数据库基础与实例教程（达梦DM8） 课件 7.4审计管理

数据库基础（基于达梦DM8）数据库安全管理77.4审计管理03各设计级别设置01审计概述04审计实施侵害检测02审计开关配置05审计信息审阅审计概述7.4.17.4.1审计概述

审计机制是DM数据库管理系统安全管理的重要组成部分之一。DM数据库除了提供数据安全保护措施外，还提供对日常事件的事后审计监督。DM具有一个灵活的审计子系统，可以通过它来记录系统级事件、个别用户的行为以及对数据库对象的访问。通过考察、跟踪审计信息，数据库审计员可以查看用户访问的形式以及曾试图对该系统进行的操作，从而采取积极、有效的应对措施。审计开关配置7.4.27.4.2审计开关配置1．审计的打开及关闭在DM系统中，要使用审计功能首先要打开审计开关，只要审计功能被启用，系统级（详见7.4.3）的审计记录就会产生。需要注意的是审计开关必须由具有数据库审计员权限的管理员进行设置。7.4.2审计开关配置1．审计的打开及关闭审计开关由过程“VOIDSP_SET_ENABLE_AUDIT（paramint）;”控制，过程执行完后会立即生效，param有三种取值：0(关闭审计)，1（打开普通审计），2（打开普通审计和实时审计），缺省值为0。审计设置存放于DM字典表SYSAUDIT中，进行一次审计设置就在SYSAUDIT中增加一条对应的记录，取消审计则删除SYSAUDIT中相应的记录。7.4.2审计开关配置2．查看审计开关状态数据库审计员可通过查询V$DM_INI动态视图查询ENABLE_AUDIT的当前值。SELECT*FROMV$DM_INIWHEREPARA_NAME='ENABLE_AUDIT';审计开关案例SP_SET_ENABLE_AUDIT(1);

【案例7-21】打开普通审计开关。尝试使用SYSDBA用户打开普通审计开关。由于SYSDBA没有数据库审计员权限，所以执行后会发生“没有执行权限”的错误审计开关案例SP_SET_ENABLE_AUDIT(0);

【案例7-22】关闭普通审计开关。各审计级别设置7.4.37.4.3修改用户DM允许在系统级、语句级、对象级三个级别上进行审计设置。1）系统级系统的启动与关闭审计。此级别的审计无法也无须由用户进行设置，只要审计开关打开就会自动生成对应审计记录。7.4.3修改用户DM允许在系统级、语句级、对象级三个级别上进行审计设置。2）语句级导致影响特定类型数据库对象的特殊SQL或语句组的审计。如AUDITTABLE将审计CREATETABLE、ALTERTABL和DROPTABLE等语句。7.4.3修改用户DM允许在系统级、语句级、对象级三个级别上进行审计设置。3）对象级审计作用在特殊对象上的语句。如STAFF表上的INSERT语句，DEPT表上的UPDATE语句等。审计实施侵害检测7.4.41开启实时侵害检测

当执行“SP_SET_ENABLE_AUDIT(2);”时，开启审计实时侵害检测功能。

实时侵害检测系统用于实时分析当前用户的操作，并查找与该操作相匹配的实时审计分析规则，如果规则存在，则判断该用户的行为是否是侵害行为，确定侵害等级，并根据侵害等级采取相应的响应措施。1.开启实时侵害检测VOID

SP_CREATE_AUDIT_RULE(

RULENAMEVARCHAR(128),

OPERATIONVARCHAR(30),

USERNAMEVARCHAR(128),

SCHNAMEVARCHAR(128),

OBJNAMEVARCHAR(128),

WHENEVERVARCHAR(20),

ALLOW_IPVARCHAR(1024),

ALLOW_DTVARCHAR(1024),

INTERVALINTEGER,

TIMESINTERGER);具有AUDITDATABASE权限的用户可以使用下面的系统过程创建实时侵害检测规则。其中参数包括下面几个。①RULENAME创建的审计实时侵害检测规则名；②OPERATION审计操作名；OPERATION可选项较多，主要包括：CREATEUSER、DROPUSER、ALTERUSER、CREATEROLE、DROPROLE、CREATETABLESPACE、DROPTABLESPACE、ALTER_TABLESPACE、CREATESCHEMA、DROPSCHEMA、SETSCHEMA、CREATETABLE、DROPTABLE、TRUNCATETABLE、CREATEVIEW、ALTERVIEW、DROPVIEW、ALTERVIEW、CREATEINDEX、DROPINDEX、CREATEPROCEDURE、ALTERPROCEDURE、DROPPROCEDURE、CREATETRIGGER、DROPTRIGGER、ALTERTRIGGER、INSERT、SELECT、DELETE、UPDATE、EXECUTE、EXECUTETRIGGER等；1.开启实时侵害检测VOID

