Oracle审计功能

秒速五厘米 2023-01-16 14:26 595阅读 0赞

# Oracle审计功能 #

--------------------

![170a8ba3fd30d73b848ebdce5f3ace9e.png][]  
  
![fb93995cc49336b84b9bf9e19a4faa9e.png][]

--------------------

**1、什么是审计**

审计（Audit)用于监视用户所执行的数据库操作，审计记录可存在数据字典表（称为审计记录:存储在**system****表空间**中的**SYS.AUD$****表**中，可通过视图**dba\_audit\_trail**查看）或操作系统审计记录中(默认位置为**$ORACLE\_BASE/admin/$ORACLE\_SID/adump/**).。默认情况下审计是没有开启的。

当数据库的审计是使能的，在语句执行阶段产生审计记录。

审计记录包含：

（1）有审计的操作、

（2）用户执行的操作、

（3）操作的日期和时间等信息。

不管你是否打开数据库的审计功能，以下这些操作系统会强制记录：用管理员权限连接Instance；启动数据库；关闭数据库。

**ORACLE审计功能**

审计是对选定的用户动作的监控和记录，通常用于：

审查可疑的活动。例如：数据被非授权用户所删除，此时安全管理员可决定对该数据库的所有连接进行审计，以及对数据库的所有表的成功地或不成功地删除进行审计。

监视和收集关于指定数据库活动的数据。例如：DBA可收集哪些被修改、执行了多少次逻辑的I/O等统计数据。

ORACLE所允许的审计选择限于下列方面：

审计语句的成功执行、不成功执行，或者其两者。

对每一用户会话审计语句执行一次或者对语句每次执行审计一次。

对全部用户或指定用户的活动的审计。

\[@more@\]

**审计相关的表安装、转移**

SQLPLUS> connect / AS SYSDBA

SQLPLUS> select \* from sys.aud$; --没有记录返回

SQLPLUS> select \* from dba\_audit\_trail; - 没有记录返回

如果做上述查询的时候发现表不存在，说明审计相关的表还没有安装，需要安装。

SQLPLUS> connect / as sysdba

SQLPLUS> @$ORACLE\_HOME/rdbms/admin/cataudit.sql

审计表安装在SYSTEM表空间。所以要确保SYSTEM表空间又足够的空间存放审计信息。

安装后要重启数据库

将审计相关的表移动到其他表空间

由于AUD$表等审计相关的表存放在SYSTEM表空间，因此为了不影响系统的性能，保护SYSTEM表空间，最好把AUD$移动到其他的表空间上。可以使用下面的语句来进行移动：

sql>connect / as sysdba;

sql>alter table aud$ move tablespace ;

sql>alter index I\_aud1 rebuild online tablespace ;

SQL> alter table audit$ move tablespace ;

SQL> alter index i\_audit rebuild online tablespace ;

SQL> alter table audit\_actions move tablespace ;

SQL> alter index i\_audit\_actions rebuild online tablespace ;

**2、和审计相关的两个主要参数**

**Audit\_sys\_operations****：**

默认为false，当设置为true时，所有sys用户（包括以sysdba, sysoper身份登录的用户）的操作都会被记录，audit trail不会写在aud$表中，这个很好理解，如果数据库还未启动aud$不可用，那么像conn /as sysdba这样的连接信息，只能记录在其它地方。如果是Windows平台，audti trail会记录在windows的事件管理中，如果是linux/unix平台则会记录在audit\_file\_dest参数指定的文件中。

**Audit\_trail**：

None：是默认值，不做审计；

DB：将audit trail 记录在数据库的审计相关表中，如aud$，审计的结果只有连接信息；

DB,Extended：这样审计结果里面除了连接信息还包含了当时执行的具体语句；

OS：将audit trail 记录在操作系统文件中，文件名由audit\_file\_dest参数指定；

XML：10g里新增的。

注：这两个参数是static参数，需要重新启动数据库才能生效。

**3、审计级别**

当开启审计功能后，可在三个级别对数据库进行审计：Statement(语句)、Privilege（权限）、object（对象）。

3.1 Statement：

语句审计，对某种类型的SQL语句审计，不指定结构或对象。比如audit table 会审计数据库中所有的create table,drop table,truncate table语句，alter session by cmy会审计cmy用户所有的数据库连接。

3.2 Privilege：

权限审计，当用户使用了该权限则被审计，如执行grant select any table to a，当执行了audit select any table语句后，当用户a 访问了用户b的表时（如select \* from b.t）会用到select any table权限，故会被审计。注意用户是自己表的所有者，所以用户访问自己的表不会被审计。 特权审计。

3.3 Object：

对象审计，对一特殊模式对象上的指定语句的审计. 如审计on关键字指定对象的相关操作，如aduit alter,delete,drop,insert on cmy.t by scott; 这里会对cmy用户的t表进行审计，但同时使用了by子句，所以只会对scott用户发起的操作进行审计。

注意：Oracle没有提供对schema中所有对象的审计功能，只能一个一个对象审计，对于后面创建的对象，Oracle则提供on default子句来实现自动审计，比如执行audit drop on default by access;后，对于随后创建的对象的drop操作都会审计。但这个default会对之后创建的所有数据库对象有效，似乎没办法指定只对某个用户创建的对象有效，想比 trigger可以对schema的DDL进行“审计”，这个功能稍显不足。

**4、审计的一些其他选项**

4.1 by access / by session：

by access 每一个被审计的操作都会生成一条audit trail。

by session 一个会话里面同类型的操作只会生成一条audit trail，默认为by session。

4.2 whenever \[not\] successful：

whenever successful 操作成功(dba\_audit\_trail中returncode字段为0) 才审计,

whenever not successful 反之。省略该子句的话，不管操作成功与否都会审计。

**5、和审计相关的视图**

5.1 dba\_audit\_trail：保存所有的audit trail，实际上它只是一个基于aud$的视图。其它的视图dba\_audit\_session,dba\_audit\_object, dba\_audit\_statement都只是dba\_audit\_trail的一个子集。

**5.2 dba\_stmt\_audit\_opts****：可以用来查看****statement****审计级别的****audit options****，即数据库设置过哪些****statement****级别的审计。****dba\_obj\_audit\_opts,dba\_priv\_audit\_opts****视图功能与之类似**

5.3 all\_def\_audit\_opts：用来查看数据库用on default子句设置了哪些默认对象审计。

**6、取消审计**

将对应审计语句的audit改为noaudit即可，

如audit session whenever successful

对应的取消审计语句为noaudit session whenever successful;

**7、10g中的审计告知一切**

Oracle 数据库 10g 审计以一种非常详细的级别捕获用户行为，它可以消除手动的、基于触发器的审计。

假定用户 Joe 具有更新那张表的权限，并按如下所示的方式更新了表中的一行数据：

update SCOTT.EMP set salary = 12000 where empno = 123456;

您如何在数据库中跟踪这种行为呢？在 Oracle 9i 数据库及其较低版本中，审计只能捕获“谁”执行此操作，而不能捕获执行了“什么”内容。例如，它让您知道 Joe 更新了 SCOTT 所有的表EMP，但它不会显示他更新了该表中员工号为 123456 的薪水列。它不会显示更改前的薪水列的值 — 要捕获如此详细的更改，您将不得不编写您自己的触发器来捕获更改前的值，或使用 LogMiner 将它们从存档日志中检索出来。

细粒度审计(FGA):精细审计 ，是在 Oracle 9i 中引入的，能够记录 SCN 号和行级的更改以重建旧的数据，但是它们只能用于 select 语句，而不能用于 DML ，如 update 、insert 和delete 语句。因此，对于 Oracle 数据库 10g 之前的版本，使用触发器虽然对于以行级跟踪用户初始的更改是没有吸引力的选择，但它也是唯一可靠的方法。

**8.审计的相关基本操作**

8.1 审计功能的参数控制

audit\_trail 参数的值可以设置为以下几种

1. NONE：不开启

2. DB：开启审计功能

3. OS：审计记录写入一个操作系统文件。

4. TRUE：与参数DB一样

5. FALSE：不开启审计功能。

这个参数是写道spfile里面的，需要重启数据库

8.2 查看是否审计功能是否启动

SQL> show parameter audit

NAME TYPE VALUE

\------------------------------------ ----------- ------------------------------

audit\_file\_dest string /u01/app/oracle/admin/ORCL/adump

audit\_sys\_operations boolean FALSE

audit\_syslog\_level string

audit\_trail string NONE

8.3 开启审计

SQL> conn /as sysdba

SQL> show parameter audit

NAME TYPE VALUE

\------------------------------------ ----------- ------------------------------

audit\_file\_dest string /u01/app/oracle/admin/ORCL/adump

audit\_sys\_operations boolean FALSE

audit\_syslog\_level string

audit\_trail string NONE

SQL> alter system set audit\_sys\_operations=TRUE scope=spfile; --审计管理用户(以sysdba/sysoper角色登陆)

SQL> alter system set audit\_trail=db,extended scope=spfile;

开启审计要重启实例

SQL> show parameter audit

NAME TYPE VALUE

\------------------------------------ ----------- ------------------------------

audit\_file\_dest string /u01/app/oracle/admin/ORCL/adump

audit\_sys\_operations boolean TRUE

audit\_syslog\_level string

audit\_trail string DB, EXTENDED

8.4 关闭审计

SQL> conn /as sysdba

SQL> show parameter audit

SQL> alter system set audit\_trail=none;

关闭审计也需要重启实例

**9. 审计实例**

9.1 激活审计

SQL> conn sys/admin as sysdba

已连接。

SQL> show parameter audit

NAME TYPE VALUE

\------------------------------------ ----------- ------------------------------

audit\_file\_dest string D:ORACLEADMINDBAADUMP

audit\_sys\_operations boolean FALSE

audit\_trail string NONE

SQL> alter system set audit\_sys\_operations=TRUE scope=spfile; --审计管理用户(以sysdba/sysoper角色登陆)

SQL> alter system set audit\_trail=db,extended scope=spfile;

SQL>**startup force;**

SQL> show parameter audit

NAME TYPE VALUE

\------------------------------------ ----------- ------------------------------

audit\_file\_dest string D:ORACLEADMINDBAADUMP

audit\_sys\_operations boolean TRUE

audit\_trail string DB, EXTENDED

9.2 开始审计

注意：无法对 SYS 用户操作执行 audit 或 noaudit 命令

SQL> conn system/admin

SQL> audit all on test;

SQL> commit;

SQL> delete from test;

SQL> commit;

SQL> select OS\_USERNAME,USERNAME,USERHOST,TERMINAL,TIMESTAMP,OWNER,

obj\_name,ACTION\_NAME,sessionid,os\_process,sql\_text from dba\_audit\_trail;

OS\_USER USERNAME USERHOST TERMINAL TIMESTAMP OWNER

\------- -------- --------------- --------------- -------------- ----------------

user SYSTEM WORKGROUPHFCC- HFCC-KF-3068 22-10月-09 SYSTEM

SQL> audit select table by test by access;

如果在命令后面添加by user则只对user的操作进行审计,如果省去by用户,则对系统中所有的用户进行审计(不包含sys用户).

