Grundlegendes zu SQL Server Audit

Das SQL Server Audit-Objekt listet eine einzelne Instanz an Aktionen oder Aktionsgruppen auf Server- oder Datenbankebene auf, die überwacht werden soll. Die Überwachung wird auf SQL Server-Instanzebene ausgeführt. Es können mehrere Überwachungen pro SQL Server-Instanz vorliegen.

Wenn Sie eine Überwachung definieren, geben Sie den Speicherort für die Ausgabe der Ergebnisse an. Dies ist das Überwachungsziel. Die Überwachung wird in einem deaktivierten Zustand erstellt und überwacht Aktionen nicht automatisch. Nachdem die Überwachung aktiviert wurde, empfängt das Überwachungsziel Daten von der Überwachung.

Das Serverüberwachungsspezifikation-Objekt gehört zu einer Überwachung. Sie können eine Serverüberwachungsspezifikation pro Überwachung erstellen, da beide im SQL Server-Instanzbereich erstellt werden.

Die Serverüberwachungsspezifikation listet viele Aktionsgruppen auf Serverebene auf, die von Extended Events ausgelöst werden. Sie können Überwachungsaktionsgruppen in eine Serverüberwachungsspezifikation einschließen. Überwachungsaktionsgruppen sind vorab definierte Gruppen von Aktionen, bei denen es sich um atomare Ereignisse handelt, die in Database Engine (Datenbankmodul) stattfinden. Diese Aktionen werden an die Überwachung gesendet, die sie im Ziel aufzeichnet.

Überwachungsaktionsgruppen auf Serverebene werden im Thema SQL Server Audit-Aktionsgruppen und -Aktionen beschrieben.

Das Datenbank-Überwachungsspezifikation-Objekt gehört ebenfalls zu SQL Server Audit. Sie können eine Datenbank-Überwachungsspezifikation pro SQL Server-Datenbank und pro Überwachung erstellen.

Die Datenbank-Überwachungsspezifikation listet viele Überwachungsaktionen auf Datenbankebene auf, die von Extended Events ausgelöst werden. Sie können entweder Überwachungsaktionsgruppen oder Überwachungsereignisse einer Datenbank-Überwachungsspezifikation hinzufügen. Überwachungsereignisse sind die atomaren Aktionen, die vom SQL Server-Modul überwacht werden können. Überwachungsaktionsgruppen sind vorab definierte Aktionsgruppen. Beide befinden sich im SQL Server-Datenbankbereich. Diese Aktionen werden an die Überwachung gesendet, die sie im Ziel aufzeichnet. Beziehen Sie in einer Benutzerdatenbank-Überwachungsspezifikation keine Objekte mit Serverbereich ein, wie Systemsichten.

Überwachungsaktionsgruppen auf Datenbankebene und Überwachungsaktionen werden im Thema SQL Server Audit-Aktionsgruppen und -Aktionen beschrieben.

Die Ergebnisse einer Überwachung werden an ein Ziel gesendet, wobei es sich um eine Datei, das Windows-Sicherheitsereignisprotokoll oder das Windows-Anwendungsereignisprotokoll handelt. (Das Schreiben in das Sicherheitsprotokoll ist unter Windows XP nicht verfügbar.) Protokolle müssen regelmäßig überprüft und archiviert werden, um sicherzustellen, dass das Ziel über ausreichend Platz verfügt, um zusätzliche Datensätze anzulegen.

Wichtig
Jeder authentifizierte Benutzer kann das Windows-Anwendungsereignisprotokoll lesen und Datensätze darin schreiben. Für das Anwendungsereignisprotokoll sind niedrigere Berechtigungen als für das Windows-Sicherheitsereignisprotokoll erforderlich, daher ist es jedoch auch weniger sicher als das Windows-Sicherheitsereignisprotokoll.

Wenn Sie einen Datensatz im Windows-Sicherheitsprotokoll schreiben möchten, muss das SQL Server-Dienstkonto der Richtlinie Generieren von Sicherheitsüberwachungen hinzugefügt werden. Standardmäßig sind das lokale System, der lokale Dienst und der Netzwerkdienst ein Teil dieser Richtlinie. Diese Einstellung kann mit dem Sicherheitsrichtlinien-Snap-In (secpol.msc) konfiguriert werden. Darüber hinaus muss die Sicherheitsrichtlinie Objektzugriffsversuche überwachen sowohl für Erfolg als auch für Fehler aktiviert sein. Diese Einstellung kann mit dem Sicherheitsrichtlinien-Snap-In (secpol.msc) konfiguriert werden. In Windows Vista oder Windows Server 2008 können Sie die automatisch generierte Richtlinie mit feinerer Granularität über die Befehlszeile mit dem Überwachungsrichtlinienprogramm (AuditPol.exe) festlegen. Weitere Informationen zu den Schritten zum Aktivieren des Schreibens in das Windows-Sicherheitsprotokoll finden Sie unter Vorgehensweise: Schreiben von Serverüberwachungsereignissen in das Sicherheitsprotokoll. Weitere Informationen über das Auditpol.exe-Programm finden Sie im Knowledge Base-Artikel 921469, How to use Group Policy to configure detailed security auditing (in Englisch). Die Windows-Ereignisprotokolle gelten global für das Windows-Betriebssystem. Weitere Informationen zu den Windows-Ereignisprotokollen finden Sie unter Event Viewer Overview. Wenn Sie präzisere Berechtigungen für die Überwachung benötigen, verwenden Sie das Binärdateiziel.

