Oracle 8i/9i 審計 SYSDBA 角色用戶登錄的實戰方法

背景演進

• 8i 前：INTERNAL 用戶執行啟動/關閉/創建庫。
• 8i 起：廢棄 INTERNAL，改用授予 SYSDBA/SYSOPER 角色的用戶；保留 SVRMGRL 兼容舊習慣。
• 9i：徹底移除 SVRMGRL 与 INTERNAL，強制使用 SQLPLUS / AS SYSDBA。

因 SYSDBA 權限極高（可啟停庫、創建庫），必須嚴格審計監控。

UNIX 平台自動審計機制

每次用戶以 SYSDBA 連接，Oracle 自動在 $ORACLE_HOME/rdbms/audit 生成 ora_<pid>.aud 文件，**無需啟用審計參數**。文件記錄：

• 登錄時間、實例名、進程號
• 操作類型（如 CONNECT INTERNAL）
• OS 權限（DBA 組）、客戶端用戶名、終端名稱

實戰演示

-- 客戶端連接
SQL> CONN sys@gs1 AS SYSDBA
-- 服務端查看最新 .aud 文件
$ cat ora_589980.aud
Audit file /ora1/oracle/app/product/8.1.6/rdbms/audit/ora_589980.aud
...
Fri Sep 21 10:26:57 2001
ACTION : 'connect internal'
OSPRIV : DBA
CLIENT USER: Administrator
CLIENT TERMINAL: XIAOFEISHI

通過定期收集/解析 .aud 文件，可構建「誰、何時、從哪台機器、執行何操作」的完整審計鏈。

最佳實踐建議

• 腳本自動化：每日歸檔 .aud 至集中存儲，保留 1 年以上。
• 異常告警：監控非工作時段、非授權終端、非授權 OS 用戶的 SYSDBA 登錄。
• 權限收斂：嚴控 SYSDBA 授予對象，原則上僅 DBA 組核心人員持有。
• 9i+ 環境：啟用統一審計（AUDIT_TRAIL=DB,EXTENDED）獲取更豐富審計維度。