_time=sysdate where session_id=USERENV('SESSIONID');
exception when others then
null;
END;
/
(5) 查看登陆信息(登录审计)
SELECT * FROM LOGINFO_LOG;
此外，因为应用程序中的delete、drop操作也需要记录，说明使用触发器如何进行用户操作的留痕
delete、drop操作审计
(1) 创建drop操作的用户留痕表
CREATE TABLE DROP_LOG
(
SESSION_ID INT NOT NULL,
DROP_TIME DATE,
IP_ADDRESS VARCHAR2 (20),
OBJECT_OWNER VARCHAR2 (30),
OBJECT_NAME VARCHAR2 (30),
OBJECT_TYPE VARCHAR2 (20),
DROP_BY_USER VARCHAR2 (30)
);
(2) 创建删除表操作的触发器
- DROP表
CREATE OR REPLACE TRIGGER DROP_INFO
AFTER DROP ON MDMCNOOC01.schema
BEGIN
INSERT INTO DROP_LOG
(SESSION_ID,
DROP_TIME,
IP_ADDRESS,
OBJECT_OWNER,
OBJECT_NAME,
OBJECT_TYPE,
DROP_BY_USER)
VALUES(userenv('sessionid'),
SYSDATE,
sys_context('userenv','ip_address'),
SYS.DICTIONARY_OBJ_OWNER,
SYS.DICTIONARY_OBJ_NAME,
SYS.DICTIONARY_OBJ_TYPE,
SYS.LOGIN_USER);
end;
/
-- TRUNCATE表
CREATE OR REPLACE TRIGGER TRUNCATE_INFO
AFTER TRUNCATE ON MDMCNOOC01.schema
BEGIN
INSERT INTO DROP_LOG
(SESSION_ID,
DROP_TIME,
IP_ADDRESS,
OBJECT_OWNER,
OBJECT_NAME,
OBJECT_TYPE,
DROP_BY_USER)
VALUES(userenv('sessionid'),
SYSDATE,
sys_context('userenv','ip_address'),
SYS.DICTIONARY_OBJ_OWNER,
SYS.DICTIONARY_OBJ_NAME,
SYS.DICTIONARY_OBJ_TYPE,
SYS.LOGIN_USER);
end;
/
(3) 查看操作信息(操作审计)
SELECT * FROM DROP_LOG;
方案二，开启库audit审计记录登录功能
Oracle的审计功能(Audit)用于监视用户所执行的数据库操作，审计记录可存在数据字典表(称为审计记录：存储在SYSTEM表空间中的sys.aud$表中，可通过视图dba_audit_trail查看)或操作系统审计记录中(默认位置为$ORACLE_BASE/admin/$ORACLE_SID/adump/)，默认情况下审计是不开启。
和审计相关的两个参数说明，
参数1：audit_sys_operations
默认为false，当设置为true时，所有sys用户(包括以sysdba、sysoper身份登录的用户)的操作都会被记录，audit trail不会写在aud$表中，Linux/Unix平台中则会记录在audit_file_dest参数指定的文件中。
参数2：audit_trail
None：是默认值，不做任何审计。
DB：审计的结果只有连接信息，记录在数据库的审计表aud$。
DB,Extended：这样审计结果里面除了连接信息还包含了当时执行的具体语句。
OS：将audit trail 记录在操作系统文件中，文件名由参数audit_file_dest指定位置。
XML：10g里新增的。
注意：上述两个参数是static参数，需重启数据库方可生效。
(1) 检查审计功能是否开启
SQLPLUS> connect / AS SYSDBA SQLPLUS> select * from sys.aud$; --没有记录返回
SQLPLUS> select * from dba_audit_trail; - 没有记录返回
如上述查询发现表不存在，说明审计相关的表还没有安装，需要安装。安装方式如下，
SQLPLUS> connect / as sysdba SQLPLUS> @$ORACLE_HOME/rdbms/admin/cataudit.sql
注意：审计表默认安装在SYSTEM表空间，所以要确保SYSTEM表空间充足。
(2) 开启审计功能
设置审计参数
SQL> alter system set audit_trail=db scope=spfile; --如果要审计管理用户(以sysdba/sysoper角色登陆)，需要开此参数，
SQL> alter system set audit_sys_operations=TRUE scope=spfile;
重新启动数据库。
(3) 以SYSTEM帐号登录数据库执行下列语句，设置CONNECT审计并检查是否设置成功：
SQL> connect system/password
--审计登陆用户
SQL> audit connect
如下是常用的几个审计举例，
-- 审计所有对表的操作
SQL> audit all on table;
-- 审计用户test对表的所有操作
sql> audit table by test;
-- 审计任何用户删除用户test表的操作
SQL> AUDIT DELETE ANY test.TABLE;
-- 审计任何用户删除失败的情况
SQL> AUDIT DELETE ANY TABLE WHENEVER NOT SUCCESSFUL;
-- 只审计删除成功的情况
SQL> AUDIT DELETE ANY TABLE WHENEVER SUCCESSFUL;
-- 审计SYSTEM用户对表user.table的delete，update，insert操作
SQL> AUDIT DELETE,UPDATE,INSERT ON user.table by SYSTEM;
SQL> select user_name, audit_option, success, failure from sys.dba_stmt_audit_opts;
USER_NAME AUDIT_OPTION SUCCESS FAILURE
----------- -------------------- ------------------------------ ------------------------------
ALTER SYSTEM BY ACCESS BY ACCESS
SYSTEM AUDIT BY ACCESS BY ACCESS
CREATE SESSION BY ACCESS BY ACCESS
CREATE USER BY ACCESS BY ACCESS
ALTER USER BY ACCESS BY ACCESS
DROP USER BY ACCESS BY ACCESS
PUBLIC SYNONYM BY ACCESS BY ACCESS
DATABASE LINK BY ACCESS BY ACCESS
ROLE BY ACCESS BY ACCESS
PROFILE BY ACCESS BY ACCESS
CREATE ANY TABLE BY ACCESS BY ACCESS
(4) 查询aud$表就可以查看到审计结果了，
SQL> select sessionid, to_char(timestamp#,'DD-MON-YY:HH24:MI:SS') \
login,userid, to_char(logoff$time,'DD-MON-YY:HH24:MI:SS') logoff \
from sys.aud$ where userid='USERNAME';
(5) 关闭审计的方法，直接在审计语句前加no，例如，
SQL> noaudit connect
SQL> noaudit all on t_test;
另外，请注意aud$表等审计相关的表存放在SYSTEM表空间，为了不影响系统性能，保护SYSTEM表空间不被占用，最好将aud$移动到其他的表空间上，可使用下面语句执行移动表空间的操作，
sql> connect / as sysdba;
sql> alter table aud$ move tablespace <new tablespace>;
sql> alter index I_aud1 rebuild online tablespace <new tablespace>;
SQL> alter table audit$ move tablespace <new tablespace>;
SQL> alter index i_audit rebuild online tablespace <new tablespace>;
SQL> alter table audit_actions move tablespace <new tablespace>;
SQL> alter index i_audit_actions rebuild online tablespace <new tablespace>;
扫一扫
576
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
