oracle審計功能-資料下載頁
2025-06-28 08:33本頁面
【正文】 ( object_schema = 39。TEST39。, object_name = 39。ACCOUNT39。, policy_name = 39。ACCOUNT_SEL39。, audit_column = 39。ACCOUNT_NO, BALANCE39。, audit_condition = 39。BALANCE = 300039。, statement_types = 39。SELECT39。 )。end。在某些情況下，列的組合可能很重要，而不是某個特定的列。以上策略是在 ACCOUNT_NO 和 BALANCE 上定義的。那么如果用戶發(fā)出以下語句： select balance from accounts where account_no = 9995。這條語句將被審計，因為 balance 列被選中，且余額為 3,200，大于 3,000，滿足審計條件。如果一個用戶想查出在銀行的總余額，他發(fā)出： select sum(balance) from account。這條查詢幾乎沒什么害處；它不明確指出帳戶所有者和帳戶余額。因此安全策略可能不會要求審計這條查詢。不過，這條查詢 select balance from account where account_no = 9995必須被審計；因為它明確地指定了一個帳戶。默認地，所有語句都被審計（無論使用了什么樣的列組合）。這將創(chuàng)建大量不需要的審計線索項目，并可能帶來一些空間限制問題。為了限制它們，您可以指定僅當在查詢中使用了希望的列組合時才開始審計。當定義策略時，您可以使用一個新的參數： audit_column_opts = 這個參數將使策略僅當列 ACCOUNT_NO 和 BALANCE 在查詢中都被訪問時才創(chuàng)建審計線索項目。例如，以下查詢將產生一個審計線索項目。 select account_no, balance from account。但這條查詢不會產生審計線索項目。 select account_no from account。使用這個參數將把審計的數量限制在一個更易管理的大小。如果希望采用默認的行為 — 即任意列被選中時都進行審計，那么您可以對同一參數的使用不同值。 audit_column_opts = 與標準審計的結合： 通過制定如下審計策略實現標準審計與細粒度審計的結合begin ( object_schema = 39。TEST39。, object_name = 39。ACCOUNT39。, policy_name = 39。ACCOUNT_SEL39。, audit_column = 39。ACCOUNT_NO, BALANCE39。, audit_condition = 39。BALANCE = 300039。, statement_types = 39。SELECT39。, audit_column_opts = , audit_trail = DB )。end。通過指定audit_trail = DB參數實現在細粒度審計時開啟標準審計。在 Oracle Database 10g 中，標準審計也得到了巨大的改進。通過 AUDIT 命令執(zhí)行標準審計，它現在能夠捕獲大量其它有用的信息。在內容和功能方面，標準審計類似于細粒度審計。然而，作為一個數據庫管理員，有興趣知道所有的審計項目，而不只是一個審計項目。一個新的視圖，DBA_COMMON_AUDIT_TRAIL，結合了標準審計線索和 FGA審計 線索。用以下查詢來檢查它們二者如： select * from dba_mon_audit_trail。通過這條查詢可以同時查看兩種審計收集的信息。四、FGA 審計和標準審計的差異 ： 標準審計必須用參數 AUDIT_TRAIL 在數據庫級啟用。這個參數不是動態(tài)的；您必須重啟數據庫來使其生效。相比而言，FGA 不需要任何參數修改。 一旦被設置在一個對象上，標準審計將保持在那里。要解除它，必須用 NOAUDIT 命令刪除審計選項。這可能很不方便，因為在一個表上丟棄審計選項也將丟棄元數據信息。然而，FGA 可以臨時禁用和啟用，不丟失任何元數據信息。 FGA 只能夠處理四種類型的語句：SELECT、INSERT、UPDATE 和 DELETE。相比而言，常規(guī)審計可以處理其它許多語句和權限，甚至會話連接和斷開。 標準審計每次會話只創(chuàng)建一條記錄（按會話）或每次訪問對象創(chuàng)建一條記錄（按訪問）這種占用資源很少的方式對于控制審計線索表中的空間非常重要。FGA 并不是同樣節(jié)省資源；它每次訪問運行一次 — 使得線索更大。 通過記錄線索，標準審計可以用來檢測任何中斷企圖，如果企圖沒有成功，則將產生錯誤代碼。而 FGA 不能。 標準審計可以寫數據庫表或 OS 文件。后者在審計員（不是數據庫管理員）能夠訪問線索時非常有用。在 Windows 下，非數據庫審計線索記錄在事件日志中，并且可以用不同的方式對其進行訪問。這個選項保護了審計線索的完整性。然而，FGA 日志僅寫到數據庫表 FGA_LOG$ 中?？梢栽?FGA 中創(chuàng)建用戶自定義的審計處理程序來寫 OS 文件，但它們的完整性不能保證。 標準審計可以設置用于默認對象。當表是在運行期創(chuàng)建時，這個功能變得極為有用：默認的審計選項允許沒有數據庫管理員干預的審計。這在 FGA 中是不可能的，用戶必須在一個現有的表上創(chuàng)建策略，上述的情況只能在表已創(chuàng)建之后才可能發(fā)生。 在 FGA 中，審計更加靈活 — 僅當訪問某些列，當某個特定的條件為真時等等。這種多功能性在您需要控制線索的增長時非常方便。 在 FGA 中，SQL 賦值變量默認被捕獲。在標準審計中，必須把初始化參數 audit_trail設為 db_extended，以啟用這一功能。 權限差異：標準審計需要審計系統(tǒng)或語句權限；FGA 只需要 dbms_fga 程序包上的運行權限。 13 / 13
物理相關推薦
鄂ICP備17016276號-1