Oracle-audit审计
查询oracle数据库审计信息的方法
查询oracle数据库审计信息的方法查询Oracle数据库审计信息的方法1. 概述Oracle数据库的审计功能是一种重要的安全功能，可以帮助管理员监控数据库中的活动，并跟踪和记录对数据库的访问和操作。
审计信息可以用于检测并响应数据库中的潜在安全威胁，同时也可以用于满足合规性要求。
本文将介绍查询Oracle数据库审计信息的方法，帮助管理员获取有关数据库活动的详细报告和分析。
2. 启用审计功能在开始查询审计信息之前，首先需要确保已经启用了Oracle数据库的审计功能。
审计功能通过以下步骤来启用：1) 以sysdba或sysoper权限连接到数据库。
2) 运行以下命令来启用审计功能：ALTER SYSTEM SET audit_trail = db SCOPE=spfile;3) 重启数据库实例使更改生效：SHUTDOWN IMMEDIATE;STARTUP;启用审计功能后，数据库将开始记录指定的审计信息。
3. 查询审计信息要查询Oracle数据库中的审计信息，可以使用以下方法之一：1) 使用Oracle自带的审计视图Oracle提供了一系列的审计视图，用于访问和查询审计信息。
一些常用的审计视图包括：DBA_AUDIT_TRAIL，DBA_COMMON_AUDIT_TRAIL，DBA_FGA_AUDIT_TRAIL等。
管理员可以根据自己的需要选择适当的视图，并使用标准的SQL查询语句来检索审计信息。
可以查询DBA_AUDIT_TRAIL视图来获取数据库级别的审计信息： SELECT * FROM DBA_AUDIT_TRAIL;或者可以查询DBA_COMMON_AUDIT_TRAIL视图来获取通用的审计信息：SELECT * FROM DBA_COMMON_AUDIT_TRAIL;2) 使用审计报告工具除了使用审计视图，还可以使用一些第三方的审计报告工具来查询和分析审计信息。
这些工具通常提供更直观和丰富的报告和分析功能，可以帮助管理员更方便地浏览和理解审计信息。
oracle 审计日志 设置规则
oracle 审计日志设置规则Oracle 审计日志设置规则在使用Oracle数据库的过程中，审计日志是十分重要的安全措施之一。
它可以记录所有数据库中的操作，包括用户登录、数据更改、数据访问等。
通过设置审计日志规则，您可以更好地监控和保护数据库的安全性。
以下是一些设置Oracle审计日志规则的重要步骤：1. 定义审计目标：首先，您需要明确设置审计日志的目标。
考虑您需要监控的数据库操作类型，比如是否需要审计所有用户的登录、所有的数据更新操作等。
2. 创建审计策略：在Oracle数据库中，您可以使用`DBMS_AUDIT_MGMT` 包来创建审计策略。
通过指定数据库对象和操作类型，您可以定义审计规则。
例如，您可以设置审计规则仅审计某个特定用户的操作，并排除其他用户。
3. 启用审计选项：在设置好审计规则后，您需要启用审计选项以开始记录审计日志。
可以通过以下步骤启用审计选项：- 使用`DBMS_AUDIT_MGMT.SET_AUDIT_TRAIL_PROPERTY`过程，将审计日志输出到特定的目标文件或操作系统日志中。
- 使用`DBMS_AUDIT_MGMT.ENABLE_AUDIT_OPTION`过程，启用需要审计的操作项。
4. 监控审计日志：一旦启用审计选项，数据库将开始记录相应的操作到审计日志文件中。
您可以使用SQL查询或Oracle Enterprise Manager等工具来监控审计日志。
定期检查审计日志以确认是否出现不寻常的活动或潜在的安全威胁。
5. 设置审计日志管理策略：审计日志的文件管理很重要，您可以使用`DBMS_AUDIT_MGMT`包中的过程设置审计日志的管理策略。
可以定义审计日志的保留时间、日志文件的大小限制等。
定期清理旧的审计日志，以确保系统性能和安全。
通过设置Oracle审计日志规则，您可以更好地了解数据库中发生的操作，并及时发现潜在的安全问题。
请确保审计日志的记录和审计管理策略的设置符合您的安全需求，并进行定期的审计日志分析。
Oracle11g审计--权限审计+对象审计
例子：Oracle10g审计默认关闭，Oracle11g默认情况是开启的，查看参数，audit_trail=DB，此时只开启系统级别审计权限，包括：登陆、退出、增删改用户等。
查看对象拥有的审计内容，发现没有针对单独用户设置权限设置用户test系统级别审计TEST用户执行SQL:CREATE TABLE ZM123456(ID INT);COMMIT;select * from dba_audit_trail order by EXTENDED_TIMESTAMP desc;Java代码1.2> 权限审计：对某一个系统权限的使用状况进行审计。
这里强调系统权限()。