例：

AUDIT DELETE ANY TABLE; --审计删除表的操作

AUDIT DELETE ANY TABLE WHENEVER NOT SUCCESSFUL; --只审计删除失败的情况

AUDIT DELETE ANY TABLE WHENEVER SUCCESSFUL; --只审计删除成功的情况

AUDIT DELETE,UPDATE,INSERT ON user.table by SYSTEM; --审计SYSTEM用户对表user.table的delete,update,insert操作

9.3 撤销审计

SQL> noaudit all on t\_test;

10.FGA策略(细粒度审计)

DBMS\_FGA是SYS用户的一个包

**10.1 增加 FGA 策略**

\-- 审计表  
GRANT RESOURCE,CONNECT TO BANK IDENTIFIED BY BANK;

CREATE TABLE BANK.ACCOUNTS  
(  
ACCT\_NO NUMBER PRIMARY KEY,  
CUST\_ID NUMBER NOT NULL ,  
BALANCE NUMBER(15,2) NULL  
);  
insert into bank.accounts values(1,1,10000);  
insert into bank.accounts values(2,2,20000);  
commit;

Begin  
dbms\_fga.drop\_policy (  
object\_schema=>'BANK',  
object\_name=>'ACCOUNTS',  
policy\_name=>'ACCOUNTS\_ACCESS');  
dbms\_fga.add\_policy (  
object\_schema=>'BANK',  
object\_name=>'ACCOUNTS',  
policy\_name=>'ACCOUNTS\_ACCESS');  
end;  
/

select \* from bank.accounts;  
select timestamp, db\_user,os\_user,object\_schema,object\_name,sql\_text from dba\_fga\_audit\_trail;

\-- 审计列和审计条件, 在add\_policy中加入  
\-- audit\_column => 'BALANCE'  
\-- audit\_condition => 'BALANCE >= 11000'

Begin  
dbms\_fga.drop\_policy (  
object\_schema=>'BANK',  
object\_name=>'ACCOUNTS',  
policy\_name=>'ACCOUNTS\_ACCESS');

dbms\_fga.add\_policy (  
object\_schema=>'BANK',  
object\_name=>'ACCOUNTS',  
audit\_column => 'BALANCE',  
audit\_condition => 'BALANCE >= 11000',  
policy\_name=>'ACCOUNTS\_ACCESS');  
end;  
/

select BALANCE from bank.accounts;  
select timestamp, db\_user,os\_user,object\_schema,object\_name,sql\_text from dba\_fga\_audit\_trail;

10.2 管理 FGA 策略  
\--要删除策略，您可以使用以下语句：  
begin  
dbms\_fga.drop\_policy (  
object\_schema => 'BANK',  
object\_name => 'ACCOUNTS',  
policy\_name => 'ACCOUNTS\_ACCESS'  
);  
end;  
/

\-- 对于更改策略而言，没有随取随用的解决方案。要更改策略中的任何参数，必须删除策略，再使用更改后的参数添加策略。

\-- 需要临时禁用审计收集 — 例如，如果您希望将线索表移动到不同的表空间或者要删除线索表。您可以按如下方法禁用 FGA 策略：  
begin  
dbms\_fga.enable\_policy (  
object\_schema => 'BANK',  
object\_name => 'ACCOUNTS',  
policy\_name => 'ACCOUNTS\_ACCESS',  
enable => FALSE  
);  
end;  
/  
\-- 重新启用很简单 enable =>; TRUE

\--演示何时审计操作以及何时不审计操作的各种情况 SQL 语句 审计状态

select balance from bank.accounts; 进行审计。用户选择了在添加策略时所指定的审计列 BALANCE。 
select \* from bank.accounts; 进行审计。即使用户没有明确指定列 BALANCE，\* 也隐含地选择了它。 
select cust\_id from bank.accounts where balance < 10000; 进行审计。即使用户没有明确指定列 BALANCE，where 子句也隐含地选择了它。 
select cust\_id from bank.accounts; 不进行审计。用户没有选择列 BALANCE。 
select count(\*) from bank.accounts; 不进行审计。用户没有明确或隐含地选择列 BALANCE。

10.3 处理器模块  
\-- FGA 的功能不只是记录审计线索中的事件；FGA 还可以任意执行过程。  
\-- 过程可以执行一项操作，比如当用户从表中选择特定行时向审计者发送电子邮件警告，或者可以写到不同的审计线索中。  
\-- 这种存储代码段可以是独立的过程或者是程序包中的过程，称为策略的处理器模块。  
\-- 实际上由于安全性原因，它不必与基表本身处于同一模式中，您可能希望特意将它放置在不同的模式中。  
\-- 由于只要 SELECT 出现时过程就会执行，非常类似于 DML 语句启动的触发器，您还可以将其看作 SELECT 语句触发器。

\-- 以下参数指定将一个处理器模块指定给策略：  
\-- handler\_schema 拥有数据过程的模式  
\-- handler\_module 过程名称  
\-- 处理器模块还可以采用程序包的名称来代替过程名称。在这种情况下，参数 handler\_module 在 package.procedure 的格式中指定。

10.4 FGA 数据字典视图  
\-- FGA 策略的定义位于数据字典视图 DBA\_AUDIT\_POLICIES 中。

\-- 审计线索收集在 SYS 拥有的表 FGA\_LOG$ 中。对于 SYS 拥有的任何原始表，此表上的某些视图以对用户友好的方式显示信息。DBA\_FGA\_AUDIT\_TRAIL 是该表上的一个视图。  
\-- 一个重要的列是 SQL\_BIND，它指定查询中使用的绑定变量的值 — 这是显著增强该工具功能的一项信息。  
\-- 另一个重要的列是 SCN，当发生特定的查询时，它记录系统更改号。  
\-- 此信息用于识别用户在特定时间看到了什么，而不是现在的值，它使用了闪回查询，这种查询能够显示在指定的 SCN 值时的数据。

10.5 视图和 FGA  
\-- 到目前为止已经讨论了在表上应用 FGA；现在让我们来看如何在视图上使用 FGA。假定在 ACCOUNTS 表上定义视图 VW\_ACCOUNTS 如下：

create view bank.vw\_accounts as select \* from bank.accounts;

select \* from bank.vw\_accounts;  
select timestamp, db\_user,os\_user,object\_schema,object\_name,sql\_text from dba\_fga\_audit\_trail;

10.5.1 如果您只希望审计对视图的查询而不是对表的查询，可以对视图本身建立策略。  
\-- 通过将视图名称而不是表的名称传递给打包的过程 dbms\_fga.add\_policy 中的参数 object\_name，可以完成这项工作。  
\-- 随后 DBA\_FGA\_AUDIT\_TRAIL 中的 OBJECT\_NAME 列将显示视图的名称，并且不会出现有关表访问的附加记录。

10.6 其它用途  
除了记录对表的选择访问，FGA 还可用于某些其它情况：  
\-- 您可以对数据仓库使用 FGA，以捕获特定的表、视图或物化视图上发生的所有语句，这有助于计划索引。您不需要到 V$SQL 视图去获取这些信息。即使 SQL 语句已经超出了 V$SQL 的期限，在 FGA 审计线索中将会始终提供它。  
\-- 由于 FGA 捕获绑定变量，它可以帮助您了解绑定变量值的模式，这有助于设计直方图集合等。  
\-- 处理器模块可以向审计者或 DBA 发送警告，这有助于跟踪恶意应用程序。  
\-- 由于 FGA 可以作为 SELECT 语句的触发器，您可以在需要这种功能的任何时候使用它。

结论  
FGA 在 Oracle 数据库中支持隐私和职能策略。因为审计发生在数据库内部而不是应用程序中，所以无论用户使用的访问方法是什么（通过诸如 SQL\*Plus 等工具或者应用程序），都对操作进行审计，允许进行非常简单的设置。

数据字典视图 DBA\_AUDIT\_POLICIES 中重要的列  
\-----------------------------------------------------------------------  
OBJECT\_SCHEMA 对其定义了 FGA 策略的表或视图的所有者  
OBJECT\_NAME 表或视图的名称  
POLICY\_NAME 策略的名称 — 例如，ACCOUNTS\_ACCESS  
POLICY\_TEXT 在添加策略时指定的审计条件 — 例如，BALANCE >;= 11000  
POLICY\_COLUMN 审计列 — 例如，BALANCE  
ENABLED 如果启用则为 YES，否则为 NO   
PF\_SCHEMA 拥有策略处理器模块的模式（如果存在）  
PF\_PACKAGE 处理器模块的程序包名称（如果存在）  
PF\_FUNCTION 处理器模块的过程名称（如果存在）

数据字典视图 DBA\_FGA\_AUDIT\_TRAIL 中重要的列  
\-----------------------------------------------------------------------  
SESSION\_ID 审计会话标识符；与 V$SESSION 视图中的会话标识符不同  
TIMESTAMP 审计记录生成时的时间标记  
DB\_USER 发出查询的数据库用户  
OS\_USER 操作系统用户  
USERHOST 用户连接的机器的主机名  
CLIENT\_ID 客户标识符（如果由对打包过程 dbms\_session.set\_identifier 的调用所设置）  
EXT\_NAME 外部认证的客户名称，如 LDAP 用户  
OBJECT\_SCHEMA 对该表的访问触发了审计的表所有者  
OBJECT\_NAME 对该表的 SELECT 操作触发了审计的表名称  
POLICY\_NAME 触发审计的策略名称（如果对表定义了多个策略，则每个策略将插入一条记录。在此情况下，该列显示哪些行是由哪个策略插入的。)  
SCN 记录了审计的 Oracle 系统更改号  
SQL\_TEXT 由用户提交的 SQL 语句   
SQL\_BIND 由 SQL 语句使用的绑定变量（如果存在）

**结论**：

1. 对表的审计:可以单独对表的create,alter进行审计,如果要对drop操作进行审计需要对表加audit table(该命令包含有create table、drop table、truncate table)；

audit alter table (该命令包含了 alter table ).  
2. 对视图的审计:可以单独对视图的create进行审计,如果要对drop操作进行审计需要对视图加audit view(该命令包含有create view,drop view).  
3. 对程序包的审计:可以对包(函数,存储过程等)的create进行审计,如果需要对drop操作进行审计需要加audit procedure(该命令对CREATE FUNCTION, CREATE LIBRARY , CREATE PACKAGE, CREATE PACKAGE BODY, CREATE PROCEDURE, DROP FUNCTION, DROP LIBRARY, DROP PACKAGE, DROP PROCEDURE进行审计)  
4. 对用户的审计:可以通过audit user(该命令包含 create user,alter user,drop user)进行审计.

