Oracle數(shù)據(jù)庫(kù)審計(jì)功能的安全審計(jì)獲取技術(shù).doc

數(shù)據(jù)采集與審計(jì)課 程 論 文題目： Oracle數(shù)據(jù)庫(kù)審計(jì)功能的安全審計(jì)獲取技術(shù)姓名： * 學(xué)號(hào)： * 院（系）： 專業(yè)： 南 京 審 計(jì) 學(xué) 院20*年 * 月 * 日Oracle數(shù)據(jù)庫(kù)審計(jì)功能的安全審計(jì)獲取技術(shù)* *1班 *【摘要】本文重點(diǎn)講述了Oracle數(shù)據(jù)庫(kù)在安全審計(jì)數(shù)據(jù)中的獲取技術(shù)實(shí)際應(yīng)用。在當(dāng)今信息系統(tǒng)應(yīng)用及其廣泛的大環(huán)境下，信息系統(tǒng)審計(jì)也需要更強(qiáng)大的審計(jì)軟件來實(shí)現(xiàn)數(shù)據(jù)審計(jì)功能，本文基于Oracle數(shù)據(jù)庫(kù)詳細(xì)講解了數(shù)據(jù)審計(jì)功能和它的獲取技術(shù)關(guān)鍵。【關(guān)鍵詞】Oracle技術(shù)；安全審計(jì)；審計(jì)數(shù)據(jù)的獲取7Oracle Audit Function of The Security Audit Access to Technology Abstract：This paper focuses on the Oracle database in security audit data access technology in practical application. And widely used in todays information system environment, information system audit also need more powerful audit software to implement the data audit, this article is based on Oracle database in detail the function of data auditing and its access to key technology.Key words: Oracle RDBMS Security audit audit data acquisition引言隨著全球信息化腳步的逐步加快，信息系統(tǒng)的安全越來越重要。國(guó)際上第一個(gè)有關(guān)信息技術(shù)安全性評(píng)價(jià)的標(biāo)準(zhǔn)TCSEC（Trusted Computing StandardsEvaluating Criteria），于上世紀(jì) 80 年代誕生于美國(guó)，它是由美國(guó)國(guó)防部制定的可靠計(jì)算機(jī)標(biāo)準(zhǔn)評(píng)估準(zhǔn)則，其中給出了一套標(biāo)準(zhǔn)來定義滿足安全等級(jí)所需的安全功能及其保證的程度。作為其中一種安全保障機(jī)制的審計(jì)，在最早的TCSEC中已經(jīng)有了確定的要求。信息系統(tǒng)審計(jì)是記錄信息系統(tǒng)中用戶活動(dòng)行為的一種機(jī)制，它不但能夠識(shí)別誰訪問了系統(tǒng)，并能記錄系統(tǒng)被怎樣使用，從而為安全事件的事后處理的提供依據(jù)。審計(jì)功能的要求是在TCSEC中制訂的，安全審計(jì)作為新的概念，專門指由專業(yè)審計(jì)師根據(jù)相關(guān)法律法規(guī)或財(cái)產(chǎn)所有人的委托及管理當(dāng)局的授權(quán)，對(duì)計(jì)算機(jī)網(wǎng)絡(luò)環(huán)境下的有關(guān)活動(dòng)或行為進(jìn)行系統(tǒng)、獨(dú)立的檢查驗(yàn)證，并做出相應(yīng)的評(píng)價(jià)。