監査証跡
監査証跡は、UNIFIED_AUDIT_TRAILなどのターゲット・データベース証跡からの監査レコードのコレクションを表し、発生した一連のアクティビティの証拠ドキュメントを提供します。
データベース監査証跡は、ターゲット・データベースで発生したことを示す監査レコードのソースです。監査証跡リソースの指定されたデータベース監査証跡に対して監査データの収集が有効になっている場合、監査レコードは、データベースの監査証跡からOracle Data Safeにほぼリアルタイムでコピーされます。自動パージ機能を使用して、ターゲット・データベースで監査レコード・ボリュームを管理できます。
Oracle Data Safe監査証跡について
監査証跡とは、監査データが格納されるターゲット・データベース内の監査表です。最も一般的な監査証跡はUNIFIED_AUDIT_TRAILデータ・ディクショナリ・ビューで、このビューはすべてのOracle Database監査証跡を1か所に統一されたフォーマットで集約します。
ターゲット・データベースの登録時に、Oracle Data Safeではターゲット・データベースの監査証跡が自動的に検出され、ターゲット・データベースの監査証跡ごとに1つの監査証跡リソースが作成されます。これらの監査証跡リソースは、セキュリティ・センターの「監査証跡」ページにリストされます。いつでもターゲット・データベースの新しい監査証跡を検出し、必要に応じてOracle Data Safeの監査証跡リソースを削除できます。
Oracle Data Safe監査証跡を開始すると、Oracle Data Safeでは、ターゲット・データベースの監査証跡からOracle Data Safeリポジトリへの監査レコードのコピーが開始されます。監査データ収集は、必要に応じて開始および停止できます。ほとんどの場合、ターゲット・データベースの1つの監査証跡のみから監査データを収集するようにOracle Data Safeを構成しますが、複数の監査証跡から収集することも可能です。
サポートされるターゲット・データベースの監査証跡
次の表に、Oracle Data Safeで検出できるターゲット・データベースの監査証跡を示します。UNIFIED_AUDIT_TRAILおよびSYS.AUD$のSQL_TEXT列、SQL_BINDS列、RLS_INFO列は、32KBに切り捨てられてからOracle Data Safeに格納されます。SYS.FGA_LOG$のLSQLTEXT、LSQLBINDおよびRLS$INFOも同じです。
Oracle Data Safeでの統合監査ポリシーの取得およびプロビジョニングは、Oracle Databaseバージョン12.2以上でのみサポートされます。従来の監査設定は、Oracle Data Safeから取得およびプロビジョニングできませんが、ターゲット・データベース内で取得し、従来の監査証跡を収集用に構成することを選択できます。
| データベース・バージョン | Standard Edition | Enterprise Edition |
|---|---|---|
| Autonomous Databases以外、バージョン11.2.0.4、12.1.0.1、12.1.0.2 | SYS.AUD$ |
|
| Autonomous Databases以外、バージョン12.2以上 |
|
ノート SYS.AUD$、SYS.FGA_LOG$*およびDVSYS.AUDIT_TRAIL$は混合モードでのみ使用できます。 |
| Autonomous Database(最新バージョン) | (該当なし) | UNIFIED_AUDIT_TRAIL(ノート2を参照) |
ノート1: FGA_LOG$監査証跡の自動パージを有効にすると、エラーが発生し、監査証跡が停止状態になる場合があります。自動パージを有効にするには、ターゲット・データベースでdatasafe_privileges.sqlを再実行し、監査証跡を再起動します。
ノート2: Active Data Guardに関連付けられたターゲット・データベースの場合、次が表示されます:
-
プライマリ・データベースの
AUDSYS.AUD$UNIFIED表からレコードを収集するUNIFIED_AUDIT_TRAIL。たとえば、TABLE:PRIMARYです。 -
プライマリ・データベースのオペレーティング・システム・スピルオーバー・ファイルから監査レコードを収集する
UNIFIED_AUDIT_TRAIL。たとえば、FILE:database_unique_name1です。 -
登録されている各ピア・データベースのオペレーティング・システム・スピルオーバー・ファイルから監査レコードを収集する
UNIFIED_AUDIT_TRAIL。たとえば、FILE:database_unique_name2です。オペレーティング・システム・スピルオーバー・ファイルを指すUNIFIED_AUDIT_TRAILは、関連付けられたデータベースの一意の名前で区別できます。
自動パージ
データベースの監査データ・ボリュームを適切に管理して、効率的なパフォーマンスとディスク領域の最適な使用を実現することが重要です。データベースの監査証跡のボリュームが増加するにつれて、大量の監査データを含む監査証跡を問い合せると、パフォーマンスが影響を受け、領域のスケーラビリティの問題が発生する可能性があります。古い監査レコードは、Oracle Data Safeによって収集された後、データベース監査証跡から定期的にパージすることをお薦めします。これが、自動パージ機能の使用の検討をお薦めする理由です。
アクティビティ監査のOracle Data Safe自動パージ機能を使用すると、監査レコードを定期的にターゲット・データベースからパージできます。自動パージ機能は、ターゲット・データベースに対する操作です。ターゲット・データベースで自動パージが有効になっている場合、日次ジョブが実行され、最後のアーカイブ・タイムスタンプが参照され、タイムスタンプ値より7日古いすべての監査レコードが削除されます。Data Safeは、ターゲット・データベースの監査データ保持を管理します。自動パージが有効な場合、Data Safeは、各監査収集後に最後のアーカイブ・タイムスタンプ(LAT)を自動的に更新します。自動パージが無効になっている場合は、コンソールまたはREST APIを使用してLATを更新するかどうかを構成できます。
注意:
自動パージを有効にすると、ターゲット・データベース監査証跡のすべての監査レコードが7日ごとに削除されます。これには、監査収集の初期開始日より古いものも含まれます。Oracle Data Safeで収集されていないレコードも削除される可能性があります。この影響を考慮した上で、慎重にこの機能を有効にしてください。
また、データベース・ターゲットでの監査レコードのパージは、Data Safeを介してのみ管理する必要があります。Data Safeは監査レコードを頻繁に収集しますが、Data Safeフレームワーク外部から監査データをパージ(DBMS_AUDIT_MGMT.CLEAN_AUDIT_TRAILを直接使用する場合など)すると、収集前にレコードを削除できます。特に、Data SafeがLATを更新していない場合(たとえば、自動パージが無効になり、LAT更新オプションがオフになっている場合)。
自動パージを有効にし、purgeJobTime、purgeJobStatus、purgeJobDetailsなどの追加の詳細を表示する場合は、ターゲット・データベースでAUDIT_COLLECTIONのdatasafe_privileges.sqlスクリプトを再実行します。詳細は、ターゲット・データベースのOracle Data Safeサービス・アカウントへのロールの付与を参照してください。
自動パージはデフォルトで無効です。Oracle Data Safeで自動パージを無効にした場合でも、ターゲット・データベースの監査データ保持設定に基づいてターゲット・データベースが監査データをパージしている可能性があることに注意してください。詳細は、データベースのドキュメントを参照してください。