数据库基础与实例教程（达梦DM8）项目7 数据库安全管理.pptVIP

7.4.1审计概述审计机制是DM数据库管理系统安全管理的重要组成部分之一。DM数据库除了提供数据安全保护措施外，还提供对日常事件的事后审计监督。DM具有一个灵活的审计子系统，可以通过它来记录系统级事件、个别用户的行为以及对数据库对象的访问。通过考察、跟踪审计信息，数据库审计员可以查看用户访问的形式以及曾试图对该系统进行的操作，从而采取积极、有效的应对措施。审计开关配置7.4.27.4.2审计开关配置1．审计的打开及关闭在DM系统中，要使用审计功能首先要打开审计开关，只要审计功能被启用，系统级（详见7.4.3）的审计记录就会产生。需要注意的是审计开关必须由具有数据库审计员权限的管理员进行设置。7.4.2审计开关配置1．审计的打开及关闭审计开关由过程“VOIDSP_SET_ENABLE_AUDIT（paramint）;”控制，过程执行完后会立即生效，param有三种取值：0(关闭审计)，1（打开普通审计），2（打开普通审计和实时审计），缺省值为0。审计设置存放于DM字典表SYSAUDIT中，进行一次审计设置就在SYSAUDIT中增加一条对应的记录，取消审计则删除SYSAUDIT中相应的记录。7.4.2审计开关配置审计开关案例SP_SET_ENABLE_AUDIT(1);【案例7-21】打开普通审计开关。尝试使用SYSDBA用户打开普通审计开关。由于SYSDBA没有数据库审计员权限，所以执行后会发生“没有执行权限”的错误审计开关案例SP_SET_ENABLE_AUDIT(0);【案例7-22】关闭普通审计开关。各审计级别设置7.4.37.4.3修改用户DM允许在系统级、语句级、对象级三个级别上进行审计设置。1）系统级系统的启动与关闭审计。此级别的审计无法也无须由用户进行设置，只要审计开关打开就会自动生成对应审计记录。7.4.3修改用户DM允许在系统级、语句级、对象级三个级别上进行审计设置。2）语句级导致影响特定类型数据库对象的特殊SQL或语句组的审计。如AUDITTABLE将审计CREATETABLE、ALTERTABL和DROPTABLE等语句。7.4.3修改用户DM允许在系统级、语句级、对象级三个级别上进行审计设置。3）对象级审计作用在特殊对象上的语句。如STAFF表上的INSERT语句，DEPT表上的UPDATE语句等。审计实施侵害检测7.4.41开启实时侵害检测当执行“SP_SET_ENABLE_AUDIT(2);”时，开启审计实时侵害检测功能。实时侵害检测系统用于实时分析当前用户的操作，并查找与该操作相匹配的实时审计分析规则，如果规则存在，则判断该用户的行为是否是侵害行为，确定侵害等级，并根据侵害等级采取相应的响应措施。1.开启实时侵害检测VOIDSP_CREATE_AUDIT_RULE(RULENAMEVARCHAR(128),OPERATIONVARCHAR(30),USERNAMEVARCHAR(128),SCHNAMEVARCHAR(128),OBJNAMEVARCHAR(128),WHENEVERVARCHAR(20),ALLOW_IPVARCHAR(1024),ALLOW_DTVARCHAR(1024),INTERVALINTEGER,TIMESINTERGER);具有AUDITDATABASE权限的用户可以使用下面的系统过程创建实时侵害检测规则。其中参数包括下面几个。①RULENAME创建的审计实时侵害检测规则名；②OPERATION审计操作名；OPERATION可选项较多，主要包括：CREATEUSER、DROPUSER、ALTERUSER、CREATEROLE、DROPROLE、CREATETABLESPACE、DROPTABLESPACE、ALTER_TABLESPACE、CREATESCHEMA、DROPSCHEMA、SETSCHEMA、CREATETABLE、DROPTABLE、TRUNCATETABLE、CREATEVIEW、ALTERVIEW、DROPVIEW、ALTERVIEW、CREATEINDEX、DROPINDEX、CREATEPROCEDURE、ALTERPROCEDURE、DROPPROCEDURE、CREATETRIGGER、DROPTRIGGER、ALTERTRIGGER、INSERT、SELECT、DELETE、