Gerenciando Trilha de Auditoria Padrão e FGA no Oracle Database 11g
Autor: Eduardo Valentim | Publicado: 2013-11-18T14:48:00-03:00

Caros amigos, hoje vou compartilhar algo com vocês que eu criei e me ajudou muito em gerenciar o espaço ocupado pelo Audit Trail (trilha de auditoria) do banco de dados Oracle 11g quando usamos Auditoria Padrão ou FGA (Fine Grained Auditing). Por padrão o banco de dados Oracle 11g configura auditoria de algumas ações como por exemplo: logon, logoff, uso de privilégios "ANY", etc. gerando dados em tabelas como a SYS.AUD$ (para a auditoria padrão) e a SYS.FGA_LOG$ (para a FGA).
Com o tempo, a quantidade gerada de dados nestas tabelas pode fazer com que o tablespace SYSTEM cresça bastante e por isso é interessante separar os dados de auditoria em um tablespace diferente.
Se você tiver adquirido o recurso Oracle Audit Vault esta trilha de auditoria é gerenciada automaticamente, ou seja, é copiada para o banco de dados do Audit Vault e removida do banco de dados de origem. Além disso, o Audit Vault tem outros recursos de relatórios, envio de alertas e uma interface mais amigável para consulta de auditoria.

Tablespaces são unidades lógicas de armazenamento que o banco de dados Oracle utiliza para gravar seus dados. Nos tablespaces existem segmentos que são tabelas ou índices por exemplo. O que seria interessante criar é um tablespace novo para gravação destes dados de auditoria.

Criei um script que faz tudo isso de forma automática. Além de configurar a auditoria recomendada ele também move as tabelas de auditoria para fora do tablespace SYSTEM (de sistema, onde ficam outras tabelas internas do Oracle) e, mensalmente, copia dados de auditoria para uma outra tabela para consultas históricas deixando sempre a tabela de auditoria com poucos dados. No exemplo, uma tabela é criada no mesmo banco de dados, porém você pode adaptá-lo para armazenar a tabela em outro banco de dados.

Abaixo o script com a explicação sobre cada parte faz. Executar com usuário "SYS":

-- 1. Configurando auditoria (precisa de restart). Gerencie arquivos de auditoria gerados para o usuário SYS em audit_file_dest.

AUDIT ALL ON SYS.AUD$ BY ACCESS;
AUDIT ALL ON SYS.FGA_LOG$ BY ACCESS;
ALTER SYSTEM SET AUDIT_SYS_OPERATIONS=TRUE SCOPE=SPFILE SID='*';
ALTER SYSTEM SET AUDIT_TRAIL='DB_EXTENDED' SCOPE=SPFILE SID='*';

-- 2. Checando espaço necessário para criar tablespace TS_AUDIT_TRAIL de auditoria e conta AUDIT_TRAIL (precisa usar OMF, do contrário especifique o caminho manualmente). A conta AUDIT_TRAIL foi bloqueada propositalmente, pois não precisaremos ativá-la.

DECLARE V_BYTES NUMBER;
BEGIN
SELECT SUM(BYTES)*2 INTO V_BYTES&nbsp;
&nbsp; FROM DBA_SEGMENTS
&nbsp;WHERE &nbsp; &nbsp;SEGMENT_NAME = 'AUD$'
&nbsp; &nbsp; &nbsp; &nbsp;OR SEGMENT_NAME = 'FGA_LOG$'
&nbsp; &nbsp; &nbsp; &nbsp;OR SEGMENT_NAME IN
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;(SELECT SEGMENT_NAME
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; FROM DBA_LOBS
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;WHERE TABLE_NAME = 'AUD$' OR TABLE_NAME = 'FGA_LOG$');
DBMS_OUTPUT.PUT_LINE(CHR(10));
DBMS_OUTPUT.PUT_LINE('* Um tablespace TS_AUDIT_TRAIL com '||ROUND(V_BYTES/1024/1024)||' MBs vai ser criado. *');
DBMS_OUTPUT.PUT_LINE(CHR(10));
END;
/