2. a. 使用audit语句定义权限审计语法如下：3.audit privilege_name [by user_name]| [by session|access] [whenever [not] successful]4.privilege_name: 表示系统权限名称er_name: 表示用户名6.例如：audit create table 可以表示对涉及creat table 权限的操作进行审计。
7.8. b. 使用noaudit语句取消权限审计9.如：noaudit alter table by scott;10.11.查看对哪些用户进行了权限Audit12.select user_name, privilege,success,failure from dba_priv_audit_opts order by user_name;Java代码1.3> 对象Audit：监视所有用户对某一个对象(表，视图...)的访问情况。
对一个特殊模式对象上的DML(Data Manipulation Language)语句进行审计。
记录作用在指定对象上的操作。
2.例如：audit select on scott.dept语句，表示对指定scott用户的dept表，Audit对其进行的select语句。
oracle 审计参数
oracle 审计参数
Oracle数据库的审计参数主要包括以下几个方面：
1. audit_file_dest：该参数用于指定审计记录的存放路径。
如果采用操作系统存放审计记录，此目录是存放记录的路径。
2. audit_sys_operations：该参数取值true或false，当设置为true时，所有sys用户（包括以sysdba、sysoper身份登录的用户）的操作都会被记录。
3. audit_syslog_level：这个参数一般不常用。
4. audit_trail：该参数控制审计功能的参数，可以设置为以下几种：NONE（不开启）、DB（开启审计功能）、OS（审计记录写入一个操作系统文件）、TRUE（与参数DB一样）、FALSE（不开启审计功能）。
如需了解更多关于Oracle数据库的审计参数，建议咨询Oracle数据库的专业人士。
linux audit审计日志
linux audit审计日志摘要：一、Linux 审计概述1.审计的作用2.审计的种类3.审计日志的存储位置二、Linux audit 审计日志工具1.auditctl2.ausearch3.aureport三、如何进行Linux 审计日志分析1.使用ausearch 搜索审计日志文件2.分析audit.log 文件3.使用aureport 生成审计报告四、案例分享1.Oracle 审计2.MySQL 审计正文：一、Linux 审计概述审计是系统安全和合规性的重要组成部分。
在Linux 系统中，审计可以记录系统的操作和事件，以便管理员能够监控和审查系统的活动。
审计分为两种类型：日志审计和文件审计。
日志审计主要用于记录系统的事件，如登录、登录失败、文件访问等。
文件审计则用于记录文件的访问和修改情况。
审计日志文件通常存储在/var/log/audit目录下。
这个目录包含了所有审计日志文件，例如audit.log、audit.log.1、audit.log.2等。
二、Linux audit 审计日志工具在Linux 系统中，有多个工具可以用于审计日志。
下面介绍三个常用的工具：1.auditctlauditctl 是Linux 系统中的一个审计工具，可以用于控制审计日志的开启和关闭，以及设置审计日志的级别。
它位于/usr/bin/auditctl。
使用方法如下：```auditctl -l /path/to/audit.log```2.ausearchausearch 是Linux 系统中的一个审计工具，可以用于搜索审计日志文件中的特定事件。
它位于/usr/bin/ausearch。
使用方法如下：```ausearch /path/to/audit.log "event_name"```3.aureportaureport 是Linux 系统中的一个审计工具，可以用于生成审计报告。
oracle审计
审计可以分为3类。
或者说，可以从三种角度去启用审计。
1、语句审计（Statement Audting）.对预先指定的某些SQL语句进行审计。
这里从SQL 语句的角度出发，进行指定。
审计只关心执行的语句。
例如，audit CREATE TABLE；命令，就表明对“CREATE TABLE”语句的执行进行记录。
不管这语句是否是针对某个对象的操作2、权限审计(Privilege Auditing)对涉及某些权限的操作进行审计。
这里强调“涉及权限”例如，audit CREATE TABLE;命令，又可以表明对涉及“CREA TE TABLE”权限的操作进行审计。
所以说，在这种命令的情况下，既产生一个语句审计，又产生了一个权限审计。
有时候“语句审计”和“权限审计”的相互重复的。
这一点可以后面证明。
3、对象审计(Object Auditing)。
