SQL Server 审核（Audit）-- 审核对数据库对象的访问

任务1：创建登录账户，授予适当的权限

步骤1：打开SSMS，输入如下语句，创建登录账户UltraSQL，授予访问AdventureWorks2012数据库的Person.Person和Person.Password权限。

USE master
GO
--Create Login UltraSQL
CREATE LOGIN UltraSQL
WITH PASSWORD=N’Mpdfzh7’,
DEFAULT_DATABASE=AdventureWorks2012, CHECK_EXPIRATION=OFF, CHECK_POLICY=OFF
GO
--Create User UltraSQL In AdventureWorks2012
USE AdventureWorks2012
GO
CREATE USER UltraSQL FOR LOGIN UltraSQL
GO
--Grant Select Privilege to Person.Person & Person.Password
GRANT SELECT ON Person.Person TO UltraSQL
GRANT SELECT ON Person.Password TO UltraSQL
GO

任务2：创建审核

步骤1：打开SSMS，登录到指定的实例，展开“Security”，“Audits”节点。

步骤2：在“Audits”节点上，右键选择“New Audit…”选项。

步骤3：在“Create Audit”窗口，输入以下的参数。

l 在“Audit name”输入Audit-AdventureWorks2012-AccessTable。

l 在“Audit destination”选择“File”

l 在“File path”输入D:\MSSQL\DATA\Audit_logs。

l 取消勾选位于“Maximum rollover files”框下的“Unlimited”。

l 在“Number of files”输入100。

l 取消勾选位于“Maximum file size”框下的“Unlimited”。

l 在“Maximum file size”输入10，选择“MB”框。

设置“Maximum file size”为10MB，可以让每个审核文件的大小，维持在指定的大小之内，当此审核文件的空间耗用完之后，将参照“Maximum rollover files”选项的设置，依据默认值，最多可保留的审核文件数据量，可达2147483647个文件。这里，每个审核文件最大可达10MB，最多可保留的文件数量是100个。

步骤4：单击“OK”完成设置。

步骤5：右键点击刚刚创建的审核“Audit-AdventureWorks2012-AccessTable”，选择“Enable Audit”选项。

任务3：创建访问数据表的审核

步骤1：展开“Database”，“AdventureWorks2012”，“Security”，“Database Audit Specifications”节点。

步骤2：在“Database Audit Specifications”节点，单击鼠标右键选择“New Database Audit Specification…”选项。

步骤3：在“Create Database Audit Specification”窗口输入以下的参数。

l 在“Name”输入DatabaseAuditSpecification-UltraSQLAccessPerson.Password。

l 在“Audit”下拉框选择之前创建的审核对象Audit-AdventureWorks2012-AccessTable。

l 在“Audit Action Type”中选择“SELECT”。

l 在“Object Class”中选择“OBJECT”选项。

l 在“Object Name”中单击图表，选择“Person.Password”选项。

l 在“Principal Name”中单击图表，选择“UltraSQL”选项。

步骤4：参照步骤3，在“Action”区域的第二行部分，添加对“Audit Action Type”是“UPDATE”的监视。。以针对用户UltraSQL查询或是更新数据表Person.Password进行审核。

步骤5：右键点击刚刚创建的数据库审核规范“DatabaseAuditSpecification-UltraSQLAccessPerson.Password”，选择“Enable Database Audit Specification”选项。

任务4：测试审核功能

步骤1：以UltraSQL的身份，通过SSMS连接到AdventureWorks2012。

步骤2：使用UltraSQL账号，对数据表Person.Password执行查询与更新等操作。

USE AdventureWorks2012
GO
SELECT * FROM Person.Password
SELECT * FROM Person.Person
SELECT * FROM Person.Password
UPDATE Person.Password SET ModifiedDate=GETDATE() WHERE BusinessEntityID=1
/*
Msg 229, Level 14, State 5, Line 1
The UPDATE permission was denied on the object ‘Password‘, database ‘AdventureWorks2012‘, schema ‘Person‘.
*/
SELECT * FROM Person.Password WHERE BusinessEntityID=1
SELECT a.PasswordHash,b.FirstName,b.LastName
FROM Person.Password a INNER JOIN Person.Person b
ON a.BusinessEntityID = b.BusinessEntityID
SELECT TOP 1 * FROM Person.Password WHERE BusinessEntityID=1

任务5：使用“Log File Viewer”，阅读审核日志

步骤1：以sysadmin身份登录实例，展开“Object Explorer”，“Security”，“Audits”节点。

步骤2：在审核“Audit-AdventureWorks2012-AccessTable”上单击右键，选择“View Audit Logs”。

步骤3：在“Log File Viewer”窗口的左侧，选择“Audit Collection”，“Audit-AdventureWorks2012-AccessTable”，并利用以下的方式来阅读所记录的审核信息。

l 在右边的“Log file summary”区域内，在“Action ID”框下，单击“SELECT”操作类型的数据行日志。

l 在下方的“Database Principal Name”区域，可以看到所记录的数据库用户。在“Statement”区域可以看到所记录的程序代码。

有个特别的现象，整理如下。

l 以执行UPDATE语句为例，将会引发SELECT与UPDATE等两个“Action ID”行为，也将会产生两笔审核日志，所记录下来的数据除了在“Action ID”区域是不同的之外（一个是SELECT，一个是UPDATE），其余部分都一样。此外，即便是用户UltraSQL没有权限可以修改数据表，这些行为也将被审核对象所记录，但在“Succeeded”区域部分日志为False。