DECLARE V_BYTES NUMBER;
BEGIN
SELECT SUM(BYTES)*2 INTO V_BYTES&nbsp;
&nbsp; FROM DBA_SEGMENTS
&nbsp;WHERE &nbsp; &nbsp;SEGMENT_NAME = 'AUD$'
&nbsp; &nbsp; &nbsp; &nbsp;OR SEGMENT_NAME = 'FGA_LOG$'
&nbsp; &nbsp; &nbsp; &nbsp;OR SEGMENT_NAME IN
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;(SELECT SEGMENT_NAME
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; FROM DBA_LOBS
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;WHERE TABLE_NAME = 'AUD$' OR TABLE_NAME = 'FGA_LOG$');
EXECUTE IMMEDIATE 'CREATE TABLESPACE TS_AUDIT_TRAIL DATAFILE SIZE '||V_BYTES||' AUTOEXTEND ON NEXT 100M SEGMENT SPACE MANAGEMENT AUTO';
DBMS_OUTPUT.PUT_LINE(CHR(10));
DBMS_OUTPUT.PUT_LINE('* Tablespace com '||ROUND(V_BYTES/1024/1024)||' MBs criado com sucesso.');
END;
/

CREATE USER AUDIT_TRAIL IDENTIFIED BY aud$user$oracle
DEFAULT TABLESPACE TS_AUDIT_TRAIL
QUOTA UNLIMITED ON TS_AUDIT_TRAIL
ACCOUNT LOCK;

-- 3. Criando tabelas de histórico para arquivamento de&nbsp;dados de auditoria (crie índices posteriormente se desejar). A coluna "PLHOL" está sendo alterada de LONG para CLOB para permitir a cópia. Não haverá impacto durante a auditoria, pois esta coluna não é utilizada e provavelmente será removida no futuro.

ALTER TABLE SYS.FGA_LOG$ MODIFY(PLHOL CLOB);
CREATE TABLE AUDIT_TRAIL.AUDIT_ARCHIVE COMPRESS BASIC TABLESPACE TS_AUDIT_TRAIL AS SELECT * FROM SYS.AUD$;
CREATE TABLE AUDIT_TRAIL.AUDIT_ARCHIVE_FGA COMPRESS BASIC TABLESPACE TS_AUDIT_TRAIL AS SELECT * FROM SYS.FGA_LOG$;
DELETE FROM SYS.AUD$ WHERE NTIMESTAMP#&lt;=(SELECT MAX(NTIMESTAMP#) FROM AUDIT_TRAIL.AUDIT_ARCHIVE);
DELETE FROM SYS.FGA_LOG$ WHERE NTIMESTAMP#&lt;=(SELECT MAX(NTIMESTAMP#) FROM AUDIT_TRAIL.AUDIT_ARCHIVE_FGA);
COMMIT;

-- 4. Movendo auditoria para novo tablespace TS_AUDIT_TRAIL.

BEGIN
&nbsp;SYS.DBMS_AUDIT_MGMT.SET_AUDIT_TRAIL_LOCATION(
&nbsp; AUDIT_TRAIL_TYPE &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;=&gt; DBMS_AUDIT_MGMT.AUDIT_TRAIL_DB_STD,
&nbsp; AUDIT_TRAIL_LOCATION_VALUE &nbsp;=&gt; 'TS_AUDIT_TRAIL');
END;
/

-- 5. Realizando shrink da tabela AUD$ e FGA_LOG$ com coleta de estatisticas.

ALTER TABLE SYS.AUD$ ENABLE ROW MOVEMENT;
ALTER TABLE SYS.AUD$ SHRINK SPACE CASCADE;
ALTER TABLE SYS.FGA_LOG$ ENABLE ROW MOVEMENT;
ALTER TABLE SYS.FGA_LOG$ SHRINK SPACE CASCADE;
EXEC DBMS_STATS.GATHER_TABLE_STATS('SYS','AUD$');
EXEC DBMS_STATS.GATHER_TABLE_STATS('SYS','FGA_LOG$');

-------------------------------------------------------------------------------------
--Mantendo o audit trail. Configurar agendamento.
-------------------------------------------------------------------------------------

-- 6. Configurando Scheduler Job para executar manutenção de auditoria dia 01 de cada mês. Você pode alterar a frequência conforme a sua necessidade.

