C2审核跟踪

摘抄自：《Microsoft SQL Server2005技术内幕查询、调整和优化》

听风吹雨：SQL Server Audit监控触发器状态

SQLSERVER2000 增加了一个名为C2审核的特性，他允许DBA以美国政府的标准审核未经授权使用和损坏的资源和数据。

SQLSERVER2005提供了一个新的名为常见标准的国际标准（C2依然可用）

这两个审核模式都利用SQL跟踪捕捉一系列数据，包括任何登录、登出、表访问以及许多其他数据点。

他们也都使用sp_trace_create中的值为4的@options参数，每当写跟踪文件发生任何错误时，该参数就会自动关闭SQLSERVER服务。

这可用来保证即便出现了磁盘错误，也不可能丢失任何审核数据（服务器关闭后，审核数据就不会丢失了）

C2和常见标准审核模式都可以用sp_configure激活或取消。要激活C2审核，就要将C2审核模式选项值配置为1。

而对于常见标准，就需要将常见标准激活选项值设置为1。在这两种情况下，审核的实际启动都会要求服务重启。

二、过程

(一) 创建服务器级别的审核，注意设置FILEPATH为对应的路径，显示设置审核状态，创建审核的时候只能是服务器的；

USE master
GO
--创建服务器级别审核
CREATE SERVER AUDIT ServerAudit
TO FILE (FILEPATH = 'F:\AuditLog\', MAXSIZE = 256 MB)
WITH (ON_FAILURE = CONTINUE);
GO
--开启审核
ALTER SERVER AUDIT ServerAudit
WITH (STATE = ON);

(二) 创建服务器级别的审核规范，这里指定相对应的AUDIT（审核）接收、保存跟踪和记录的数据，可以同时多个审核规范指向同一个审核。

SCHEMA_OBJECT_CHANGE_GROUP，针对架构执行 CREATE、ALTER 或 DROP 操作时将引发此事件。任何数据库的任何架构发生更改时，均将引发此事件。审核操作组的其它值可以参考：SQL Server 审核操作组和操作

--创建服务器级别审核规范
USE master
GO
CREATE SERVER AUDIT SPECIFICATION Schema_Change
FOR SERVER AUDIT ServerAudit
ADD (SCHEMA_OBJECT_CHANGE_GROUP)
WITH (STATE = ON);
GO

(三) 手动产生对象更改事件

--测试
CREATE TABLE dbo.TestAudit(Id INT)
GO
CREATE TRIGGER dbo.TestAudit_Trigger ON dbo.TestAudit
    FOR INSERT
AS
    BEGIN
        SELECT * FROM dbo.TestAudit;
    END
GO

(四) 查询Audit的记录，这里针对审核ServerAudit的内容进行查询：

--查询
SELECT  database_name,
        event_time,
        succeeded,
        server_principal_name,
        [object_name],
        [statement]
FROM sys.fn_get_audit_file('F:\AuditLog\ServerAudit_*.sqlaudit', default, default)