Oracle 审计失败的用户登陆(Oracle audit)

gfdxy3322

--Oracle 11g下，缺省已经开启了审计功能，也就是说如果审计失败的登陆帐户，无须单独执行audit session whenever not successful;　　
sys@USBO> select * from v$version where rownum　　
sys@USBO> show parameter audit
　　

　　
NAME                                 TYPE                              VALUE
　　
------------------------------------ --------------------------------- ------------------------------
　　
audit_file_dest                      string                            /u03/database/usbo/adump
　　
audit_sys_operations                 boolean                           FALSE
　　
audit_syslog_level                   string
　　
audit_trail                          string                            DB
　　

　　
--下面是审计产生的文件
　　
sys@USBO> ho ls -hltr /u03/database/usbo/adump |tail -2
　　
-rw-r----- 1 oracle asmadmin 758 Oct 21 16:29 usbo_ora_4502_1.aud
　　
-rw-r----- 1 oracle asmadmin 763 Oct 21 16:49 usbo_ora_5652_1.aud
　　

　　
--使用系统用户登陆
　　
C:\Users\robinson.cheng>sqlplus sys/oracle@usbo as sysdba
　　

　　
sys@USBO> ho ls -hltr /u03/database/usbo/adump |tail -2
　　
-rw-r----- 1 oracle asmadmin 763 Oct 21 16:49 usbo_ora_5652_1.aud
　　
-rw-r----- 1 oracle asmadmin 773 Oct 22 15:41 usbo_ora_13497_1.aud
　　

　　
--系统用户登陆被审计，审计文件中给出了比较详细的描述
　　
sys@USBO> ho more /u03/database/usbo/adump/usbo_ora_13497_1.aud
　　
Audit file /u03/database/usbo/adump/usbo_ora_13497_1.aud

　　
Oracle Database 11g Enterprise Edition>　　
With the Partitioning, Real Application Clusters, OLAP, Data Mining
　　
and Real Application Testing options
　　
ORACLE_HOME = /u01/app/oracle/db_1
　　
System name:    Linux
　　
Node name:      linux1.orasrv.com
　　
Release:        2.6.18-194.el5PAE
　　
Version:        #1 SMP Mon Mar 29 20:19:03 EDT 2010
　　
Machine:        i686
　　
Instance name: usbo
　　
Redo thread mounted by this instance: 1
　　
Oracle process number: 31
　　
Unix process pid: 13497, image: oracle@linux1.orasrv.com
　　

　　
Tue Oct 22 15:41:45 2013 +08:00
　　
LENGTH : '180'
　　
ACTION :[7] 'CONNECT'
　　
DATABASE USER:[3] 'sys'
　　
PRIVILEGE :[6] 'SYSDBA'
　　
CLIENT USER:[14] 'Robinson.Cheng'
　　
CLIENT TERMINAL:[13] 'DEVELOPERPC01'
　　
STATUS:[1] '0'             ---->登陆成功的状态码
　　
DBID:[10] '3456778221'
　　

　　
C:\Users\robinson.cheng>sqlplus sys/wrongpwd@usbo as sysdba
　　
[oracle@linux1 adump]$ more usbo_ora_13677_1.aud
　　
Audit file /u03/database/usbo/adump/usbo_ora_13677_1.aud

　　
Oracle Database 11g Enterprise Edition>　　
With the Partitioning, Real Application Clusters, OLAP, Data Mining
　　
and Real Application Testing options
　　
ORACLE_HOME = /u01/app/oracle/db_1
　　
System name:    Linux
　　
Node name:      linux1.orasrv.com
　　
Release:        2.6.18-194.el5PAE
　　
Version:        #1 SMP Mon Mar 29 20:19:03 EDT 2010
　　
Machine:        i686
　　
Instance name: usbo
　　
Redo thread mounted by this instance: 1
　　
Oracle process number: 31
　　
Unix process pid: 13677, image: oracle@linux1.orasrv.com
　　

　　
Tue Oct 22 15:44:59 2013 +08:00
　　
LENGTH : '181'
　　
ACTION :[7] 'CONNECT'
　　
DATABASE USER:[3] 'sys'
　　
PRIVILEGE :[4] 'NONE'
　　
CLIENT USER:[14] 'Robinson.Cheng'
　　
CLIENT TERMINAL:[13] 'DEVELOPERPC01'
　　
STATUS:[4] '1017'   ---->登陆失败的状态码1017
　　
DBID:[10] '3456778221'
　　

　　
--下面使用普通的帐户登陆，没有相应的os审计文件，但是被添加到了表SYS.AUD$
　　
C:\Users\robinson.cheng>sqlplus scott/tg@usbo
　　

　　
--Author : Leshami
　　
--Blog   : http://blog.csdn.net/leshami
　　

　　
sys@USBO> select sessionid,userid,userhost,comment$text,spare1,ntimestamp# from aud$ where returncode=1017;
　　

　　
SESSIONID USERID     USERHOST                  COMMENT$TEXT                             SPARE1             NTIMESTAMP#
　　
---------- ------ ------------------------- ---------------------------------------- ------------------ -------------------------------
　　1470011 SCOTT  TRADESZ\DEVELOPERPC01  Authenticated by: DATABASE; Client addre Robinson.Cheng     21-OCT-13 08.51.15.528497 AM
　　ss: (ADDRESS=(PROTOCOL=tcp)(HOST=192.168
　　.7.133)(PORT=53432))
　　

　　1480153 SCOTT  TRADESZ\DEVELOPERPC01  Authenticated by: DATABASE; Client addre Robinson.Cheng     22-OCT-13 08.06.49.012661 AM
　　ss: (ADDRESS=(PROTOCOL=tcp)(HOST=192.168
　　.7.133)(PORT=60613))
　　

　　1480154 SCOTT  TRADESZ\DEVELOPERPC01  Authenticated by: DATABASE; Client addre Robinson.Cheng     22-OCT-13 08.09.41.927143 AM
　　ss: (ADDRESS=(PROTOCOL=tcp)(HOST=192.168
　　.7.133)(PORT=60622))