真实案例:Oracle数据库中表插入操作的审计

在Oracle 10g中某个用户下表OBJECT_ID_FACTORY 的记录再次出现重复。这是一张字典表，用于生成某些表的记录主键值。重复的键值导致了某些业务操作不能正常进行。

该问题以前出现过一次。通过logminer 也没能找到操作的应用，因此我们采用audit 技术来处理这个问题。

logminer的使用方法请见此文。链接: http://mikixiyou.iteye.com/blog/1514632

 

（miki西游 @mikixiyou 文档原文链接: http://mikixiyou.iteye.com/blog/1563796 ）

 

1.  解决过程

在Oracle 10g 数据库中，此表的记录出现异常，无故增加了某条记录。我们使用logminer 无法查出是什么应用程序所为。因此，我们启用审计功能来捕捉错误的操作来解决这个问题。

Oracle 的审计功能是一个高级选项，默认是不开放的，需要修改审计类初始化参数来能使用。

 

第一步，检查审计类参数

 

SQL> show parameter audit

 

NAME                                  TYPE         VALUE

------------------------------------ ----------- ------------------------------

audit_file_dest                       string       /u01/app/oracle/admin/zxdb/adu

                                                  mp

audit_sys_operations                  boolean      TRUE

audit_syslog_level                    string

audit_trail                           string       DB

 

如果audit_trail 是空，则需要修改并重启实例使之生效后才能继续进行对象的审计操作。

 

调整审计结果的存储表aud$ 的表空间。原来是system 表空间，所以需要迁移到另外的表空间上，防止system 表空间暴涨不好收场。

 

 

SQL> alter table sys.aud$ move tablespace users;

 

 

 

第二步，设置对象操作的审计

 

审计mikixiyou 用户下表OBJECT_ID_FACTORY 每一次访问的插入操作，不管成功或失败，都记录下来；

审计 mikixiyou 用户下表OBJECT_ID_FACTORY 每一个会话的更新操作，不管成功或失败，都记录下来；

 

audit insert on mikixiyou .OBJECT_ID_FACTORY by access;

audit update on mikixiyou .OBJECT_ID_FACTORY; --by session    [ WHENEVER [ NOT ] SUCCESSFUL ]  都可以省略掉。

 

 

第三步，检查哪些对象、哪些操作、哪些权限设置了审计

 

Select * from dba_stmt_audit_opts;

Select * from dba_priv_audit_opts;

Select * from dba_obj_audit_opts;

 

如这里 mikixiyou 用户下表OBJECT_ID_FACTORY 设置了insert 和update 的操作的审计

 

SQL> Select * from dba_obj_audit_opts;

 

OWNER                           OBJECT_NAME                     OBJECT_TYPE        ALT    AUD    COM    DEL    GRA    IND    INS    LOC    REN    SEL    UPD    REF EXE  

CRE    REA    WRI    FBK

------------------------------ ------------------------------ ----------------- ----- ----- ----- ----- ----- ----- ----- ----- ----- ----- ----- --- -----

----- ----- ----- -----

mikixiyou                            OBJECT_ID_FACTORY               TABLE              -/-    -/-    -/-    -/-    -/-    -/-    A/A    -/-    -/-    -/-    S/S    -/- -/-  

-/-    -/-    -/-    -/-

 

 

第四步，使用noaudit 取消对象操作的审计

 

noaudit insert on mikixiyou .OBJECT_ID_FACTORY by access;

noaudit update on mikixiyou .OBJECT_ID_FACTORY;

 

如果审计目标已经实现，需要及时关闭审计设置。这点很重要，需在实现过程中予以注意。

 

 

第五步，检查审计结果

 

在审计设置完成后，定期去查看视图dba_audit_trail 的记录情况。

 

SQL> desc dba_audit_trail;

  名称                                         是否为空 ?  类型

 ----------------------------------------- -------- ----------------------------

 OS_USERNAME                                         VARCHAR2(255)

 USERNAME                                            VARCHAR2(30)

 USERHOST                                            VARCHAR2(128)

 TERMINAL                                            VARCHAR2(255)

 TIMESTAMP                                           DATE

 OWNER                                               VARCHAR2(30)

 OBJ_NAME                                            VARCHAR2(128)

 ACTION                                     NOT NULL NUMBER

 ACTION_NAME                                         VARCHAR2(28)

 NEW_OWNER                                           VARCHAR2(30)

 NEW_NAME                                            VARCHAR2(128)

 OBJ_PRIVILEGE                                       VARCHAR2(16)

 SYS_PRIVILEGE                                       VARCHAR2(40)

 ADMIN_OPTION                                        VARCHAR2(2)

 GRANTEE                                             VARCHAR2(30)

 AUDIT_OPTION                                        VARCHAR2(40)

 SES_ACTIONS                                         VARCHAR2(19)

 LOGOFF_TIME                                         DATE

 LOGOFF_LREAD                                        NUMBER

 LOGOFF_PREAD                                        NUMBER

 LOGOFF_LWRITE                                       NUMBER

 LOGOFF_DLOCK                                        VARCHAR2(40)

 COMMENT_TEXT                                        VARCHAR2(4000)

 SESSIONID                                  NOT NULL NUMBER

 ENTRYID                                    NOT NULL NUMBER

 STATEMENTID                                NOT NULL NUMBER

 RETURNCODE                                 NOT NULL NUMBER

 PRIV_USED                                           VARCHAR2(40)

 CLIENT_ID                                           VARCHAR2(64)

 ECONTEXT_ID                                         VARCHAR2(64)

 SESSION_CPU                                         NUMBER

 EXTENDED_TIMESTAMP                                  TIMESTAMP(6) WITH TIME ZONE

 PROXY_SESSIONID                                     NUMBER

 GLOBAL_UID                                          VARCHAR2(32)

 INSTANCE_NUMBER                                     NUMBER

 OS_PROCESS                                          VARCHAR2(16)

 TRANSACTIONID                                       RAW(8)

 SCN                                                 NUMBER

 SQL_BIND                                            NVARCHAR2(2000)

 SQL_TEXT                                            NVARCHAR2(2000)

 

SQL>

 

注意，该视图是建立在sys.aud$ 表之上，最好定期去转存清理它的数据。

 

2.  小结

这个只是 Oracle 中一种普通的审计方法。它可以监控到数据库中表一级对象的增删改查等操作。该功能由来已久，在 10g 开始，增加了一种更细致的审计方法，可以监控到表中记录一级的增删改查操作。

这种方法称之为细粒度审计，在有些场合能使用到。

 

更完整的审计设置和细粒度审计设置，可以参考此文，链接http://mikixiyou.iteye.com/blog/1547353

当然，您可以去参考oracle.doc，那里更详细。