CREATE AUDIT POLICY policy_name CATEGORIES category or ALL STATUS status ERROR TYPE NORMAL;

Per ulteriori informazioni, consultare Istruzione CREATE AUDIT POLICY.

Nomi della politica di verifica

Accertarsi che il nome sia univoco e che il relativo scopo sia facilmente identificabile, ad esempio AUDIT_SOC2_COMPLIANCE o AUDIT_LOGIN_ONLY. Non iniziare il nome con SYS poiché è riservato per i nomi di sistema interni nel database.

Categorie da controllare

La politica determina quali categorie devono essere controllate. Questa politica può essere applicata ad altri oggetti di database per determinare il modo in cui deve essere controllato l'utilizzo di tali oggetti. Ci sono otto categorie disponibili da controllare. Più categorie sono configurate, più informazioni vengono controllate e si accumulano nel buffer di controllo che occupa spazio di calcolo. La comprensione di ciò che è necessario per il proprio scopo è importante per evitare il sovraccarico dello spazio di calcolo del sistema. Il riepilogo descrive ogni categoria disponibile. Se ALL è specificato come opzione di categoria, nessun' altra categoria può essere specificata.

Per rispettare la maggior parte degli standard di sicurezza, le categorie consigliate nel seguente elenco si occuperanno del controllo degli accessi, dell'autenticazione e del monitoraggio degli accessi privilegiati. La configurazione delle politiche con queste categorie garantisce un sovraccarico minimo mantenendo la sicurezza.

• EXECUTE WITHOUT DATA - Controllo degli accessi
• VALIDATE - autenticazione
• SECMAINT - Monitoraggio accesso privilegiato

Inoltre, per ogni categoria, devono essere controllati sia gli scenari di esito positivo che quelli di errore e il tipo di errore deve solo registrare gli errori del codice SQL.

• STATUS BOTH
• ERROR TYPE NORMAL

È possibile configurare una politica di verifica personalizzata per catturare le richieste di autenticazione e eseguire correttamente i comandi SQL e abilitarla.

CREATE AUDIT POLICY AUDIT_VALIDATE_EXECUTE CATEGORIES VALIDATE STATUS BOTH, EXECUTE STATUS SUCCESS ERROR TYPE NORMAL;

Oggetti database da controllare

Il controllo dell'intero database determinerà un sovraccarico di spazio di calcolo. Si consiglia di identificare la tabella e la tabella di query materializzata (MQT) associata a cui applicare una politica.

Nota: la politica di controllo che si applica a una tabella non si applica a una tabella di query materializzata (MQT) basata su tale tabella. Si consiglia di associare una politica di controllo a una tabella, associandola anche a qualsiasi MQT basata su tale tabella. Il compilatore potrebbe utilizzare automaticamente una MQT, anche se un'istruzione SQL fa riferimento alla tabella di base; tuttavia, la politica di controllo in uso per la tabella di base sarà ancora attiva.

Un'altra configurazione consigliata consiste nell'applicare una politica a un gruppo o a un ruolo. È possibile utilizzare questa configurazione per monitorare gli utenti in cui il gruppo e il ruolo eseguono azioni impreviste. Se si sceglie di applicare una politica all'intero database, assicurarsi che la politica non conservi un record di tutte le categorie.

Abilita la politica di verifica per una tabella

AUDIT TABLE CUSTOMTABLE USING POLICY AUDIT_VALIDATE_EXECUTE;

È anche possibile configurare una politica di verifica personalizzata per catturare solo le richieste di autenticazione (sia riuscite che non riuscite) e abilitarle.

CREATE AUDIT POLICY AUDIT_VALIDATE_ONLY CATEGORIES VALIDATE STATUS BOTH ERROR TYPE NORMAL;

Per ulteriori informazioni, consultare Procedura ADMIN_TASK_ADD - Pianificazione di una nuova attività.

Per creare un'attività di aggiornamento di controllo pianificata per ottenere i record di controllo più recenti nelle tabelle di controllo ogni 20 minuti:

CALL SYSPROC.ADMIN_TASK_ADD( 'AUDIT_UPDATE', NULL, NULL, NULL, '*/20 * * * *', 'AUDIT', 'UPDATE', NULL, NULL, 'Periodically update to audit tables' );

Per ulteriori informazioni, consultare Formato cron UNIX per il formato della pianificazione.

Frequenza di programmazione

La frequenza di esecuzione dell'attività predefinita che archivia i log di controllo era fuori dall'ambito di questo test, ma vale la pena notare i consigli raccolti dalle situazioni dei clienti reali. Con database più grandi, si consiglia di eseguire l'attività di archivio ogni giorno per 15 minuti. Ciò consente al database di eseguire il ripristino in caso di problemi di prestazioni imprevisti. Se le politiche sono configurate come consigliato, i buffer di verifica dovrebbero essere in grado di contenere il carico di lavoro entro tale intervallo di tempo. Come i test delle prestazioni hanno mostrato, se le query complesse vengono eseguite simultaneamente all'archivio dei record di controllo, ci sono problemi di prestazioni previsti.

Per ulteriori informazioni, consultare Procedura ADMIN_TASK_UPDATE - Aggiornamento di un'attività esistente.

Per modificare un'attività di aggiornamento di controllo pianificata per ottenere i record di controllo più recenti nelle tabelle di controllo ogni 20 minuti:

CALL SYSPROC.ADMIN_TASK_UPDATE( 'AUDIT_UPDATE', NULL, NULL, NULL, '*/20 * * * *', 'Periodically update to audit tables every 20 minutes' );

Per rimuovere l'attività di aggiornamento di controllo pianificata:

CALL SYSPROC.ADMIN_TASK_REMOVE( 'AUDIT_UPDATE', NULL );

Per ulteriori informazioni, consultare Procedura ADMIN_TASK_REMOVE - Rimuovi attività pianificate o record di stato attività.