Funciones de Unified Auditing

Auditorías siempre activadas

Determinadas actividades de base de datos sensibles a la seguridad siempre se auditan en Oracle Database y no se pueden desactivar. Aprovéchalas para iniciar la auditoría de la base de datos desde el primer día. Estas actividades incluyen, entre otras, las siguientes:

• Las sentencias de nivel superior ejecutadas por usuarios con privilegios administrativos hasta que la base de datos se abre, como SYSDBA, SYSOPER, SYSASM, SYSBACKUP, SYSDG y SYSKM.
• Intenta modificar o suprimir registros de auditoría.
• Cambios en la configuración de Oracle Database Vault.
• Actividades relacionadas con la auditoría, como modificaciones en las políticas de auditoría y ejecuciones del paquete DBMS_AUDIT_MGMT.

Para ver la lista completa de eventos que deben auditarse obligatoriamente según la versión de tu base de datos, consultá la sección “Actividades que se auditan de forma obligatoria” en la Oracle Database Security Guide.

Políticas de auditoría predefinidas

Oracle Database ofrece varias políticas de auditoría unificadas de mejores prácticas prediseñadas y listas para usar que abarcan la configuración de auditorías para la seguridad común, como las siguientes:

• Auditorías de conexiones y desconexiones fallidas.
• Auditorías de los cambios en la configuración de parámetros de Oracle Database.
• Auditorías de modificaciones en cuentas de usuario y privilegios.
• Requisitos de auditoría para el cumplimiento de las guías de implementación técnica de seguridad (STIG).

Es posible que veas un par de ellos activados de forma predeterminada. Oracle Autonomous Database también ofrece varias auditorías adicionales activadas de forma predeterminada.

Consulta la sección Auditoría de actividades con las políticas de auditoría unificadas predefinidas en la guía de seguridad de Oracle Database para obtener más información. Consulta la sección Políticas de auditoría predeterminada en Autonomous Database de la guía de uso de Oracle Autonomous Database Serverless si utilizas Autonomous Database. Si usas Data Safe o AVDF para monitorear tus bases de datos, vas a ver políticas de auditoría unificada adicionales ya predefinidas, que podés habilitar con un solo clic. Consulta la sección Aprovisionamiento de políticas de auditoría unificadas en la Guía del auditor de AVDF para obtener más información. Consulta la sección Acerca de las políticas de auditoría de Oracle Data Safe en Uso de Oracle Data Safe para obtener más información.

Auditoría condicional

Con la auditoría condicional, puedes crear políticas precisas, muy selectivas y conscientes del contexto, lo que facilita auditar acciones específicas y reducir la cantidad de registros de auditoría irrelevantes. Las auditorías condicionales reducen tus necesidades de almacenamiento y generan registros de auditoría de alto valor que serán útiles para auditores, investigaciones forenses o requisitos de cumplimiento normativo. Las condiciones se pueden basar en contextos de aplicación, contexto de sesión o funciones incorporadas.

Las políticas de auditoría con nombre pueden crearse una sola vez y aplicarse en múltiples dimensiones, como usuarios y roles, brindando mayor flexibilidad y simplicidad. Consulta la sección Auditoría unificada con condiciones configurables de la guía de seguridad de Oracle Database para obtener más información.

Ampliación de la pista de auditoría unificada

La pista de auditoría unificada puede ampliarse para incluir atributos de la aplicación al configurar la auditoría para valores de contexto de aplicación. El espacio de nombres del contexto de la aplicación puede completarse con los atributos necesarios, y esto se registra en la columna APPLICATION_CONTEXTS del rastro de auditoría unificado. Consulta la sección Auditoría unificada con condiciones configurables de la guía de seguridad de Oracle Database para obtener más información.

Integridad de la auditoría

Unified Auditing ofrece un alto nivel de integridad del rastro de auditoría gracias a su diseño resistente a manipulaciones. El rastro de auditoría unificado se almacena en el esquema AUDSYS, y nadie tiene permitido iniciar sesión en ese esquema dentro de la base de datos. AUD$UNIFIED es una tabla especializada que solo permite operaciones de INSERT. Cualquier intento de truncar, borrar o actualizar directamente el contenido de la tabla AUD$UNIFIED fallará y generará registros de auditoría. Los datos de auditoría se gestionan mediante el paquete DBMS_AUDIT_MGMT integrado de gestión de datos de auditoría. Además, el espacio de tablas de auditoría puede cifrarse con cifrado transparente de datos (TDE). La tabla de auditoría unificada también puede protegerse con un ámbito de Oracle Database Vault.

Con el parámetro UNIFIED_AUDIT_SYSTEMLOG activado, ciertos campos clave de los registros de auditoría unificada se escriben en syslog, mientras que el registro completo se almacena en UNIFIED_AUDIT_TRAIL. Oracle Database o sus usuarios no pueden cambiar los registros de Syslog, por lo que los datos de auditoría de la pista de auditoría unificada se pueden verificar con los campos de auditoría del syslog.

Consolidación

Unified Auditing combina varias pistas de auditoría heredadas en una única pista de auditoría unificada. Los registros de auditoría son generados por una variedad de fuetnes de auditoría, como:

• Fuentes relacionadas con el sistema de auditoría, como registros de auditoría SYS
• Registros de auditoría obligatorios
• Fuentes relacionadas con el control de seguridad, como Oracle Database Vault, Oracle Label Security y Oracle Real Application Security
• Fuentes relacionadas con las operaciones de base de datos, como Oracle Recovery Manager, Oracle Data Pump y Oracle SQL*Loader

Con Unified Auditing, los registros de auditoría de todas las fuentes se escriben en un registro de auditoría consolidado, ya sea en la tabla AUDSYS.AUD$UNIFIED o en archivos del sistema operativo, y se exponen a través de la vista UNIFIED_AUDIT_TRAIL. La pista de auditoría unificada también normaliza el formato de los registros de auditoría, usando nombres de columnas y tipos de datos estandarizados en todas las fuentes. La pista de auditoría consolidada, normalizada y unificada simplifica la recopilación, el análisis y la gestión de los registros de auditoría generados por las diferentes fuentes. El formato coherente simplifica la generación de informes y el análisis de los datos de auditoría.