安全審計(jì)有四個(gè)基本要素，包括安全漏洞，控制目標(biāo)，控制措施與控制測(cè)試。安全漏洞是系統(tǒng)中容易被干擾或者破壞的地方，是它的安全薄弱地區(qū)；控制目標(biāo)是企業(yè)依據(jù)實(shí)際的計(jì)算機(jī)應(yīng)用結(jié)合本公司的實(shí)際情況做出的安全控制要求；而控制測(cè)試是企業(yè)對(duì)所有的安全控制措施與預(yù)期的安全標(biāo)準(zhǔn)進(jìn)行對(duì)比，對(duì)各項(xiàng)控制措施的存在性，執(zhí)行力度，漏洞防范有效性的評(píng)價(jià)，得出企業(yè)的安全措施可依賴程度。在這里安全審計(jì)作為專門的審計(jì)項(xiàng)目，審計(jì)人員必須要有過硬的專業(yè)職能與技術(shù)。安全審計(jì)是大審計(jì)的一部分，在計(jì)算機(jī)網(wǎng)絡(luò)環(huán)境安全對(duì)國(guó)家的安危和經(jīng)濟(jì)體的利益影響越來越深的大環(huán)境下，國(guó)家、社會(huì)、企業(yè)三位一體的去安全審計(jì)機(jī)制必須盡快建立起來。而在國(guó)家的安全審計(jì)機(jī)關(guān)更加應(yīng)當(dāng)做出行動(dòng)，首先基于法律法規(guī)針對(duì)廣域網(wǎng)的企業(yè)安全實(shí)施年審制，其次應(yīng)該發(fā)展社會(huì)中介機(jī)構(gòu)，從而對(duì)計(jì)算機(jī)網(wǎng)絡(luò)的安全提供審計(jì)服務(wù)，與律師事務(wù)所與會(huì)計(jì)師事務(wù)所一樣，能夠?qū)ζ髽I(yè)計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全作出評(píng)價(jià)，以面向社會(huì)。在企業(yè)管理當(dāng)局對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行評(píng)估時(shí)，能夠從從中介機(jī)構(gòu)處獲得對(duì)安全性的檢查結(jié)論和最終評(píng)價(jià)。不僅如此，財(cái)政和財(cái)務(wù)審計(jì)也不與網(wǎng)絡(luò)安全息息相關(guān)，安全專家們對(duì)網(wǎng)絡(luò)的安全機(jī)制作出評(píng)價(jià)，從而為委托人對(duì)相應(yīng)的信息處理系統(tǒng)披露的信息真實(shí)性與可靠性的可靠判斷提供依據(jù)。而安全審計(jì)的第一步是審計(jì)數(shù)據(jù)的采集，可以設(shè)定為審計(jì)數(shù)據(jù)庫(kù)中的數(shù)據(jù)和操作系統(tǒng)的日志、軟件登錄日志等等。在Oracle數(shù)據(jù)庫(kù)中，首先，對(duì)數(shù)據(jù)庫(kù)的訪問行為的審計(jì)，目標(biāo)是對(duì)用戶對(duì)數(shù)據(jù)庫(kù)操作的相關(guān)信息進(jìn)行記錄，使得在必要時(shí)能夠查詢和對(duì)操作記錄進(jìn)行分析和判斷，在數(shù)據(jù)訪問操作時(shí)，審計(jì)機(jī)制記錄下操作的時(shí)間地點(diǎn)人物與操作的種類和成功與否，然后對(duì)審計(jì)數(shù)據(jù)分析從而發(fā)掘出用戶的正常行為模式，判斷用戶行為合法性，只要將對(duì)數(shù)據(jù)系統(tǒng)的數(shù)據(jù)訪問操作的審計(jì)記錄表示為六種要素信息，即用戶名（人，操作行為發(fā)出者，即數(shù)據(jù)庫(kù)使用者），操作時(shí)間（時(shí)間，操作的具體發(fā)生時(shí)間），IP（地點(diǎn)，實(shí)際操作發(fā)生地點(diǎn)），操作對(duì)象（對(duì)象名，數(shù)據(jù)操作的對(duì)象），操作行為（操作類型，如select或update等）與返回碼（操作結(jié)果，成功或失?。?。