记录作用在指定对象上的操作。
三、如何启用审计。
通过数据库初始化参数文件中的AUDIT_TRAIL 初始化参数启用和禁用数据库审计。
DB 启用数据库审计并引导所有审计记录到数据库的审计跟踪OS 启用数据库审计并引导所有审计记录到操作系统的审计跟踪。
可以用AUDIT_FILE_DEST 初始化参数来指定审计文件存储的目录。
NONE 禁用审计这个值是默认值四、如何设定所需的审计AUDIT语句。
例如：审计属于用户jward 的dept 表上的所有的SELECT INSERT 和DELETE 语句AUDIT SELECT, INSERT, DELETEON jward.dept;五、控制何时触发审计动作。
1)By session / By Accessby session对每个session中发生的重复操作只记录一次by access对每个session中发生的每次操作都记录，而不管是否重复。
2)Whenever successful/ Whenever not successfulWhenever successful表示操作成功以后才记录下来。
oracle19c 查询审计内容
oracle19c 查询审计内容Oracle Database 19c 提供了强大的审计功能，可以用于监控和记录数据库中发生的各种事件。
审计功能可以用于跟踪用户活动、敏感数据的访问、系统权限的变更等。
以下是一些在 Oracle Database 19c 中查询审计内容的常见方法：审计视图：Oracle 提供了多个视图，通过这些视图可以查询审计信息。
一些常见的审计视图包括：DBA_AUDIT_TRAIL: 包含了数据库级别的审计信息，如登陆、创建对象、DDL 操作等。
DBA_COMMON_AUDIT_TRAIL: 提供了与 DBA_AUDIT_TRAIL 类似的信息。
DBA_FGA_AUDIT_TRAIL: 用于审计 Fine-Grained Auditing（FGA）的信息，即对敏感数据的访问。
ALL_AUDIT_POLICIES: 包含启用的审计政策的信息。
例如，查询数据库级别的审计日志可以使用以下 SQL 语句：SELECT * FROM DBA_AUDIT_TRAIL;审计选项：在 Oracle 19c 中，你可以使用 AUDIT 和 NOAUDIT 语句启用或禁用审计选项。
例如，启用对表的 SELECT 操作审计：AUDIT SELECT ON schema.table_name BY ACCESS;查询已启用的审计选项可以使用以下 SQL 语句：SELECT * FROM DBA_STMT_AUDIT_OPTS;审计策略：在 Oracle 中，你还可以使用审计策略（Audit Policy）来定义和启用审计。
审计策略提供了更灵活的方式来控制审计，可以基于标签、条件等进行配置。
CREATE AUDIT POLICY my_policyACTIONS ALLWHEN 'SYS_CONTEXT(''USERENV'', ''SESSION_USER'') = ''HR''';查询已定义的审计策略：SELECT * FROM ALL_AUDIT_POLICIES;请注意，对于真实的生产环境，审计功能的配置和使用需要仔细考虑，并且应该遵循最佳实践和安全标准。
oracle清理审计日志
oracle清理审计日志Oracle数据库是一个广泛使用的关系型数据库管理系统。
在管理数据库的过程中，安全审计和日志记录都是非常重要的。
Oracle数据库的审计日志可以跟踪关键的数据库活动，例如用户访问记录，错误记录等。
然而，当日志文件太大时，可能会耗尽磁盘空间，因此清理审计日志文件是管理数据库的必要措施。
本文将探讨如何清理Oracle数据库的审计日志。
1. 审计日志介绍审计日志是记录Oracle数据库所有活动的文件。
这些活动包括用户登录、表的查询和修改、系统权限的分配等。
记录审计日志的目的是为了安全审计和理解数据库行为。
审计日志通常包含以下内容：• 用户登录和注销• 对象创建和删除• 表的插入、查询、修改和删除• 系统授权和收回• 数据库启动和关闭• 错误记录审计日志在Oracle数据库中是通过审计跟踪来启用的。
审计跟踪是通过配置审计策略来实现的。
审计策略可以定位审计选项，例如审计表访问、审计用户活动等。
审计日志默认情况下存储在Oracle数据库的特殊表中（AUD$表）中。
2. 清理审计日志的必要性审计日志可以占用大量磁盘空间，特别是在高流量数据库中。
如不清理审计日志，可能会满足磁盘空间，从而导致数据库停止运行，严重影响业务。
在清理审计日志之前，建议仔细分析日志，以确保安全审计和业务需求已经满足。
例如，如果有法律要求保留审计日志，则不应该清理日志。
同时，如果存在业务需要审计日志，则需要分析该需求中所需的信息，以便在清除审计日志时保留足够的信息。
3. 清理审计日志的步骤和方法清理审计日志的方法通常分为两种：手动和自动。
