保证的安全有两种方式,一种是通过权限的存取控制机制,即通过预先控制来防止安全事件的发生;另一种是数据库审计,即对数据库活动做跟踪记录,当发生安全事件时,通过对数据库活动记录进行审计来发现并修复安全问题。
oracle使用大量不同的审计方法来监控使用何种权限,以及访问哪些对象。审计不会防止使用这些权限,但可以提供有用的信息,用于揭示权限的滥用和误用。数据库审计的主要对象包括数据库链接、sql语句执行、数据库对象访问等方面。审计记录存储的位置有两种选择:一种是存储在操作文件中,一种是存储在system表空间的sys.aud$表中。
1、和审计相关的参数
(1) audit_sys_operations
(2) audit_trail
(3) audit_file_dest:指定审计信息的文件夹
sql>show parameter audit –查询和审计相关的两个参数
2、audit_sys_operations参数
audit_sys_operations参数审计sysdba的活动,默认值false,相关的审计信息记录在操作系统文件中(因为有可能记录时数据库还未启动)。当参数值为false时,以下操作系统会强制记录在audit_file_dest指定的文件夹中:
(1) 用管理员权限连接实例
(2) 启动数据库
(3) 关闭数据库
audit_sys_operations参数设置为true后,作为sysdba和sysoper连接数据库的用户所发布的每条语句都会被写入操作系统的审计中,从而能够给出dba所进行操作的完整记录。设置audit_sys_operations参数的语句如下:
sql>alter system set audit_sys_operations=true scope=spfile;
sql>alter system set audit_sys_operations=false scope=spfile;
3、audit_trail 参数
(1)audit_trail 参数的值可以设置为以下几种:
? none:不审计,默认值。
? db:开启审计功能,将audit记录到sys.aud$表(审计的结果只有连接信息,不记录到sqlbind和sqltext字段)。
? os:审计记录写入一个操作系统文件。
? db,extended:开启审计功能,将audit记录到sys.aud$表(审计信息除了连接信息还包含了当时执行的具体语句,记录到sqlbind和sqltext字段)。
? xml:审计记录写入xml格式的操作系统文件。
? xml,extended:审计记录写入xml格式的操作系统文件,包括sqlbind和sqltext值。
说明:这个参数是写到spfile里面的静态参数,需要重启数据库。
(2)设置参数值
sql> alter system setaudit_trail=’db’ scope=spfile;
说明:参数audit_trail不是动态的,为了使audit_trail参数中的改动生效,必须关闭数据库并重新启动。在对sys.aud$表进行审计时,应该注意监控该表的大小,以避免影响sys表空间中其他对象的空间需求。
4、开启与关闭审计
(1) 开启审计案例
sql>conn /as sysdba
sql>show parameter audit
sql>alter system set audit_sys_operations=true scope=spfile;
–审计管理用户(以sysdba/sysoper角色登陆)
sql>alter system set audit_trail=db,extended scope=spfile;
sql>startup force –完成审计的开启
sql>show parameter audit –对比先后两次的参照值
(2) 关闭审计案例
sql>conn /as sysdba
sql>show parameter audit
sql>alter system set audit_trail=none scope=spfile;
sql>startup force –完成审计的关闭
sql>conn /as sysdba
sql>show parameter audit –对比先后两次的参照值
(3)审计相关的表安装
sqlplus> connect / as sysdba
sqlplus> select * from sys.aud$;
sqlplus> select * from dba_audit_trail;
如果做上述查询的时候发现表不存在,说明审计相关的表还没有安装,需要安装。方法如下:
sqlplus> connect / as sysdba
sqlplus> @$oracle_home/rdbms/admin/cataudit.sql
审计表安装在system表空间。所以要确保system表空间又足够的空间存放审计信息。安装后要重启数据库。
5、审计类型
下表中总结了oracle数据库中不同类型的审计。
审 计 类 型 |
说 明 |
语句审计 |
按照语句类型审计sql语句,而不论访问何种特定的模式对象;也可以在数据库中指定一个或多个用户,针对特定的语句审计这些用户。 |
权限审计 |
审计系统权限,例如create table或alter index。和语句审计一样,权限审计可以指定一个或多个特定的用户作为审计的目标。 |
模式对象审计 |
审计特定模式对象上运行的特定语句(例如,departments表上的update语句);模式对象审计总是应用于数据库中的所有用户。 |
细粒度的审计 |
根据访问对象的内容来审计表访问和权限;使用程序包dbms_fga来建立特定表上的策略。 |
