Oracle監査ログの出力方法について

Question

Oracleの監査ログについて調査しています。

Oracleの監査ログでselect文を実行した際にもログにそのselect文が記載されるよう
初期化パラメータの値にaudit_trailをxml,extendedとしました。
xmlファイルは確認でき、何件かselect文も確認できたのですが、
すべてsysでログインしたときのみ実行したselect文があります。

通常ユーザでDBにログインした際にもselect文を監査ログに出力したいのですが、
どなたか実現方法をご存知の方はいらっしゃらないでしょうか？

無知で申し訳ありませんが宜しくお願い致します。

Comments

[over]

実際に通常のユーザでログイン、selectを発行しても監査ログに出力されなかったということでしょうか?

[yamato_0410]

はい、ご認識の通りです。なにか設定が足りない部分があるのかもしくはそもそも記録されないのかも不明です。

Answer 1

DB監査では、DB監査全体を有効にすることと、
個別にどういった操作を監査するかの設定があります。
前者はできていると思いますので、以下のように監査したいユーザを指定してSELECT操作を監査対象とすることが可能です。

・特定ユーザの個別SELECT毎の監査
AUDIT SELECT TABLE BY 対象ユーザ名 BY ACCESS;

大量の監査ログ出力によるディスク枯渇などの悪影響がないか、ご注意ください。念のため取り消し方法も記載しておきます。

・上記監査設定の取り消し
NOAUDIT SELECT TABLE BY 対象ユーザ名;

Answer 2

監査のレベルにもよりますが、ご質問の内容でsysなどオラクル側の監査をとりたくないといことですと、正式な監査になりません。悪意を持った人がsysでログインして悪さをしても記録に残りませんから。
案件によってはオラクルの有償オプションの Oracle Audit Vault やセキュリティの都合で Oracle Advanced Security が必要になったり。
銀行関係のシステムですと監査ログは永久保存を要求されます。

しばちょう先生の試して納得！DBAへの道
第32回 標準監査の基本的な使い方 程度はきちんと理解できる人を充てて、詳しい監査要件をお客様とオラクル・サポートと相談しながら詰めて行きます。
オラクル・サポートが使えないなら断りましょう。

Comments

[sazi]

質問はSYS以外でログインしたユーザーの監査ログを取りたいという風に見えるのですが。

[Orlofsky]

SYSもそれ以外のユーザーも監査ログの対象になるはずです。パッチでもあるのかも？
サポートに確認ですね。
Oracleのバージョンも書いてないし。

Oracle9iは酷いバグが多かったです。
新聞社の開発はやってないけど。
https://srad.jp/story/07/09/30/227229/

[yamato_0410]

通常のユーザでもselect文を監査ログに出力させたいと思っています。