• 手动清理审计日志手动清理审计日志需要通过以下步骤完成：a. 确定要删除的日志时间段b. 停用审计跟踪c. 使用Oracle的PURGE命令删除AUD$表中的记录d. 启用审计跟踪以下是手动清理审计日志的详细步骤：1. 识别要删除的日志时间段首先，您需要确定要删除的日志时间段。
建议在必要时与安全团队或管理团队联络，根据安全、遵循合规性或业务需求，确定日志保留期限。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
最好把aud$移动到其他的表空间上。可以使用下面的语句来进行移动：
1创建审计用的表空间（sys用户）
SQL>createtablespaceaudit_dataloggingdatafile'/oracle/oradata/xxx/audit01.dbf'size20mautoextendoffextentmanagementlocalsegmentspacemanagementauto;
selectindex_name,tablespace_namefromdba_indexeswhereindex_namelike'%AUDIT%';
5开启数据库审计
altersystemsetaudit_sys_operations=truescope=spfile;
altersystemsetaudit_trail=db,extendedscope=spfile;
------------------------------------------------------------------------------
--审计迁移案例
1安装数据库的审计功能
conn /assysdba;
SQL> @$ORACLE_HOME/rdbms/admin/cataudit.sql安装审计软件
AUDITDELETE,UPDATE,INSERTONscott.emp;
10审计用户的delete、updet、insert操作
altersystemsetaudit_trail=DB_EXTENDEDscope=spfile;
auditupdatetable,deletetable,inserttablebyscottbyACCESS;
altertableaudit_actionsmovetablespaceaudit_data;
alterindexi_audit_actionsrebuildonlinetablespaceaudit_data;
4查询结果
selecttable_name,tablespace_namefromdba_tableswheretable_namelike'%AUD%';
3在线迁移
--connect / as sysdba;
altertableaud$movetablespaceaudit_data;
altertableaudit$movetablespaceaudit_data;
alterindexi_auditrebuildonlinetablespaceaudit_data;
selectindex_name,tablespace_namefromdba_indexeswhereindex_namelike'%AUDIT%';
--审计的清理【保留备份策略】
1创建一张备份表
SQL>createtableaudit201505tablespaceaudit_dataasselect*fromsys.aud$;
4)·超级管理员(SYS)的审计记录
--默认的审计
不论当前是否已经开启的审计功能，数据库都会把一些数据库相关的操作写入外部审计文件中(注意：不是写入SYS.AUD$表)，这些被默认审计的操作内容是：
1)以超级管理员权限对数据库的连接(connectASSYSDBA或connectASSYSOPER)
--1审计功能介绍
数据库审计，就是对数据库的活动做跟踪记录，主要包括数据库连接，SQL语句执行，数据库对象访问这些方面的跟踪记录，11g后默认是开启的:
审计存储在system表空间中的sys.aud$表中默认位置为$oracle_base/admin/$oracle_sid/adump/可通过视图dba_audit_trail查看
shutdownimmediate;
startup;
showparameteraudit查看状态
truncatetablesys.aud$删除审计
------------------------------------------------------------------------------
AUDITDELETEANYTABLEWHENEVERNOTSUCCESSFUL;
5审计删除表的操作(限制：只审计删除成功的情况)
AUDITDELETEANYTABLEWHENEVERSUCCESSFUL;
