Oracle Data Safeのアクティビティ監査で操作ログを記録する

Autonomous Databaseの監査ログは、Unified Audit Trail表に格納されています。Data Safeはリモートから定期的にこのUnified Audit Trailにアクセスし、監査ログを収集しレポート・分析する機能を提供します。
ここではData Safeのアクティビティ監査の機能を使って、データベース・ユーザーの操作ログを表示・分析する手順を紹介します。

## Audit Trailsの追加
- Targets -> Audit Trailsを選択し、Addをクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/16ea4548-6c99-cce4-17a2-e7cccf5f2707.png)

- 以下のように設定してRegisterをクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/6105655e-92ff-d571-d9fb-bf9023863204.png)
    - Trail Type: TABLE
    - Target: 対象ATP
    - Trail Location: Unified_Audit_Trailをチェック
    - Audto Purge TrailをON
    - 自動パージを有効化すると7日以上の監査データは削除される

- Audit Trailの登録が成功し、ログの収集が開始される
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/f645ef24-7ede-c965-b5a6-2db948b12379.png)

- 右上のSettingをクリック。Audit Data Retention Periodで監査ログの保持期間の指定が可能(1～12カ月)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/835f0abc-b021-d5bc-fcc7-8fd7754b9fb3.png)


## 監査ポリシーの設定

- Activity Auditingのクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/99b73652-957d-d1ed-50d4-bac7e781f0e3.png)

- ターゲットDBをチェックしてContinueをクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/48b9377d-8cb6-599f-b44a-f775d435e5f8.png)

- Retrieveをクリックして、しばし待つ
これはDatabaseの現在の監査設定を取得して、同期することを意味します
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/197938d8-802c-ca0a-06c8-679d1da7f704.png)

- Retrieval Statusが更新されたらcontinueをクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/d050e58d-4efb-f704-24c0-5f9ecc7206ff.png)

- ターゲットDB名をクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/f5d9e3cf-f9fc-83c5-06f8-6d7eee4cce6e.png)

- 以下のように特定のユーザーに対して監査を有効化する。Provisionをクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/713076e8-36ee-0852-b4fa-3147531a1018.png)
    - ALL User Activityをチェック
    - List of Users: DEMO、ADMINを指定する

- ターゲットDBに監査ポリシーがプロビジョニングが成功。continueをクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/ed08c99b-ab4f-3ac0-df1c-6cb246c6fa89.png)

- Doneをクリックで完了
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/d60f1bd3-cf2a-8f4c-4065-176a779d8f20.png)

## 監査アクティビティの実行とログの確認
- サービスコンソールをクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/73e9ba3c-b307-c6d6-6399-dc2a7ef46044.png)

- SQL Developer Webを起動してログイン
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/473408c5-9d5b-16d9-308f-cc76b96fd63f.png)

- 確認用スクリプトをコピーする
    - https://github.com/western24/datasafedemo/blob/master/activity_for_auditing.sql

- ダウンロードした確認用スクリプトを貼りつけて実行
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/b9dc4670-3b35-58bc-2e3c-4157b35fd2f2.png)

 
- Reports -> Audit Summaryを選択し、Time PeriodをLast 24 Hoursに変更
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/0c916ab2-616b-8712-aeeb-f7698df3d4c3.png)

- All Activityをクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/750a9b9c-f800-5b48-7c67-bfd8d02e7e2d.png)

- カテゴリ別のアクセス履歴や詳細が確認することができる
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/a694e4aa-15eb-ab8f-e23f-2ad34729412e.png)

Data Safeは、SQLアクセスでクラウドデータベースから監査ログを収集します。サポートする監査表とCloud Databaseの組み合わせはこちらを参照下さい。
https://docs.cloud.oracle.com/iaas/data-safe/doc/audit-trails.html

この機能は月あたり100万レコードまで無償です。実際の運用では、管理者や開発者の操作ログを主に取得するように監査設計し、ログが膨大にならないように注意が必要です。


※ログ分析の機能がまだ十分でないので、若干物足りないかもしれません。Oracle Management CloudからUnified Audit、またはXML監査ログファイルを直接読み込んで分析するとほうが、現時点では利便性が高いかなと思ったりもします。

[OMC Log Analyticsの設定方法と使い方 - Linux編 -](https://qiita.com/western24/items/715f221c4ebd5bebad12)

Oracle Data Safeの関連情報は[こちら](https://qiita.com/western24/items/4824e4b3799b824197c6)