SQL Server 审核（Audit）-- 使用T-SQL创建审核，以审核数据库内的查询操作
SQL Server 审核（Audit）-- 使用T-SQL创建审核，以审核数据库内的查询操作任务1：创建审核
步骤1：打开SSMS，执行以下脚本。
--01 Create SQL Server Audit
USE master
GO
CREATE SERVER AUDIT
TO FILE
( FILEPATH = N'D:\MSSQL\DATA\Audit_logs'
,MAXSIZE=10MB
,MAX_ROLLOVER_FILES=100
,RESERVE_DISK_SPACE=OFF)
WITH
( QUEUE_DELAY=1000,ON_FAILURE=CONTINUE)
GO
--02 Enable the Audit
ALTER SERVER AUDIT
WITH (STATE=ON)
GO
--03 Use sys.server_audits to check current status
SELECT name N'Audit', is_state_enabled N'Enabled',type_desc N'Audit Type',queue_delay N'Wait Time',create_date N'Create Time',modify_date N'Modify Time'
FROM sys.server_audits
利用CREATE SERVER AUDIT语法，创建审核对象，说明如下。
l 审核名称：Audit-AdventureWorks2012-SELECT。
l 队列延迟：1000（秒）。
l 审核目标：File。
l 文件路径：D:\MSSQL\DATA\Audit_logs。
l 最大滚动更新文件：100。
l 最大文件大小：10MB。
l 此服务器审核对象已经启用。
任务2：创建服务器审核规范对象
步骤1：打开SSMS，执行以下脚本。
--01 Create Server Audit Specification
USE master
GO
CREATE SERVER AUDIT SPECIFICATION
FOR SERVER AUDIT
ADD (SUCCESSFUL_LOGIN_GROUP)
GO
--02 Enable the Server Audit Specification
ALTER SERVER AUDIT SPECIFICATION
WITH (STATE=ON)
利用CREATE SERVER AUDIT SPECIFICATION语法，创建Server Audit Specification，具备以下的特性。
l 服务器审核规范的名称：ServerAuditSpecification-Login-Successful。
l 使用此审核规范的审核名称：Audit-AdventureWorks2012-SELECT。
l 所要审核的操作组：SUCCESSFUL_LOGIN_GROUP。
步骤2：执行以下代码，查看服务器审核规范对象。
--01 Query Server Audit Specification
SELECT name N'Server Audit Specification',is_state_enabled N'Enabled',
Create_date N'Create Time',modify_date N'Modify Time'
FROM sys.server_audit_specifications
--02 Query Server Audit Specification more information
SELECT audit_action_id N'Audit Action ID',audit_action_name N'Audit Action Or Audit Action Group',
Class_desc N'Object Class',is_group N'Action Group'
FROM sys.server_audit_specification_details
步骤3：执行以下代码，查看可用的审核操作、审核操作组的项目。
--Audit Action or Audit Action Group
SELECT * FROM sys.dm_audit_actions
SELECT * FROM sys.dm_audit_actions WHERE action_id='LGSD'
--Audit class type
SELECT * FROM sys.dm_audit_class_type_map ORDER BY securable_class_desc
任务3：创建数据库审核规范对象
步骤1：打开SSMS，执行以下脚本
--01 Create Database Audit Specification
USE AdventureWorks2012
GO
CREATE DATABASE AUDIT SPECIFICATION
FOR SERVER AUDIT
ADD (SELECT ON SCHEMA:: BY )
GO
/*
{
Action [ ,…n] ON [ class :: ] securable BY principal [ ,…n]
}
*/
--02 Enable Database Audit Specification
ALTER DATABASE AUDIT SPECIFICATION
WITH (STATE=ON)
利用CREATE DATABASE AUDIT SPECIFICATION语法，创建数据库审核规范对象，具备以下的特性。
l 数据库审核对象的名称：
使用此审核规范的审核名称：
l 所要审核的操作：SELECT。
l> l Securable使用dbo关键词，这表示包含dbo架构下的所有对象。可以依据审核的要求，填入适合的架构名称。
l 在principal部分，使用public关键词，代表固定数据库级别角色public。因为每位数据库用户都属于public数据库角色，借此可以包含数据库的每一位用户账户。
步骤2：执行以下脚本，查看可用于设置数据库审核规范对象的相关信息。
SELECT * FROM sys.database_audit_specifications
