保護資料庫的安全(二)

為了使僱主相信資料庫管理員不會濫用權利，有必要審計所有的SYSDBA活動。對於普通使用者來說，資料庫管理員也希望跟蹤他們的違規行為。

除了SYSDBA審計之外，Oracle還提供下列3種審計技術：

• 資料庫審計：能夠跟蹤特定許可權的使用、特定命令的執行、對特定表的訪問以及登入嘗試。
• 基於值的審計：使用資料庫觸發器。在插入、更新或刪除記錄時，就會執行一個包括記錄事件全部細節的PL/SQL程式碼塊。
• 細粒度審計：允許根據所訪問的記錄來跟蹤對錶的訪問。

提示：任何一種審計都會增加資料庫必須完成的工作量。為了限制這個工作量，應當進行重點審計，同時不跟蹤非重要的事件。

1、審計SYSDBA活動

一個名為AUDIT_SYS_OPERATIONS的例項引數。如果這個引數設定為TRUE（預設DEFAULT），作為SYSDBA或SYSOPER連線資料庫的使用者所釋出的每條語句都會被寫入作業系統的審計追蹤，從而能夠給出DBA所進行操作的完整記錄。顯然，審計追蹤必須受到保護。如果DBA能夠刪除審計記錄，那建立這些審計記錄就無意義了。

由此引發的問題被稱為“責任分離（separation of duties）”。需要對作業系統進行配置，從而使DBA不能訪問跟蹤DBA活動的審計記錄，這些審計記錄只能被計算機的系統管理員訪問。因此，一名優秀的計算機審計人員始終堅持這樣的觀點：DBA一定不能知道Linux系統中“root”的口令（或Windows系統中“Administrator”的口令），同時系統管理員一定不能知道Oracle中SYSDBA的口令。

SYS審計記錄的目的資料夾由所使用的平臺決定。Windows系統中，目的資料夾為Windows Application Log。在Linux系統中，目的資料夾由AUDIT_FILE_DEST引數控制。Oracle擁有者在該目錄具有寫許可權，但是DBA使用的Linux ID在該目錄上不具有寫許可權。

2、資料庫審計

設定資料庫審計之前，必須設定AUDIT_TRAIL例項引數。這個引數具有下列4個可能值：

• NONE（或FALSE）：禁用審計。
• OS：審計記錄被寫至作業系統的審計追蹤。
• DB（或TRUE）：審計記錄會被寫入資料字典表SYS.AUD$。
• DB_EXTENDED：與DB值的作用大體相同，不過包含與生成審計記錄的、具有繫結變數的SQL語句相關資訊。

使用AUDIT命令可以配置資料庫審記。

SQL> audit create any trigger;
 
Audit succeeded.
 
SQL> audit select any table by session;
 
Audit succeeded.

預設情況下，審計會為事件的每次出現都生成一條審計記錄，相當於為AUDIT命令新增關鍵字BY ACCESS。無論滿足審計條件的頻繁程式怎樣，為AUDIT命令新增關鍵字BY SESSION 都會將審計輸出限制為每次登入只生成一條審計記錄。

審計也可以是物件導向的。

SQL> create table abc (aid number);
 
Table created.
 
SQL> audit insert on abc whenever successful;
 
Audit succeeded.
 
SQL> audit all on abc;
 
Audit succeeded.

WHENEVER SUCCESSFUL關鍵字將審計記錄限制為操作成功的記錄，而WHENEVER NOT SUCCESSFUL關鍵字則將審計記錄限制為操作不成功的記錄。預設所有操作（無論成功）都會被審計。ALL審計所有DDL語句。

使用AUDIT SESSION命令可以審計登入。

SQL> audit session whenever not successful;
 
Audit succeeded.

NOT SUCCESSFUL關鍵字限制審計記錄只輸出失敗的連線嘗試。這個功能很有用，記錄的這些失敗指示了是否存在侵入資料庫的企圖。

DBA_AUDIT_TRAIL檢視是一個至關重要的檢視，無論哪種審計，這個檢視都顯示了所有審計追蹤條目。

Oracle Database 10G Reference 中DBA_AUDIT_TRAIL檢視的列

其他審計檢視（DBA_AUDIT_OBJECT、DBA_AUDIT_STATEMENT以及DBA_AUDIT_SESSION）分別說明了DBA_AUDIT_TRAIL檢視的一個子集，並且只顯示特定的審計記錄以及與其相關的列。

3、基於值的審計
前面所描述的資料庫審計可以捕獲到針對某個表執行一條命令的事實，但要跟蹤受影響的記錄我們就要通過資料庫觸發器了。

4、細粒度審計

細粒度審計（Fine-grained auditing，簡寫FGA）可以被配置為只在訪問特定記錄或特定記錄的特定列時生成審計記錄。配置FGA會涉及程式包DBMS_FGA。為了建立一個FGA審計策略，需要使用ADD_POLICY過程，過程接受下面實參。

ADD_POLICY過程的實參

其他的DBMS_FGA過程用於啟用、禁用或刪除FGA策略。

檢視細粒度審計的結果，可以查DBA_FGA_AUDIT_TRAIL檢視。

SQL> desc dba_fga_audit_trail;
 Name                       Null?    Type
 -------------------------- -------- ----------------------------
 SESSION_ID                 NOT NULL NUMBER
 TIMESTAMP                           DATE
 DB_USER                             VARCHAR2(30)
 OS_USER                             VARCHAR2(255)
 USERHOST                            VARCHAR2(128)
 CLIENT_ID                           VARCHAR2(64)
 ECONTEXT_ID                         VARCHAR2(64)
 EXT_NAME                            VARCHAR2(4000)
 OBJECT_SCHEMA                       VARCHAR2(30)
 OBJECT_NAME                         VARCHAR2(128)
 POLICY_NAME                         VARCHAR2(30)
 SCN                                 NUMBER
 SQL_TEXT                            NVARCHAR2(2000)
 SQL_BIND                            NVARCHAR2(2000)
 COMMENT$TEXT                        VARCHAR2(4000)
 STATEMENT_TYPE                      VARCHAR2(7)
 EXTENDED_TIMESTAMP                  TIMESTAMP(6) WITH TIME ZONE
 PROXY_SESSIONID                     NUMBER
 GLOBAL_UID                          VARCHAR2(32)
 INSTANCE_NUMBER                     NUMBER
 OS_PROCESS                          VARCHAR2(16)
 TRANSACTIONID                       RAW(8)
 STATEMENTID                         NUMBER
 ENTRYID                             NUMBER