Unified Auditing

监视特权用户活动

特权用户账户往往是黑客很容易得手的攻击目标，黑客会试图通过这些账户获取关键系统和数据的访问权限。对特权用户活动进行持续监控，能让安全团队轻松识别异常行为，快速发现敏感数据泄露情况。要监控特权用户活动，首先需识别系统中的特权用户。

识别特权用户

您可以从多个来源识别数据库特权用户账户，例如以下几种：

• Oracle Data Safe 中的用户评估报告（左侧所示）
• Oracle Database Security Assessment Tool (DBSAT) 报告
• Oracle Audit Vault and Database Firewall (AVDF)

审计特权用户

当数据库处于关闭或挂载状态时，系统会强制审计管理员用户（如 SYSDBA 和 SYSKM）执行的顶级语句。若要在数据库开启后审计管理员用户活动，需设置以下审计项：

• 监控特权管理员（包括 SYS 用户）的所有用户发起的活动。
• 监控对数据库的直接访问。
• 监控具有广泛系统访问权限或敏感数据访问权限的个人高风险数据库账户的所有用户发起的活动。

审计对敏感数据的访问

敏感数据访问审计是一种强大的监控机制，能让您清晰掌握敏感数据的访问与更改情况。它可作为主要威慑手段，阻止那些无业务理由访问或修改您数据的人员。了解自身的敏感数据分布有助于制定针对性审计策略，追踪其访问行为。

明确敏感数据分布情况

借助多款敏感数据发现工具中的任意一款（如左侧所示的 Data Safe、DBSAT、AVDF 或 Oracle Enterprise Manager），识别敏感表和敏感列。

审计对敏感数据的访问

明确敏感数据分布后，就应确定谁有权访问这些敏感数据，并对其访问行为进行审计。

• 监控所有来自可信路径之外的访问，即便访问者是具有正当业务理由的授权数据库用户（如应用服务账户），因为这类访问风险更高。
• 监控所有获得授权可直接与数据交互的数据库用户的访问行为。
• 审计其他任何人尝试访问敏感数据的行为，这类访问风险等级最高。
• 监控存储个人身份信息 (PII) 的敏感列的访问情况。