5、使用如下语句：

audit insert table;   
audit update table;   
audit delete table;  
audit select table;

可以对所有用户(不包含sys用户)下的表进行insert、update、delete、select 审计。

实例：

1、select \* from dba\_audit\_trail;

其中有“returncode”列：0,代表语句执行正常；非0,代表语句执行异常；有待验证

3、对于 drop table 语句的审核只能是 audit table;   
如果仅仅是对 alter any table 系统权限进行审核，当用户使用 alter table 语句修改用户所拥有的表时，是不会差生任何审核记录，因为没有用到 alter any table 系统权限。

4、AUDIT table BY ACCESS 对 drop table、alter table 和 create table 语句进行审核。

--------------------

## **基于值的审计****（value-based auditing）** ##

![e8eb5c9d9077ce405542817a17a6bd46.png][]  
  
  
  
进行数据库审计时会记录审计对象中发生的插入、更新和删除操作，但是不会捕获更改的实际值。要扩展数据库审计，可使用基于值的审计，利用数据库触发器（事件驱动的PL/SQL 构造）来捕获更改的值。

用户在连接了相应触发器的表中插入、更新或删除数据时，触发器在后台将审计信息复制到包含审计信息的表中。因为审计触发器代码在每次插入、更新或删除操作发生时都必须执行，所以与标准数据库审计相比，使用基于值的审计时，性能下降幅度比较大。性能下降幅度取决于触发器代码的效率。**只在标准数据库审计捕获的信息不足的情况下，才使用基于值的审计。**

基于值的审计由用户或第三方代码实施。Oracle DB提供了可用来构建基于值的审计系统的 PL/SQL 构造。基于值的审计的关键部分是审计触发器，这是一个单纯为了捕获审计信息而构造的PL/SQL 触发器。

以下是一个审计触发器的典型示例：

CREATE OR REPLACE TRIGGER system.hrsalary\_audit

AFTER UPDATE OF salary

ON hr.employees

REFERENCING NEW AS NEW OLD AS OLD

FOR EACH ROW

BEGIN

IF :old.salary != :new.salary THEN

INSERT INTO system.audit\_employees

VALUES (sys\_context('userenv','os\_user'), sysdate, sys\_context('userenv','ip\_address'),

:new.employee\_id ||' salary changed from '||:old.salary|| ' to '||:new.salary);

END IF;

END;

这个触发器将审计的重点设置为捕获hr.employees表薪水列的更改。更新某行后，触发器就会检查薪水列。如果新旧薪水不相等，则触发器会在audit\_employees表（通过在SYSTEM方案中单独执行一项操作而创建）中插入一条审计记录。审计记录中包括了用户名、执行更改的 IP 地址、标识所更改记录的主键及更改的实际薪水值。

如果标准数据库审计收集的数据不足，还可使用数据库触发器来捕获关于用户连接的信息。通过使用登录触发器，管理员可以捕获用来标识连接到数据库的用户的数据。示例中包括下列各项：

? 登录人员的 IP 地址

? 用于连接到实例的程序名的前 48 个字符

? 用于连接到实例的终端名

**在许多情况下，会使用细粒度审计(FGA)功能，而不会使用基于值的触发器。**

--------------------

[Oracle Database标准审计和细粒度审计功能][Oracle Database]

这篇文章主要简单的讨论一下Oracle的审计功能，包括粗粒度审计、细粒度审计（FGA），另外还将引用一篇文章讨论Oracle默认的SYS用户审计和Oracle 11g Database默认开启的审计功能。  
  
**一.粗粒度审计功能。**

1.审计级别：  
语句级审计（stmt）：表示只审计某种类型的SQL语句，不指定结构或对象。  
权限级审计（privs）：表示只审计执行相应动作的系统权限的使用情况。  
实体级审计（obj）：表示只对指定模式上的实体指定语句的审计。  
  
    根据用户语句的执行结果，审计语句分为成功语句的审计（Whenever Successful）、不成功语句的审计（Whenever NOT Successful）以及无论成功与否都进行审计（默认情况）。  
    根据用户语句的执行次数，审计又分为对某一用户或全体用户的会话（By Session）审计、对某一用户或全体用户存取方式（By Access）的审计。  
    某一用户或全体用户的会话审计表示用户语句每执行一次就审计一次；某一用户或全体用户存取方式审计表示相同语句执行多次时，每执行一次就审计一次。  
    当数据库的审计功能被启动后，在用户语句执行阶段，系统会自动产生审计信息。审计信息中包括审计的操作、用户执行的操作、操作日期、操作时间等信息。  
  
2.初始化参数：  
audit\_trail=none|false|db|true|os  
none,false效果相同，db,true效果相同，os将结果存放到audit\_dump\_file参数对应的目录下。  
audit\_sys\_operations=false|true 是否启动对sysdba,sysoper身份的用户的审计。  
  
3.语法：  
audit stmt opts|privs opts|obj opts by users by session|access whenever \[not\] successful;  
  
4.审计类型：  
  
**语句级审计**  
  
    语句级审计表示只审计某种类型的SQL语句。可以审计某个用户，也可以审计所有用户的SQL语句。语句级审计的语法如下：  
AUDIT SQL语句选项 \[by 用户名\] \[by session|access\] \[whenever \[NOT\] successful;

<table style="width:583px;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;"> 语句选项 </td> 
 <td style="vertical-align:top;"> 被审计的语句 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> CLUSTER </td> 
 <td style="vertical-align:top;"> Create Cluster、Audit Cluster、Drop Cluster、Truncate Cluster </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> DATABASE LINK </td> 
 <td style="vertical-align:top;"> Create Database Link、Drop Database Link </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> DIRECTORY </td> 
 <td style="vertical-align:top;"> Create Directory、Drop Directory </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> INDEX </td> 
 <td style="vertical-align:top;"> Create Index、Alter Index、Drop Index </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> PROCEDURE </td> 
 <td style="vertical-align:top;"> Create Function、Create Library、Create Package、Create Package Body、Create Procedure、Drop Function、Drop Library、Drop Package </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> PROFILE </td> 
 <td style="vertical-align:top;"> Create Profile、Alter Profile、Drop Profile </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> PUBLIC SYNONYM </td> 
 <td style="vertical-align:top;"> Create Public Synonym、Drop Public Synonym </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> ROLE </td> 
 <td style="vertical-align:top;"> Create Role、Alter Role、Drop Role、Set Role </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> ROLLBACK SEGMENT </td> 
 <td style="vertical-align:top;"> Create Rollback Segment、Alter Rollback Segment、Drop Rollback Segment </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> SEQUENCE </td> 
 <td style="vertical-align:top;"> Create Sequence、Drop Sequence </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> SESSION </td> 
 <td style="vertical-align:top;"> Connect、Disconnect </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> SYNONYM </td> 
 <td style="vertical-align:top;"> Create Synonym、Drop Synonym </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> SYSTEM AUDIT </td> 
 <td style="vertical-align:top;"> Audit、Noaudit </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> SYSTEM GRANT </td> 
 <td style="vertical-align:top;"> Grant、Revoke </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> TABLE </td> 
 <td style="vertical-align:top;"> Create Table、Drop Table、Truncate Table </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> TABLESPACE </td> 
 <td style="vertical-align:top;"> Create Tablespace、Alter Tablespace、Drop Tablespace </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> TRIGGER </td> 
 <td style="vertical-align:top;"> Create Trigger、Alter Trigger </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> USERS </td> 
 <td style="vertical-align:top;"> Create User、Alter User、Drop User </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> TYPE </td> 
 <td style="vertical-align:top;"> Create Type、Create Type Body、Alter Type、Drop Type、Drop Type Body </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> VIEW </td> 
 <td style="vertical-align:top;"> Create View、Drop View </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> ALTER SEQUENCE </td> 
 <td style="vertical-align:top;"> Alter Sequence </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> ALTER TABLE </td> 
 <td style="vertical-align:top;"> Alter Table </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> DELETE TABLE </td> 
 <td style="vertical-align:top;"> Delete from tables、views </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> EXECUTE </td> 
 <td style="vertical-align:top;"> Execute Function、Library、Package </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> GRANT SEQUENCE </td> 
 <td style="vertical-align:top;"> Grant privilege On sequence、Revoke privilege On sequence </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> GRANT TABLE </td> 
 <td style="vertical-align:top;"> Grant privilege on table、Revoke privilege on table </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> UPDATE TABLE </td> 
 <td style="vertical-align:top;"> Lock Table </td> 
 </tr> 
 </tbody> 
</table>

在使用时，不需要写出全部的SQL语句，只要写出语句的选项即可。  
  
“by 用户名”表示只审计指定用户的SQL语句，不审计其他用户。没有指出用户名时，则审计全体用户。  
audit table by scott; 表示scott用户在执行Create Table、Drop Table、Truncate Table操作时将被审计。  
audit table; 表示所有用户执行该类型的语句都被审计。  
  
“by session”表示按会话方式审计，在每个会话中，相同的语句只审计一次。这是系统默认的方式。  
“by access”表示按存取方式审计，每一次语句都将审计。  
“whenever successful”表示只审计成功语句。  
“whenever not successful”表示只审计不成功语句。  
  
audit table by scott by access;（审计scott用户每一次对表的CREATE、DROP、Truncate操作）。  
audit table by scott by session;（审计scott用户对表的CREATE、DROP、Truncate操作，相同的操作只记录一次）。  
audit session by tax02 by session whenever not successful;（审计tax02用户尝试连接数据库，但不成功的信息，相同的操作只记录一次）。  
audit session by tax01,tax02;（审计tax01，tax02用户尝试连接数据库，成功的信息，相同的操作只记录一次）。  
audit session whenever not successful;(审计尝试连接数据库，但不成功的信息)。  
  
如果要了解对于哪些用户都进行了语句级审计及审计的选项，可以查询数据字典DBA\_STMT\_AUDIT\_OPTS，该数据字典要以sys用户连接数据库查询。  
  
当不再对用户进行审计时，可以使用noaudit命令，把用户进行的审计取消。  
noaudit SQL语句或选项 \[by 用户名\] \[by session|access\] \[Whenever \[NOT\] Successful\];  
  
**权限级审计**  
  
    权限级审计表示只审计某一个系统权限的使用情况。可以审计某个用户所使用的系统权限，也可以审计所有用户使用的系统权限。权限级审计的语法如下：  
Audit 权限名称 \[by 用户名\] \[by session|Access\] \[Whenever \[NOT\] Successful\];  
  
例如：  
audit delete any table whenever not successful;（审计所有用户不成功的DELETE ANY TABLE权限使用情况）。  
audit create table whenever not successful;（审计所有用户不成功的CREATE TABLE权限使用情况）。  
audit alter any table,alter any procedure by scott by access whenever not successful;  
audit create user by tax02 whenever not successful;  
  
    如果要了解对哪些用户进行了权限级审计及审计选项，可以查询数据字典DBA\_PRIV\_AUDIT\_OPTS，该数据字典必须以sys用户连接数据库进行查询。  
当不再对用户的系统权限进行审计时，可以使用noaudit命令取消对用户所进行的审计。取消用户权限审计的命令如下：  
noaudit 权限名称 \[by 用户名\] \[by session|access\] \[whenever \[NOT\] Successful\];  
  
