Orcale审计机制研究
1. 设置审计
1.1. 查看审计状态
SQL>conn /as sysdba;
已连接
SQL>show parameters audit_trail;
NAME TYPE VALUE
------------------------- ------------------------
audit_trail string NONE
1.2. 确认审计相关的表是否已经安装
首先查看审计相关的表是否已安装,执行如下命令:
SQLPLUS> connect / AS SYSDBA
SQLPLUS> select * from sys.aud$; --没有记录返回
SQLPLUS> select * from dba_audit_trail; --没有记录返回
如果做上述查询的时候发现表不存在，说明审计相关的表还没有安装，需要安装。
安装执行如下命令:
SQLPLUS> connect / as sysdba
SQLPLUS> @$ORACLE_HOME/rdbms/admin/cataudit.sql
审计表安装在SYSTEM表空间。所以要确保SYSTEM表空间又足够的空间存放审计信息。
1.3. 修改状态,激活审计（用户SYS）
激活审计执行如下命令:
SQL> alter system set audit_sys_operations=true scope=spfile;
System altered
SQL> alter system set audit_trail=DB,EXTENDED scope=spfile;
System altered
注: l DB/TRUE：启动审计功能，并且把审计结果存放在数据库的 SYS.AUD$ 表中
l OS：启动审计功能，并把审计结果存放在操作系统的审计信息中
l EXTENDED：具有DB/TRUE的功能，另外填写AUD$的SQLBIND和SQLTEXT字段
l NONE/FALSE：关闭审计功能
重启数据库实例:
SQL> startup force;
ORACLE 例程已经启动。
1.4. 再查看状态（用户SYS）
SQL> show parameter audit;
NAME TYPE VALUE
------------------------- ------------------------
audit_trail string DB, EXTENDED
1.5. 建立测试表（用户TPLATFORM）
建立测试表(T_AUDIT_DEMO)准备进行审计测试:
Create Table T_AUDIT_DEMO
(
CID INT NOT NULL,
CNAME VARCHAR2(20) NULL,
ENAME VARCHAR2(20) NULL,
CONSTRAINT PK_T_AUDIT_DEMO PRIMARY KEY (CID)
);
表已创建
1.6. 设置审计
对用户TPLATFORM下的表进行审计操作:
SQL> conn /as sysdba;
已连接
SQL> audit select table by TPLATFORM by access; //设置审计查询
审计已成功
SQL> audit update table by TPLATFORM by access; //设置审计更新
审计已成功
SQL> audit insert table by TPLATFORM by access ; //设置审计添加
审计已成功
SQL> audit DELETE table by TPLATFORM by access; //设置审计删除
审计已成功
(如果在命令中添加by TPLATFORM则只对TPLATFORM的操作进行审计,否则对所以用户操作进行审计)
2. 使用审计查看
2.1. 进行审计测试（用户SYS、TPLATFORM）
添加表数据准备测试审计:
INSERT INTO T_AUDIT_DEMO VALUES(1,'曾勋','ZENG XUN');
INSERT INTO T_AUDIT_DEMO VALUES(2,'翁黎明','WENG LI MING');
INSERT INTO T_AUDIT_DEMO VALUES(3,'刘帝勇','LIU DI YONG');
查询表数据准备测试审计:
SELECT * FROM T_AUDIT_DEMO WHERE CID < 3
删除表数据准备测试审计:
DELETE FROM T_AUDIT_DEMO WHERE CID = 3;
提交
commit;
SQL> select action_name,sql_text from sys.aud$ where OBJ_NAME = 'T_AUDIT_DEMO';
dba_audit_trail的关键字段:
OBJ$CREATOR 操作对象
NTIMESTAMP# 操作提交时间
OBJ$NAME 表名
ACTION 操作类型(对应audit_action表, audit_action表中有两个字段action,name,分别为操作类型,操作类型名称)
SQLTEXT 执行的sql语句
3. 性能
由于审计相关的表aud$存放在SYSTEM表空间，因此为了不影响系统的性能，保护SYSTEM表空间，最好移动到其他的表空间上。可以使用下面的语句来进行移动：
实际上sys.aud$表上包含了两个lob字段(sqlbind, SQLTEXT)，并不是简单的move table就可以。
下面是具体的过程:
SQL>alter table aud$ move tablespace 表空间名;
SQL>alter table sys.aud$ move lob(sqlbind) store as( tablespace 表空间名);
SQL>alter table sys.aud$ move lob(SQLTEXT) store as( tablespace表空间名);
SQL>alter index I_aud1 rebuild online tablespace 表空间名;
SQL> alter table audit$ move tablespace 表空间名;
SQL> alter index i_audit rebuild online tablespace 表空间名;
SQL> alter table audit_actions move tablespace 表空间名;
SQL> alter index i_audit_actions rebuild online tablespace 表空间名;
4. 运维
可能随着时间越久,信息量就会越大,需要定期进行删除以前的数据(如:3个月).