任务6：使用T-SQL函数来分析、筛选审核的日志数据

步骤1：利用sysadmin身份，执行SSMS，输入如下查询语句，使用sys.dm_server_audit_status动态管理视图来查看各个审核对象的当前状态。

USE master
GO
SELECT audit_id N‘Audit ID‘, name N‘Audit Name‘, status_desc N‘Server Audit Status‘,
Status_time N‘Last Status Changed Timestamp‘, audit_file_size N‘Audit File Size‘,
Audit_file_path N‘Audit File Full Path‘
FROM sys.dm_server_audit_status;

l 数据行status_desc（服务器审核状态）：查看各个审核对象是否已经启用。

l 数据行audit_file_size（审核文件大小（KB））：查看以二进制文件为目标的审核文件，其所使用的空间，以KB为单位；若非二进制文件，例如：以“Windows应用程序事件日志文件”来存放的审核日志，则会显示NULL。

l 数据行audit_file_path（审核文件目标的完整路径名称）：查看以二进制文件为目标的审核文件，其所在的完整路径与文件名。

步骤2：单击“New Query”，执行如下代码，使用函数fn_get_audit_file分析审核文件

--EX1 Query the Audit File
/*
Fn_get_audit_file (Transact-SQL)
fn_get_audit_file(file_pattern, {default | initial_file_name | NULL },{default | audit_file_offset | NULL})
Param:file_pattern
Set the Audit File Full Path.
*/
SELECT * FROM sys.fn_get_audit_file(N’ D:\MSSQL\DATA\Audit_logs\Audit-Login-Create%9Alter%9Drop_AF3AAECB-30CC-4476-9395-8754E60E356C_0_130639659785910000.sqlaudit’,default,default);
--EX2 Using * Query some Audit Files created by the same audit object
SELECT * FROM sys.fn_get_audit_file(N’ ’ D:\MSSQL\DATA\Audit_logs\Audit-Login-Create%9Alter%9Drop_*.sqlaudit’,default,default);
--EX3 attention: event_time type is datetime2,stored GMT
SELECT event_time N’Audit caused Date & Time(GMT)’, server_principal_name N’Login’,
Database_principal_name N’User’, database_name N’Database’, object_name N’Object Name’, statement N’TSQL’
FROM sys.fn_get_audit_file(N’ ’ D:\MSSQL\DATA\Audit_logs\Audit-Login-Create%9Alter%9Drop_*.sqlaudit’,default,default);
--EX4 Convert to Timezone Bejing(GMT+08:00) using data type datetimeoffset & Function SWITCHOFFSET)
SELECT SWITCHOFFSET(CAST(event_time AS datetimeoffset),’+08:00’) N’Audit Action caused date & time(Timezone Bejing GMT+08:00)’,
Server_principal_name N’Login’, database_principal_name N’User’,
Database_name N’Database’, object_name N’Object Name’, statement N’TSQL’
FROM sys.fn_get_audit_file(N’ ’ D:\MSSQL\DATA\Audit_logs\Audit-Login-Create%9Alter%9Drop_*.sqlaudit’,default,default);
--EX5 Import all audit files in the directory into system
SELECT *
FROM sys.fn_get_audit_file(N’ ’ D:\MSSQL\DATA\Audit_logs\*’,default,default);
--EX6 Convert to Timezone Bejing(GMT+08:00) using data type datetimeoffset & Function SWITCHOFFSET)
SELECT SWITCHOFFSET(CAST(event_time AS datetimeoffset),’+08:00’) N’Audit Action caused date & time(Timezone Bejing GMT+08:00)’,
Server_principal_name N’Login’, database_principal_name N’User’,
Database_name N’Database’, object_name N’Object Name’, statement N’TSQL’
FROM sys.fn_get_audit_file(N’ ’ D:\MSSQL\DATA\Audit_logs\*’,default,default);

说明：

l 在EX1部分中函数fn_get_audit_file的第一个变量，更换为执行sys.dm_server_audit_status后，取得字段audit_file_path的值部分，或是填入完整的审核文件的文件名。在第二个和第三个变量，填入default，采取默认值即可。

l 若要将同一个审核对象所产生的多个审核文件，都加载到系统内进行分析，可以在文件名上，搭配使用通配符*，参考EX2代码。

l 审核所记录的日期时间是格林威治时间（GMT），数据类型为datatime2，可以转换成数据类型datetimeoffset，并利用函数SWITCHOFFSET，将此数据改以北京时区（GMT+08:00）的格式来显示，参考EX3和EX4。

l 若需要将指定文件夹内的各个审核文件，都加载到系统内进行分析，可以搭配通配符*，参考EX5和EX6。

任务7：审核文件的归档存放

步骤1：在D:\MSSQL\DATA\Audit_logs内创建新的文件夹Archive_Audit。

步骤2：打开文件夹D:\MSSQL\DATA\Audit_logs，复制此文件夹内的审核文件（*.sqlaudit）到文件夹D:\MSSQL\DATA\Audit_logs内，此为简易备份审核文件的方式。

步骤3：若要删除已经备份过的审核文件，请先确认此审核对象已经禁用。否则，正在使用的审核文件将将无法删除。

本文出自 “SQL Server Deep Dives” 博客，请务必保留此出处http://ultrasql.blog.51cto.com/9591438/1597086

SQL Server 审核（Audit）-- 审核对数据库对象的访问