例如：  
noaudit alter any table,alter any procedure by scott by access whenever not successful;  
noaudit create user by tax02 whenever not successful;  
noaudit create table whenever not successful;  
  
审计停止后，用户所进行的操作将不再记录。  
  
**实体级审计**  
  
    实体审计用于监视所有用户对某一指定用户的表的存取状况。实体级审计是不分审计对象的，数据库管理员关心的重点是哪些用户操作某一个指定用户的表。实体级审计的语法如下：  
audit 实体选项 on schema.实体名称 \[by session | access\] \[Whenever \[NOT\] Successful\];  
  
实体级审计中的实体选项及对实体操作的语句

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> TABLE </td> 
 <td style="vertical-align:top;"> VIEW </td> 
 <td style="vertical-align:top;"> SEQUENCE </td> 
 <td style="vertical-align:top;"> PROCEDURE </td> 
 <td style="vertical-align:top;"> SNAPSHOTS </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> ALTER </td> 
 <td style="vertical-align:top;"> √ </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> √ </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> DELETE </td> 
 <td style="vertical-align:top;"> √ </td> 
 <td style="vertical-align:top;"> √ </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> EXECUTE </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> √ </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> INDEX </td> 
 <td style="vertical-align:top;"> √ </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> INSERT </td> 
 <td style="vertical-align:top;"> √ </td> 
 <td style="vertical-align:top;"> √ </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> REFERENCES </td> 
 <td style="vertical-align:top;"> √ </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> SELECT </td> 
 <td style="vertical-align:top;"> √ </td> 
 <td style="vertical-align:top;"> √ </td> 
 <td style="vertical-align:top;"> √ </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> √ </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> UPDATE </td> 
 <td style="vertical-align:top;"> √ </td> 
 <td style="vertical-align:top;"> √ </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 <td style="vertical-align:top;"> &nbsp; </td> 
 </tr> 
 </tbody> 
</table>

例如： 
audit delete on scott.emp by access whenever successful;（审计所有用户对scott.emp表所有成功的DELETE操作，每次操作都会记录） 
audit delete on scott.dept by access whenever not successful;（审计所有用户对scott.emp表所有不成功的DELETE操作，每次操作都会记录） 
audit select on sys.tab;（审计所有用户对sys.tab表的SELECT操作，相同的操作只会记录一次） 
audit update on scott.dept; 
audit update,delete on hr.employees by access whenever successful; 
audit update,delete on hr.employees by user;（对user用户对hr.employees的update,delete进行审计） 
 
    如果要了解对哪些用户的实体进行了实体级审计及审计选项，可以查询数据字典DBA\_OBJ\_AUDIT\_OPTS，该数据字典必须以sys用户连接数据库进行查询。例如对于用户scott所进行的实体级审计信息，可以使用以下命令： 
select object\_name,object\_type,alt,aud,com,del,gra,ind,ins,loc,ren,sel,upd,ref,exe,cre,rea,wri from dba\_obj\_audit\_opts where owner='SCOTT'; 
 
“-”表示没有设置该选项的审计。 
“S”表示使用by session选项进行审计。 
“A”表示使用by access选项进行审计。 
“/”表示使用过whenever successful、whenever not successful选项值。 
 
使用noaudit命令取消对用户实体所进行的审计。 
例如： 
noaudit delete on scott.emp by access whenever successful; 
noaudit delete on scott.dept by access whenever not successful; 
 
5.查看审计结果： 
dba\_audit\_trail; 
    DBA\_AUDIT\_TRAIL displays all standard audit trail entries. 
dba\_audit\_session; 
   DBA\_AUDIT\_SESSION displays all audit trail records concerning CONNECT and DISCONNECT. 
dba\_audit\_object; 
   DBA\_AUDIT\_OBJECT displays audit trail records for all objects in the database. 
 
6.查看创建了哪些审计： 
dba\_obj\_audit\_opts;（实体级审计） 
dba\_priv\_audit\_opts;（权限级审计） 
dba\_stmt\_audit\_opts;（语句级审计） 
 
7.取消审计(将原有的audit语句的audit换成noaudit执行即可)： 
noaudit all; 
noaudit all privileges; 
noaudit update,delete on table\_name \[by username\]; 
 
8.删除审计记录： 
delete from sys.aud$ where timestamp\#<sysdate-100; 
 
 
**二.细粒度审计（FGA）功能。** 
 
        细粒度的审计使用DBMS\_FGA包完成配置和管理工作。细粒度审计除了审计功能外，还可用于绑定变量值的捕获，下面简单讨论一下DBMS\_FGA包的使用： 
</sysdate-100;

SQL> desc dbms\_fga

PROCEDURE ADD\_POLICY

Argument Name                  Type                    In/Out Default?

------------------------------ ----------------------- ------ --------

OBJECT\_SCHEMA                  VARCHAR2                IN     DEFAULT

OBJECT\_NAME                    VARCHAR2                IN

POLICY\_NAME                    VARCHAR2                IN

AUDIT\_CONDITION                VARCHAR2                IN     DEFAULT

AUDIT\_COLUMN                   VARCHAR2                IN     DEFAULT

HANDLER\_SCHEMA                 VARCHAR2                IN     DEFAULT

HANDLER\_MODULE                 VARCHAR2                IN     DEFAULT

ENABLE                         BOOLEAN                 IN     DEFAULT

STATEMENT\_TYPES                VARCHAR2                IN     DEFAULT

AUDIT\_TRAIL                    BINARY\_INTEGER          IN     DEFAULT

AUDIT\_COLUMN\_OPTS              BINARY\_INTEGER          IN     DEFAULT

PROCEDURE DISABLE\_POLICY

Argument Name                  Type                    In/Out Default?

------------------------------ ----------------------- ------ --------

OBJECT\_SCHEMA                  VARCHAR2                IN     DEFAULT

OBJECT\_NAME                    VARCHAR2                IN

POLICY\_NAME                    VARCHAR2                IN

PROCEDURE DROP\_POLICY

Argument Name                  Type                    In/Out Default?

------------------------------ ----------------------- ------ --------

OBJECT\_SCHEMA                  VARCHAR2                IN     DEFAULT

OBJECT\_NAME                    VARCHAR2                IN

POLICY\_NAME                    VARCHAR2                IN

PROCEDURE ENABLE\_POLICY

Argument Name                  Type                    In/Out Default?

------------------------------ ----------------------- ------ --------

OBJECT\_SCHEMA                  VARCHAR2                IN     DEFAULT

OBJECT\_NAME                    VARCHAR2                IN

POLICY\_NAME                    VARCHAR2                IN

ENABLE                         BOOLEAN                 IN     DEFAULT

从上面的结构很容易看出，DBMS\_FGA包主要包括ADD\_POLICY，ENABLE\_POLICY，DISABLE\_POLICY，和DROP\_POLICY这4个存储过程。其中ADD\_POLICY是最常用也是最DBMS\_FGA包中最复杂的过程，参考下面的内容顺序ADD\_POLICY存储过程中参数的含义：

Table 40-2 ADD\_POLICY Procedure Parameters

<table> 
 <tbody> 
 <tr> 
 <th>Parameter</th> 
 <th>Description</th> 
 <th>Default Value</th> 
 </tr> 
 </tbody> 
 <tbody> 
 <tr> 
 <td> object_schema </td> 
 <td> The schema of the object to be audited. (If NULL, the current log-on user schema is assumed.) </td> 
 <td> NULL </td> 
 </tr> 
 <tr> 
 <td> object_name </td> 
 <td> The name of the object to be audited. </td> 
 <td> - </td> 
 </tr> 
 <tr> 
 <td> policy_name </td> 
 <td> The unique name of the policy. </td> 
 <td> - </td> 
 </tr> 
 <tr> 
 <td> audit_condition </td> 
 <td> A condition in a row that indicates a monitoring condition. NULL is allowed and acts as TRUE. </td> 
 <td> NULL </td> 
 </tr> 
 <tr> 
 <td> audit_column </td> 
 <td> The columns to be checked for access. These can include hidden columns. The default, NULL, causes audit if any column is accessed or affected. </td> 
 <td> NULL </td> 
 </tr> 
 <tr> 
 <td> handler_schema </td> 
 <td> The schema that contains the event handler. The default, NULL, causes the current schema to be used. </td> 
 <td> NULL </td> 
 </tr> 
 <tr> 
 <td> handler_module </td> 
 <td> The function name of the event handler; includes the package name if necessary. This function is invoked only after the first row that matches the audit condition in the query is processed. If the procedure fails with an exception, the user SQL statement will fail as well. </td> 
 <td> NULL </td> 
 </tr> 
 <tr> 
 <td> enable </td> 
 <td> Enables the policy if TRUE, which is the default. </td> 
 <td> TRUE </td> 
 </tr> 
 <tr> 
 <td> statement_types </td> 
 <td> The SQL statement types to which this policy is applicable: INSERT, UPDATE, DELETE, or SELECT only. </td> 
 <td> SELECT </td> 
 </tr> 
 <tr> 
 <td> audit_trail </td> 
 <td> Destination (DB or XML) of fine grained audit records. Also specifies whether to populate LSQLTEXT and LSQLBIND in fga_log$. &lt;&lt;&lt;&lt; 要想捕获SQL语句和绑定变量值需要设置DBMS_FGA.EXTENDED，默认值即包含该设置，参数设置示例请参考下面的使用注意事项。 </td> 
 <td> DB+EXTENDED </td> 
 </tr> 
 <tr> 
 <td> audit_column_opts </td> 
 <td> Establishes whether a statement is audited when the query references&nbsp;any&nbsp;column specified in the audit_column parameter or only when&nbsp;all&nbsp;such columns are referenced. &nbsp; &nbsp;&lt;&lt;&lt;&lt; 值有DBMS_FGA.ALL_COLUMNS和DBMS_FGA.ANY_COLUMNS，表示audit_column设置中是满足所有字段捕获还是满足一个字段捕获。 </td> 
 <td> ANY_COLUMNS </td> 
 </tr> 
 </tbody> 
</table>

使用过程应该注意以下内容：

Usage Notes

*  If object\_schema is not specified, the current log-on user schema is assumed.
 *  An FGA policy should not be applied to out-of-line columns such as LOB columns.
 *  Each audit policy is applied to the query individually. However, at most one audit record may be generated for each policy, no matter how many rows being returned satisfy that policy's audit\_condition. In other words, whenever any number of rows being returned satisfy an audit condition defined on the table, a single audit record will be generated for each such policy.
 *  If a table with an FGA policy defined on it receives a Fast Path insert or a vectored update, the hint is automatically disabled before any such operations. Disabling the hint allows auditing to occur according to the policy's terms. (One example of a Fast Path insert is the statement INSERT-WITH-APPEND-hint.)
 *  The audit\_condition must be a boolean expression that can be evaluated using the values in the row being inserted, updated, or deleted. This condition can be NULL (or omitted), which is interpreted as TRUE, but it cannot contain the following elements:
    
     *  Subqueries or sequences
     *  Any direct use of SYSDATE, UID, USER or USERENV functions. However, a user-defined function and other SQL functions can use these functions to return the desired information.
     *  Any use of the pseudo columns LEVEL, PRIOR, or ROWNUM.
    
