Oracle 數(shù)據(jù)庫 10g 審計以一種非常詳細的級別捕獲用戶行為，它可以消除手動的、基于觸發(fā)器的審計。假定用戶 Joe 具有更新那張表的權(quán)限，并按如下所示的方式更新了表中的一行數(shù)據(jù)。 update SCOTT.EMP set salary = 12000
where empno = 123456;
您如何在數(shù)據(jù)庫中跟蹤這種行為呢?在 Oracle 9i 數(shù)據(jù)庫及其較低版本中，審計只能捕獲“誰”執(zhí)行此操作，而不能捕獲執(zhí)行了“什么”內(nèi)容。例如，它讓您知道 Joe 更新了 SCOTT 所有的表 EMP，但它不會顯示他更新了該表中員工號為 123456 的薪水列。它不會顯示更改前的薪水列的值—要捕獲如此詳細的更改，您將不得不編寫您自己的觸發(fā)器來捕獲更改前的值，或使用 Log Miner 將它們從存檔日志中檢索出來。
這兩種方法都能讓您跟蹤更改的內(nèi)容并記錄更改前的值，但其成本非常高。使用觸發(fā)器編寫審計數(shù)據(jù)可能會對性能產(chǎn)生主要的影響;鑒于此，在某些情況下(如在第三方應(yīng)用中)禁止使用用戶定義的觸發(fā)器。Log Miner 不會影響性能，但它是依賴于存檔日志的可用性來跟蹤更改的。
細粒度審計 (FGA)，是在 Oracle 9i 中引入的，能夠記錄 SCN 號和行級的更改以重建舊的數(shù)據(jù)，但是它們只能用于 select 語句，而不能用于 DML，如 update、insert 和 delete 語句。因此，對于 Oracle 數(shù)據(jù)庫 10g 之前的版本，使用觸發(fā)器雖然對于以行級跟蹤用戶初始的更改是沒有吸引力的選擇,但它也是唯一可靠的方法。
隨著 Oracle 10g 的到來，由于審計能力的兩個重大的改變，這些限制也隨之而去。由于兩種審計類型涉及到—標準審計(在所有版本中均可用)和細粒度審計(在 Oracle 9i 及其以上版本中可用)—我們將分別對它們進行處理，然后看看它們是如何相互補充以提供一個單一的、強大的跟蹤功能。
新特性
首先，F(xiàn)GA 現(xiàn)在除了支持 select 語句外，還支持 DMA 語句。這些更改都記錄在同一個位置，即表 FGA_LOG$ 中，并通過 DBA_FGA_AUDIT_TRAIL 視圖顯示出來。除了 DML 外，您現(xiàn)在可以選擇只有在訪問了所有或者甚至很少的相關(guān)的列后，才可以觸發(fā)一個線索。(有關(guān) FGA 在 Oracle 10g 中是如何工作的詳細信息，請參閱該主題的我的技術(shù)文章的內(nèi)容。)
標準審計，是由 SQL 命令 AUDIT 執(zhí)行的，可用于為特定的對象快速、容易地設(shè)置跟蹤。例如，如果您想跟蹤對 Scott 所擁有的表 EMP 的所有更新，您可以發(fā)出如下命令：
audit UPDATE on SCOTT.EMP by access;任何用戶每一次更新表 SCOTT.EMP 時，該命令都會把所有的更新記錄到審計跟蹤表 AUD$ 中，可以通過 DBA_AUDIT_TRAIL 視圖來查看。
這個功能對于 Oracle 10g 之前的版本也是可用的。但是，在那些版本中，寫到跟蹤中的信息僅限于少數(shù)相關(guān)的項，如：發(fā)出該語句的用戶、時間、終端標識號等等;它缺少某些重要的信息，如綁定變量的值。在 Oracle 10g 中，除了以前的版本中所收集到的內(nèi)容之外，審計操作還捕獲了許多這些重要的信息片斷。用于審計的原始表 AUD$，包含若干個用于記錄它們的新列，相應(yīng)地，DBA_AUDIT_TRAIL 視圖也包含這些列。讓我們詳細地研究一下。
