Tipuri de auditare

Tipuri de auditare

Desi ar putea fi tentant sa se pastreze inregistrari de verificare a tot ceea ce se intampla in sistem, acest lucru nu ar fi practic si ar scadea performanta intregului sistem. Inafara de problema ocuparii in mare masura a spatiului cu stocarea inregistrarilor de auditare, ar fi si dificil de analizat multitudinea de inregistrari pentru identificarea breselor de securitate.

Oracle ofera posibilitatea ca auditarea sa fie focalizata, in functie de necesitati, intr-o anumita directie, cum ar fi:

Instructiunile executate cu succes, instructiunile care au esuat sau ambele categorii;

Executiile unei instructiuni o data la fiecare sesiune creata de utilizator sau de fiecare data cand respectiva instructiune este executata;

Activitati ale tuturor utilizatorilor sau doar ale unui anumit utilizator.

Se pot deosebi 4 tipuri de auditare, in functie de nivelul la care aceasta se realizeaza si obiectele asupra carora este implementata:

Auditarea instructiunilor

Face posibila auditarea intructiunilor SQL in functie de tipul acestora si pornind de la anumite obiecte ale schemei asupra carora au efect. Se refera la auditarea selectiva a unor grupuri de instructiuni care au efect asupra unui anumit tip de obiect al schemei sau strucura a bazei de date, dar nu se refera strict la un anumit obiect. Astfel avem:

Instructiuni DDL, cum ar fi AUDIT TABEL care verifica toate instructiunile CREATE si DROP TABLE;

Instructiuni DML, cum ar fi AUDIT SELECT TABLE verifica toate instructiunile SELECT FROM TABLE/VIEW

Auditarea instructiunilor poate sa fie generala, verificand activitatea tuturor utilizatorilor sau orientata doar asupra unei anumite liste de utilizatori.

Auditarea privilegiilor

Permite auditarea anumitor instructiuni care presupun existenta unui privilegiu de sistem. De exemplu cand este activata auditarea AUDIT SELECT ANY TABLE , toate instructiunile executate de un utilizator folosind privilegiul SELECT ANY TABLE sunt auditate.

Astfel se poate face o verificare asupra utilizarii oricarui privilegiu de sistem de catre orice utilizator al bazei de date sau doar de catre anumiti useri.

Daca este activata auditarea atat la nivel de instructiune cat si auditarea privilegiilor si este executata o operatie care intra in ambele categorii, se va genera o singura inregistrare de auditare.

Auditarea nu va avea loc daca utilizatorul are deja privilegii la nivel de obiect pentru executarea operatiei respective si nu necesita privilegii de sistem.

Spre deosebire de auditarea instructiunilor, acest timp de auditare este mai focalizata, referindu-se doar la anumite instructiuni, si nu la o intreaga lista de instructiuni aplicabile unui anumit tip de obiect, ca in primul caz. De exemplu AUDIT TABLE implicamonitorizarea instructiunilor CREATE , ALTER, DROP TABLE, in timp ce auditarea privilegiului de sistem CREATE TABLE auditeaza doar operatia de creare a unui tabel.

Auditarea obiectelor schemei

Ofera posibilitatea auditarii anumitor instructiuni efectuate asupra unui anumit obiect al schemei, ca de exemplu monitorizarea instructiunilor SELECT efectuate asupra tabelului tbl_angajati (AUDIT SELECT ON tbl_angajati).

Aceste tip de auditare este puternic focalizat, auditand doar un anumit tip de instructiune asupra unui anumit obiect si se aplica tuturor utilizatorilor bazei.

Se pot audita intructiuni care se refera la tabele, vederi, secvente, proceduri stocate sau functii de sine statatoare, pachete, dar nu si proceduri sau functii din cadrul pachetelor.

Fine-Grained Auditing (FGA)

FGA permite monitorizarea accesului la date pe baza continutului. Un mecanism de auditare predefinit in baza de date nu lasa utilizatorului posibilitatea de a ocoli monitorizarea.

Triggerele erau in versiunile anterioare, o modalitate de a monitoriza anumite actiuni la un nivel granularizat cum ar fi INSERT, UPDATE, DELETE, dar monitorizarea instructiunilor SELECT consuma multe resurse. In unele cazuri triggerele onitorizeaza mai mult decat este cazul, sau in altfel prea putin.

FGA furnizeaza o interfata extinsa pentru crearea de politici pentru auditarea instructiunilor DML si SELECT asupra tabelelor si vederilor.

Administratorii pot folosi pachetul DBMS_FGA pentru a crea politici de securitate asupra unui anumit obiect, eventualul rezultat fiind adaugat in pista de auditare FGA. Pentru orice incalcare a unei politici de securitate, se adauga o singura inregistrare inpista de auditare.

Definirea unei politici FGA pentru un tabel sau vedere se realizeaza folosind interfata DBMS_FGA.ADD_POLICY

Ca si in cazul politicilor de securitate pentru FGAC, si pentru politicile FGA se pot defini coloane relevante, astfel incat sa se realizeze auditarea daca respectiva instructiune auditata afecteaza informatia din aceste coloane.

Modificarea optiunilor pentru auditarea la nivel de instructiuni si privilegii intra in vigoare doar la terminarea sesiunii curente si creare unei noi sesiuni. Spre deosebire, modificarile aduse optiunilor de auditare la nivel de obiect al schemei se aplica imediat pentru sesiunea curenta.