|
4.1 实现细粒度审计 背景
您可能已经注意到，本文到现在还没有涉及到作为审计机制的触发器。为什么？ 因为使用触发器，就意味着 再次 连续地执行 SQL，这增加了整个执行时间。 对生产系统来说，该开销几乎是不可以接受的。
因为细粒度审计 (FGA) 有最小的性能开销，所以在这里它是一个优秀的解决方案。 如果您已经熟悉 FGA，请跳过这一部分，直接阅读策略部分。
Oracle9i 数据库中引入了 FGA 特性，当用户对表进行选择和更改操作时，它将记录一个审计线索。 因这一特性是唯一可记录选择活动的方法，所以它具有里程碑式的意义。 SELECT 语句上的常规审计功能仅仅记录 谁 针对对象发出了语句，但是不记录发送了 什么 语句。
除开详细信息（例如用户名、终端，以及查询时间）之外，FGA 还记录执行过的 SQL 语句和时间实例的 SCN 数量。 当您使用闪回查询重建数据之后，你不仅看到用户提交的语句，还有用户得到结果值。 在 Oracle 数据库 10g 第 1 版对该功能进行了扩展，涵盖其它 DML 语句，例如 插入、更新，以及 删除。
下面提供了一个小示例： 假设模式 BANK 有一个 ACCOUNTS 表。 Name Null?类型
---------------- -------- ------------
ACC_NO NOT NULL NUMBER
CUST_ID NOT NULL NUMBER
BALANCE NUMBER(15,2)
为了对其进行审计，您将需要使用提供的程序包 DBMS_FGA 定义相关 FGA 策略。 begin
dbms_fga.add_policy (
object_schema=>'BANK',
object_name => 'EMP',
policy_name => 'ACCOUNTS_ACCESS',
);
end;
以上代码执行完毕之后，将在 ACCOUNTS 表启用 FGA。 也就是说，没有必要对任何初始化参数进行更改，或对该数据库进行回弹。
执行以上代码时，它们在该表上使用共享锁定，因此您可以在线执行。 现在，如果一个名为 ARUP 的用户提交以下语句，对该表中进行选择操作： select * from bank.accounts;
该行动立即记录在称为 FGA Audit Trail的审计追踪中。 您可以使用以下语句对其进行检查： select timestamp,
db_user,
os_user,
object_schema,
object_name,
sql_text
from dba_fga_audit_trail;
TIMESTAMP DB_USER OS_USER OBJECT_ OBJECT_N SQL_TEXT
--------- ------- ------- ------- -------- ---------------------------
08-FEB-06 ARUP arup BANK ACCOUNTS select * from bank.accounts
该视图也显示许多其它列。
您可以使用多种方法对 FGA 进行配置。 例如，如果您希望记录用户选择 BALANCE 列且余额超过 20,000 时的操作，你可以另外添加一些参数,同时定义 FGA 策略如下： begin
dbms_fga.add_policy (
object_schema =>'BANK',
object_name => 'EMP',
policy_name => 'ACCOUNTS_ACCESS',
audit_column => 'BALANCE',
audit_condition => 'BALANCE >= 20000'
);
end;
(编辑:aniston)
|
