InsightTechnology 旧ブログ

＜Audit Trailについての検証　～その５～＞
ペンネーム　ベロ

先週はちょっと寄り道をしてしまいましたが、今週は気を取り直しては9iから
の新機能「ファイングレイン監査」を見ていきたいと思います。

今までの監査では監査対象としてオブジェクトの指定しかできませんでした。
しかし、ファイングレイン監査を用いるとアクセスに対する監査で今までより
も、より細かな監査条件を設定することができます。
具体的な監査条件として、オブジェクトの指定に加えて以下の条件を指定する
ことができます。

□ 列の指定
   ファイングレイン監査では指定した列に対するアクセスのみを監査するこ
   とができます。

□ 条件の指定
   ファイングレイン監査ではSQL文の条件句(WHERE句)の形式で監査条件を指
   定することができます。

また、ファイングレイン監査では詳細な監査結果を記録することができます。

□ SYS.DBA_FGA_AUDIT_TRAILビュー
   監査結果は監査レコードとしてSYS.DBA_FGA_AUDIT_TRAILビューに記録さ
   れます。

□ イベント・ハンドラ
   SYS.DBA_FGA_AUDIT_TRAILビューとは別に、監査を行なった際にどのような
   記録を残すかをイベント・ハンドラとして自由に定義することができます。

ファイングレイン監査で用いられる監査ポリシーを設定するためにSYS.DBMS_FGA
パッケージが用意されています。監査ポリシーを定義することによって監査イ
ベントをトリガーするデータ・アクセス条件を指定することができます。

■ ADD_POLICYプロシージャ — 監査ポリシーを表やビューに設定します。
■ DROP_POLICYプロシージャ — 監査ポリシーを削除します。
■ ENABLE_POLICYプロシージャ — 監査ポリシーを有効化します。
■ DISABLE_POLICYプロシージャ — 監査ポリシーを無効化します。

注1) ファイングレイン監査ではCBOを利用した問合せのみがサポート対象となります。
^^^^^^^^^^^^^^^^^^^^^^^
RBOを利用した問合せを行なうと不要な監査レコードが発生します。
注2）監査機能の初期化パラメータ「AUDIT_TRAIL」とは無関係に監査を実施します。

今回はORABMユーザのCUSTOMER表に対し、C_IDカラムを以下の条件でSELECTした
場合に監査を行うような監査ポリシーを定義する。さらに、イベント・ハンドラ
として、詳細情報をファイルに出力するプロシージャを定義してみる。

【監査ポリシー】
  ORABM.CUSTOMER表に対してC_ID=30をWHERE句で指定したSELECT文に対して監査
  レコードを生成するとともに、詳細情報を監査ファイルに出力する。

【イベント・ハンドラ】
  監査ファイル「aud_obj.aud」に以下の内容を出力する。
    ファイル作成日付
    監査対象になったDBユーザ名
    監査対象になったOSユーザ名
    SQLを発行したホスト名
    SQLを発行したホストのIPアドレス
    実行したSQL
    FGAのポリシー名
    監査対象のスキーマ名
    監査対象のオブジェクト名
    
  ※ 初期化パラメータのutl_file_dirに適切な値を設定しておいてください。

では早速監査ポリシーの定義を行ってみよう。

analyze table customer compute statistics;

表が分析されました。

1. イベント・ハンドラの作成
^^^^^^^^^^^^^^^^^^^^^^^^^^^

create or replace procedure aud_obj_proc( ←(1)
   schema_name varchar2,
   table_name  varchar2,
   policy_name varchar2)
is
   file_id       utl_file.file_type;
   sdate         varchar2(19) := to_char(sysdate,'yyyy/mm/dd hh24:mi:ss');
   aud_file_path varchar2(64) := '/home/oracle/OraHome1/rdbms/audit';
   file_name     varchar2(20) := 'audit_obj.aud';
begin
   file_id := utl_file.fopen(aud_file_path,file_name,'A');

   utl_file.put_line(file_id,'');
   utl_file.put_line(file_id,sdate);
   utl_file.put_line(file_id,'ACTION : SELECT');
   utl_file.put_line(file_id,'DB USER: '||SYS_CONTEXT('USERENV','SESSION_USER'));
   utl_file.put_line(file_id,'OS USER: '||SYS_CONTEXT('USERENV','OS_USER'));
   utl_file.put_line(file_id,'HOST   : '||SYS_CONTEXT('USERENV','HOST'));
   utl_file.put_line(file_id,'IPADDR : '||SYS_CONTEXT('USERENV','IP_ADDRESS'));
   utl_file.put_line(file_id,'SQL_TXT: '||SYS_CONTEXT('USERENV','CURRENT_SQL'));
   utl_file.put_line(file_id,'POLICY : '||policy_name);
   utl_file.put_line(file_id,'SCHEMA : '||schema_name);
   utl_file.put_line(file_id,'OBJECT : '||table_name);

