如何理解oracle审计策略

 dbms_fga.add_policy (

 object_schema => 'TEST',

 object_name => 'ACCOUNT',

policy_name => 'ACCOUNT_ACCESS',< /pre>
audit_column => 'BALANCE',
audit_condition =>'BALANCE >= 3000',
statement_types =>'插入、更新、删除、选择'< /pre>
 );
end;
传递 statement_types => 'INSERT、UPDATE、DELETE、SELECT' 参数制定了新的策略，该策略可以应用于除 Select US">DML 操作之外的所有审核操作。因此，根据新的审核条件和审核策略，会出现以下不同情况：
 1 情况 
之前：余额 = 1000 
用户发出： 
更新账户设置余额 = 1200，其中 ACCOUNT_NO = ....
新旧余额小于3000，不满足审核条件；因此本报表不予审计。 
 2  种情况 
之前：余额 = 1000 
 
用户发送： 
更新账户设置余额 = 3200 其中 ACCOUNT_NO = ... .
新的  余额  大于 3,000，满足审核条件；因此，本报表将接受审计。  
 3  种情况 
之前：BALANCE = 3200 
 
用户发出： 
更新账户设置余额 = 1200，其中 ACCOUNT_NO = ....
新余额小于3,000，但旧余额大于3,000。因此，符合审计条件，对本报表进行审计。  
 4  种情况 
用户插入  余额 < 3000 的行。  
插入账户值（9999,1200,'X' ）; 
由于余额1200不满足审计条件，因此该报表不予审计。如果余额列大于或等于3,000，则会被审核。  
 5  种情况 
用户插入一行，其中余额的值为无效的。  
插入账户(account_no, status)值(9997, 'X ');
由于余额为空且该列没有任何默认值，因此不满足审核条件。 （比较 NULL >= 3000 ，结果为 FALSE），该语句不会被审计。 重要说明：假设该列的默认值大于3,000，这条语句仍然不会被审计，即使插入行的余额 列值大于  3000。请注意，DML 语句的审计是由自动事务插入的；即使回滚 DML语句的操作，审计记录也会存在并且不会回滚。 
3.8.2< strong>制定
在表  ACCOUNT  上定义的策略如下： 
开始
 dbms_fga.add_policy (
 object_schema => 'TEST',
 object_name => 'ACCOUNT',
policy_name => 'ACCOUNT_SEL'，
  audit_column => 'ACCOUNT_NO ，BALANCE'，
audit_condition => 'BALANCE >= 3000'，
 statements_types => 'SELECT'
 ); 
end;
在下面的某些情况下，列的组合可能是重要而不是特定的列。上述政策是在  ACCOUNT_NO  和  BALANCE  上定义的。然后，如果用户发出以下语句：  
从帐户中选择余额，其中account_no = 9995;
此语句将是已审核，因为选择了  余额  列，且余额为  3,200，大于 3,000并满足审核条件。 
如果用户想要找出银行的总余额，他发出： 
从帐户中选择总和（余额）；
此查询几乎无害；它没有明确标识帐户所有者和帐户余额。因此，安全策略可能不需要审核此查询。但是，此查询  
从 account_no = 9995 的帐户中选择余额
必须经过审核；因为它明确指定了一个帐户。默认情况下，所有语句都会被审核（无论列组合是什么）。这将创建大量不需要的审计跟踪项目，并可能引入e 一些空间限制问题。为了限制它们，您可以指定仅在查询中使用所需的列组合时才开始审核。当定义策略时.ALL_COLUMNS
此参数将使策略仅使用列 ACCOUNT_NO 和 BALANCE  仅当在查询中访问两者时才会创建审计跟踪项。例如，以下查询将生成审计跟踪项。  
< p class="MsoNormal" >选择 account_no，账户余额；
但是此查询不会生成审核跟踪项。 
从帐户中选择 account_no;
 
