如何实现基于上下文的数据库审计？

Question

我当前有一个数据库驱动的应用程序，它有多种访问数据的方法。

1. Web 应用程序
2. 直接 SQL 访问用户（我正在尝试删除这些）
3. 客户端 服务器应用程序
4. 批量输入和输出

我需要实现基于上下文的审核，因为当前的数据审核不足以回顾性识别导致数据更改的进程。

我目前正在考虑将数据模型隐藏在 XAPI（事务 API）后面，数据模型上的每个操作都必须提供某种形式的识别关联操作或数据更改原因的形式，这些操作或数据更改将与审核数据本身一起存储。

谁能为我提供一种更好的方法来实现基于上下文的审计，涵盖对数据库的所有访问？ 或者甚至指出我目前的方法中我遗漏的任何明显缺陷？

提前致谢。

Answer 1

这是一篇较旧的帖子，但我仍然想提供一个解决方案，可能对某人有用。

Oracle 为每个会话提供“上下文”变量。在使用连接池连接数据库的应用程序中，Oracle提供了一个名为“CLIENTCONTEXT”的默认命名空间。在该命名空间中，您可以创建诸如 USER ID 之类的变量，并确保在将连接移交给服务器 Web 请求时设置此变量。这样，在数据库内，您可以识别数据库内正在处理哪个“Web 用户”（或称应用程序用户）请求。
例如
dbms_session.set_context('CLIENTCONTEXT',user_id, );
希望有帮助。

Answer 2

我们有一个项目，要求我们提供有关更改内容、更改时间和更改者的详细审核信息。

在我们的例子中，我们所做的是改进我们的 MVC 解决方案，以便在事情发生变化时保留审计跟踪。在这种情况下，我们能够存储辅助信息，例如 Web 用户、IP 等。

此外，我们还启用了 mysql 二进制日志记录，因此我们可以在必要时回滚完整历史记录，并存储有关访问的附加日志以区分来源的变化。

在您的情况下，如果数据库和实际数据库访问之间没有任何层，那么这会有点棘手。因此，我建议创建用于数据操作的 api，它将作为中间层，并为您提供所需的所有控制。

这将为您提供入门指导。

Answer 3

编辑将答案的上下文特定部分添加到底部

• 每个用户都有一个登录名。
• 将这些登录绑定到 SQL Server 用户。
• 使用 SYSTEM_USER（例如：选择 SYSTEM_USER）进行审核。

上述问题唯一变得棘手的地方是网络应用程序。

• 我不知道您的 Web 应用程序是否是内部的（如果是内部的，使用带有模拟/委托的 Windows 身份验证会很好）
• 如果是外部的，您将拥有一个系统定义的帐户，用于验证 Web 应用程序的登录（并且可能执行其他特权操作），然后您可以在会话期间使用用户自己的凭据进行数据库访问。
• • 如果您不想拥有大量 SQL Server 用户，您可以进行自己的会话管理并动态创建/删除用户（例如当他们登录/注销时）

这里有一些 T-SQL说明

-- AFTER SUCCESSFUL LOGIN
BEGIN
-- You would already have the user name and password
DECLARE @user varchar(32)
SET @user = 'tester'
DECLARE @pw varchar(32)
SET @pw = 'SuperTest123'
-- if the user logs in from 2 different sessions
-- keep the name more unique
SELECT @user = @user + REPLACE(NEWID(), '-', '')
-- build the dynamic sql to create a user
DECLARE @sql varchar(8000)
SELECT @sql = 'CREATE LOGIN [' + @user + '] WITH PASSWORD = ''' + @pw + '''; '
SELECT @sql = @sql + 'USE MyDatabase; CREATE USER [' + @user + '] FOR LOGIN [' + @user + '] WITH DEFAULT_SCHEMA = db_datareader; '
EXEC(@sql)
-- use these credentials for web apps sql connections
SELECT @user [UserName], @pw [Password]
END

-- AFTER LOGOUT / SESSION EXPIRATION
BEGIN
-- You would already have the user+guid used by the sql server
DECLARE @login varchar(32)
SET @login = 'tester3C8DA60B996C4E5881774D1FE4'
-- build the dynamic sql to drop user
DECLARE @sql varchar(8000)
SELECT @sql = 'DROP LOGIN [' + @login + ']; '
SELECT @sql = @sql + 'USE MyDatabase; DROP USER [' + @login + ']; '
EXEC(@sql)
-- user gone until next session
END

上下文约束可以直接在审计触发器中实现。

• 表：TEMP_AUDITREASON
• • [用户] VARCHAR(128) DEFAULT SYSTEM_USER
• • [原因]VARCHAR(512)
• 触发器

这可能有点油嘴滑舌，但是......

IF EXIST(SELECT [Reason] FROM [TEMP_AUDITREASON] WHERE [User] = SYSTEM_USER AND [Reason] IS NOT NULL)
BEGIN
 SELECT @REASON = [Reason] FROM [TEMP_AUDITREASON] WHERE [User] = SYSTEM_USER
 -- clear it for the next transaction
 DELETE FROM [TEMP_AUDITREASON] WHERE [User] = SYSTEM_USER
END
ELSE
BEGIN
 -- SOUND THE ALARM!!! no reason was given
END