1. 简介
Microsoft SQL Server(MSSQL)是广泛使用的关系型数据库管理系统(RDBMS)，它提供了丰富的数据存储、查询和管理功能。然而，在许多使用场景下，我们需要跟踪和监视数据库的活动，以符合监管要求、诊断问题或优化性能。在这些情况下，一个有效的MSSQL审计策略至关重要。
2. 审计策略的基础知识
2.1 审计的定义
审计是指记录并跟踪计算机系统上的各种活动、事件和状态的过程。对于MSSQL数据库，审计是一种跟踪并记录所选事件的功能，这些事件可以是用户、应用程序或系统级别活动。详细记录所有事件可提高数据安全性，满足法规要求，支持问题诊断和性能优化等目标。
2.2 MSSQL审计的工作原理
在MSSQL中，审计是通过一个名为Audit的对象来实现的。它包括一个或多个Audit specification，用来定义应该跟踪和记录的事件类别。审计还包括存储这些事件的目标，例如文件或安全事件日志。在审计启用后，系统将自动记录所选事件，并将这些信息发送到目标位置进行存储。
3. 实施MSSQL审计策略
3.1 审计的配置
MSSQL的审计功能是高度可配置的，可以根据特定的场景和需求进行调整和优化。以下是一些常见的审计配置设置:
定义审计对象：可以是服务器级别的，也可以是数据库级别的
选择审计规格：确定要跟踪和记录的事件类别
设置审计选项：例如事件过滤和审计目标的配置
启动审计：确保所有配置被保存，同时保持MSSQL审计启用状态
下面演示一个配置审计规格的MSSQL脚本：
USE master;
GO
CREATE SERVER AUDIT ServerAudit
TO FILE
( FILEPATH = 'C:\Audit\' );
GO
CREATE SERVER AUDIT SPECIFICATION ServerAuditSpecification
FOR SERVER AUDIT ServerAudit ADD (SERVER_ROLE_MEMBER_CHANGE_GROUP),
ADD (AUDIT_CHANGE_GROUP),
ADD (BACKUP_RESTORE_GROUP),
ADD (DATABASE_CHANGE_GROUP),
ADD (DATABASE_OBJECT_ACCESS_GROUP),
ADD (DATABASE_OBJECT_CHANGE_GROUP),
ADD (DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP),
ADD (DATABASE_OBJECT_PERMISSION_CHANGE_GROUP),
ADD (DATABASE_OPERATION_GROUP),
ADD (DATABASE_PERMISSION_CHANGE_GROUP),
ADD (DATABASE_PRINCIPAL_CHANGE_GROUP),
ADD (DATABASE_PRINCIPAL_IMPERSONATION_GROUP),
ADD (DATABASE_ROLE_MEMBER_CHANGE_GROUP),
ADD (DBCC_GROUP),
ADD (LOGIN_CHANGE_PASSWORD_GROUP),
ADD (STANDARD_GROUP);
GO
ALTER SERVER AUDIT ServerAudit
WITH (STATE = ON)
GO
这个脚本创建一个名为“ServerAuditSpecification”的服务器级别审计规格。它记录了多个事件类别，例如数据库操作、数据库对象访问和更改、登录密码更改等。事件信息将被记录到名为“ServerAudit”的文件中。
3.2 审计记录的分析和查询
在审计启用后，我们可以通过多种方式来查看、过滤和分析记录的事件。例如，使用SQL Server Management Studio(SSMS)、Audit Viewer（SQL Server 2017及以上版本中的新工具）、Transact-SQL等操作来查看审计事件。此外，您还可以使用Power BI或其他BI工具将事件数据可视化。
以下是一个使用Transact-SQL查询审计日志的例子：
USE master
GO
SELECT * FROM sys.fn_get_audit_file('C:\Audit\ServerAudit*',DEFAULT,DEFAULT)
GO
这个查询读取指定路径下的所有审计文件，并将它们合并成单个结果集。由于每个审计文件都可能包含大量条目，可以结合使用WHERE子句和其他语句达到更细粒度的过滤。
4. 总结
MSSQL审计是一种关键的数据库管理功能，可以通过跟踪和记录数据库活动来提高数据安全性、遵循监管要求、支持问题诊断和性能优化。在实际应用中，我们需要配置和优化审计策略，以实现最佳的效果和性能。