Oracle 数据库安全审计

1.1、传统审计 vs 统一审计

1.2、统一审计策略管理

-- 审计所有 DDL 操作
CREATE AUDIT POLICY ddl_audit_policy
ACTIONS CREATE TABLE, ALTER TABLE, DROP TABLE,
CREATE INDEX, DROP INDEX,
CREATE VIEW, DROP VIEW,
CREATE USER, ALTER USER, DROP USER;

-- 审计特定表的 DML
CREATE AUDIT POLICY dml_hr_policy
ACTIONS SELECT ON hr.employees,
INSERT ON hr.employees,
UPDATE ON hr.employees,
DELETE ON hr.employees;

-- 审计登录行为
CREATE AUDIT POLICY login_policy
ACTIONS LOGON, LOGOFF;

-- 审计权限使用
CREATE AUDIT POLICY priv_policy
SYSTEM PRIVILEGES SELECT ANY TABLE, DROP ANY TABLE, ALTER SYSTEM, GRANT ANY ROLE;

-- 审计角色使用
CREATE AUDIT POLICY role_policy ROLES DBA, IMP_FULL_DATABASE;

-- 带条件的审计
CREATE AUDIT POLICY after_hours_policy
ACTIONS LOGON
WHEN 'TO_NUMBER(TO_CHAR(SYSDATE,''HH24'')) NOT BETWEEN 8 AND 18'
EVALUATE PER SESSION;

-- 审计 SYSDBA/SYSOPER 操作
CREATE AUDIT POLICY sysdba_policy PRIVILEGES SYSDBA, SYSOPER;

-- 启用审计策略
AUDIT POLICY ddl_audit_policy;
AUDIT POLICY login_policy;
AUDIT POLICY dml_hr_policy BY hr_admin;
AUDIT POLICY sysdba_policy;

-- 查看已启用的审计策略
SELECT * FROM AUDIT_UNIFIED_ENABLED_POLICIES;

-- 查看所有审计策略
SELECT POLICY_NAME, AUDIT_CONDITION, AUDIT_OPTION FROM AUDIT_UNIFIED_POLICIES;

-- 禁用审计策略
NOAUDIT POLICY ddl_audit_policy;

-- 删除审计策略
DROP AUDIT POLICY ddl_audit_policy;

1.3、细粒度审计（FGA）

-- 创建 FGA 策略：审计查询 salary 列
BEGIN
DBMS_FGA.ADD_POLICY(
object_schema => 'HR',
object_name => 'EMPLOYEES',
policy_name => 'AUDIT_SALARY',
audit_column => 'SALARY',
audit_condition => 'SALARY > 10000',
statement_types => 'SELECT,UPDATE',
audit_trail => DBMS_FGA.DB + DBMS_FGA.EXTENDED
);
END;

-- 查看 FGA 审计记录
SELECT TIMESTAMP, DB_USER, OBJECT_NAME, SQL_TEXT, SCN
FROM DBA_FGA_AUDIT_TRAIL
WHERE POLICY_NAME = 'AUDIT_SALARY'
ORDER BY TIMESTAMP DESC;

-- 禁用 FGA 策略
BEGIN
DBMS_FGA.DISABLE_POLICY('HR', 'EMPLOYEES', 'AUDIT_SALARY');
END;

-- 删除 FGA 策略
BEGIN
DBMS_FGA.DROP_POLICY('HR', 'EMPLOYEES', 'AUDIT_SALARY');
END;

1.4、SYSDBA/SYSOPER 审计

-- 确保 SYSDBA 审计已启用
--在 init.ora 或 spfile 中 AUDIT_SYS_OPERATIONS = TRUE

-- 查看 SYSDBA 操作的审计记录
SELECT USERNAME, TIMESTAMP, ACTION_NAME, SQL_TEXT
FROM UNIFIED_AUDIT_TRAIL
WHERE PRIVILEGED = 'YES'
ORDER BY TIMESTAMP DESC;

-- 传统方式查看 SYS 审计（OS 文件）
-- SYS 审计记录默认写入 OS 文件
-- $ADR_HOME/audit/ 目录下

1.5、审计记录管理与归档

-- 初始化审计清理
BEGIN
DBMS_AUDIT_MGMT.INIT_CLEANUP(
audit_trail_type => DBMS_AUDIT_MGMT.AUDIT_TRAIL_UNIFIED,
default_cleanup_interval => 24
);
END;

-- 设置归档时间戳
BEGIN
DBMS_AUDIT_MGMT.SET_LAST_ARCHIVE_TIMESTAMP(
audit_trail_type => DBMS_AUDIT_MGMT.AUDIT_TRAIL_UNIFIED,
last_archive_time => SYSTIMESTAMP - 180
);
END;

-- 执行清理
BEGIN
DBMS_AUDIT_MGMT.CLEAN_AUDIT_TRAIL(
audit_trail_type => DBMS_AUDIT_MGMT.AUDIT_TRAIL_UNIFIED,
use_last_arch_time => TRUE
);
END;

-- 查看审计记录统计
SELECT COUNT(*) AS total,
MIN(EVENT_TIMESTAMP) AS earliest,
MAX(EVENT_TIMESTAMP) AS latest
FROM UNIFIED_AUDIT_TRAIL;

-- 按操作类型统计
SELECT ACTION_NAME, COUNT(*) AS cnt
FROM UNIFIED_AUDIT_TRAIL
GROUP BY ACTION_NAME ORDER BY cnt DESC;

实例：等保审计——全量 DDL/DML 审计

S — Situation（场景）：某军工企业要求：所有 DDL 操作必须审计、核心表 DML 审计、所有登录行为审计，审计记录保留 180 天。

T — Task（任务）：设计并实施完整的统一审计方案。

A — Action（行动）：

1、创建 3 个审计策略（DDL/DML/LOGIN）；

2、启用策略并验证审计记录；

3、配置自动归档保留 180 天；

4、创建审计报表视图。

R — Result（结果）：方案上线后覆盖所有关键操作。一次安全演练中，10 分钟内还原完整操作链路，获得测评机构高度评价。