SELECT name N'Database Audit Specification',is_state_enabled N'Enabled',
Create_date N'Create Time',modify_date N'Modify Time'
FROM sys.database_audit_specifications
SELECT * FROM sys.database_audit_specification_details
SELECT audit_action_id N'Audit Action ID',audit_action_name N'Audit Action Or Audit Action Group',
Class_desc N'Class Desc',is_group N'Action Group'
FROM sys.database_audit_specification_details
任务4：测试审核功能 – 登录目标数据库，查询数据表
步骤1：打开SSMS，执行以下脚本，创建账户superpippo，登录到数据库AdventureWorks2012并赋予适当的权限。
USE master
GO
CREATE LOGIN
WITH PASSWORD=N'Mpdfzh7',DEFAULT_DATABASE=AdventureWorks2012,
CHECK_EXPIRATION=OFF,CHECK_POLICY=OFF
GO
USE AdventureWorks2012
GO
CREATE USER
FOR LOGIN
GO
EXEC sp_addrolemember N'db_datareader',N'superpippo'
步骤2：利用登录账户superpippo登录SQL Server，执行以下代码。
USE AdventureWorks2012
GO
SELECT * FROM dbo.DatabaseLog
SELECT * FROM dbo.ErrorLog
SELECT * FROM Person.Password
任务5： 使用日志文件查看器阅读审核日志
步骤1：展开“Object Explorer”，“Security”，“Audits”节点。
步骤2：在“Audits”节点“Audit-AdventureWorks2012-SELECT”对象上右击，选择“View Audit Logs”选项。
步骤3：在“Log File Viewer”左上角的“Select logs”区域，确认有勾选“Audit Collection”，“Audit-AdventureWorks2012-SELECT”，利用以下的方式来阅读所记录的审核信息。
需要将“Action>任务6：创建T-SQL函数进一步分析审核的日志
步骤1：执行以下代码。
--Create Function ufn_AuditReport
USE master
GO
IF EXISTS(SELECT * FROM sys.objects WHERE object_id=OBJECT_ID(N'.') AND type in(N'FN',N'IF',N'TF',N'FS',N'FT'))
DROP FUNCTION .
GO
CREATE FUNCTION dbo.ufn_AuditReport
(@filepath varchar(1000))
RETURNS @retAuditReport TABLE
(
int NULL,
sysname NOT NULL,
nvarchar(100) NULL,
datetimeoffset(7) NULL,
sysname NOT NULL,
datetimeoffset(7) NULL,
nvarchar(4000) NULL
)
AS
BEGIN
DECLARE @tsl TABLE
(RN int, session_id int, event_time datetime2, server_principal_name sysname,
Server_principal_id int, database_name sysname, statement nvarchar(4000))
DECLARE @tlgls TABLE
(RN int IDENTITY(1,1), event_time datetime2, additional_information nvarchar(4000))
INSERT @tsl
SELECT ROW_NUMBER() OVER(ORDER BY event_time) 'RN',
Session_id,event_time,server_principal_name,server_principal_id,database_name,statement
FROM sys.fn_get_audit_file(@filepath,default,default)
WHERE action_id IN('SL')
DECLARE @rid INT=1
DECLARE @tslRN INT=(SELECT MAX(RN) FROM @tsl)
WHILE @tslRN>=@rid
BEGIN
DECLARE @session_id int=(SELECT session_id FROM @tsl WHERE RN=@rid)
DECLARE @event_time datetime2=(SELECT event_time FROM @tsl WHERE RN=@rid)
DECLARE @server_principal_id int=(SELECT server_principal_id FROM @tsl WHERE RN=@rid)
INSERT @tlgls(event_time,additional_information)
SELECT TOP (1) event_time,additional_information
FROM sys.fn_get_audit_file(@filepath,default,default)
WHERE action_id='LGIS' AND session_id=@session_id AND server_principal_id=@server_principal_id AND event_time
页:
[1]