BEGIN
&nbsp; SYS.DBMS_SCHEDULER.CREATE_JOB
&nbsp; &nbsp; (
&nbsp; &nbsp; &nbsp; &nbsp;job_name &nbsp; &nbsp; &nbsp; &nbsp;=&gt; 'SYS.AUDIT_TRAIL_MAINTENANCE'
&nbsp; &nbsp; &nbsp; ,start_date &nbsp; &nbsp; &nbsp;=&gt; NULL
&nbsp; &nbsp; &nbsp; ,repeat_interval =&gt; 'FREQ=MONTHLY;BYMONTHDAY=1;BYHOUR=00;BYMINUTE=00;BYSECOND=00'
&nbsp; &nbsp; &nbsp; ,end_date &nbsp; &nbsp; &nbsp; &nbsp;=&gt; NULL
&nbsp; &nbsp; &nbsp; ,job_class &nbsp; &nbsp; &nbsp; =&gt; 'DEFAULT_JOB_CLASS'
&nbsp; &nbsp; &nbsp; ,job_type &nbsp; &nbsp; &nbsp; &nbsp;=&gt; 'PLSQL_BLOCK'
&nbsp; &nbsp; &nbsp; ,job_action &nbsp; &nbsp; &nbsp;=&gt; 'BEGIN
&nbsp; &nbsp; INSERT INTO AUDIT_TRAIL.AUDIT_ARCHIVE SELECT * FROM SYS.AUD$;
&nbsp; &nbsp; INSERT INTO AUDIT_TRAIL.AUDIT_ARCHIVE_FGA SELECT * FROM SYS.FGA_LOG$;
&nbsp; &nbsp; DELETE FROM SYS.AUD$ WHERE NTIMESTAMP#&lt;=(SELECT MAX(NTIMESTAMP#) FROM AUDIT_TRAIL.AUDIT_ARCHIVE);
&nbsp; &nbsp; DELETE FROM SYS.FGA_LOG$ WHERE NTIMESTAMP#&lt;=(SELECT MAX(NTIMESTAMP#) FROM AUDIT_TRAIL.AUDIT_ARCHIVE_FGA);
&nbsp; &nbsp; COMMIT;
&nbsp; &nbsp; EXECUTE IMMEDIATE ''ALTER TABLE AUDIT_TRAIL.AUDIT_ARCHIVE MOVE COMPRESS BASIC'';
&nbsp; &nbsp; EXECUTE IMMEDIATE ''ALTER TABLE AUDIT_TRAIL.AUDIT_ARCHIVE_FGA MOVE COMPRESS BASIC'';
&nbsp; &nbsp; DBMS_STATS.GATHER_TABLE_STATS(''SYS'',''AUD$'');
&nbsp; &nbsp; DBMS_STATS.GATHER_TABLE_STATS(''SYS'',''FGA_LOG$'');
END;'
&nbsp; &nbsp; &nbsp; ,comments &nbsp; &nbsp; &nbsp; &nbsp;=&gt; NULL
&nbsp; &nbsp; );
&nbsp; SYS.DBMS_SCHEDULER.SET_ATTRIBUTE
&nbsp; &nbsp; ( name &nbsp; &nbsp; &nbsp;=&gt; 'SYS.AUDIT_TRAIL_MAINTENANCE'
&nbsp; &nbsp; &nbsp;,attribute =&gt; 'RESTARTABLE'
&nbsp; &nbsp; &nbsp;,value &nbsp; &nbsp; =&gt; FALSE);
&nbsp; SYS.DBMS_SCHEDULER.SET_ATTRIBUTE
&nbsp; &nbsp; ( name &nbsp; &nbsp; &nbsp;=&gt; 'SYS.AUDIT_TRAIL_MAINTENANCE'
&nbsp; &nbsp; &nbsp;,attribute =&gt; 'LOGGING_LEVEL'
&nbsp; &nbsp; &nbsp;,value &nbsp; &nbsp; =&gt; SYS.DBMS_SCHEDULER.LOGGING_RUNS);
&nbsp; SYS.DBMS_SCHEDULER.SET_ATTRIBUTE_NULL
&nbsp; &nbsp; ( name &nbsp; &nbsp; &nbsp;=&gt; 'SYS.AUDIT_TRAIL_MAINTENANCE'
&nbsp; &nbsp; &nbsp;,attribute =&gt; 'MAX_FAILURES');
&nbsp; SYS.DBMS_SCHEDULER.SET_ATTRIBUTE_NULL
&nbsp; &nbsp; ( name &nbsp; &nbsp; &nbsp;=&gt; 'SYS.AUDIT_TRAIL_MAINTENANCE'
&nbsp; &nbsp; &nbsp;,attribute =&gt; 'MAX_RUNS');
&nbsp; BEGIN
&nbsp; &nbsp; SYS.DBMS_SCHEDULER.SET_ATTRIBUTE
&nbsp; &nbsp; &nbsp; ( name &nbsp; &nbsp; &nbsp;=&gt; 'SYS.AUDIT_TRAIL_MAINTENANCE'
&nbsp; &nbsp; &nbsp; &nbsp;,attribute =&gt; 'STOP_ON_WINDOW_CLOSE'
&nbsp; &nbsp; &nbsp; &nbsp;,value &nbsp; &nbsp; =&gt; FALSE);
&nbsp; EXCEPTION
&nbsp; &nbsp; WHEN OTHERS THEN
&nbsp; &nbsp; &nbsp; NULL;
&nbsp; END;
&nbsp; SYS.DBMS_SCHEDULER.SET_ATTRIBUTE
&nbsp; &nbsp; ( name &nbsp; &nbsp; &nbsp;=&gt; 'SYS.AUDIT_TRAIL_MAINTENANCE'
&nbsp; &nbsp; &nbsp;,attribute =&gt; 'JOB_PRIORITY'
&nbsp; &nbsp; &nbsp;,value &nbsp; &nbsp; =&gt; 3);
&nbsp; SYS.DBMS_SCHEDULER.SET_ATTRIBUTE_NULL
&nbsp; &nbsp; ( name &nbsp; &nbsp; &nbsp;=&gt; 'SYS.AUDIT_TRAIL_MAINTENANCE'
&nbsp; &nbsp; &nbsp;,attribute =&gt; 'SCHEDULE_LIMIT');
&nbsp; SYS.DBMS_SCHEDULER.SET_ATTRIBUTE
&nbsp; &nbsp; ( name &nbsp; &nbsp; &nbsp;=&gt; 'SYS.AUDIT_TRAIL_MAINTENANCE'
&nbsp; &nbsp; &nbsp;,attribute =&gt; 'AUTO_DROP'
&nbsp; &nbsp; &nbsp;,value &nbsp; &nbsp; =&gt; FALSE);

