Este documento presenta una introducción a la auditoría de bases de datos Oracle. Explica los tipos básicos de auditoría como la estándar, la de nivel de columna y la de operaciones SYS. También describe la plataforma Oracle Audit Vault para consolidar datos de auditoría de múltiples fuentes y proporcionar alertas y reportes. Finalmente, introduce la auditoría unificada de Oracle 12c que permite políticas de auditoría a nivel de privilegios, acciones y roles.

2. Jesús Alberto Guzmán Polanco
jguzman@datum.com.gt
Consultor de base de datos @Datum

3. • Seguridad de datos
• Oracle Audit Vault Overview
• Auditoria en Oracle
• Auditoria Unificada Oracle 12c
• Demo Oracle Audit Vault

4. • 97% de los casos se puede evitar con controles básicos
• 98% de los datos proviene de una base de datos
• 84% de los datos se obtuvo con credenciales robadas
• 72% de los datos son vulnerados en minutos

7. Network
Security
SIEM
Endpoint
Security
Web
Application
Firewall
Email Security
Authentication &
User Security
?

8. Monitorear Activad
Database Firewall
Auditoria y reportes
DETECTIVE
Sistema de Alertas

9. Es la plataforma central para administrar, monitorear, alertar y reportar
las acciones realizadas por los usuarios. Proporciona un monitoreo
integral y flexible por medio de la consolidación de datos de auditoría
de bases de datos pertenecientes y no pertenecientes a Oracle,
sistemas operativos, directorios, sistemas de archivo y datos de
auditoría específicos de las aplicaciones.

11. • Repositorio Unificado
• Basado en auditoria estándar de Oracle
• Auditar base de datos Oracle y no Oracle
• Reportes automatizados
• Sistemas de Alertas
• Manejo de políticas
• Auditoria de RedoLogs

13. • Super Administrador: Configura y mantiene el sistema AVDF, incluyendo
Audit Vault Server, red, políticas. Puede crear otros super usuarios o
administradores y especificar los secured targets que pueden controlar.
• Administrador: Puede ejecutar una parte de los procesos de configuración
del super Administrador. Tiene acceso a secured targets que el super
administrador le ha otorgado.
• Super Auditor: Puede manejar las políticas de la base de datos. Pueden
crear reportes, alertas y notificaciones. Puede acceder a todos los secured
targets, crear super auditores o auditores y otorgar acceso a secured
targets específicos.
• Auditor: Puede ejecutar todas las funciones del super auditor, pero solo a
para los secured targets asignados.

16. • Auditoria Estándar
• Auditoria Fine-grained
• Auditoria de SYS

17. • Puede ser a nivel de:
• Sentencia
• DBA_STMT_AUDIT_OPTS
• AUDIT INSERT TABLE BY “TEST“BY ACCESS whenever successful;
• Privilegio
• DBA_PRIV_AUDIT_OPTS
• AUDIT CREATE ANY TABLE BY ACCESS;
• Objeto
• DBA_OBJ_AUDIT_OPTS
• AUDIT UPDATE ON “TETS".“TABLE" BY ACCESS whenever not successful;
• Registros de auditoria
• DBA_AUDIT_TRAIL

18. • Parameto audit_trail:
• none or false: Auditing is disabled.
• db or true: Auditing is enabled, with all audit records stored in the database audit
trial (SYS.AUD$).
• db,extended: As db, but the SQL_BIND and SQL_TEXT columns are also populated.
• xml: Auditing is enabled, with all audit records stored as XML format OS files.
• xml,extended: As xml, but the SQL_BIND and SQL_TEXT columns are also populated.
• os: Auditing is enabled, with all audit records directed to the operating systems audit
trail specified by AUDIT_FILE_DEST.

19. • Extiende las capacidades de la auditoria standard. Permite auditar
campos incluso por medio de una condición booleana.
• Es independiente del parametro audit_trail.
• Vistas:
• DBA_AUDIT_POLICIES: Ver politicas de auditoria Fine-grained
• DBA_AUDIT_POLICY_COLUMNS: ver politicas de auditoria Fine-grained a nivel
de columnas
• DBA_FGA_AUDIT_TRAIL: Ver registros de auditoria Fine-grained

20. BEGIN DBMS_FGA.ADD_POLICY(
object_schema=>'"TES1"',
object_name=>'"TABLA"',
policy_name=>'"PLC1"',
audit_condition=>'C1 > 100',
audit_column=>'C1, C2',
statement_types=>'INSERT,UPDATE',
audit_trail=>DBMS_FGA.DB + DBMS_FGA.EXTENDED,
audit_column_opts=>dbms_fga.any_columns);
END;
/

21. La auditoría a nivel de operaciones de SYS provee un mecanismo para
poder monitorear las todas las acciones que realizan los usuarios que
se conectan a la base de datos con privilegios de SYSDBA y SYSOPER. La
desventaja de este tipo de auditoria es que no es posible administrar
que acciones auditar, sino que todas las acciones son auditadas.
• Parámetros
• AUDIT_SYS_OPERATIONS
• AUDIT_FILE_DEST
• Guarda Archivos físicos

24. • Vistas:
• AUDIT_UNIFIED_POLICIES: Ver configuración de políticas
• AUDIT_UNIFIED_ENABLED_POLICIES: Ver si una política esta habilitada
• UNIFIED_AUDIT_TRAIL: Registro unificado de auditoria
• AUDIT_UNIFIED_POLICY_COMMENTS: Comentarios sobre una política
• Privilegios
• AUDIT_ADMIN
• AUDIT_VIEWER

25. Política de privilegio
CREATE AUDIT POLICY test_audit_policy1
PRIVILEGES CREATE TABLE, CREATE SEQUENCE
WHEN 'SYS_CONTEXT(''USERENV'', ''SESSION_USER'') = ''TEST'''
EVALUATE PER SESSION
CONTAINER = CURRENT;
Política por acción
CREATE AUDIT POLICY test_audit_policy2
ACTIONS DELETE ON test.tab1,
INSERT ON test.tab1,
UPDATE ON test.tab1,
ALL ON test.tab2, WHEN 'SYS_CONTEXT(''USERENV'', ''SESSION_USER'') = ''TEST2''‘
EVALUATE PER SESSION
CONTAINER = CURRENT;

26. Política por ROL
CREATE AUDIT POLICY create_table_role_policy
ROLES create_table_role
WHEN 'SYS_CONTEXT(''USERENV'', ''SESSION_USER'') = ''TEST3'''
EVALUATE PER SESSION
CONTAINER = CURRENT;
Operaciones:
• AUDIT POLICY test_audit_policy;
• NOAUDIT POLICY test_audit_policy;
• DROP AUDIT POLICY test_audit_policy;