   utl_file.fclose(file_id);
end;
/

2. 監査ポリシーの定義
^^^^^^^^^^^^^^^^^^^^^

execute dbms_fga.add_policy(-             ←(2)
   object_schema   => 'orabm',-           --監査対象スキーマ指定
   object_name     => 'customer',-        --監査対象オブジェクト指定
   policy_name     => 'aud_obj_policy',-  --監査ポリシー指定
   audit_condition => 'c_id=30',-         --監査条件指定
   audit_column    => 'c_id',-            --監査カラム指定
   handler_schema  => 'orabm',-           --ハンドラプロシージャのスキーマ指定
   handler_module  => 'aud_obj_proc',-    --ハンドラプロシージャ名指定
   enable          => true);              --監査ポリシーを有効にする

(1)のイベント・ハンドラとして定義するプロシージャは3つの引数をとります。
それぞれの引数は順に、監査オブジェクトのスキーマ名、監査オブジェクト名、
監査ポリシー名です。

(2)の監査ポリシーの定義で、ポリシー名を「aud_obj_policy」として定義し、
イベント・ハンドラとして(1)で作成した「aud_obj_proc」を設定しています。

それでは、SQLをいくつか実行してみる・・・

(1).select c_id from customer where c_id = 30;
(2).select c_id from customer where c_id = 1;
(3).select c_data from customer where c_id = 30;
(4).select c_data from customer where c_id = 1;

実際に監査対象となったSQLをDBA_FGA_AUDIT_TRAILより検索

select to_char(timestamp,'yyyy/mm/dd hh24:mi:ss') timestamp
       ,db_user
       ,os_user
       ,object_schema
       ,object_name
       ,policy_name
       ,sql_text
from   dba_fga_audit_trail
order by timestamp;

TIMESTAMP            DB_US OS_US OBJECT_SCH OBJECT_NAM POLICY_NAM SQL_TEXT
-------------------- ----- ----- ---------- ---------- ---------- ----------
2003/09/01 18:09:42  ORABM kshin ORABM      CUSTOMER   AUD_OBJ_PO select c_i
                           kub                         LICY       d from cus
                                                                  tomer wher
                                                                  e c_id = 3
                                                                  0

2003/09/01 18:10:02  ORABM kshin ORABM      CUSTOMER   AUD_OBJ_PO select c_d
                           kub                         LICY       ata from c
                                                                  ustomer wh
                                                                  ere c_id =
                                                                   30

監査ポリシーとして定義したWHERE句の条件以外のSQLは監査されていないことが
わかる。（監査対象となるのは上記SQLの内(1)、(3)のみ）

更に先ほど設定したイベント・ハンドラにより作成されたファイルを確認してみる。

$ cat $ORACLE_HOME/rdbms/audit/aud_obj.aud

2003/09/01 18:09:42
ACTION : SELECT
DB USER: ORABM
OS USER: kshinkub
HOST   : INSIGHTKSHINKUB
IPADDR : xxx.xxx.xxx.xxx
SQL_TXT: select c_id from customer where c_id = 30
POLICY : AUD_OBJ_POLICY
SCHEMA : ORABM
OBJECT : CUSTOMER

2003/09/01 18:10:02
ACTION : SELECT
DB USER: ORABM
OS USER: kshinkub
HOST   : INSIGHTKSHINKUB
IPADDR : xxx.xxx.xxx.xxx
SQL_TXT: select c_data from customer where c_id = 30
POLICY : AUD_OBJ_POLICY
SCHEMA : ORABM
OBJECT : CUSTOMER

今回はイベント・ハンドラとして外部ファイルに監査履歴を残すプロシージャ
を定義しましたが、このプロシージャにより柔軟な監査が可能となります。

特定の重要なデータに対してこのような監査を実施し、定期的にファイルを監視
することが大事。システム初期段階は通常のAUDIT監査を実施し、もっと詳細かつ
柔軟に監査を行いたいという状況が発生した場合には有効な機能ではないでしょうか。

食欲の秋が待ち遠しい、茅ヶ崎より