&nbsp; SYS.DBMS_SCHEDULER.ENABLE
&nbsp; &nbsp; (name &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;=&gt; 'SYS.AUDIT_TRAIL_MAINTENANCE');
END;
/

-- 7. Testando a execucao do Job. Verifique a saida LAST_RUN_STATUS abaixo. Em caso de "FAILED", verificar os erros consultando as tabelas DBA_SCHEDULER_JOB_RUN_DETAILS.

BEGIN
&nbsp; DBMS_SCHEDULER.run_job (job_name =&gt; 'SYS.AUDIT_TRAIL_MAINTENANCE',use_current_session =&gt; FALSE);
END;
/
COLUMN LAST_RUN_STATUS format a11
SELECT STATUS LAST_RUN_STATUS
&nbsp; FROM DBA_SCHEDULER_JOB_RUN_DETAILS
&nbsp;WHERE JOB_NAME = 'AUDIT_TRAIL_MAINTENANCE'
&nbsp;AND ACTUAL_START_DATE=(SELECT MAX(ACTUAL_START_DATE) FROM DBA_SCHEDULER_JOB_RUN_DETAILS);

----------------- Processo concluído -----------------

Caso necessite exportar a tabela de auditoria para expurgar dados antigos, basta executar o script abaixo no sistema operacional UNIX. Depois poderá excluir os dados da tabela AUDIT_ARCHIVE:

data=`date +%d-%m-%Y-%H:%M`
expdp &lt;user/pass&gt; dumpfile=EXPORT_AUD_$data.DMP logfile=EXPORT_AUD_$data.LOG version=COMPATIBLE directory=&lt;directory&gt; schemas=AUDIT_TRAIL include=table:\"IN\(\'AUDIT_ARCHIVE\'\)\"


Até mais!