以下内容未经整理

占位

强制审计：无法关闭此审计，比如记录数据库的开启和关闭。
标准审计：
基于值得审计：创建触发器，基于值进行记录。Trigger占用资源多
细粒度审计：加一些where条件，针对触发where条件的情况进行审计。

统一审计Unified Auditing

启用统一审计之后，会产生两个角色：

1. AUDIT_ADMIN：

• 创建审计策略
• 执行AUDIT和NOAUDIT语句
• 查看审计数据
• 管理审计线索audit trail（数据表 in AUDSYS schema）

2. AUDIT_VIEWER:

• 查看和分析数据
• 执行DBMS_AUDIT_UTIL PL/SQL软件包。

Unified Auditing是True的时候，统一审计的功能才是开启的。

select value from v$option where parameter = 'Unified Auditing';

VALUE
----------------------------------------------------------------
FALSE

创建Unified Audit Policy

CREATE AUDIT POLICY 审计策略名
ACTIONS 操作名 ON schema对象 ONLY TOPLEVEL
EVALUATE PER SESSION | PER STATEMENT | PER INSTANCE

ONLY TOPLEVEL不记录非直接的操作。比如用户update数据库的时候被记录，而通过存储过程更新数据则不记录。这样可以减少审计日志。

PER SESSION: 一个会话只记录一次出发的审计。
PER STATEMENT: 每次执行语句触发审计都会记录。审计线索占空间最多。
PER INSTANCE: 不过触发了多少次审计操作，实例只会记录一次。审计线索占空间最少。

发生对应的操作，则会写入到审计线索当中。

审计的范围

• 系统特权
  CREATE AUDIT POLICY audit_syspriv_pol1
  PRIVILEGES SELECT ANY TABLE, CREATE TABLE

• 动作
  CREATE AUDIT POLICY audit_actions_pol1
  ACTIONS AUDIT, ALTER TRIGGER

• 角色
  CREATE AUDIT POLICY audit_role_pol1
  ROLES DBA, CONNECT

• 系统特权、动作、角色的组合（或的关系）
  CREATE AUDIT POLICY audit_mixed_pol1
  PRIVILEGES DROP ANY TABLE
  ACTIONS CREATE TABLE, DROP TABLE, TRUNCATE TABLE
  ROLE hrmanager

• 针对于对象
  CREATE AUDIT POLICY audit_objpriv_pol1
  ACTIONS SELECT, UPDATE ON hr.employees;

• 记录所有操作
  CREATE AUDIT POLICY audit_objpriv_pol1
  ACTIONS ALL

• 针对存储过程
  CREATE AUDIT POLICY audit_objpriv_pol2
  ACTIONS EXECUTE, GRANT ON hr.raise_salary_proc

启用和禁用审计策略

为所有用户启用审计
AUDIT POLICY 审计名；

为某些用户启用审计
AUDIT POLICY 审计名 BY 用户1，用户2；

为所有用户启用审计并排除一些用户
AUDIT POLICY 审计名 EXCEPT 用户1，用户2；

对于操作成功和失败的时候开展审计
AUDIT POLICY 审计名 WHENEVER SUCCESSFUL;
AUDIT POLICY 审计名 WHENEVER NOT SUCCESSFUL;

禁用审计
NOAUDIT POLICY

CDB和PDB级别的审计

CDB$ROOT创建的Audit Policy应用到所有的PDB(Common).
APP$ROOT创建的Audit Policy应用到APP容器下的所有PDB(Common).
PDB创建的Audit Policy应用到这个PDB(Local)

修改审计策略

ALTER AUDIT POLICY命令用来修改审计策略。

ALTER AUDIT POLICY 审计名
ADD ACTIONS select ON hr.job_history

基于值的审计

细粒度审计

审计所有的行，
条件出错，报ORA-28112