由于在大部分的基于Oracle數(shù)據(jù)庫(kù)的應(yīng)用系統(tǒng)中都有依據(jù)自身系統(tǒng)功能設(shè)計(jì)實(shí)現(xiàn)對(duì)自身系統(tǒng)的用戶管理，從而能夠?qū)崿F(xiàn)應(yīng)用系統(tǒng)級(jí)的用戶管理與認(rèn)證。審計(jì)六要素信息的操作時(shí)間，操作行為，操作對(duì)象，返回碼都能在用戶在應(yīng)用系統(tǒng)中對(duì)數(shù)據(jù)庫(kù)進(jìn)行操作時(shí)從Oracle數(shù)據(jù)庫(kù)的審計(jì)記錄里獲得。所以想要得到滿足審計(jì)需求的審計(jì)數(shù)據(jù)應(yīng)當(dāng)由數(shù)據(jù)庫(kù)審計(jì)與應(yīng)用系統(tǒng)審計(jì)這兩者的記錄合計(jì)獲得。數(shù)據(jù)審計(jì)系統(tǒng)的目標(biāo)就是能夠?qū)π枰獙徲?jì)的數(shù)據(jù)部署審計(jì)，當(dāng)被審計(jì)數(shù)據(jù)發(fā)生操作時(shí)，實(shí)現(xiàn)對(duì)操作者、操作時(shí)間、操作對(duì)象和操作行為信息的自動(dòng)記錄，并提供這些信息的查詢、統(tǒng)計(jì)等功能。另外對(duì)有不同安全要求的數(shù)據(jù)對(duì)象，又分為記錄操作數(shù)據(jù)和不記錄操作數(shù)據(jù)兩種審計(jì)級(jí)別。Oracle數(shù)據(jù)庫(kù)自身的安全審計(jì)機(jī)制能夠?qū)徲?jì)在數(shù)據(jù)庫(kù)中發(fā)生的所有操作，產(chǎn)生的審計(jì)記錄能夠保存到操作系統(tǒng)的審計(jì)跟蹤中。但是在實(shí)際使用過程中，使用的操作系統(tǒng)能否支持則是能不能把Oracle數(shù)據(jù)庫(kù)的審計(jì)記錄寫到操作系統(tǒng)的審計(jì)跟蹤中的決定因素。審計(jì)數(shù)據(jù)的產(chǎn)生必須要在數(shù)據(jù)庫(kù)開啟審計(jì)功能之后，在默認(rèn)情況下，Oracle數(shù)據(jù)庫(kù)的安全審計(jì)功能是關(guān)閉的，因?yàn)榇蜷_審計(jì)功能后，它會(huì)對(duì)系統(tǒng)得空間和性能兩方面產(chǎn)生影響，所以想要從Oracle數(shù)據(jù)庫(kù)中獲得審計(jì)記錄，必須首先打開數(shù)據(jù)庫(kù)審計(jì)功能。而想要激活數(shù)據(jù)庫(kù)上的審計(jì)功能，數(shù)據(jù)庫(kù)的初始化參數(shù)文件里必須包括audit_trail參數(shù)。參數(shù)可取值為：NONE（即禁用審計(jì)功能）、DB（即激活審計(jì)功能并將審計(jì)記錄寫到SYS.AUDS表中）、OS（即即激活審計(jì)功能并將審計(jì)記錄寫到操作系統(tǒng)的審計(jì)跟蹤中，具體位置視具體情況而定）。通過對(duì)audit_trail參數(shù)的設(shè)置，Oracle數(shù)據(jù)庫(kù)審計(jì)功能就能夠開啟，就能夠?qū)λ邪l(fā)生在數(shù)據(jù)庫(kù)內(nèi)部的操作行為記錄下來，并對(duì)這些記錄進(jìn)行深入研究分析，獲取重要的結(jié)論。