SQL Server 审核（Audit）-- 使用T-SQL创建审核，以审核数据库内的查询操作

fdhfgh

SQL Server 审核（Audit）-- 使用T-SQL创建审核，以审核数据库内的查询操作
任务1：创建审核
　　步骤1：打开SSMS，执行以下脚本。
--01 Create SQL Server Audit　　
USE master
　　
GO
　　
CREATE SERVER AUDIT [Audit-AdventureWorks2012-SELECT]
　　
TO FILE
　　
( FILEPATH = N'D:\MSSQL\DATA\Audit_logs'
　　
,MAXSIZE=10MB
　　
,MAX_ROLLOVER_FILES=100
　　
,RESERVE_DISK_SPACE=OFF)
　　
WITH
　　
( QUEUE_DELAY=1000,ON_FAILURE=CONTINUE)
　　
GO
　　
--02 Enable the Audit
　　
ALTER SERVER AUDIT [Audit-AdventureWorks2012-SELECT]
　　
WITH (STATE=ON)
　　
GO
　　
--03 Use sys.server_audits to check current status
　　
SELECT name N'Audit', is_state_enabled N'Enabled',type_desc N'Audit Type',queue_delay N'Wait Time',create_date N'Create Time',modify_date N'Modify Time'
　　
FROM sys.server_audits
　　利用CREATE SERVER AUDIT语法，创建审核对象，说明如下。
　　l 审核名称：Audit-AdventureWorks2012-SELECT。
　　l 队列延迟：1000（秒）。
　　l 审核目标：File。
　　l 文件路径：D:\MSSQL\DATA\Audit_logs。
　　l 最大滚动更新文件：100。
　　l 最大文件大小：10MB。
　　l 此服务器审核对象已经启用。

任务2：创建服务器审核规范对象
　　步骤1：打开SSMS，执行以下脚本。
--01 Create Server Audit Specification　　
USE master
　　
GO
　　
CREATE SERVER AUDIT SPECIFICATION [ServerAuditSpecification-Login-Successful]
　　
FOR SERVER AUDIT [Audit-AdventureWorks2012-SELECT]
　　
ADD (SUCCESSFUL_LOGIN_GROUP)
　　
GO
　　
--02 Enable the Server Audit Specification
　　
ALTER SERVER AUDIT SPECIFICATION [ServerAuditSpecification-Login-Successful]
　　
WITH (STATE=ON)
　　利用CREATE SERVER AUDIT SPECIFICATION语法，创建Server Audit Specification，具备以下的特性。
　　l 服务器审核规范的名称：ServerAuditSpecification-Login-Successful。
　　l 使用此审核规范的审核名称：Audit-AdventureWorks2012-SELECT。
　　l 所要审核的操作组：SUCCESSFUL_LOGIN_GROUP。
　　步骤2：执行以下代码，查看服务器审核规范对象。
--01 Query Server Audit Specification　　
SELECT name N'Server Audit Specification',is_state_enabled N'Enabled',
　　
Create_date N'Create Time',modify_date N'Modify Time'
　　
FROM sys.server_audit_specifications
　　
--02 Query Server Audit Specification more information
　　
SELECT audit_action_id N'Audit Action ID',audit_action_name N'Audit Action Or Audit Action Group',
　　
Class_desc N'Object Class',is_group N'Action Group'
　　
FROM sys.server_audit_specification_details

　　步骤3：执行以下代码，查看可用的审核操作、审核操作组的项目。
--Audit Action or Audit Action Group　　
SELECT * FROM sys.dm_audit_actions
　　
SELECT * FROM sys.dm_audit_actions WHERE action_id='LGSD'
　　
--Audit class type
　　
SELECT * FROM sys.dm_audit_class_type_map ORDER BY securable_class_desc

任务3：创建数据库审核规范对象
　　步骤1：打开SSMS，执行以下脚本
--01 Create Database Audit Specification　　
USE AdventureWorks2012
　　
GO
　　
CREATE DATABASE AUDIT SPECIFICATION [AuditDatabaseSpecification-Object-SELECT]
　　
FOR SERVER AUDIT [Audit-AdventureWorks2012-SELECT]
　　
ADD (SELECT ON SCHEMA::[dbo] BY [public])
　　
GO
　　
/*
　　
{
　　
Action [ ,…n] ON [ class :: ] securable BY principal [ ,…n]
　　
}
　　
*/
　　
--02 Enable Database Audit Specification
　　
ALTER DATABASE AUDIT SPECIFICATION [AuditDatabaseSpecification-Object-SELECT]
　　
WITH (STATE=ON)
　　利用CREATE DATABASE AUDIT SPECIFICATION语法，创建数据库审核规范对象，具备以下的特性。
　　l 数据库审核对象的名称：[AuditDatabaseSpecification-Object-SELECT]
　　使用此审核规范的审核名称：[Audit-AdventureWorks2012-SELECT]
　　l 所要审核的操作：SELECT。