(1) 语句级审计
所有类型的审计都使用audit命令来打开审计,使用noaudit命令来关闭审计。对于语句审计,audit命令的格式如下所示:
audit sql_statement_clause by {session |access}
whenever [not] successful;
其中:
? sql_statement_clause包含很多条不同的信息,例如希望审计的sql语句类型以及审计什 么人。
? 希望在每次动作发生时都对其进行审计(by access);动作重复发生时只审计一次(by session)。默认是by session。
? 审计成功执行的语句,使用wheneversuccessful。审计没有成功执行的语句,使用 whenever not successful。
例如:按常规方式审计成功的和不成功的登录,这需要两个audit命令:
sql>audit session whenever successful;
sql>audit session whenever not successful;
? 对于大多数类别的审计方法,如果确实希望审计所有类型的表访问或某个用户的任何权限,则可以指定all而不是单个的语句类型或对象。
表1列出了可以审计的语句类型,并且在每个类别中包含了相关语句的简要描述。如果指定all,则审计该列表中的任何语句。表2中的语句类型在启用审计时不属于all类别;必须在audit命令中显式地指定它们。
表1 包括在all类别中的可审计语句
语 句 选 项 |
sql操作 |
alter system |
所有alter system选项,例如,动态改变实例参数,切换到下一个日志文件组,以及终止用户会话。 |
cluster |
create、alter、drop或truncate集群 |
context |
create context或drop context |
database link |
create或drop数据库链接 |
dimension |
create、alter或drop维数 |
directory |
create或drop目录 |
index |
create、alter或drop索引 |
materialized view |
create、alter或drop物化视图 |
not exists |
由于不存在的引用对象而造成的sql语句的失败 |
procedure |
create或drop function、library、package、package body或procedure |
profile |
create、alter或drop配置文件 |
public database link |
create或drop公有数据库链接 |
public synonym |
create或drop公有同义词 |
role |
create、alter、drop或set角色 |
rollback segment |
create、alter或drop回滚段 |
sequence |
create或drop序列 |
session |
登录和退出 |
synonym |
create或drop同义词 |
system audit |
系统权限的audit或noaudit |
system grant |
grant或revoke系统权限和角色 |
table |
create、drop或truncate表 |
tablespace |
create、alter或drop表空间 |
trigger |
create、alter(启用/禁用)、drop触发器;具有enable all triggers或disable all triggers的alter table |
type |
create、alter和drop类型以及类型主体 |
user |
create、alter或drop用户 |
view |
create或drop视图 |
表2 显式指定的语句类型
语 句 选 项 |
sql 操 作 |
alter sequence |
任何alter sequence命令 |
alter table |
任何alter table命令 |
comment table |
添加注释到表、视图、物化视图或它们中的任何列 |
delete table |
删除表或视图中的行 |
execute procedure |
执行程序包中的过程、函数或任何变量或游标 |
grant directory |
grant或revoke directory对象上的权限 |
grant procedure |
grant或revoke过程、函数或程序包上的权限 |
grant sequence |
grant或revoke序列上的权限 |
grant table |
grant或revoke表、视图或物化视图上的权限 |
grant type |
grant或revoke type上的权限 |
insert table |
insert into表或视图 |
lock table |
表或视图上的lock table命令 |
select sequence |
引用序列的currval或nextval的任何命令 |
select table |
select from表、视图或物化视图 |
update table |
在表或视图上执行update |
? 案例1:
sql> conn / as sysdba
–可以使用如下命令审计 hr创建的索引
sql> audit index by hr;
sql> conn hr/hr –hr用户登陆
sql> create index job_title_idx onhr.jobs(job_title);