EXTENDED_TIMESTAMP。 該列以 TIMESTAMP (6) 格式記錄了審計記錄的時間戳，它是用格林尼治標準時間(也稱為全球統(tǒng)一時間)來記錄時間的，其小數(shù)點后的秒數(shù)到 9 為止，并且?guī)в袝r區(qū)信息。以這種格式存儲的時間的一個例子如下所示。2004-3-13 18.10.13.123456000 -5:0日期表示為 2004 年 3 月 13 日，是美國的東部標準時間，它比全球統(tǒng)一時間晚 5 小時(用 -5.0 來表示)。這種以擴展格式顯示的時間有助于把審計跟蹤精確定位到一個更窄的時間間隔中，從而增強了它們的用途，特別是在數(shù)據(jù)庫橫跨多個時區(qū)時更是如此。
GLOBAL_UID 和 PROXY_SESSIONID。 當使用某種身份管理組件如 Oracle Internet Directory 進行身份驗證時，用戶對數(shù)據(jù)庫的訪問權(quán)限稍有不同。例如，當將他們訪問數(shù)據(jù)庫時，可能將他們視為企業(yè)用戶。審計這些用戶不會在 DBA_AUDIT_TRAIL 視圖的 USERNAME 列中記錄他們的企業(yè)用戶標識號，以使該信息無用。在 Oracle 數(shù)據(jù)庫 10g 中，全局(或企業(yè))用戶唯一的標識號記錄在 GLOBAL_UID 列中，并且沒有作進一步的處理或設(shè)置。該列可用于查詢目錄服務(wù)器，以查找有關(guān)該企業(yè)用戶的完整的詳細信息。
有時企業(yè)用戶也許是通過一個代理用戶連接到數(shù)據(jù)庫，特別是在多層應(yīng)用中。可以通過命令為用戶提供代理身份驗證:
alter user scott grant connect to appuser;該命令將允許用戶 SCOTT 以 APPUSER 的身份，作為代理用戶連接到數(shù)據(jù)庫。在那種情況下，COMMENT_TEXT 列將通過存儲值 PROXY 來記錄事實;但是對于 Oracle 9i 而言，代理用戶的會話標識號將不會進行記錄。在 Oracle 10g 中，PROXY_SESSIONID 列記錄了它，用于精確標識代理會話。
INSTANCE_NUMBER。 在 Oracle 真正應(yīng)用集群 (RAC) 環(huán)境中，它可能有助于知道在進行更改時用戶連接的是哪一個特定的例程。在 Oracle 10g 中，該列記錄了例程號，它是由該例程的初始化參數(shù)文件指定的。
OS_PROCESS。 在 Oracle 9i 及其較低的版本中，只會在審計跟蹤中記錄 SID 值;而不會記錄操作系統(tǒng)進程標識號。但是，服務(wù)器進程的操作系統(tǒng)進程標識號隨后可能是必要的，例如，用于交叉引用一個線索文件。在 Oracle 10g 中，該值也記錄在該列中。
TRANSACTIONID。 在此就產(chǎn)生了最關(guān)鍵的信息價格。假定用戶發(fā)出下面的命令:
update CLASS set size = 10 where class_id = 123;
commit;該命令獲取一個事務(wù)項，并且生成一個審計記錄。但是，您怎樣知道該審計記錄真正記錄的是什么內(nèi)容呢?如果記錄是一個事務(wù)，該事務(wù)標識號就會存儲在該列中。您可以使用它把審計跟蹤與 FLASHBACK_TRANSACTION_QUERY 視圖聯(lián)接起來。下面是該視圖中的列的一個小示例:
select start_scn, start_timestamp,
commit_scn, commit_timestamp, undo_change#, row_id, undo_sql
from flashback_transaction_query