    Specifying an audit condition of "1=1" to force auditing of all specified statements ("statement\_types") affecting the specified column ("audit\_column") is no longer needed to achieve this purpose. NULL will cause audit even if no rows were processed, so that all actions on a table with this policy are audited.
 *  The audit function (handler\_module) is an alerting mechanism for the administrator. The required interface for such a function is as follows:
    
        PROCEDURE  ( object_schema VARCHAR2, object_name VARCHAR2, policy_name VARCHAR2 )  AS ...
    
    where fname is the name of the procedure, object\_schema is the name of the schema of the table audited, object\_name is the name of the table to be audited, and policy\_name is the name of the policy being enforced. The audit function will be executed with the function owner's privilege.
 *  The audit\_trail parameter specifies both where the fine-grained audit trail will be written and whether it is to include the query's SQL Text and SQL Bind variable information (typically in columns named LSQLTEXT and LSQLBIND):
    
     *  If audit\_trail includes XML, then fine-grained audit records are written to XML-format operating system files stored in the directory specified by an AUDIT\_FILE\_DEST statement in SQL. (The default AUDIT\_FILE\_DEST is $ORACLE\_BASE/admin/$DB\_UNIQUE\_NAME/adump on Unix-based systems, and $ORACLE\_BASE\\admin\\$DB\_UNIQUE\_NAME\\adump on Windows systems.)
     *  If audit\_trail includes DB instead, then the audit records are written to the SYS.FGA\_LOG$ table in the database.
     *  If audit\_trail includes EXTENDED, then the query's SQL Text and SQL Bind variable information are included in the audit trail.
     *  For example:
        
         *  Setting audit\_trail to DBMS\_FGA.DB sends the audit trail to the SYS.FGA\_LOG$ table in the database and omits SQL Text and SQL Bind.
         *  Setting audit\_trail to DBMS\_FGA.DB + DBMS\_FGA.EXTENDED sends the audit trail to the SYS.FGA\_LOG$ table in the database and includes SQL Text and SQL Bind.
         *  Setting audit\_trail to DBMS\_FGA.XML writes the audit trail in XML files sent to the operating system and omits SQL Text and SQL Bind.
         *  Setting audit\_trail to DBMS\_FGA.XML + DBMS\_FGA.EXTENDED writes the audit trail in XML files sent to the operating system and includes SQL Text and SQL Bind.
    
    The audit\_trail parameter appears in the ALL\_AUDIT\_POLICIES view.
 *  You can change the operating system destination using the following command:
    
    ALTER SYSTEM SET AUDIT\_FILE\_DEST = '' DEFERRED
 *  On many platforms, XML audit files are named \_.xml, for example, ora\_2111.xml, or s002\_11.xml. On Windows, the XML audit files are named \_.xml (or \_ProcessId>.xml if the process is not running as a thread).
 *  The audit\_column\_opts parameter establishes whether a statement is audited
    
     *  when the query references any column specified in the audit\_column parameter (audit\_column\_opts = DBMS\_FGA.ANY\_COLUMNS), or
     *  only when all such columns are referenced (audit\_column\_opts = DBMS\_FGA.ALL\_COLUMNS).
    
    The default is DBMS\_FGA.ANY\_COLUMNS.
    
    The ALL\_AUDIT\_POLICIES view also shows audit\_column\_opts.
 *  When audit\_column\_opts is set to DBMS\_FGA.ALL\_COLUMNS, a SQL statement is audited only when all the columns mentioned in audit\_column have been explicitly referenced in the statement. And these columns must be referenced in the same SQL-statement or in the sub-select.
    
    Also, all these columns must refer to a single table/view or alias.
    
    Thus, if a SQL statement selects the columns from different table aliases, the statement will not be audited.

下面介绍几个最常用的初始化参数和视图：  
  
1).SYS.FGA\_LOG$：如果audit\_trail参数包含DB，那么审计记录会被记录在FGA\_LOG$表中。  
2).AUDIT\_FILE\_DEST初始化参数：设置审计操作系统文件的存放位置。  
3).V$XML\_AUDIT\_TRAIL：如果audit\_trail参数包含XML，那么审计记录会记录在AUDIT\_FILE\_DEST初始化参数指定的目的地下的XML文件中，Oracle会读取这些XML文件，生成V$XML\_AUDIT\_TRAIL动态性能视图，方便DBA查看审计详细信息。  
4).DBA\_AUDIT\_POLICIES：详细记录了审计配置的策略信息。  
5).DBA\_FGA\_AUDIT\_TRAIL：查看到审计的SQL语句和绑定变量。  
6).DBA\_COMMON\_AUDIT\_TRAIL：包含V$XML\_AUDIT\_TRAIL动态性能视图的内容，是标准和细粒度审计记录。  
  
*注意：  
        启用细粒度的审计功能不需要设置数据库的AUDIT\_TRAIL初始化参数，只需要设置DBMS\_FGA.ADD\_POLICY存储过程中的AUDIT\_TRAIL参数或使用默认值即可。*  
  
        参考文章：《【实验】【审计】【FGA】使用Oracle的审计功能监控数据库中的可疑操作》：[http://space.itpub.net/519536/viewspace-613323][http_space.itpub.net_519536_viewspace-613323]

**三.Oracle数据对SYS用户的审计以及11g默认开启的审计功能。**  
  
        参考文章：  
        《Oracle 11gR2 Database和ASM默认的审计策略和相关操作》：[http://space.itpub.net/23135684/viewspace-723442][http_space.itpub.net_23135684_viewspace-723442]

--------------------

[Oracle 11g Database和ASM默认的审计策略和相关操作][Oracle 11g Database_ASM]   
  这篇文章详细讨论一下Oracle 11gR2 Database中ASM实例和Database实例默认的审计策略和相关操作。  
  
**1.Oracle 11g DATABASE默认的审计策略。**  
    11gR2 Database的audit\_trail被默认设置为DB，Oracle Database自动标准开启审计功能。下面是11g默认开启的标准审计功能：  
![470b3b6c3c013bed39d34027edf5c1df.png][]  
    上图展示的第一部分是默认开启的权限审计，可以通过DBA\_PRIV\_AUDIT\_OPTS获得开启的权限；第二部分是默认开启的语句审计，可以通过DBA\_OBJ\_AUDIT\_OPTS获得开启的权限。  
  
非SYSDBA、SYSOPER用户的审计记录将存放到SYSTEM表空间下的sys.aud$表中，随着时间的推移，SYSTEM表空间可能因此急剧扩张。  
  
下面是在11g数据库实例下的操作：

SQL> show parameter audit

NAME                                 TYPE        VALUE

\------------------------------------ ----------- ------------------------------

audit\_file\_dest                      string      /u01/app/oracle/admin/ractest/

adump

audit\_sys\_operations                 boolean     FALSE

audit\_syslog\_level                   string

audit\_trail                          string      DB

SQL> select userid,count(1) from aud$ group by userid;

USERID                           COUNT(1)

\------------------------------ ----------

PUBLIC                                 49

TEST                                    2

SYSTEM                                954

SCOTT                                   1

DBSNMP                               6189

SYSMAN                              43371

SOE                                   122

GGATE                                  70

8 rows selected.

SQL> select owner,segment\_name,bytes/1024/1024 mb from dba\_segments where segment\_name='AUD$';

OWNER

\------------------------------

SEGMENT\_NAME

\--------------------------------------------------------------------------------

\----------

SYS

AUD$

5万条审计记录占据了13M的空间。

从上面的结果可以看出，11gR2的数据库实例默认将audit\_trail设置为DB，审计除了SYSDBA、SYSOPER权限用户以外的其他用户特定操作。  
  
**2.对SYSDBA和SYSOPER进行审计。**  
  
对SYSDBA和SYSOPER的审计具有如下的特点：  
1).审计线索必须存储在数据库外部。  
2).始终会对以SYSDBA或SYSOPER身份执行的连接进行审计。  
3).可使用AUDIT\_SYS\_OPERATIONS启用对SYSDBA或SYSOPER操作的附加审计。  
4).可使用AUDIT\_FILE\_DEST控制审计线索。  
  
    无论是远程或本地SYSDBA、SYSOPER权限用户登录都会在audit\_file\_dest指定的目的地生成相应审计文件，记录登录信息。*Windows平台SYSDBA权限用户的审计记录会被写到事件查看器中。*  
  
    下面讨论一下AUDIT\_SYS\_OPERATIONS和AUDIT\_TRIAL两个初始化参数的含义：

# AUDIT\_SYS\_OPERATIONS #

<table> 
 <tbody> 
 <tr> 
 <th>Property</th> 
 <th>Description</th> 
 </tr> 
 </tbody> 
 <tbody> 
 <tr> 
 <td>Parameter type</td> 
 <td>Boolean</td> 
 </tr> 
 <tr> 
 <td>Default value</td> 
 <td>false</td> 
 </tr> 
 <tr> 
 <td>Modifiable</td> 
 <td>No</td> 
 </tr> 
 <tr> 
 <td>Range of values</td> 
 <td>true | false</td> 
 </tr> 
 <tr> 
 <td>Basic</td> 
 <td>No</td> 
 </tr> 
 </tbody> 
</table>

AUDIT\_SYS\_OPERATIONS enables or disables the auditing of top-level operations, which are SQL statements directly issued by users when connecting with SYSDBAor SYSOPER privileges. (SQL statements run from within PL/SQL procedures or functions are not considered top-level.) The audit records are written to the operating system's audit trail. The audit records will be written in XML format if the AUDIT\_TRAIL initialization parameter is set to xml or xml, extended.