SP_CREATE_AUDIT_RULE(

RULENAMEVARCHAR(128),

OPERATIONVARCHAR(30),

USERNAMEVARCHAR(128),

SCHNAMEVARCHAR(128),

OBJNAMEVARCHAR(128),

WHENEVERVARCHAR(20),

ALLOW_IPVARCHAR(1024),

ALLOW_DTVARCHAR(1024),

INTERVALINTEGER,

TIMESINTERGER);具有AUDITDATABASE权限的用户可以使用下面的系统过程创建实时侵害检测规则。其中参数包括下面几个。③USERNAME用户名，没有指定或’NULL'表示所有用户；④SCHNAME模式名，没有时指定为'NULL'；⑤OBJNAME对象名，没有时指定为'NULL'；⑥WHENEVER审计时机，取值ALL/SUCCESSFUL/FAIL；⑦ALLOW_IP

允许的IP列表，以“,”隔开。例如“"192.168.0.1","127.0.0.1"”；1.开启实时侵害检测VOID

SP_CREATE_AUDIT_RULE(

RULENAMEVARCHAR(128),

OPERATIONVARCHAR(30),

USERNAMEVARCHAR(128),

SCHNAMEVARCHAR(128),

OBJNAMEVARCHAR(128),

WHENEVERVARCHAR(20),

ALLOW_IPVARCHAR(1024),

ALLOW_DTVARCHAR(1024),

INTERVALINTEGER,

TIMESINTERGER);具有AUDITDATABASE权限的用户可以使用下面的系统过程创建实时侵害检测规则。其中参数包括下面几个。⑧ALLOW_DT

时间串，格式如下。ALLOW_DT::=<时间段项>{,<时间段项>}<时间段项>::=<具体时间段>|<规则时间段><具体时间段>::=<具体日期><具体时间>TO<具体日期><具体时间><规则时间段>::=<规则时间标志><具体时间>TO<规则时间标志><具体时间><规则时间标志>::=MON|TUE|WED|THURS|FRI|SAT|SUN⑨INTERVAL时间间隔，单位为分钟；⑩TIMES次数。1开启实时侵害检测案例SP_CREATE_AUDIT_RULE('WEEKEND_DANGEROUS_SESSION','CONNECT','SYSDBA','NULL','NULL','ALL','"127.0.0.1"','SAT"8:00:00"TOSAT"18:00:00"',0,0);

【案例7-33】创建一个审计实时侵害检测规则WEEKEND_DANGEROUS_SESSION，该规则检测每个星期六8:00至星期六18：00的所有非本地SYSDBA的登录动作。1开启实时侵害检测案例SP_CREATE_AUDIT_RULE('PWD_BRUTAL_CRACK','CONNECT','NULL','NULL','NULL','FAIL','NULL','NULL',1,10);

【案例7-34】创建一个审计实时侵害检测规则PWD_BRUTAL_CRACK，该规则检测可能的口令暴力破解行为。2.删除实时侵害检测当不再需要某个实时侵害检测规则时，可使用下面的系统过程进行删除。VOID

SP_DROP_AUDIT_RULE(

RULENAMEVARCHAR(128));其参数RULENAME指名待删除的审计实时侵害检测规则名。2删除实时侵害检测案例SP_DROP_AUDIT_RULE('WEEKEND_DANGEROUS_SESSION');

【案例7-35】删除已创建的实时侵害检测规则DANGEROUS_SESSION。审计实施侵害检测7.4.51.审计设置记录查询在前面针对一些操作开启了审计，这些审计设置信息都按照如表所示结构，记录在数据字典表SYSAUDITOR.SYSAUDIT中。1.审计设置记录查询审计类型用户可以查看此数据字典表查询审计设置信息，了解当前的审计设置情况。查看的语句如下。SELECT*FROMSYSAUDITOR.SYSAUDIT;2.审计记录查询只要DM系统处于审计活动状态，系统就会按审计设置进行审计活动，并将审计信息写入审计文件。审计记录内容包括操作者的用户名、所在站点、所进行的操作、操作的对象、操作时间、当前审计条件等。审计用户可以通过动态视图SYSAUDITOR.V$AUDITRECORDS查询系统默认路径下的审计文件的审计记录，动态视图的结构如表所示。2.审计记录查询只要DM系统处于审计活动状态，系统就会按审计设置进行审计活动，并将审计信息写入审计文件。审计记录内容包括操作者的用户名、所在站点、所进行的操作、操作的对象、操作时间、当前审计条件等。审计用户可以通过动态视图SYSAUDITOR.V$AUDITRECORDS查询系统默认路径下的审计文件的审计记录，动态视图的结构如表所示。查看设计记录的基本语法如下。SELECT*FROMSYSAUDITOR.V$AUDITRECORDS;审计信息查询案例首先使用SYSDBA用户插入以下数据。INSERTINTOSCH_FACTORY.STAFF(部门号,姓名,性别,籍贯,年龄,电话号码)VALUES(100001,'审计测试用户','男','江西',36,)

【案例7-36】前面设置过对SYSDBA对表SCH_FACTORY.S