使用此参数会将审核数量限制在更易于管理的大小。如果你想使用默认行为 — 即任意一列s 选择时会进行审核，因此可以对同一参数使用不同的值。  
audit_column_opts => DBMS_FGA.ANY_COLUMNS
 
3.8.3 与标准审核集成： 
 通过制定如下审计，实现标准审计与细粒度审计的结合策略
开始
 dbms_fga.add_policy (
 object_schema => 'TEST', 
 object_name => 'ACCOUNT',
policy_name => 'ACCOUNT_SEL',
audit_column => 'ACCOUNT_NO,BALANCE',
audit_condition => 'BALANCE >= 3000',
statement_types => 'SELECT',
audit_column_opts => DBMS_FGA.ALL_COLUMNS,
audit_trail => DB 
 );
end;
通过指定 audit_trail => DB 参数允许在细粒度审计期间启用标准审计。 Oracle 数据库 10g  中的标准审计也得到了极大改进。标准审核是通过  AUDIT  命令执行的，该命令现在可以捕获大量其他有用信息。标准审计在内容和功能上与细粒度审计相似。然而，作为一名数据库管理员，了解所有审计项目而不仅仅是一个审计项目是很有趣的。新视图 DBA_COMMON_AUDIT_TRAIL 将标准审计跟踪与 FGA 审计跟踪相结合。使用以下查询来检查两者：  
select * from dba_common_audit_trail ;使用此查询，您可以同时查看两个审核收集的信息。 
4.FGA审核与标准审核的区别：
必须使用参数  AUDIT_TRAIL  在数据库级别启用标准审核。此参数不是动态的; 必须重启数据库才能生效，相比之下，FGA 不需要修改任何参数。 
一旦在对象上设置，标准审核将保留在那里。要禁用它，必须使用  NOAUDIT  命令删除审核选项。这可能会很不方便，因为删除表上的审核选项也会删除元数据信息。但是，FGA 可以暂时禁用和启用，而不会丢失任何元数据信息。 
FGA 只能处理四种类型的语句：选择、插入、更新和删除跨度>。相比之下，定期审计可以处理许多其他语句和权限，甚至会话连接和断开连接。  
标准审计只为每个会话（per session）创建一条记录或者为每个访问对象（per access）创建一条记录，比较消耗资源有控制审计跟踪表空间的一些重要方法。 FGA  的资源效率并不相同；它每次访问运行一次  —  使线程更大。  
标准审核可用于通过记录线索来检测任何中断尝试，并在尝试不成功时生成错误代码。而FGA 则不能。  
标准审计可以写入数据库表或操作系统
 跨度> 过滤器e.当审计员（而不是数据库管理员）有权访问跟踪时，后者很有用。在  Windows  下，非数据库审计跟踪记录在事件日志中，并且可以通过不同方式进行访问。此选项可保护审计跟踪的完整性。但是，FGA  日志仅写入数据库表 FGA_LOG$ 。可以在  FGA  中创建用户定义的审核处理程序来写入  OS  文件，但不保证其完整性。  
可以为默认对象设置标准审核。当表运行时 当创建一个期间时，此功能变得非常有用：默认审计选项允许在没有数据库管理员干预的情况下进行审计。这在FGA中是不可能的，其中用户必须在现有表上创建策略，上述情况只能在t之后发生。能够已被创建。  
在 FGA 中，审核更加灵活 —  仅当访问某些列时、特定条件为真等时。当您需要控制潜在客户增长时，这种多功能性会派上用场。  
在  FGA  span> 中，SQL  赋值变量。在标准审计中，必须设置初始化参数 audit_trail 才能启用此功能。  
权限差异：标准审计所需的审计系统或语句权限； FGA 仅需要  dbms_fga  软件包的运行权限。 
如何理解Oracle审计策略的问题解答分享在这里。希望以上内容能够对大家有所帮助。如果您还有很多疑问没有解决，可以关注行业资讯频道了解更多相关知识。