Аудит пользователя SYS, как?

Question

[Alister O]

Добрый день,

NAME                                 TYPE        VALUE
------------------------------------ ----------- ------------------------------
audit_sys_operations                 boolean     TRUE
audit_trail                          string      DB, EXTENDED

что необходимо сделать чтобы действия sys аудировались?

Answer 1

[Антон]

Оффтоп. По-моему, вы боретесь с симптомами, а не с болезнью. SYS имеет исключительные права. Если надо он может всё, в том числе включить и отключить любой аудит. В аудите нет смысла, если его можно обойти. Это как аудировать пользователя root в Unix.

Comments

[Alister O]

что предлагаете ?

[Антон]

Alister O: На практике я часто и густо вижу такую реализацию. Создают "суперюзера" с большим охватом прав доступа и возможностью эти права передавать. Пароль от супер юзера знают администраторы БД. Пароль SYS хранится в "запечатанном конверте в сейфе". Достается при исключительной необходимости. Для некоторых особых случаев можно зацепиться с правами SYS локально (conn / as sysdba).

Созданный "суперюзер" есть обычный пользователь БД (с широкими правами).

Я не утверждаю, что так правильно. Я не админ. Но встречаются вот такие организации работы администраторов Oracle с некоторой волатильностью.

[Alister O]

Антон: примерно так и представлял, а как думаете потом audit all by dba; этого достаточно или что то дополнительно надо предпринять?

[Антон]

Alister O: Глубже в этой теме не силен