where xid = '';除了記錄對該事務(wù)所做的通常的統(tǒng)計外，如 undo change#、rowid 等等，Oracle 10g 還可以在 UNDO_SQL 列中記錄撤消對事務(wù)所作更改 SQL 命令，以及在 ROW_ID 列顯示的受影響行的 rowid。
系統(tǒng)更改號。 最終，它記錄更改前的值。您怎樣執(zhí)行該操作呢?按 Oracle 9i 中的 FGA 所指出的那樣，更改前的值可以通過閃回查詢來獲取。但是您需要知道該更改的系統(tǒng)更改號 (SCN)，它可以在審計跟蹤的該列中捕獲到。您可以發(fā)出下面的命令:
select size from class as of SCN 123456
where where class_id = 123;這將顯示用戶所看到的內(nèi)容或更改前的值。
擴展的 DB 審計
記住我們最初的興趣：為了捕獲用戶發(fā)出的 SQL 語句，以及在標準審計中無法捕獲的綁定變量。在 Oracle 數(shù)據(jù)庫 10g 中進入增強型審計，其中這些任務(wù)變得如同更改一個簡單的初始化參數(shù)一樣微不足道。只需把下列代碼行放入?yún)?shù)文件中。
audit_trail = db_extended如果使用該參數(shù)，該參數(shù)將在各列中記錄 SQL 文本和綁定變量值。該值在早期的版本中不可用。
觸發(fā)器何時是必要的
避免誤檢。 審計跟蹤是通過來自于原始事務(wù)的自治事務(wù)生成的。因此，即使原始事務(wù)回滾，它們也會提交。
有一個簡單例子演示了這一點。假定我們已在表 CLASS 上為 UPDATE 設(shè)置了審計。用戶發(fā)出一條語句以將數(shù)據(jù)值從 20 更新為 10，然后將其回滾，如下所示:
update class set size = 10 where class_id = 123;
rollback現(xiàn)在該列的 SIZE 值將變成 20，而不是 10，好像用戶從未做過任何事情。但是，即使回滾，審計跟蹤也將捕獲該更改。在某些情況下這可能不是人們所想要的，尤其是用戶執(zhí)行了許多回滾時。在這種情況下，您也許不得不使用觸發(fā)器僅捕獲已提交的更改。如果表 CLASS 上有一個觸發(fā)器用于將記錄插入到用戶定義的審計線索中，在回滾的基礎(chǔ)上審計線索也被回滾。
捕獲之前更改的值。 Oracle 提供的審計跟蹤不會顯示更改前后的值。例如，上述的更改將創(chuàng)建一個審計記錄，它顯示了語句和更改的 SCN 號，但沒有顯示更改前的值 (20)�？梢允褂瞄W回查詢通過 SCN 號獲取該值，但是它依賴于在撤消段中可用的信息。如果該信息無法在由 undo_retention 時間段指定的期限內(nèi)捕獲到，就永遠不能檢索出先前的值來。使用觸發(fā)器保證了無需依賴于 undo_retention 時間段即可捕獲到該值，并且有時很有用。在這兩種環(huán)境下，您可以決定繼續(xù)使用觸發(fā)器以細粒度的級別來記錄審計跟蹤。
統(tǒng)一的審計跟蹤
由于 FGA 和標準審計捕獲的是相同類型的信息，當把它們結(jié)合起來使用時可以提供許多重要的信息。Oracle 數(shù)據(jù)庫 10g 把這些跟蹤合并到一個稱為 DBA_COMMON_AUDIT_TRAIL 的通用跟蹤中，它是 DBA_AUDIT_TRAIL 視圖和 DBA_FGA_AUDIT_TRAIL 視圖的一個 UNION ALL 視圖。但是，在這兩種審計類型之間有一些重大的區(qū)別。
結(jié)論
在 Oracle 10g 中，審計已經(jīng)從一個單純的“操作記錄者”成長為一個“事實記錄機制”，它能以一個非常詳細的級別來捕獲用戶的行為，這可以消除您對手動的、基于觸發(fā)器的審計的需要。它還結(jié)合了標準審計和 FGA 的跟蹤，這使其更易于跟蹤數(shù)據(jù)庫訪問，而不用考慮它是如何生成的。 |
