SQL Server 审计功能-记录所有的操作记录

SQL Server 审计-记录所有的操作记录

说到审计这个话题,相信作为一个企业管理员都知道,比如一般作为一个AD管理员的话,一般都会通过Policy开启审计功能,记录一些自定义的事务日志。对于SQL Server来说,审计也是一样的,SQL Server审计对象收集单个实例的服务器或数据库级的动作和行为监控组。 审计是在SQL Server实例级。 可以有多个审计/ SQL服务器实例。当你定义一个审计,你指定位置的输出结果。 这是审计目标。 审计是在创建的禁用状态,不会自动审计任何行动。 启用审计后,从审计审计目标接收数据。审计SQL Server的一个实例数据库引擎或单个数据库包括跟踪和日志记录事件发生在数据库引擎。 SQL Server审计服务器允许您创建审计,可以包含服务器服务器级别事件的审计规范,和数据库审计规范数据库级的事件。 审计事件可以写入事件日志或审计文件。对于审计的介绍在此就不多介绍了,我们可以在官网上进行搜索官方文档进行查看。开始我们今天的主题:我们通过开启SQL Server的审计,记录用户对数据库的Insert、update、delete操作。

我们首先创建了一个测试数据库DB1,然后创建一个表Info

插入一些测试数据

接下来我们创建一个审计,来监控对数据库的所有操作

在数据库实例下--安全性--审计--新建审核

定义审核名称及审核文件的路劲及大小配置。

我们也可以使用脚本

TO FILE:指定输出到审核文件,也可以指定为Security Log和Application Log。

FILEPATH:审核文件的目录地址。

MaxSize:单个审核文件的最大容量。

MAXSIZE:类似于Trace,指定Rollover允许最多文件数。

RESERVE_DISK_SPACE:预先分配审核文件到MaxSize。个人推荐启用。

QUEUE_DELAY:指定事件发生到被强制审核的毫秒间隔。指定为0则为同步审核。

ON_FAILURE :当审核向上档写入数据失败时,接下来会采取的行为:CONTINUE | SHUTDOWN | FAIL_OPERATION。

AUDIT_GUID:用于数据库镜像。类似Login的SID作用,镜像会话的主库如果有审核,则在镜像库创建对应的审核需要指定同样GUID。

WHERE:相当于扩展事件中Predicate,用于指定过滤条件。

TO FILE:指定输出到审核文件,也可以指定为Security Log和Application Log。

FILEPATH:审核文件的目录地址。

MaxSize:单个审核文件的最大容量。

MAXSIZE:类似于Trace,指定Rollover允许最多文件数。

RESERVE_DISK_SPACE:预先分配审核文件到MaxSize。个人推荐启用。

QUEUE_DELAY:指定事件发生到被强制审核的毫秒间隔。指定为0则为同步审核。

ON_FAILURE :当审核向上档写入数据失败时,接下来会采取的行为:CONTINUE | SHUTDOWN | FAIL_OPERATION。

AUDIT_GUID:用于数据库镜像。类似Login的SID作用,镜像会话的主库如果有审核,则在镜像库创建对应的审核需要指定同样GUID。

WHERE:相当于扩展事件中Predicate,用于指定过滤条件。

审计创建完成之后是禁用的

我们右击--启用审核

启用成功

我们要定义对哪个数据库表进行审计操作,我们需要在哪个数据库下新建--服务器审核规范

定义服务器审核规范名称-及前面新建的审核服务

我们需要在当前的数据库下创建审核规范

我们通过定义审计操作类型---选择insert、delete、update等操作

我们可以使用脚本创建

USE [DB1]
GO
CREATE DATABASE AUDIT SPECIFICATION [ServerAuditSpecification-DB1]
FOR SERVER AUDIT [Audit-DB1]
ADD (DELETE ON DATABASE::[DB1] BY [public]),
ADD (INSERT ON DATABASE::[DB1] BY [public]),
ADD (UPDATE ON DATABASE::[DB1] BY [public])
WITH (STATE = ON)
GO

这样就在数据库DB1下就多出一个数据库审计规范

我们接下来对数据库进行操作

我们插入一条数据,然后查看审计

右击--查看审计log

我们发现通过以下方式也是可以看见操作类型信息的,具体我们可以通过配置筛选进行显示自定义内容即可

我们再次需要需要通过访问生产的审计log进行查看,通过以下信息,我们也可以通过命令行进行查看

https://msdn.microsoft.com/en-us/library/cc280765(v=sql.110).aspx

SELECT * FROM sys.fn_get_audit_file (‘\\serverName\Audit\HIPPA_AUDIT.sqlaudit‘,default,default); GO
SELECT * FROM sys.fn_get_audit_file (‘D:\Audit_Log\Audit-DB1_29F2408B-C8F5-4747-A3F9-CCFD66D0D8C1_0_131343921494640000.sqlaudit‘,default,default);
GO

