C2审核跟踪
听风吹雨:SQL Server Audit监控触发器状态
SQLSERVER2000 增加了一个名为C2审核的特性,他允许DBA以美国政府的标准审核未经授权使用和损坏的资源和数据。
SQLSERVER2005提供了一个新的名为常见标准的国际标准(C2依然可用)
这两个审核模式都利用SQL跟踪捕捉一系列数据,包括任何登录、登出、表访问以及许多其他数据点。
他们也都使用sp_trace_create中的值为4的@options参数,每当写跟踪文件发生任何错误时,该参数就会自动关闭SQLSERVER服务。
这可用来保证即便出现了磁盘错误,也不可能丢失任何审核数据(服务器关闭后,审核数据就不会丢失了)
C2和常见标准审核模式都可以用sp_configure激活或取消。要激活C2审核,就要将C2审核模式选项值配置为1。
而对于常见标准,就需要将常见标准激活选项值设置为1。在这两种情况下,审核的实际启动都会要求服务重启。
二、 过程
(一) 创建服务器级别的审核,注意设置FILEPATH为对应的路径,显示设置审核状态,创建审核的时候只能是服务器的;
USE master
GO
--创建服务器级别审核
CREATE SERVER AUDIT ServerAudit
TO FILE (FILEPATH = 'F:\AuditLog\', MAXSIZE = 256 MB)
WITH (ON_FAILURE = CONTINUE);
GO
--开启审核
ALTER SERVER AUDIT ServerAudit
WITH (STATE = ON);
(二) 创建服务器级别的审核规范,这里指定相对应的AUDIT(审核)接收、保存跟踪和记录的数据,可以同时多个审核规范指向同一个审核。
SCHEMA_OBJECT_CHANGE_GROUP,针对架构执行 CREATE、ALTER 或 DROP 操作时将引发此事件。任何数据库的任何架构发生更改时,均将引发此事件。审核操作组的其它值可以参考:SQL Server 审核操作组和操作
--创建服务器级别审核规范
USE master
GO
CREATE SERVER AUDIT SPECIFICATION Schema_Change
FOR SERVER AUDIT ServerAudit
ADD (SCHEMA_OBJECT_CHANGE_GROUP)
WITH (STATE = ON);
GO
(三) 手动产生对象更改事件
--测试
CREATE TABLE dbo.TestAudit(Id INT)
GO
CREATE TRIGGER dbo.TestAudit_Trigger ON dbo.TestAudit
FOR INSERT
AS
BEGIN
SELECT * FROM dbo.TestAudit;
END
GO
(四) 查询Audit的记录,这里针对审核ServerAudit的内容进行查询:
--查询
SELECT database_name,
event_time,
succeeded,
server_principal_name,
[object_name],
[statement]
FROM sys.fn_get_audit_file('F:\AuditLog\ServerAudit_*.sqlaudit', default, default)
(Figure2:操作记录)