Segurança de banco de dados Oracle:auditoria de banco de dados

Auditoria padrão

Onde mantemos as atividades auditadas?

• no banco de dados , usando a trilha de auditoria do banco de dados, onde temos duas possibilidades:
• • audit_trail =DB
    que pode ser feito com o seguinte código:
    

    alter system set audit_trail=db scope=spfile;

• • audit_trail =DB,EXTENDED
    usando o seguinte código:
    

    alter system set audit_trail= db, extended scope=spfile;

  
  A diferença entre DB e DB,EXTENDED é que o segundo preenche as colunas SQLBIND e SQLTEXT CLOB da tabela SYS.AUD$.

• externa , usando a trilha de auditoria do sistema operacional, com as seguintes possibilidades:
  • audit_trail =SO
    e o código usado é:
    

    alter system set audit_trail=os scope=spfile;

  • audit_trail =XML e AUDIT_FILE_DEST =caminho do arquivo (implicitamente é $ORACLE_BASE/admin/$ORACLE_SID/adump)
    com o código:
    

    alter system set audit_trail=xml scope=spfile;

select value from v$parameter where name='audit_trail';

alter system set audit_trail= db, extended scope=spfile;
AUDIT SELECT TABLE;

SHUTDOWN IMMEDIATE
STARTUP

select value from v$parameter where name='audit_trail';

show parameter audit_trail;

NOAUDIT SELECT TABLE;

select dbms_lob.substr( sqltext, 4000, 1 )
from SYS.AUD$
where OBJ$NAME IN ('EMPLOYEES','DEPARTMENTS','JOBS','LOCATIONS');

select count(*), OBJ$NAME, USERID
from SYS.AUD$
where OBJ$NAME IN ('EMPLOYEES','DEPARTMENTS','JOBS','LOCATIONS')
group by rollup (OBJ$NAME, USERID);

alter system set audit_trail=xml scope=spfile;
AUDIT SELECT, INSERT, UPDATE, DELETE ON employees WHENEVER NOT
SUCCESSFUL;

NOAUDIT ALL;
NOAUDIT ALL ON DEFAULT;

alter system set audit_trail=db scope=spfile;

Como excluímos as informações auditadas?

DELETE FROM SYS.AUD$;

DELETE FROM SYS.AUD$ WHERE OBJ$NAME='PRODUCTS';

Acionadores de auditoria

• Acionadores DML – onde uma instrução DML é acionada em uma tabela. Esses gatilhos podem ser executados uma vez no nível de comando independentemente do número de registros (triggers no nível de instrução) ou podem ser executados PARA CADA LINHA (triggers no nível de registro). Tipos de gatilhos de nível de registro:ANTES DA DECLARAÇÃO, DEPOIS DA DECLARAÇÃO, ANTES DE CADA LINHA, DEPOIS DE CADA LINHA;
• Acionadores INSTEAD OF – onde uma instrução DML é acionada em uma visualização;
• Acionadores do SISTEMA – acionados por eventos como iniciar/parar o banco de dados, instruções DDL, login/logout do usuário. Tipos de acionadores do sistema:DEPOIS DO EVENTO, ANTES DO EVENTO.

SELECT DISTINCT TRIGGER_TYPE FROM ALL_TRIGGERS;

SELECT SUBSTR(OWNER,1,20) OWNER ,SUBSTR(TRIGGER_NAME,1,30),
TRIGGER_NAME, SUBSTR(TRIGGERING_EVENT,1,30) TRIGGERING_EVENT,
TRIGGER_TYPE
FROM DBA_TRIGGERS
WHERE TRIGGER_TYPE='BEFORE EVENT' OR TRIGGER_TYPE='AFTER EVENT'
ORDER BY TRIGGER_TYPE DESC;

SELECT SUBSTR(TABLE_NAME,1,20) TABLE_NAME,
SUBSTR(TRIGGER_TYPE,1,30) TRIGGER_TYPE,TRIGGER_BODY
FROM DBA_TRIGGERS
WHERE OWNER='HR';

• acionar a instrução BEFORE
• para cada registro afetado
  • acionar ANTES do registro
  • ação DML atual
  • acionar APÓS o registro
• trigger AFTER instrução

CREATE TABLE TAB_AUDIT_EMP

(secv_id NUMBER(3) PRIMARY KEY,
username VARCHAR2(20),
session_nr NUMBER(10),
hostname VARCHAR2(100),
query_date DATE
);

CREATE SEQUENCE secv_aud_emp START WITH 1 INCREMENT BY 1;
CREATE OR REPLACE TRIGGER huge_salary
AFTER INSERT OR UPDATE OR DELETE OF SALARY ON EMPLOYEES
FOR EACH ROW WHEN (NEW.salary>20000)
BEGIN
INSERT INTO TAB_AUDIT_EMP
VALUES(secv_aud_emp.NEXTVAL , sys_context('userenv', 'session_user'), sys_context('userenv', 'sessionid'), sys_context('userenv', 'host'), sysdate);
END;

UPDATE EMPLOYEES
SET SALARY=25000
WHERE ID_DEPARTMENT = 1;

select secv_id, substr(username,1,20) username, session_nr, substr(hostname,1,30) hostname, query_date
from TAB_AUDIT_EMP;

Políticas de auditoria

• especificação do objeto (esquema, nome do objeto, colunas) sujeito ao monitoramento
• especificação das ações auditadas para um objeto (SELECT, INSERT, UPDATE, DELETE):implicitamente é SELECT
• especificação das condições que devem ser cumpridas para registrar as informações auditadas, é feita na cláusula WHEN do gatilho e é opcional
• um manipulador de eventos que também manipula o evento, o que é opcional.

SELECT POLICY_TEXT, ENABLED
FROM ALL_AUDIT_POLICIES

grant execute on dbms_fga to username;

CREATE OR REPLACE PROCEDURE proc_audit_alert ( object_schema VARCHAR2, object_name VARCHAR2, policy_name VARCHAR2 ) AS
BEGIN
DBMS_OUTPUT.PUT_LINE('Alert! Manager Changed !');
END;

CREATE OR REPLACE PROCEDURE proc_audit_manager AS
BEGIN
DBMS_FGA.ADD_POLICY
(
object_schema=>'ADMINDB',
object_name=>'DEPARTMENTS',
policy_name=>'proc_audit_manager',
audit_column=>'ID_MANAGER',
enable=>false,
statement_types=>'UPDATE',
handler_module=>'proc_audit_alert'
);
DBMS_FGA.ENABLE_POLICY
( object_schema=>'ADMINDB',
object_name=>'DEPARTMENTS',
policy_name=>'proc_audit_manager');
END;

EXECUTE proc_audit_manager;

SELECT ENABLED, POLICY_NAME
FROM ALL_AUDIT_POLICIES
WHERE OBJECT_NAME='DEPARTMENTS';

UPDATE DEPARTMENTS
SET ID_MANAGER=2
WHERE ID_DEPARTAMENT=1;

Bibliografia:

• http://www.datadisk.co.uk/html_docs/oracle/auditing.htm
• http://docs.oracle.com/cd/B10501_01/server.920/a96521/audit.htm
• https://docs.oracle.com/cd/E11882_01/server.112/e10575/tdpsg_auditing.htm#TDPSG50000