SQL Server 审核（Audit）-- 审核组件

浏览数：28 / 时间：2015年06月12日

SQL Server 审核（Audit）-- 审核组件

关于审核的架构如下图。

SQL Server 审核

审核是由“服务器操作组”、“数据库操作组”等操作组合而成，可用于收集与监视服务器级别或数据库级别的操作。审核内部是使用“扩展事件（Extended Events）”所创建。审核组件位于SQL Server实例级别。每个 SQL Server 实例可以具有多个审核。定义审核时，将指定结果的输出位置。这是审核的目标位置。审核是在禁用状态下创建的，因此不会自动审核任何操作。启用审核后，审核目标将从审核接收数据。

服务器审核规范

“服务器审核规范”对象属于审核。您可以为每个审核创建一个服务器审核规范，因为它们都是在 SQL Server 实例范围内创建的。

服务器审核规范可收集许多由扩展事件功能引发的服务器级操作组。您可以在服务器审核规范中包括“审核操作组”。审核操作组是预定义的操作组，它们是数据库引擎中发生的原子事件。这些操作将发送到审核，审核将它们记录到目标中。

-- Creates a server audit called "HIPPA_Audit" with a binary file as the target and no options.
CREATE SERVER AUDIT HIPAA_Audit
TO FILE ( FILEPATH =‘\\SQLPROD_1\Audit\‘ );
/*Creates a server audit specification called "HIPPA_Audit_Specification" that audits failed logins for the SQL Server audit "HIPPA_Audit" created above.
*/
CREATE SERVER AUDIT SPECIFICATION HIPPA_Audit_Specification
FOR SERVER AUDIT HIPPA_Audit
ADD (FAILED_LOGIN_GROUP);
GO
-- Enables the audit.
ALTER SERVER AUDIT HIPAA_Audit
WITH (STATE = ON);
GO

数据库审核规范

“数据库审核规范”对象也属于 SQL Server 审核。针对每个审核，您可以为每个 SQL Server 数据库创建一个数据库审核规范。

数据库审核规范可收集由扩展事件功能引发的数据库级审核操作。您可以向数据库审核规范添加审核操作组或审核事件。“审核事件”是可以由 SQL Server 引擎审核的原子操作。 “审核操作组”是预定义的操作组。它们都位于 SQL Server 数据库作用域。这些操作将发送到审核，审核将它们记录到目标中。请勿在用户数据库审核规范中包括服务器范围的对象（如系统视图）。

USE master ;
GO
-- Create the server audit.
CREATE SERVER AUDIT Payrole_Security_Audit
TO FILE ( FILEPATH =
‘C:\Program Files\Microsoft SQL Server\MSSQL12.MSSQLSERVER\MSSQL\DATA‘ ) ;
GO
-- Enable the server audit.
ALTER SERVER AUDIT Payrole_Security_Audit
WITH (STATE = ON) ;
USE AdventureWorks2012 ;
GO
-- Create the database audit specification.
CREATE DATABASE AUDIT SPECIFICATION Audit_Pay_Tables
FOR SERVER AUDIT Payrole_Security_Audit
ADD (SELECT , INSERT
ON HumanResources.EmployeePayHistory BY dbo )
WITH (STATE = ON) ;
GO

目标

审核结果将发送到目标，目标可以是文件、Windows 安全事件日志或 Windows 应用程序事件日志。必须定期查看和归档这些日志，以确保目标具有足够的空间来写入更多记录。

从安全角度来看，任何经过身份验证的用户可以读取和写入到 Windows 应用程序事件日志。应用程序事件日志要求的权限比 Windows 安全事件日志低，安全性低于 Windows 安全事件日志。

必须将 SQL Server 服务帐户应添加到生成安全审核策略中才能写入 Windows 安全日志。默认情况下，本地系统、本地服务和网络服务是此策略的一部分。此设置可通过使用安全策略管理单元 (secpol.msc) 来进行配置。此外，对于“成功”和“失败”均必须启用“审核对象访问”安全策略。此设置可通过使用安全策略管理单元 (secpol.msc) 配置。在Windows Server 2008 中，可通过使用审核策略程序 (AuditPol.exe) 从命令行设置更详细的“应用程序生成的”策略。 Windows 事件日志对于 Windows 操作系统具有全局性。如果您需要关于审核的更精准权限，请使用二进制文件目标。