Oracle 8i/9i 審計追蹤：監控 SYSDBA 登入活動

背景

Oracle 8i 前使用 INTERNAL 使用者執行啟動/關閉等特權操作。8i 引入 SYSDBA/SYSOPER 角色取代，9i 徹底移除 INTERNAL 與 SVRMGRL。因 SYSDBA 擁有最高權限，必須嚴格審計其登入活動。

Unix/Linux 平台自動審計機制

無需啟用資料庫審計參數，每當使用者以 AS SYSDBA 連線，作業系統層面即自動在 $ORACLE_HOME/rdbms/audit 產生 ora_.aud 審計檔，記錄：

• 連線使用者與客戶端作業系統用戶
• 終端機器名稱
• 登入時間戳記
• 執行動作 (CONNECT INTERNAL 等)
• Oracle 進程號與 Unix PID

實戰範例

SQL> CONN sys@gs1 AS SYSDBA
密碼: ********
已連線。

$ cat $ORACLE_HOME/rdbms/audit/ora_589980.aud
Audit file /ora1/oracle/app/product/8.1.6/rdbms/audit/ora_589980.aud
Oracle8i Enterprise Edition Release 8.1.6.3.0 - Production
...
Instance name: nbgs1
Unix process pid: 589980, image: oracle@nbtax1 (TNS V1-V3)
Fri Sep 21 10:26:57 2001
ACTION : 'CONNECT INTERNAL'
OSPRIV : DBA
CLIENT USER: Administrator
CLIENT TERMINAL: XIAOFEISHI

管理建議

• 定期歸檔並分析 *.aud 檔案，建立 SYSDBA 登入審計報表。
• 設定作業系統層級的檔案保留與輪替策略，防止審計目錄佔滿磁碟。
• 結合 AUDIT_SYS_OPERATIONS=TRUE (11g+) 將 SYS 操作寫入 XML 審計檔，便於集中管理。
• 嚴格控管作業系統 DBA 群組 (如 dba, oinstall) 成員資格，實體存取即邏輯特權。

Windows 平台差異

Windows 將審計記錄寫入事件檢視器 (Application Log)，來源為 Oracle.，可透過事件檢視器或 wevtutil 查詢匯出。

結語

善用作業系統層面的強制審計檔案，是監控 SYSDBA 特權濫用最直接、不可繞過的防線。請將其納入資安合規稽核常規作業。