On UNIX platforms, if the AUDIT\_SYSLOG\_LEVEL parameter has also been set, then it overrides the AUDIT\_TRAIL parameter and SYS audit records are written to the system audit log using the SYSLOG utility.

audit\_sys\_operations参数为false时，系统只以os文件记录sysdba身份的登录、开关数据库的操作。

audit\_sys\_operations参数为true时，系统以os文件记录sysdba身份的登录、开关数据库的操作，以及其它辅助的操作。  
  
下面是该参数的例子：

a).audit\_sys\_operations=false生成的审计记录：

*Audit file /u01/app/oracle/admin/ractest/adump/ractest2\_ora\_21523\_1.aud*

*Oracle Database 11g Enterprise Edition Release 11.2.0.2.0 - 64bit Production*

*With the Partitioning, Real Application Clusters, Automatic Storage Management, OLAP,*

*Data Mining and Real Application Testing options*

*ORACLE\_HOME = /u01/app/oracle/product/11.2.0/db\_1*

*System name:    Linux*

*Node name:      rhel2.localdomain*

*Release:        2.6.18-164.el5xen*

*Version:        \#1 SMP Tue Aug 18 15:59:52 EDT 2009*

*Machine:        x86\_64*

*VM name:        Xen Version: 3.1 (PVM)*

*Instance name: ractest2*

*Redo thread mounted by this instance: 2*

*Oracle process number: 69*

*Unix process pid: 21523, image: oracle@rhel2.localdomain (TNS V1-V3)*

*Tue May 21 12:44:08 2013 +08:00*

*LENGTH : '160'*

*ACTION :\[7\] 'CONNECT'*

*DATABASE USER:\[1\] '/'*

*PRIVILEGE :\[6\] 'SYSDBA'*

*CLIENT USER:\[6\] 'oracle'*

*CLIENT TERMINAL:\[5\] 'pts/0'*

*STATUS:\[1\] '0'*

*DBID:\[10\] '3282490722'*

*Tue May 21 12:44:44 2013 +08:00*

*LENGTH : '150'*

*ACTION :\[8\] 'SHUTDOWN'*

*DATABASE USER:\[1\] '/'*

*PRIVILEGE :\[6\] 'SYSDBA'*

*CLIENT USER:\[6\] 'oracle'*

*CLIENT TERMINAL:\[5\] 'pts/0'*

*STATUS:\[1\] '0'*

*DBID:\[0\] ''*

*    只对SHUTDOWN和STARTUP进行记录。*

*b).audit\_sys\_operations=true生成的审计记录：*

*Audit file /u01/app/oracle/admin/ractest/adump/ractest2\_ora\_23473\_1.aud*

*Oracle Database 11g Enterprise Edition Release 11.2.0.2.0 - 64bit Production*

*With the Partitioning, Real Application Clusters, Automatic Storage Management, OLAP,*

*Data Mining and Real Application Testing options*

*ORACLE\_HOME = /u01/app/oracle/product/11.2.0/db\_1*

*System name:    Linux*

*Node name:      rhel2.localdomain*

*Release:        2.6.18-164.el5xen*

*Version:        \#1 SMP Tue Aug 18 15:59:52 EDT 2009*

*Machine:        x86\_64*

*VM name:        Xen Version: 3.1 (PVM)*

*Instance name: ractest2*

*Redo thread mounted by this instance: 2*

*Oracle process number: 86*

*Unix process pid: 23473, image: oracle@rhel2.localdomain (TNS V1-V3)*

*Tue May 21 12:58:55 2013 +08:00*

*LENGTH : '160'*

*ACTION :\[7\] 'CONNECT'*

*DATABASE USER:\[1\] '/'*

*PRIVILEGE :\[6\] 'SYSDBA'*

*CLIENT USER:\[6\] 'oracle'*

*CLIENT TERMINAL:\[5\] 'pts/1'*

*STATUS:\[1\] '0'*

*DBID:\[10\] '3282490722'*

*Tue May 21 12:58:55 2013 +08:00*

*LENGTH : '159'*

*ACTION :\[6\] 'COMMIT'*

*DATABASE USER:\[1\] '/'*

*PRIVILEGE :\[6\] 'SYSDBA'*

*CLIENT USER:\[6\] 'oracle'*

*CLIENT TERMINAL:\[5\] 'pts/1'*

*STATUS:\[1\] '0'*

*DBID:\[10\] '3282490722'*

*Tue May 21 12:58:55 2013 +08:00*

*LENGTH : '159'*

*ACTION :\[6\] 'COMMIT'*

*DATABASE USER:\[1\] '/'*

*PRIVILEGE :\[6\] 'SYSDBA'*

*CLIENT USER:\[6\] 'oracle'*

*CLIENT TERMINAL:\[5\] 'pts/1'*

*STATUS:\[1\] '0'*

*DBID:\[10\] '3282490722'*

*Tue May 21 12:59:11 2013 +08:00*

*LENGTH : '184'*

*ACTION :\[30\] 'select count(1) from v$process'*

*DATABASE USER:\[1\] '/'*

*PRIVILEGE :\[6\] 'SYSDBA'*

*CLIENT USER:\[6\] 'oracle'*

*CLIENT TERMINAL:\[5\] 'pts/1'*

*STATUS:\[1\] '0'*

*DBID:\[10\] '3282490722'*

*    对简单的SELECT操作也会记录。  
  
注意：  
    1).数据库实例的启动过程会产生多个审计文件，频繁的启停会产生大量的审计文件。   
    2).以上对SYS用户的审计特性在10g的数据库就已经存在。*

# AUDIT\_TRAIL #

<table> 
 <tbody> 
 <tr> 
 <th>Property</th> 
 <th>Description</th> 
 </tr> 
 </tbody> 
 <tbody> 
 <tr> 
 <td>Parameter type</td> 
 <td>String</td> 
 </tr> 
 <tr> 
 <td>Syntax</td> 
 <td>AUDIT_TRAIL = { none | os | db [, extended] | xml [, extended] }</td> 
 </tr> 
 <tr> 
 <td>Default value</td> 
 <td>none</td> 
 </tr> 
 <tr> 
 <td>Modifiable</td> 
 <td>No</td> 
 </tr> 
 <tr> 
 <td>Basic</td> 
 <td>No</td> 
 </tr> 
 </tbody> 
</table>

AUDIT\_TRAIL enables or disables database auditing.

Values:

*  none
    
    Disables standard auditing. This value is the default if the AUDIT\_TRAIL parameter was not set in the initialization parameter file or if you created the database using a method other than Database Configuration Assistant. If you created the database using Database Configuration Assistant, then the default is db.
 *  os
    
    Directs all audit records to an operating system file. Oracle recommends that you use the os setting, particularly if you are using an ultra-secure database configuration.
 *  db
    
    Directs audit records to the database audit trail (the SYS.AUD$ table), except for records that are always written to the operating system audit trail. Use this setting for a general database for manageability.
    
    If the database was started in read-only mode with AUDIT\_TRAIL set to db, then Oracle Database internally sets AUDIT\_TRAIL to os. Check the alert log for details.
 *  db, extended
    
    Performs all actions of AUDIT\_TRAIL=db, and also populates the SQL bind and SQL text CLOB-type columns of the SYS.AUD$ table, when available. These two columns are populated only when this parameter is specified.
    
    If the database was started in read-only mode with AUDIT\_TRAIL set to db, extended, then Oracle Database internally sets AUDIT\_TRAIL to os. Check the alert log for details.
 *  xml
    
    Writes to the operating system audit record file in XML format. Records all elements of the AuditRecord node except Sql\_Text and Sql\_Bind to the operating system XML audit file.
 *  xml, extended
    
    Performs all actions of AUDIT\_TRAIL=xml, and populates the SQL bind and SQL text CLOB-type columns of the SYS.AUD$ table, wherever possible. These columns are populated only when this parameter is specified.

You can use the SQL AUDIT statement to set auditing options regardless of the setting of this parameter.

*注意：audit\_syslog\_level参数只在unix和Linux平台存在。*  
  
  
**3.ASM默认的审计策略。**  
  
下面是在ASM实例下的操作：

SQL> show parameter audit

NAME                                 TYPE

\------------------------------------ ----------------------

VALUE

\------------------------------

audit\_file\_dest                      string

/u01/app/11.2.0/grid/rdbms/aud

audit\_sys\_operations                 boolean

FALSE

audit\_syslog\_level                   string

可以注意到ASM实例参数中没有包含audit\_trail参数，ASM实例的所有审计记录只能被写到audit\_file\_dest参数指定的目的地。  
  
    与Oracle数据库实例相同，以sysasm、sysdba登录到ASM实例都会在audit\_file\_dest目录下生成相应的审计文件，过于频繁的登录ASM实例将产生大量的审计文件。

**4.默认审计功能的管理。**  
  
1).关闭Database审计功能。  
    将数据库实例的audit\_trail设置为none，重启数据库实例即可关闭数据库实例对非SYSDBA、SYSOPER权限用户的审计功能；该设置并不能关闭对SYSDBA权限用户的审计，SYSDBA权限用户登录依然会在audit\_file\_dest指定目录下生成相应的审计文件。  
  
2).关闭ASM审计功能。  
    同样没法关闭对以SYSASM和SYSDBA、SYSOPER登录用户的审计。  
  
3).迁移AUD$表。  
    AUD$表默认被存放到SYSTEM表空间下，频繁的登录会导致SYSTEM表空间较快扩大，最终可能影响数据库系统的正常运行。参考如下文章：[http://yangtingkun.itpub.net/post/468/496990][http_yangtingkun.itpub.net_post_468_496990]可完成对AUD$表的迁移。  
  
4).AUD$表记录的清除操作。  
    AUD$表可以被直接TRUNCATE，也可以参考如下文章：[http://yangtingkun.itpub.net/post/468/498990][http_yangtingkun.itpub.net_post_468_498990]清除部分AUD$表数据。可以创建并调度JOB对AUD$表进行自动化的清理。

\--end--

--------------------

## 1.      初始化参数AUDIT\_TRAIL用于控制数据库审计，取值说明: ##

*  none 禁用数据库审计
 *  os 启用数据库审计，并将数据库审计记录定向到操作系统审计记录
 *  db 启用数据库审计，并将数据库所有审计记录定向到数据库的SYS.AUD$表
 *  db,extended 启用数据库审计，并将数据库所有审计记录定向到数据库的SYS.AUD$表。另外，填充SYS.AUD$表的SQLBIND 列和SQLTEXT CLOB 列。
 *  xml 启用数据库审计，并将所有记录写到XML格式的操作系统文件中。
 *  xml,extended 启用数据库审计，输出审计记录的所有列，包括SqlText和SqlBind的值。

Oracle公司还推荐使用基于OS文件的审计日志记录方式(OS audit trail files)。

## 2.      不同设置下audit  trail的位置如下： ##

![2cb7fc25313997322032217b9d31be82.png][]

## 3.      db 选项下的aud$表的迁移 ##

在日常的数据库维护中，经常出现因为数据库登录审计的功能启动,导致system表空间被用满.从而出现异常,一般建议把aud$相关对象迁移到其他表空间,从而避免system被用完的风险.

