【Oracle Database 23ai 検証】統合監査のキホンと拡張機能について

アシストでは、日本オラクル社の協力を得てOracle Database 23aiの検証プログラムを行っています。

第3回目の本記事では監査に焦点を当て、機能をご紹介します。

組織にとって重要なデータを守るため、そして法令遵守のための証憑としても、データベースの操作履歴を辿る監査設定は非常に重要です。

Oracle Databaseでは9i以降、従来型監査と呼ばれる監査設定がサポートされていましたが、23aiからは統合監査のみがサポートされるようになりました。

従来型監査の利用者にとっては、23aiへのバージョンアップ時に統合監査に切り替える必要があります。しかし切り替えにかかる工数を考慮しても、統合監査に切り替えるメリットの方が大きいでしょう。

統合監査では様々な監査ログを1つのビューから効率よく確認することができます。また従来型監査と比較し、監査の全体的なパフォーマンスに優れています。

本記事では、従来型監査と統合監査の違いをおさらいし、23aiにおける統合監査の機能拡張について詳しく解説します。

従来型監査と統合監査では多くの違いがあります。

ここでは、特に大きな差分を3点ピックアップしてご紹介します。

従来型監査では、監査ログをDB内に保管する方法とOSファイルとして出力する方法があります。DB内の監査ログはDBA_AUDIT_TRAILなどのビューから参照できます。

統合監査では、すべての監査ログがDB内に集積され、UNIFIED_AUDIT_TRAILビューから参照できます。

従来型監査では、1つ1つのアクションに対してauditコマンドを実行して監査設定を行います。

統合監査ではアクションごとに監査設定するのではなく、複数のアクションをまとめた監査ポリシーを作成し、それを有効化します。

監査ポリシーという単位で複数の監査設定を管理できるため、管理性に優れています。

従来型監査では 、初期化パラメータaudit_trail の値がDBに設定されている場合には、SYS.AUD$表に監査ログが保管されます。
この監査ログは、”DELETE FROM SYS.AUD$ ～”や”TRUNCATE TABLE SYS.AUD$;”のようにAUD$表を直接指定して削除できます。

一方、統合監査では監査ログは内部表に保管されます。削除時はDELETEやTRUNCATEコマンドではなく、プロシージャを使う必要があります。

なお、12cから19cまではデフォルトで混合監査が有効であるため、従来型監査と統合監査を併用できます。

現在有効な統合監査ポリシーは、AUDIT_UNIFIED_ENABLED_POLICIESより確認できます。

企業データの完全性を保つためには、監査設定を行い、いつ誰がデータを更新したかを確実に把握することが重要です。

ただし表データのすべての更新に対して監査を行うと、大量の監査ログが出力されてしまい、ディスク容量が圧迫されるなど、監査ログ自体の管理工数がかかってしまう場合もあります。

23aiでは、表全体ではなく列の単位で監査設定をすることで、より重要なデータに絞り込んで監査ができるようになりました。

この「表およびビューの列レベルでのオブジェクト・アクションの監査」（列レベル監査）について、具体例を使ってご紹介します。

今回は商品の価格と在庫を管理する商品表を監査します。

これまでの従来型監査や統合監査では、表レベルでの監査設定のみ可能でした。
そのため商品表の監査を行うには、商品表に対して変更処理があった場合にすべて監査ログを残します。

在庫数が増減しただけでも監査ログが出力されるため、大量の監査ログが出力されてしまいます。

一方で、23aiでは列レベルの監査が可能なため、重要な列の情報に変更があった場合に絞り込んで監査ログを収集できます。

– PRICE列の UPDATE を監査するポリシーを作成

SQL> CREATE AUDIT POLICY PriceColumnAudit

  2  ACTIONS UPDATE (price) ★ price  列の更新のみ監査

  3  ON test.products; 

– 監査ポリシーの有効化

SQL> AUDIT POLICY PriceColumnAudit;

この設定により、価格に変更があった場合のみ監査ログを残せます。

--PRICE列をUPDATE

SQL> UPDATE test.products

  2  SET price = 1500         ★価格を変更

  3  WHERE productname = 'ProductB';

1行が更新されました。

--PRICE列以外をUPDATE

SQL> UPDATE test.products

  2  SET stock = stock - 1         ★在庫数を変更

  3  WHERE productname = 'ProductB';

1行が更新されました。

-- 監査ログの確認

SQL> SELECT OBJECT_NAME, ACTION_NAME, SQL_TEXT

  2  FROM UNIFIED_AUDIT_TRAIL

  3  WHERE OBJECT_NAME = 'PRODUCTS';

OBJECT_NAME  ACTION_NAME  SQL_TEXT

----------------------- ---------------------- --------------------------------------------

PRODUCTS        UPDATE              update products set price=1500 where productname='ProductB’

★ price 列の更新のみ監査ログが生成される

23ai以前でもEnterprise Editionであればファイングレイン監査を使うことで、条件を絞り込んで監査設定ができます。

ファイングレイン監査では、例えば「在庫が10未満」に更新されたときだけ監査するといったように、列レベルよりも更に詳細に条件を指定できます。

– 監査設定

SQL> BEGIN

  2      DBMS_FGA.ADD_POLICY(

  3          object_schema    => 'TEST',

  4          object_name      => 'PRODUCTS',

  5          policy_name      => 'StockLessThan10Audit',

  6          audit_condition  => 'STOCK < 10',   ★条件：在庫が10未満

  7          statement_types  => 'UPDATE',

  8          audit_column     => 'STOCK'       ★在庫列に関する監査

  9      );

 10  END;

 11  /

– ProductCの在庫を8に更新

SQL> UPDATE products

  2  SET    stock = 8

  3  WHERE  PRODUCTNAME='ProductC';

– 監査ログを確認

SQL> SELECT OBJECT_NAME, ACTION_NAME, SQL_TEXT

  2  FROM UNIFIED_AUDIT_TRAIL

  3  WHERE OBJECT_NAME = 'PRODUCTS';

OBJECT_NAME  ACTION_NAME SQL_TEXT

------------ ------------ --------------------------------------------------------------------------------

PRODUCTS     UPDATE       UPDATE products SET    stock = 8 WHERE  PRODUCTNAME='ProductC'

監査対象の詳細な絞り込みが必要な環境では、ファイングレイン監査の活用もご検討ください。

今回はデータベースの監査機能についてご紹介しました。

現在、従来型監査/混合監査をご使用のお客様は23aiへのバージョンアップ時に統合監査への切り替えが必要です。

データベース監査は、企業のデータセキュリティを強化し、様々な法令遵守を確実にします。 不正アクティビティの早期検出、データ侵害の調査支援などにも役立ちます。

23aiでは統合監査の機能拡張により、重要な監査ログを絞り込んで収集しやすくなりました。すでに統合監査をご利用のお客様もぜひ、最新情報をご確認いただければと思います。

アシストでは引き続き、23aiの様々な機能についてご紹介します。次回連載もお楽しみにお待ちください！

本記事に関連して、他にもOracle Database 23aiの新機能や機能拡張についてご紹介している記事もございます。あわせてご活用ください。