oracle審計(jì)功能介紹-資料下載頁
2025-06-29 08:00本頁面
【正文】 ( object_schema = 39。TEST39。, object_name = 39。ACCOUNT39。, policy_name = 39。ACCOUNT_SEL39。, audit_column = 39。ACCOUNT_NO, BALANCE39。, audit_condition = 39。BALANCE = 300039。, statement_types = 39。SELECT39。 )。end。在某些情況下，列的組合可能很重要，而不是某個(gè)特定的列。以上策略是在 ACCOUNT_NO 和 BALANCE 上定義的。那么如果用戶發(fā)出以下語句： select balance from accounts where account_no = 9995。這條語句將被審計(jì)，因?yàn)?balance 列被選中，且余額為 3,200，大于 3,000，滿足審計(jì)條件。如果一個(gè)用戶想查出在銀行的總余額，他發(fā)出： select sum(balance) from account。這條查詢幾乎沒什么害處；它不明確指出帳戶所有者和帳戶余額。因此安全策略可能不會要求審計(jì)這條查詢。不過，這條查詢 select balance from account where account_no = 9995必須被審計(jì)；因?yàn)樗鞔_地指定了一個(gè)帳戶。默認(rèn)地，所有語句都被審計(jì)（無論使用了什么樣的列組合）。這將創(chuàng)建大量不需要的審計(jì)線索項(xiàng)目，并可能帶來一些空間限制問題。為了限制它們，您可以指定僅當(dāng)在查詢中使用了希望的列組合時(shí)才開始審計(jì)。當(dāng)定義策略時(shí)，您可以使用一個(gè)新的參數(shù)： audit_column_opts = 這個(gè)參數(shù)將使策略僅當(dāng)列 ACCOUNT_NO 和 BALANCE 在查詢中都被訪問時(shí)才創(chuàng)建審計(jì)線索項(xiàng)目。例如，以下查詢將產(chǎn)生一個(gè)審計(jì)線索項(xiàng)目。 select account_no, balance from account。但這條查詢不會產(chǎn)生審計(jì)線索項(xiàng)目。 select account_no from account。使用這個(gè)參數(shù)將把審計(jì)的數(shù)量限制在一個(gè)更易管理的大小。如果希望采用默認(rèn)的行為 — 即任意列被選中時(shí)都進(jìn)行審計(jì)，那么您可以對同一參數(shù)的使用不同值。 audit_column_opts = 與標(biāo)準(zhǔn)審計(jì)的結(jié)合： 通過制定如下審計(jì)策略實(shí)現(xiàn)標(biāo)準(zhǔn)審計(jì)與細(xì)粒度審計(jì)的結(jié)合begin ( object_schema = 39。TEST39。, object_name = 39。ACCOUNT39。, policy_name = 39。ACCOUNT_SEL39。, audit_column = 39。ACCOUNT_NO, BALANCE39。, audit_condition = 39。BALANCE = 300039。, statement_types = 39。SELECT39。, audit_column_opts = , audit_trail = DB )。end。通過指定audit_trail = DB參數(shù)實(shí)現(xiàn)在細(xì)粒度審計(jì)時(shí)開啟標(biāo)準(zhǔn)審計(jì)。在 Oracle Database 10g 中，標(biāo)準(zhǔn)審計(jì)也得到了巨大的改進(jìn)。通過 AUDIT 命令執(zhí)行標(biāo)準(zhǔn)審計(jì)，它現(xiàn)在能夠捕獲大量其它有用的信息。