**10g****及以前迁移方法**

alter table AUDIT$ move tablespace users;

alter table AUDIT\_ACTIONS move tablespace users;

alter table AUD$ move tablespace users;

alter table AUD$ move lob(SQLBIND) store as SYS\_IL0000000384C00041$$ (tablespace users);

alter table AUD$ move lob(SQLTEXT) store as SYS\_IL0000000384C00041$$ (tablespace users);

alter index I\_AUDIT rebuild online tablespace users;

alter index I\_AUDIT\_ACTIONS rebuild online tablespace users;

**11g****以后**

**可以使用DBMS\_AUDIT\_MGMT.SET\_AUDIT\_TRAIL\_LOCATION**进行迁移

conn / as sysdba

BEGIN

DBMS\_AUDIT\_MGMT.SET\_AUDIT\_TRAIL\_LOCATION(audit\_trail\_type => DBMS\_AUDIT\_MGMT.AUDIT\_TRAIL\_DB\_STD,

audit\_trail\_location\_value => 'USERS');

END;

## 4.      审计日志清理 ##

**10g****及以前通过手工清理的方式或自定义作业来定期清理**

DELETE FROM SYS.AUD$;

DELETE FROM SYS.AUD$

WHERE obj$name='EMP';

OS和XML选项下进行手动删除审计文件

**11g ****新特性**

通过DBMS\_AUDIT\_MGMT包下的子过程进行手动或定期清理,功能如下

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:bottom;"> Subprogram </td> 
 <td style="vertical-align:bottom;"> Description </td> 
 </tr> 
 </tbody> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;"> <a href="http://docs.oracle.com/cd/E11882_01/appdev.112/e40758/d_audit_mgmt.htm#BABIAEAH" rel="nofollow">CLEAN_AUDIT_TRAIL Procedure</a> </td> 
 <td style="vertical-align:top;"> Deletes audit trail records/files that have been archived </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <a href="http://docs.oracle.com/cd/E11882_01/appdev.112/e40758/d_audit_mgmt.htm#BABFJEAI" rel="nofollow">CLEAR_LAST_ARCHIVE_TIMESTAMP Procedure</a> </td> 
 <td style="vertical-align:top;"> Clears the timestamp set by the&nbsp;<a href="http://docs.oracle.com/cd/E11882_01/appdev.112/e40758/d_audit_mgmt.htm#BABBHHGC" rel="nofollow">SET_LAST_ARCHIVE_TIMESTAMP Procedure</a> </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <a href="http://docs.oracle.com/cd/E11882_01/appdev.112/e40758/d_audit_mgmt.htm#BABFJHCB" rel="nofollow">CREATE_PURGE_JOB Procedure</a> </td> 
 <td style="vertical-align:top;"> Creates a purge job for periodically deleting the audit trail records/files </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <a href="http://docs.oracle.com/cd/E11882_01/appdev.112/e40758/d_audit_mgmt.htm#BABGCGDD" rel="nofollow">DEINIT_CLEANUP Procedure</a> </td> 
 <td style="vertical-align:top;"> Undoes the setup and initialization performed by the&nbsp;<a href="http://docs.oracle.com/cd/E11882_01/appdev.112/e40758/d_audit_mgmt.htm#BABFHEFH" rel="nofollow">INIT_CLEANUP Procedure</a> </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <a href="http://docs.oracle.com/cd/E11882_01/appdev.112/e40758/d_audit_mgmt.htm#BABHJJCD" rel="nofollow">DROP_PURGE_JOB Procedure</a> </td> 
 <td style="vertical-align:top;"> Drops the purge job created using the&nbsp;<a href="http://docs.oracle.com/cd/E11882_01/appdev.112/e40758/d_audit_mgmt.htm#BABFJHCB" rel="nofollow">CREATE_PURGE_JOB Procedure</a> </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <a href="http://docs.oracle.com/cd/E11882_01/appdev.112/e40758/d_audit_mgmt.htm#BABFHEFH" rel="nofollow">INIT_CLEANUP Procedure</a> </td> 
 <td style="vertical-align:top;"> Sets up the audit management infrastructure and sets a default cleanup interval for audit trail records/files </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <a href="http://docs.oracle.com/cd/E11882_01/appdev.112/e40758/d_audit_mgmt.htm#BABDGBCC" rel="nofollow">IS_CLEANUP_INITIALIZED Function</a> </td> 
 <td style="vertical-align:top;"> Checks to see if the&nbsp;<a href="http://docs.oracle.com/cd/E11882_01/appdev.112/e40758/d_audit_mgmt.htm#BABFHEFH" rel="nofollow">INIT_CLEANUP Procedure</a>&nbsp;has been run for an audit trail type </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <a href="http://docs.oracle.com/cd/E11882_01/appdev.112/e40758/d_audit_mgmt.htm#BABBHHGC" rel="nofollow">SET_LAST_ARCHIVE_TIMESTAMP Procedure</a> </td> 
 <td style="vertical-align:top;"> Sets a timestamp indicating when the audit records/files were last archived </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <a href="http://docs.oracle.com/cd/E11882_01/appdev.112/e40758/d_audit_mgmt.htm#BABFJBGE" rel="nofollow">SET_PURGE_JOB_INTERVAL Procedure</a> </td> 
 <td style="vertical-align:top;"> Sets the interval at which the&nbsp;<a href="http://docs.oracle.com/cd/E11882_01/appdev.112/e40758/d_audit_mgmt.htm#BABIAEAH" rel="nofollow">CLEAN_AUDIT_TRAIL Procedure</a>&nbsp;is called for the purge job that you specify </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <a href="http://docs.oracle.com/cd/E11882_01/appdev.112/e40758/d_audit_mgmt.htm#BABGDFAJ" rel="nofollow">SET_PURGE_JOB_STATUS Procedure</a> </td> 
 <td style="vertical-align:top;"> Enables or disables the purge job that you specify </td> 
 </tr> 
 </tbody> 
</table>

--------------------

Oracle 数据库审计功能非常强大，通常包括标准审计(包括用户级审计和系统级审计)和细粒度审计。尽管如此，一不小心就容易造成性能问题。同时会把系统表空间给撑爆。下面的内容描述的是如何将审计从系统表空间剥离以及清理Oracle审计记录，供大家参考。  
一、审计的相关配置  
  
  
\--环境  
SQL> select \* from v$version where rownum=1;  
  
  
BANNER  
\--------------------------------------------------------------------------------  
Oracle Database 11g Enterprise Edition Release 11.2.0.1.0 - 64bit Production  
  
  
SQL> show parameter audit  
  
  
NAME                                 TYPE        VALUE  
\------------------------------------ ----------- ------------------------------  
audit\_file\_dest                      string      /home/oraprod/app/product/11.2  
                                                 .0/dbhome\_1/rdbms/audit  
audit\_sys\_operations                 boolean     FALSE  
audit\_syslog\_level                   string  
audit\_trail                          string      DB  --此值为当前Oracle 11gR2缺省配置  
  
  
\--从下面的查询中可以看出，当前的审计位于system表空间  
SQL> col segment\_name FOR a10  
SQL> SELECT owner,segment\_name,tablespace\_name FROM dba\_segments WHERE segment\_name ='AUD$';  
  
  
OWNER                          SEGMENT\_NA TABLESPACE\_NAME  
\------------------------------ ---------- ------------------------------  
SYS                            AUD$       SYSTEM  
  
  
  
  
二、修改审计存储表空间  
  
  
新增一个表空间用于存储审计日志  
SQL> CREATE tablespace audit\_data datafile '/home/oracle/app/oradata/orcl/audit01.dbf'  
  2  SIZE 100M autoextend ON NEXT 50M;  
  
  
SQL> @tbs\_free.sql  
  
  
TABLESPACE\_NAME                USED (MB FREE (MB TOTAL (M PER\_FR  
\------------------------------ -------- -------- -------- ------  
AUDIT\_DATA                            1    1,199    1,200  100 %  
SYSAUX                            1,133       77    1,210    6 %  
SYSTEM                            1,875       15    1,890    1 %  
  
  
\-- 设定审计数据存放表空间    
SQL> BEGIN  
  2    DBMS\_AUDIT\_MGMT.SET\_AUDIT\_TRAIL\_LOCATION(  
  3      AUDIT\_TRAIL\_TYPE => DBMS\_AUDIT\_MGMT.AUDIT\_TRAIL\_AUD\_STD,  
  4      AUDIT\_TRAIL\_LOCATION\_VALUE => 'AUDIT\_DATA'  
  5    );  
  6  END;  
  7  /  
BEGIN  
\*  
ERROR at line 1:  
ORA-46267: Insufficient space in 'AUDIT\_DATA' tablespace, cannot complete  
operation  
ORA-06512: at "SYS.DBMS\_AUDIT\_MGMT", line 1576  
ORA-06512: at line 2  
\-- 错误提示，尽管我们使用了自动扩展表空间，依旧提示空间不够  
  
  
\-- 查看当前审计数据大小，如下为1152MB  
SQL> select segment\_name,bytes/1024/1024 from dba\_segments where segment\_name='AUD$';  
  
  
SEGMENT\_NAME              BYTES/1024/1024  
\------------------------- ---------------  
AUD$                                 1152  
  
  
\-- 下面调整数据文件大小  
SQL> alter database datafile '/home/oracle/app/oradata/orcl/audit01.dbf' resize 1200m;  
  
  
Database altered.  
  
  
\-- 再次设定审计数据存放表空间OK   
SQL> BEGIN  
  2    DBMS\_AUDIT\_MGMT.SET\_AUDIT\_TRAIL\_LOCATION(  
  3      AUDIT\_TRAIL\_TYPE => DBMS\_AUDIT\_MGMT.AUDIT\_TRAIL\_AUD\_STD,  
  4      AUDIT\_TRAIL\_LOCATION\_VALUE => 'AUDIT\_DATA'  
  5    );  
  6  END;  
  7  /  
  
  
PL/SQL procedure successfully completed.  
  
  
Elapsed: 00:02:23.10  
\--整个过程花费了2m23s，主要是期间进行了数据搬迁  
  
  
SQL> SELECT owner,segment\_name,tablespace\_name FROM dba\_segments WHERE segment\_name ='AUD$';  
  
  
OWNER                          SEGMENT\_NAME                   TABLESPACE\_NAME  
\------------------------------ ------------------------------ ------------------------------  
SYS                            AUD$                           AUDIT\_DATA  
  
  
SQL> @tbs\_free.sql  
  
  
TABLESPACE\_NAME                USED (MB FREE (MB TOTAL (M PER\_FR  
\------------------------------ -------- -------- -------- ------  
AUDIT\_DATA                        1,153       47    1,200    4 %  
SYSAUX                            1,143       67    1,210    6 %  
SYSTEM                              724    1,166    1,890   62 %  
  
  
\-- 从上面的这个查询可以看出，原来位于system表空间的AUD$被迁移到了AUDIT\_DATA  
\-- 相应地AUDIT\_DATA表空间已使用增加，而SYSTEM表空间使用率下降  
  
  
\-- 查看审计数据字典配置信息  
SQL> col PARAMETER\_NAME FOR a30  
SQL> col PARAMETER\_VALUE FOR a15  
SQL> col AUDIT\_TRAIL FOR a20  
SQL> SELECT PARAMETER\_NAME, PARAMETER\_VALUE, AUDIT\_TRAIL  
  2  FROM DBA\_AUDIT\_MGMT\_CONFIG\_PARAMS  
  3  WHERE audit\_trail = 'STANDARD AUDIT TRAIL';  
  
  
PARAMETER\_NAME                 PARAMETER\_VALUE AUDIT\_TRAIL  
\------------------------------ --------------- --------------------  
DB AUDIT TABLESPACE            AUDIT\_DATA      STANDARD AUDIT TRAIL  
DB AUDIT CLEAN BATCH SIZE      10000           STANDARD AUDIT TRAIL  
  
  
  
  
三、清除审计记录  
  
  
通过这个过程设定清除间隔  
SQL> BEGIN  
  2    DBMS\_AUDIT\_MGMT.init\_cleanup(  
  3      audit\_trail\_type         => DBMS\_AUDIT\_MGMT.AUDIT\_TRAIL\_ALL,  
  4      default\_cleanup\_interval => 120 /\* hours \*/);  
  5  END;  
  6  /  
  
  
PL/SQL procedure successfully completed.  
  