在下面，我們將對(duì)應(yīng)用系統(tǒng)審計(jì)與數(shù)據(jù)庫(kù)審計(jì)設(shè)計(jì)和實(shí)踐進(jìn)行闡述分析。一、 數(shù)據(jù)庫(kù)審計(jì)數(shù)據(jù)庫(kù)審計(jì)能夠在發(fā)生對(duì)數(shù)據(jù)庫(kù)的操作時(shí)，捕捉并記錄操作時(shí)間、操作對(duì)象和操作行為類型的信息。在Oracle 數(shù)據(jù)庫(kù)中通過系統(tǒng)審計(jì)機(jī)制能夠記錄對(duì)數(shù)據(jù)庫(kù)操作時(shí)間、操作對(duì)象名稱和行為類型。審計(jì)功能能對(duì)數(shù)據(jù)庫(kù)中發(fā)生的所有操作進(jìn)行審計(jì)，審計(jì)記錄包括操作時(shí)間、用戶名、操作行為和操作對(duì)象等。通過提交審計(jì)語(yǔ)句能夠開啟對(duì)相應(yīng)類型數(shù)據(jù)庫(kù)操作的審計(jì)。因?yàn)?Oracle 系數(shù)據(jù)庫(kù)的審計(jì)范圍很廣，并且在審計(jì)類別上有重疊，所以對(duì)審計(jì)對(duì)象分類，從而獲取代表性審計(jì)對(duì)象給應(yīng)用系統(tǒng)是有必要的。由于在數(shù)據(jù)修改操作進(jìn)行審計(jì)時(shí)，Oracle數(shù)據(jù)庫(kù)的審計(jì)功能沒有記錄修改前后的數(shù)值的功能，這類操作的審計(jì)可以由觸發(fā)器實(shí)現(xiàn)，作為對(duì)系統(tǒng)審計(jì)的補(bǔ)充。大部分關(guān)系數(shù)據(jù)庫(kù)系統(tǒng)都支持觸發(fā)器的使用，它在滿足執(zhí)行條件時(shí)由系統(tǒng)自動(dòng)調(diào)用而執(zhí)行。通過對(duì)需要審計(jì)的數(shù)據(jù)表添加行觸發(fā)器，在觸發(fā)器體內(nèi)寫下記錄操作要素的代碼，就能實(shí)現(xiàn)對(duì)數(shù)據(jù)修改操作的審計(jì)。所以數(shù)據(jù)庫(kù)審計(jì)能夠通過Oracle 系統(tǒng)審計(jì)和編寫審計(jì)觸發(fā)器相結(jié)合加以實(shí)現(xiàn)，以便記錄操作時(shí)間、操作類型與操作對(duì)象三要素。二、 應(yīng)用系統(tǒng)審計(jì)審計(jì)信息要素中的用戶名不能通過數(shù)據(jù)庫(kù)審計(jì)獲得。應(yīng)用系統(tǒng)審計(jì)是審計(jì)系統(tǒng)在應(yīng)用系統(tǒng)中的實(shí)施部分，它能夠記錄應(yīng)用系統(tǒng)的用戶名。由于目前應(yīng)用系統(tǒng)多使用B/S構(gòu)架或C/S構(gòu)架，因此應(yīng)用審計(jì)層需要分別在使用這兩類構(gòu)架的應(yīng)用系統(tǒng)上加以實(shí)現(xiàn)。在C/S構(gòu)架的應(yīng)用系統(tǒng)中，用戶通過應(yīng)用系統(tǒng)客戶端連接數(shù)據(jù)庫(kù)，由客戶端可以獲取用戶的用戶名信息及地址信息。在B/S構(gòu)架的應(yīng)用系統(tǒng)中，用戶在瀏覽器對(duì)話期間，應(yīng)用系統(tǒng)可以根據(jù)用戶的會(huì)話信息得到用戶名。應(yīng)用系統(tǒng)收到操作請(qǐng)求時(shí)，通過向數(shù)據(jù)庫(kù)寫入操作者信息即可完成應(yīng)用審計(jì)層對(duì)操作者信息的記錄。