　　l>　　l Securable使用dbo关键词，这表示包含dbo架构下的所有对象。可以依据审核的要求，填入适合的架构名称。
　　l 在principal部分，使用public关键词，代表固定数据库级别角色public。因为每位数据库用户都属于public数据库角色，借此可以包含数据库的每一位用户账户。
　　步骤2：执行以下脚本，查看可用于设置数据库审核规范对象的相关信息。
SELECT * FROM sys.database_audit_specifications　　
SELECT name N'Database Audit Specification',is_state_enabled N'Enabled',
　　
Create_date N'Create Time',modify_date N'Modify Time'
　　
FROM sys.database_audit_specifications
　　
SELECT * FROM sys.database_audit_specification_details
　　
SELECT audit_action_id N'Audit Action ID',audit_action_name N'Audit Action Or Audit Action Group',
　　
Class_desc N'Class Desc',is_group N'Action Group'
　　
FROM sys.database_audit_specification_details

任务4：测试审核功能 – 登录目标数据库，查询数据表
　　步骤1：打开SSMS，执行以下脚本，创建账户superpippo，登录到数据库AdventureWorks2012并赋予适当的权限。
USE master　　
GO
　　
CREATE LOGIN [superpippo]
　　
WITH PASSWORD=N'Mpdfzh7',DEFAULT_DATABASE=AdventureWorks2012,
　　
CHECK_EXPIRATION=OFF,CHECK_POLICY=OFF
　　
GO
　　
USE AdventureWorks2012
　　
GO
　　
CREATE USER [superpippo]
　　
FOR LOGIN [superpippo]
　　
GO
　　
EXEC sp_addrolemember N'db_datareader',N'superpippo'
　　步骤2：利用登录账户superpippo登录SQL Server，执行以下代码。
USE AdventureWorks2012　　
GO
　　
SELECT * FROM dbo.DatabaseLog
　　
SELECT * FROM dbo.ErrorLog
　　
SELECT * FROM Person.Password
任务5： 使用日志文件查看器阅读审核日志
　　步骤1：展开“Object Explorer”，“Security”，“Audits”节点。
　　步骤2：在“Audits”节点“Audit-AdventureWorks2012-SELECT”对象上右击，选择“View Audit Logs”选项。
　　步骤3：在“Log File Viewer”左上角的“Select logs”区域，确认有勾选“Audit Collection”，“Audit-AdventureWorks2012-SELECT”，利用以下的方式来阅读所记录的审核信息。

　　需要将“Action>任务6：创建T-SQL函数进一步分析审核的日志
　　步骤1：执行以下代码。
--Create Function ufn_AuditReport　　
USE master
　　
GO
　　
IF EXISTS(SELECT * FROM sys.objects WHERE object_id=OBJECT_ID(N'[dbo].[ufn_AuditReport]') AND type in(N'FN',N'IF',N'TF',N'FS',N'FT'))
　　
DROP FUNCTION [dbo].[ufn_AuditReport]
　　
GO
　　
CREATE FUNCTION dbo.ufn_AuditReport
　　
(@filepath varchar(1000))
　　
RETURNS @retAuditReport TABLE
　　
(
　　
[session_id] int NULL,
　　
[server_principal_name] sysname NOT NULL,
　　
[ip] nvarchar(100) NULL,
　　
[login_time] datetimeoffset(7) NULL,
　　
[database_name] sysname NOT NULL,
　　
[action_time] datetimeoffset(7) NULL,
　　
[tsql] nvarchar(4000) NULL
　　
)
　　
AS
　　
BEGIN
　　
DECLARE @tsl TABLE
　　
(RN int, session_id int, event_time datetime2, server_principal_name sysname,
　　
Server_principal_id int, database_name sysname, statement nvarchar(4000))
　　
DECLARE @tlgls TABLE
　　
(RN int IDENTITY(1,1), event_time datetime2, additional_information nvarchar(4000))
　　
INSERT @tsl
　　
SELECT ROW_NUMBER() OVER(ORDER BY event_time) 'RN',
　　
Session_id,event_time,server_principal_name,server_principal_id,database_name,statement
　　
FROM sys.fn_get_audit_file(@filepath,default,default)
　　
WHERE action_id IN('SL')
　　
DECLARE @rid INT=1
　　
DECLARE @tslRN INT=(SELECT MAX(RN) FROM @tsl)
　　
WHILE @tslRN>=@rid
　　
BEGIN
　　
DECLARE @session_id int=(SELECT session_id FROM @tsl WHERE RN=@rid)
　　
DECLARE @event_time datetime2=(SELECT event_time FROM @tsl WHERE RN=@rid)
　　
DECLARE @server_principal_id int=(SELECT server_principal_id FROM @tsl WHERE RN=@rid)
　　
INSERT @tlgls(event_time,additional_information)
　　
SELECT TOP (1) event_time,additional_information
　　
FROM sys.fn_get_audit_file(@filepath,default,default)
　　
WHERE action_id='LGIS' AND session_id=@session_id AND server_principal_id=@server_principal_id AND event_time