  
\-- 下面严验证审计日志清除是否已开启  
SQL> SET SERVEROUTPUT ON  
SQL> BEGIN  
  2    IF DBMS\_AUDIT\_MGMT.is\_cleanup\_initialized(DBMS\_AUDIT\_MGMT.AUDIT\_TRAIL\_AUD\_STD) THEN  
  3      DBMS\_OUTPUT.put\_line('YES');  
  4    ELSE  
  5      DBMS\_OUTPUT.put\_line('NO');  
  6    END IF;  
  7  END;  
  8  /  
YES  
  
  
PL/SQL procedure successfully completed.  
  
  
SQL> select segment\_name,bytes/1024/1024 from dba\_segments where segment\_name='AUD$';  
  
  
SEGMENT\_NAME        BYTES/1024/1024  
\------------------- ---------------  
AUD$                           1152  
  
  
SQL> select 'Leshami' As author,'http://blog.csdn.net/leshami' as Blog from dual;  
  
  
AUTHOR  BLOG  
\------- ----------------------------  
Leshami http://blog.csdn.net/leshami  
  
  
SQL> select count(\*) from AUD$;  
  
  
  COUNT(\*)  
\----------  
   5908086  
  
  
SQL> select min(ntimestamp\#) from aud$;  
  
  
MIN(NTIMESTAMP\#)  
\---------------------------------------------------------------------------  
20-AUG-14 06.11.09.901253 AM  
  
  
\-- 设定归档间隔  
SQL> BEGIN  
  2  DBMS\_AUDIT\_MGMT.set\_last\_archive\_timestamp(  
  3  audit\_trail\_type  => DBMS\_AUDIT\_MGMT.AUDIT\_TRAIL\_AUD\_STD,  
  4  last\_archive\_time => SYSTIMESTAMP-10);  
  5  END;  
  6  /  
  
  
PL/SQL procedure successfully completed  
  
  
\--查看设定的归档间隔  
SQL> SELECT \* FROM dba\_audit\_mgmt\_last\_arch\_ts;  
  
  
AUDIT\_TRAIL          RAC\_INSTANCE LAST\_ARCHIVE\_TS  
\-------------------- ------------ ---------------------------------------------------------------------------  
STANDARD AUDIT TRAIL            0 09-OCT-15 01.27.17.000000 PM +00:00  
  
  
\--通过调用DBMS\_AUDIT\_MGMT.clean\_audit\_trail进行手动清理审计日志  
BEGIN  
  DBMS\_AUDIT\_MGMT.clean\_audit\_trail(  
   audit\_trail\_type        => DBMS\_AUDIT\_MGMT.AUDIT\_TRAIL\_AUD\_STD,  
   use\_last\_arch\_timestamp => TRUE);  
END;  
/  
  
  
DBMS\_AUDIT\_MGMT.clean\_audit\_trail  
This procedure deletes audit trail records. The CLEAN\_AUDIT\_TRAIL procedure is usually called after the   
SET\_LAST\_ARCHIVE\_TIMESTAMP Procedure has been used to set the last archived timestamp for the audit records.  
  
  
\--也可以通过创建一个purge Job来进行清理已归档的历史审计记录  
SQL> BEGIN  
  2    DBMS\_AUDIT\_MGMT.CREATE\_PURGE\_JOB(  
  3      AUDIT\_TRAIL\_TYPE           => DBMS\_AUDIT\_MGMT.AUDIT\_TRAIL\_AUD\_STD,  
  4      AUDIT\_TRAIL\_PURGE\_INTERVAL => 24 /\* hours \*/,  
  5      AUDIT\_TRAIL\_PURGE\_NAME     => 'Daily\_Audit\_Purge\_Job',  
  6      USE\_LAST\_ARCH\_TIMESTAMP    => TRUE  
  7    );  
  8  END;  
  9  /  
  
  
PL/SQL procedure successfully completed.  
  
  
\-- 本次测试使用了job进行清理，注，上面的purge job 并非使用DBMS\_SCHEDULER.CREATE\_JOB创建  
\-- 执行job用于清理归档，通过观察，由于redo log size为50MB，切换较为频繁，花费了19分钟  
\-- 同时伴随有Checkpoint not complete等待事件，可见redo size过小  
SQL> exec DBMS\_SCHEDULER.RUN\_JOB(job\_name => 'SYS.DAILY\_AUDIT\_PURGE\_JOB');  
  
  
PL/SQL procedure successfully completed.  
  
  
Elapsed: 00:19:26.38  
  
  
SQL> select count(\*) from AUD$;  
  
  
  COUNT(\*)  
\----------  
        12  
  
  
\--经查看，清理后空间并没有释放          
SQL> select segment\_name,bytes/1024/1024 from dba\_segments where segment\_name='AUD$';  
  
  
SEGMENT\_NAME                   BYTES/1024/1024  
\------------------------------ ---------------  
AUD$                                      1152  
  
  
SQL> alter table sys.aud$ shrink space cascade;  
alter table sys.aud$ shrink space cascade  
\*  
ERROR at line 1:  
ORA-10636: ROW MOVEMENT is not enabled  
  
  
SQL> alter table sys.aud$ enable row movement;  
  
  
Table altered.  
  
  
SQL> alter table sys.aud$ shrink space cascade;  
  
  
Table altered.  
  
  
SQL> alter table sys.aud$ disable row movement;  
  
  
Table altered.  
  
  
\-- 下面的查询可以看到，空间已经被释放  
SQL> select segment\_name,bytes/1024/1024 from dba\_segments where segment\_name='AUD$';  
  
  
SEGMENT\_NAME         BYTES/1024/1024  
\-------------------- ---------------  
AUD$                           .0625  
  
  
  
  
四、小结  
  
  
a、对于Oracle 11g，审计功能默认被开启，因此如果在必须启用的情况下应考虑性能影响；   
b、开启审计的情况下，建议将审计从system或sysaux表空间剥离，使用单独的表空间；   
c、对于历史审计日志的清除，应考虑清除期间所带来的性能影响；   
d、调用DBMS\_AUDIT\_MGMT.SET\_AUDIT\_TRAIL\_LOCATION这个过程已经开始了搬迁过程，如果审计日志很庞大，应考虑IO影响；   
e、审计日志的清除需要先设定归档，已归档的审计日志会被清理;   
f、也可以通过trunate table aud$ reuse storage以及deallocate非常规方式来处理。

## 根据需求设计审计规则 ##

需求:
      要求ELK收集现有数据库所有sql语句，但由于DML语句过于频繁，只收集数据库所有DDL语句（不管语句是否执行成功，都收集上）；

`根据以上需求和上面oracle审计技术文档，判断为语句级审计满足需求： 需要审计项目：`

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2RlbW9uc29u_size_16_color_FFFFFF_t_70][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2RlbW9uc29u_size_16_color_FFFFFF_t_70 1][]

先清空oracle默认开启的审计项
    
    select * from sys.audit$;
    
    --sys用户登录
    truncate table audit$;

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2RlbW9uc29u_size_16_color_FFFFFF_t_70 2][]

重启数据库

shut immediate
    startup

在执行下面语句级审计DDL

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2RlbW9uc29u_size_16_color_FFFFFF_t_70 3][]

涉及到的SQL:
    select * from sys.audit$;
    select * from sys.aud$;
    select * from dba_priv_audit_opts;
    select * from dba_stmt_audit_opts;
    select * from sys.AUDIT$ a inner join sys.STMT_AUDIT_OPTION_MAP b on a.option#=b.OPTION#;
    
    select userid,userhost, to_char(substr(SQLTEXT,1,3000)) as sql,action#,returncode,to_char(NTIMESTAMP#,'yyyy-mm-dd hh24:mi:ss'),
    SQLBIND,SQLTEXT from sys.aud$  t where userid='GGS'order by t.ntimestamp# desc;

审计语句:
    
    AUDIT DATABASE LINK;
    AUDIT INDEX;
    AUDIT PROCEDURE;
    AUDIT SEQUENCE;
    AUDIT SYSTEM GRANT;
    AUDIT TABLE;
    AUDIT TABLESPACE;
    AUDIT TRIGGER;
    AUDIT USER;
    AUDIT TYPE;
    AUDIT VIEW;
    AUDIT ALTER SEQUENCE;
    AUDIT ALTER TABLE;

取消审计语句:
    
    NOAUDIT DATABASE LINK;
    NOAUDIT INDEX;
    NOAUDIT PROCEDURE;
    NOAUDIT SEQUENCE;
    NOAUDIT SYSTEM GRANT;
    NOAUDIT TABLE;
    NOAUDIT TABLESPACE;
    NOAUDIT TRIGGER;
    NOAUDIT USER;
    NOAUDIT TYPE;
    NOAUDIT VIEW;
    NOAUDIT ALTER SEQUENCE;
    NOAUDIT ALTER TABLE;
    
    取消所有审计语句:
    
    NOAUDIT ALL;

[170a8ba3fd30d73b848ebdce5f3ace9e.png]: /images/20221022/f0f5172bc85b4211b7c7cf4a323bf912.png
[fb93995cc49336b84b9bf9e19a4faa9e.png]: /images/20221022/d6c2e5eba7dd424d91503b9d119a139f.png
[e8eb5c9d9077ce405542817a17a6bd46.png]: /images/20221022/fb90b8410c1549d88bc0779581c54603.png
[Oracle Database]: http://blog.itpub.net/26736162/viewspace-2126089/
[http_space.itpub.net_519536_viewspace-613323]: http://space.itpub.net/519536/viewspace-613323
[http_space.itpub.net_23135684_viewspace-723442]: http://space.itpub.net/23135684/viewspace-723442
[Oracle 11g Database_ASM]: http://blog.itpub.net/23135684/viewspace-723442/
[470b3b6c3c013bed39d34027edf5c1df.png]: /images/20221022/4cba14067c624bd28d743e597e80a764.png
[http_yangtingkun.itpub.net_post_468_496990]: http://yangtingkun.itpub.net/post/468/496990
[http_yangtingkun.itpub.net_post_468_498990]: http://yangtingkun.itpub.net/post/468/498990
[2cb7fc25313997322032217b9d31be82.png]: /images/20221022/3c845c7fc20a4950bbb9843e682429d2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2RlbW9uc29u_size_16_color_FFFFFF_t_70]: /images/20221022/e70e3f4121834a669ec0c2ffc1bf50a4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2RlbW9uc29u_size_16_color_FFFFFF_t_70 1]: /images/20221022/c9abd0627fd54799be2125a3b5d47d7a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2RlbW9uc29u_size_16_color_FFFFFF_t_70 2]: /images/20221022/38451111fe8540cab1aff321de5fb01e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2RlbW9uc29u_size_16_color_FFFFFF_t_70 3]: /images/20221022/5c6ea07ba60e4c72b45c7b8efa645a27.png