應(yīng)用系統(tǒng)審計(jì)層不僅能記錄用戶名，還會(huì)記錄操作時(shí)間，這樣能夠確定幫助確定操作者與操作行為的對(duì)應(yīng)關(guān)系。三、 數(shù)據(jù)庫(kù)審計(jì)與應(yīng)用系統(tǒng)審計(jì)的數(shù)據(jù)關(guān)聯(lián)在數(shù)據(jù)庫(kù)審計(jì)和應(yīng)用系統(tǒng)審計(jì)分別實(shí)現(xiàn)了對(duì)審計(jì)要素中不同內(nèi)容的記錄后，為了形成完整的包含審計(jì)六要素的審計(jì)記錄，還必須將數(shù)據(jù)庫(kù)審計(jì)層記錄的數(shù)據(jù)操作信息與應(yīng)用審計(jì)層記錄的操作者信息進(jìn)行關(guān)聯(lián)，使系統(tǒng)能夠根據(jù)數(shù)據(jù)操作信息得到執(zhí)行此操作的唯一的操作者信息。數(shù)據(jù)庫(kù)審計(jì)和應(yīng)用系統(tǒng)審計(jì)記錄的內(nèi)容中都包含 IP 和操作時(shí)間信息，如果能通過這些共同信息的關(guān)聯(lián)實(shí)現(xiàn)兩個(gè)審計(jì)層記錄的信息一一對(duì)應(yīng)，那么數(shù)據(jù)庫(kù)審計(jì)與應(yīng)用系統(tǒng)審計(jì)無需額外增加記錄的內(nèi)容，將是一種非常經(jīng)濟(jì)的方法。然而，這種方法并不能滿足對(duì)應(yīng)關(guān)系唯一性的要求。例如，當(dāng)同一時(shí)間有兩個(gè)C/S類用戶在同一主機(jī)上登錄應(yīng)用系統(tǒng)客戶端進(jìn)行數(shù)據(jù)操作時(shí)，由于這兩個(gè)用戶的 IP 和操作時(shí)間都相同，因此無法根據(jù)數(shù)據(jù)操作信息推出執(zhí)行該操作的唯一的用戶信息。而對(duì)于B/S類用戶，由于數(shù)據(jù)庫(kù)審計(jì)層只能記錄應(yīng)用服務(wù)器IP而無法記錄用戶IP，將兩個(gè)審計(jì)層記錄的信息對(duì)應(yīng)起來更加困難。因此，為了將數(shù)據(jù)庫(kù)審計(jì)與應(yīng)用審計(jì)系統(tǒng)記錄的信息進(jìn)行關(guān)聯(lián)，還必須尋找可以標(biāo)識(shí)每次數(shù)據(jù)操作、并可同時(shí)被數(shù)據(jù)庫(kù)和應(yīng)用系統(tǒng)記錄的參數(shù)，會(huì)話標(biāo)識(shí)符可以滿足上述要求。結(jié)論數(shù)據(jù)審計(jì)是信息系統(tǒng)審計(jì)的一個(gè)環(huán)節(jié)，除此之外還有用戶操作審計(jì)、操作系統(tǒng)審計(jì)、網(wǎng)絡(luò)安全審計(jì)等等，它們共同構(gòu)成信息系統(tǒng)的審計(jì)體系。隨著IT技術(shù)的發(fā)展和審計(jì)環(huán)境的變化，信息系統(tǒng)審計(jì)的硬件軟件條件也在不斷地改進(jìn)。文中使用的Oracle數(shù)據(jù)庫(kù)的審計(jì)功能比較強(qiáng)大，安全審計(jì)的要求基本實(shí)現(xiàn)，我們?cè)趯徲?jì)過程中所需要的數(shù)據(jù)庫(kù)獲取技術(shù)能夠滿足審計(jì)需求。參考文獻(xiàn)：1 Kevin Loney,Mariene Thriault李紀(jì)松，周保太，等譯.數(shù)據(jù)庫(kù)管理員手冊(cè)M.北京：機(jī)械工業(yè)出版社，2000.2 陳懷楚，王映.大學(xué)資源計(jì)劃（URP）建設(shè)研究J.實(shí)驗(yàn)技術(shù)與管理，2002，19（增刊）：1023 Susan Henczel The Information