sql> conn / as sysdba
–检查数据字典视图dba_audit_trail中的审计跟踪
sql> select username,to_char(timestamp,’mm/dd/yy hh24:mi’) timestamp, obj_name, action_name,sql_text from dba_audit_trail where username = ‘hr’;
–关闭hr.jobs表上hr的审计
sql> noaudit index by hr;
? 案例2:
sql> conn / as sysdba
–审计数据库中所有的create/drop/alter table语句。
sql> audit table by scott by access;
sql> conn scott/abc123
sql> create table taudit1(a int);
sql> create table taudit1(a int);
sql> insert into taudit1 values(1);
sql> select * from taudit1;
sql> insert into taudit1 values(1);
sql> conn / as sysdba
sql> select username, timestamp, owner,action_name, obj_name, returncode from dba_audit_object where username=’scott’;
说明:所有scott用户创建表的语句均被审计,returncode表示返回码,0表示正确执行,955表示错误:“名称已由现有对象使用”。
(2) 权限级审计
审计系统权限具有与语句审计相同的基本语法,需要在sql_statement_clause上指定系统权限。例如,可能希望将altertablespace权限授予所有的dba,但希望在发生这种情况时生成审计记录。启用对这种权限的审计的命令如下:
sql> audit alter tablespace by access whenever successful;
此时,每次成功使用alter tablespace权限时,都会将一行内容添加到sys.aud$。
? 案例
sql> conn / as sysdba
sql> audit select table by scott bysession;
sql> conn scott/abc123
sql> select * from taudit1;
sql> select * from taudit1;
sql> conn / as sysdba
sql> select username, timestamp, owner,action_name, obj_name, returncode from dba_audit_object where username=’scott’;
(3) 对象级审计
审计对各种模式对象的访问的命令格式如下:
auditschema_object_clause by {session | access} whenever [not] successful;
说明:
? schema_object_clause指定对象访问的类型以及访问的对象。可以审计特定对象上14种不同的操作类型,下表中列出了这些操作。
对 象 选 项 |
说 明 |
alter |
改变表、序列或物化视图 |
audit |
审计任何对象上的命令 |
comment |
添加注释到表、视图或物化视图 |
delete |
从表、视图或物化视图中删除行 |
execute |
执行过程、函数或程序包 |
flashback |
执行表或视图上的闪回操作 |
grant |
授予任何类型对象上的权限 |
index |
创建表或物化视图上的索引 |
insert |
将行插入表、视图或物化视图中 |
lock |
锁定表、视图或物化视图 |
read |
对directory对象的内容执行读操作 |
rename |
重命名表、视图或过程 |
select |
从表、视图、序列或物化视图中选择行 |
update |
更新表、视图或物化视图 |
? 案例:审计hr.jobs表上所有用户每次成功进行的insert和update命令
sql> conn / as sysdba
sql> audit insert, update on hr.jobs byaccess whenever successful;
sql> conn hr/hr –hr用户登陆
sql> insert into hr.jobs (job_id,job_title, min_salary, max_salary) values (‘in_cfo’,’internet chief funofficer’, 7500, 50000);
sql> insert into hr.jobs (job_id,job_title, min_salary, max_salary) values (‘oe_vld’,’order entry ccvalidation’, 5500, 20000);
sql> conn / as sysdba
–检查数据字典视图dba_audit_trail中的审计跟踪
sql> select username,to_char(timestamp,’mm/dd/yy hh24:mi’) timestamp,
2 obj_name, action_name, sql_text from dba_audit_trail
3 where username = ‘hr’;