Um beim Speichern von Überwachungsinformationen in eine Datei Manipulationen zu verhindern, können Sie den Zugriff auf deren Speicherort auf folgende Weisen einschränken:

• Das SQL Server-Dienstkonto muss über Lese- und Schreibberechtigungen verfügen.

• Für Überwachungsadministratoren sind in der Regel Lese- und Schreibberechtigungen erforderlich. Dabei wird angenommen, dass Überwachungsadministratoren Windows-Konten für die Verwaltung von Überwachungsdateien (u. a. das Kopieren der Dateien auf andere Freigaben und das Erstellen von Sicherungen) darstellen.

• Für das Lesen von Überwachungsdateien autorisierte Überwachungsleser müssen über eine Leseberechtigung verfügen.

Selbst wenn Database Engine (Datenbankmodul) in eine Datei schreibt, können andere Windows-Benutzer mit entsprechender Berechtigung die Überwachungsdatei lesen. Database Engine (Datenbankmodul) lässt eine exklusive Sperre, die Lesevorgänge verhindert, nicht zu.

Da Database Engine (Datenbankmodul) auf die Datei zugreifen kann, können SQL Server-Anmeldungen mit SERVER STEUERN-Berechtigungen über Database Engine (Datenbankmodul) auf Überwachungsdateien zugreifen. Um alle Benutzer aufzuzeichnen, die die Überwachungsdatei lesen, definieren Sie eine Überwachung in master.sys.fn_get_audit_file. Dadurch werden die Anmeldungen mit SERVER STEUERN-Berechtigung aufgezeichnet, die über SQL Server auf die Überwachungsdatei zugreifen.

Wenn ein Überwachungsadministrator die Datei an einen anderen Speicherort kopiert (zur Archivierung usw.), sollten die ACLs des neuen Speicherorts auf die folgenden Berechtigungen beschränkt werden:

• Überwachungsadministrator - Lesen/Schreiben

• Überwachungsleser - Lesen

Es wird empfohlen, Überwachungsberichte auf einer separaten Instanz von SQL Server zu erstellen, z. B. einer Instanz von SQL Server Express, auf die nur Überwachungsadministratoren und -leser Zugriff haben. Durch Verwenden einer separaten Instanz von Database Engine (Datenbankmodul) zur Berichterstellung können Sie dazu beitragen, unautorisierte Benutzer am Zugriff auf die Überwachungsdatei zu hindern.

Zusätzlichen Schutz gegen unautorisierten Zugriff erhalten Sie, indem Sie den Ordner mit der Überwachungsdatei mit Windows BitLocker Drive Encryption oder Windows Encrypting File System verschlüsseln.

Weitere Informationen zu den Überwachungsdatensätzen, die in das Ziel geschrieben werden, finden Sie unter SQL Server Audit-Datensätze.

Wenn Sie eine Datenbank anfügen, für die eine Überwachungsspezifikation festgelegt wurde und die eine GUID bestimmt, die sich nicht auf dem Server befindet, entsteht eine verwaiste Überwachungsspezifikation. Da eine Überwachung mit einer entsprechenden GUID nicht auf der Serverinstanz vorliegt, werden keine Überwachungsereignisse aufgezeichnet. Verwenden Sie den Befehl ALTER DATABASE AUDIT SPECIFICATION, um die verwaiste Überwachungsspezifikation mit einer vorhandenen Serverüberwachung zu verbinden und somit den Fehler zu beheben. Oder verwenden Sie den Befehl CREATE SERVER AUDIT, um eine neue Serverüberwachung mit dem angegebenen GUID zu erstellen.

Sie können eine Datenbank, für die eine Überwachungsspezifikation angegeben wurde, an eine andere Version von SQL Server anfügen, die SQL Server Audit nicht unterstützt, z. B. SQL Server Express, Überwachungsereignisse werden jedoch nicht aufgezeichnet.

Eine Datenbank, für die eine Audit-Datenbank-Überwachungsspezifikation definiert wurde und für die Datenbankspiegelung verwendet wird, enthält die Datenbankspezifikation. Die folgenden Elemente müssen konfiguriert werden, damit sie auf der gespiegelten SQL-Instanz ordnungsgemäß arbeitet:

• Der Spiegelserver muss über eine Überwachung mit der gleichen GUID verfügen, damit die Datenbank-Überwachungsspezifikation Überwachungsdatensätze schreiben kann. Diese Einstellung können Sie mit dem Befehl CREATE AUDIT WITH GUID=<GUID from source Server Audit> konfigurieren.

• Bei Binärdateizielen muss das Dienstkonto des Spiegelservers über die erforderlichen Berechtigungen für den Speicherort verfügen, an den der Überwachungspfad geschrieben wird.

• Bei Windows-Ereignisprotokollzielen muss die Sicherheitsrichtlinie für den Computer, auf dem sich der Spiegelserver befindet, den Dienstkontozugriff auf das Sicherheits- oder Anwendungsereignisprotokoll zulassen.