我们查询后,发现不是很友好,所以我们需要需要跳出关键的字段进行查找

我们需要将关键的字段单独列出来,只显示关键的名称就可以了

SELECT event_time
, action_id
, succeeded
, session_id
, session_server_principal_name
, object_name
, statement
, file_name
, audit_file_offset
from sys.fn_get_audit_file(‘D:\Audit_LogFiles\Audit-DB_7CB2AD0B-C97D-4478-8360-E3C3D11B216C_0_131343949988730000.sqlaudit‘,default,default)

时间: 2024-10-27 00:27:47

SQL Server 审计功能-记录所有的操作记录的相关文章

SQL Server审计功能入门:SQL Server审核 (SQL Server Audit)

介绍 Audit是SQL Server 2008之后才有的功能,它能告诉你"谁什么时候做了什么事情".具体是指审核SQL Server 数据库引擎实例或单独的数据库涉及到跟踪和记录数据库引擎中发生的事件.它的底层是基于扩展事件(Extented Event),所以其性能和灵活性相对较好.审核数据可以输出到审核文件.Windows安全日志和应用程序日志. Audit都需要创建一个实例级的"SQL Server审核",然后可以创建从属于它"服务器审核规范&qu

SQL Server审计功能入门:CDC(Change Data Capture)

介绍 SQL Server 2008引入了CDC(Change Data Capture),它能记录: 1. 哪些数据行发生了改变 2. 数据行变更的历史记录,而不仅仅是最终值. 跟CT(Change Tracking)相比,它通过作业实现异步变更跟踪(像事务复制),而CT是同步实现的.因此它对性能的影响较轻并且不会影响事务. 典型应用是在提取.传输和加载数据到其它数据源,就像图中的数据仓库. 实现 微软建议CDC结合快照快照隔离级别使用,可以避免读取变更数据与变更数据写入时的读写阻塞. 需要注

SQL Server审计功能入门:更改跟踪(Change Tracking)

介绍 更改跟踪是一种轻量型解决方案,它为应用程序提供了一种有效的更改跟踪机制.常规的,自定义变更跟踪和读取跟踪数据,会使用触发器,存储过程和记录变更的用户表等, 还需要保证访问一致和相关清理工作. 使用CT会减少额外工作量和保证访问一致性. 启用CT的表上必须得有主键,所有版本适用.为了保证更改信息的有效性,官方建议结合快照隔离使用. CT只能提供: 哪些行/列发生了更改 被更改行的最新数据. 不能提供:更改发生的次数,中间值. 应用:离线缓存的更新,ETL更新 注意事项: 1. 写入变更到变更

等级保护项目SQL?Server审计方案

根据等级保护项目SQL Server审计需求,将SQL Server Default Trace文件保存半年以上. 解决方案 对于用户来讲,Default Trace只能关闭或开启该跟踪,无法修改任何参数.因此,我们只有将跟踪文件同步出来保存. 计划在备域控服务器上,通过Windows自带的robocopy来同步集中交易数据库的*.trc文件到本地,长期保存. robocopy "\\10.198.1.111\e$\MSSQL12.XXX\MSSQL\Log" "D:\Rob

SQL Server如何用触发器捕获DML操作的会话信息

原文:SQL Server如何用触发器捕获DML操作的会话信息 需求背景 上周遇到了这样一个需求,维护人员发现一个表的数据经常被修改,由于历史原因:文档缺少:以及维护人员的经常变更,导致他们对系统也业务也不完全熟悉,他们也不完全清楚哪些系统和应用程序会对这个表的数据进行操作.现在他们想找出有哪些服务器,哪些应用程序会对这个表进行INSERT.UPDATE操作.那么问题来了,怎么去解决这个问题呢? 解决方案 由于数据库版本是标准版,我们选择了使用触发器来捕获进行DML操作的会话的相关信息,例如,H

SQL Server中如何实现遍历表的记录

SQL Server遍历表一般都要用到游标,SQL Server中可以很容易的用游标实现循环,实现SQL Server遍历表中记录. 但游标在实际的开发中都不推荐使用. 我们知道还可以借助临时表或表变量等来实现SQL Server遍历表 下例为用表变量来实现简单的循环: (直接复制到查询分析器中运行即可)1.           declare @temp table   2.           (   3.              [id] int IDENTITY(1,1),   4. 

SQL Server中的三种物理连接操作:嵌套循环连接、合并连接、哈希匹配

浅谈SQL Server中的三种物理连接操作 Merge join.Hash join.Nested loop join对比分析 版权声明:本文为博主原创文章,未经博主允许不得转载.

统计Sql Server数据库中的每张表的记录数

统计Sql Server数据库中的每张表的记录数 USE JYDB                   -- JYDB为你所在的数据库 GO select b.[name] '表名',max(a.rowcnt) '记录数'   from sysindexes a   join sys.objects b on b.object_id=a.id   where b.type='U'   group by b.[name]

SQl Server误编辑删除数据,操作撤回

SQl Server误编辑删除数据,操作撤回 操作撤回 select?*?into?..?遇到大表咋办? 建议用? begin?tran ??update?...??--更新 ??select?...??--确认 ? ? commit?tran?--提交 或 rollback?tran?--回滚