在內(nèi)容和功能方面，標(biāo)準(zhǔn)審計(jì)類似于細(xì)粒度審計(jì)。然而，作為一個(gè)數(shù)據(jù)庫管理員，有興趣知道所有的審計(jì)項(xiàng)目，而不只是一個(gè)審計(jì)項(xiàng)目。一個(gè)新的視圖，DBA_COMMON_AUDIT_TRAIL，結(jié)合了標(biāo)準(zhǔn)審計(jì)線索和 FGA審計(jì) 線索。用以下查詢來檢查它們二者如： select * from dba_mon_audit_trail。通過這條查詢可以同時(shí)查看兩種審計(jì)收集的信息。四、FGA 審計(jì)和標(biāo)準(zhǔn)審計(jì)的差異 ： 標(biāo)準(zhǔn)審計(jì)必須用參數(shù) AUDIT_TRAIL 在數(shù)據(jù)庫級啟用。這個(gè)參數(shù)不是動(dòng)態(tài)的；您必須重啟數(shù)據(jù)庫來使其生效。相比而言，F(xiàn)GA 不需要任何參數(shù)修改。 一旦被設(shè)置在一個(gè)對象上，標(biāo)準(zhǔn)審計(jì)將保持在那里。要解除它，必須用 NOAUDIT 命令刪除審計(jì)選項(xiàng)。這可能很不方便，因?yàn)樵谝粋€(gè)表上丟棄審計(jì)選項(xiàng)也將丟棄元數(shù)據(jù)信息。然而，F(xiàn)GA 可以臨時(shí)禁用和啟用，不丟失任何元數(shù)據(jù)信息。 FGA 只能夠處理四種類型的語句：SELECT、INSERT、UPDATE 和 DELETE。相比而言，常規(guī)審計(jì)可以處理其它許多語句和權(quán)限，甚至?xí)掃B接和斷開。 標(biāo)準(zhǔn)審計(jì)每次會話只創(chuàng)建一條記錄（按會話）或每次訪問對象創(chuàng)建一條記錄（按訪問）這種占用資源很少的方式對于控制審計(jì)線索表中的空間非常重要。FGA 并不是同樣節(jié)省資源；它每次訪問運(yùn)行一次 — 使得線索更大。 通過記錄線索，標(biāo)準(zhǔn)審計(jì)可以用來檢測任何中斷企圖，如果企圖沒有成功，則將產(chǎn)生錯(cuò)誤代碼。而 FGA 不能。 標(biāo)準(zhǔn)審計(jì)可以寫數(shù)據(jù)庫表或 OS 文件。后者在審計(jì)員（不是數(shù)據(jù)庫管理員）能夠訪問線索時(shí)非常有用。在 Windows 下，非數(shù)據(jù)庫審計(jì)線索記錄在事件日志中，并且可以用不同的方式對其進(jìn)行訪問。這個(gè)選項(xiàng)保護(hù)了審計(jì)線索的完整性。然而，F(xiàn)GA 日志僅寫到數(shù)據(jù)庫表 FGA_LOG$ 中。可以在 FGA 中創(chuàng)建用戶自定義的審計(jì)處理程序來寫 OS 文件，但它們的完整性不能保證。 標(biāo)準(zhǔn)審計(jì)可以設(shè)置用于默認(rèn)對象。當(dāng)表是在運(yùn)行期創(chuàng)建時(shí)，這個(gè)功能變得極為有用：默認(rèn)的審計(jì)選項(xiàng)允許沒有數(shù)據(jù)庫管理員干預(yù)的審計(jì)。這在 FGA 中是不可能的，用戶必須在一個(gè)現(xiàn)有的表上創(chuàng)建策略，上述的情況只能在表已創(chuàng)建之后才可能發(fā)生。 在 FGA 中，審計(jì)更加靈活 — 僅當(dāng)訪問某些列，當(dāng)某個(gè)特定的條件為真時(shí)等等。這種多功能性在您需要控制線索的增長時(shí)非常方便。 在 FGA 中，SQL 賦值變量默認(rèn)被捕獲。在標(biāo)準(zhǔn)審計(jì)中，必須把初始化參數(shù) audit_trail設(shè)為 db_extended，以啟用這一功能。 權(quán)限差異：標(biāo)準(zhǔn)審計(jì)需要審計(jì)系統(tǒng)或語句權(quán)限；FGA 只需要 dbms_fga 程序包上的運(yùn)行權(quán)限。 13 / 1
語文相關(guān)推薦
鄂ICP備17016276號-1