6审计删除表的操作(限制：同一个会话中相同的操作语句只审计一次)(注：对于这种情况，如果审计记录被设定为存储在外部文件中时，这个效果是体现不出来的，因为oracle无法判断是否已经审计过相同的操作语句)
2迁移到新的表空间【迁移以下五个参数文件即可】
altertableaud$movetablespaceaudit_data;
altertableaudit$movetablespaceaudit_data;
alterindexi_auditrebuildonlinetablespaceaudit_data;
2导出备份
[oracle@xxx ~]$expsystem/oraclefile=audit201505.dmptables=sys.audit201505
3最后删除数据定期备份清理
SQL>truncatetablesys.aud$这样可以把审计删除而且可以把空间回收（推荐）
SQL>deletefromsys.aud$;注意:delete不会释放system表空间(不推荐)
DB,Extended：这样审计结果里面除了连接信息还包含了当时执行的具体语句。
OS：将audit trail记录在操作系统文件中，文件保存路径由audit_file_dest参数指定。
--审计功能的安装
SQL>connect/assysdba
SQL> @$oracle_home/rdbms/admin/cataudit.sql--安装审计【审计表默认安装在system表空间。所以要确保system表空间又足够的空间存放审计信息安装后要重启数据库】
5停止审计删除表的操作(限制：停止审计删除成功的情况)
NOAUDITDELETEANYTABLEWHENEVERSUCCESSFUL;
6停止审计对scott.emp表的delete操作
NOAUDITDELETEONscott.emp;
7停止审计对scott.emp表的delete、updet、insert操作
--审计的关闭(11g默认是开启的--建议装完数据库后就关闭)
SQL>altersystemsetaudit_trail='none'scope=spfile;
SQL>shutdownimmediate;
SQL> startup;--重启数据库才生效。
SQL>showparameter audit_trail--查看结果
--查询几次测试（hr用户进去才可以审计得到）
conn hr/hr
select*fromhr.employeeswhereDEPARTMENT_ID=20
7查看结果
conn /assysdba;
select*fromaud$whereuserid='HR'
8关闭审计功能
altersystemsetaudit_trail=nonescope=spfile;
例如：数据被非授权用户所删除，此时安全管理员可决定对该数据库的所有连接进行审计，以及对数据库的所有表的成功地或不成功地删除进行审计。对全部用户或指定用户的活动的审计。
但有些功能不管开不开审计，都是会被记录的【其实很少用Oracle自己的审计一般都是使用第三方的】
--审计相关的参数与视图
audit_sys_operations默认为false，当设置为true时，所有sys用户（包括以sysdba, sysoper身份登录的用户）的操作都会被记录.
audittrail不会写在aud$表中，这个很好理解，如果数据库还未启动aud$不可用，那么像conn /assysdba这样的连接信息，只能记录在其它地方。
如果是linux/unix平台则会记录在audit_file_dest参数指定的文件中。
None：不做审计。
DB：将audit trail记录在数据库的aud$表中，审计的结果只有连接信息。
--停止审计选项
1停止所有对会话的创建与结束的审计
NOAUDITSESSION;
2停止对用户fey,scott的会话的创建与结束的审计
NOAUDITSESSIONBYscott;
3停止审计删除表的操作
NOAUDITDELETEANYTABLE;
4停止审计删除表的操作(限制：停止审计删除失败的情况)
NOAUDITDELETEANYTABLEWHENEVERNOTSUCCESSFUL;
SQL>selectcount(*)fromsys.aud$;--查看现在的审计记录(11g默认就开了审计了)
SQL>selectcount(*)fromdba_audit_trail;--如果查询的时候发现表不存在，说明审计相关的表还没有安装，需要安装。
--------------审计功能的迁移--------------
altertableaudit_actionsmovetablespaceaudit_data;
alterindexi_audit_actionsrebuildonlinetablespaceaudit_data;
3查询结果
selecttable_name,tablespace_namefromdba_tableswheretable_namelike'%AUD%';