CREATE SCHEMA AUDIT
3. 可选。如果创建了 AUDIT 模式，那么在创建任何表之前切换至该模式：
SET CURRENT SCHEMA = 'AUDIT'
4. 运行脚本 db2audit.ddl 以创建将包含审计记录的表。
脚本 db2audit.ddl 位于 sqllib/misc 目录（在 Windows 上为 sqllib\\misc）中。该脚本假定数据库连接已存在并且 8K 表空间可用。用于运行该脚本的命令为：db2 +o -tf
sqllib/misc/db2audit.ddl。该脚本创建的表有：AUDIT、CHECKING、OBJMAINT、SECMAINT、SYSADMIN、VALIDATE、 CONTEXT 和 EXECUTE。
5. 创建表后，安全性管理员可以使用 SYSPROC.AUDIT_DELIM_EXTRACT 存储过程或系统
管理员可以使用 db2audit extract 命令将已归档审计日志文件中的审计记录抽取到定界文件中。可以将这些定界文件中的审计数据装入到刚刚创建的数据库表中。
将 DB2 审计数据装入表中
在已归档审计日志文件并将它抽取到定界文件中，并且创建了数据库表来保存审计数据后，可以将定界文件中的审计数据装入数据库表中以进行分析。
使用 LOAD 实用程序将审计数据装入表中。对每个表发出单独的装入命令。如果忽略表定义中的一个或多个列，那么必须修改使用的 LOAD 命令版本才能成功装入数据。此外，如果在抽取审计数据时指定了除缺省值外的定界字符，那么还必须修改使用的 LOAD 命令的版本。
1. 发出 db2 命令打开 DB2? 命令窗口。 2. 要装入 AUDIT 表，请发出下列命令：
3. LOAD FROM audit.del OF DEL MODIFIED BY DELPRIORITYCHAR LOBSINFILE
INSERT INTO schema.AUDIT
注：指定 DELPRIORITYCHAR 修饰符以确保正确解析二进制数据。
注：指定 LOAD 命令的 LOBSINFILE 选项（由于具有的限制，大对象的任何直接插入数据必须限于 32K）。在某些情况下，还可能需要使用 LOBS FROM 选项。
注：指定文件名时，请使用标准路径名。例如，如果将 DB2 数据库系统安装在基于 Windows 的计算机的 C: 盘上，那么应指定C:\\Program
Files\\IBM\\SQLLIB\\instance\\security\\audit.del作为 audit.del 文件的标准路径名。
4. 要装入 CHECKING 表，请发出下列命令：
5. LOAD FROM checking.del OF DEL MODIFIED BY DELPRIORITYCHAR LOBSINFILE
INSERT INTO schema.CHECKING
6. 要装入 OBJMAINT 表，请发出下列命令：
7. LOAD FROM objmaint.del OF DEL MODIFIED BY DELPRIORITYCHAR LOBSINFILE
INSERT INTO schema.OBJMAINT
8. 要装入 SECMAINT 表，请发出下列命令：
9. LOAD FROM secmaint.del OF DEL MODIFIED BY DELPRIORITYCHAR LOBSINFILE
INSERT INTO schema.SECMAINT
10. 要装入 SYSADMIN 表，请发出下列命令：
11. LOAD FROM sysadmin.del OF DEL MODIFIED BY DELPRIORITYCHAR LOBSINFILE
INSERT INTO schema.SYSADMIN
12. 要装入 VALIDATE 表，请发出下列命令：
13. LOAD FROM validate.del OF DEL MODIFIED BY DELPRIORITYCHAR LOBSINFILE
INSERT INTO schema.VALIDATE
14. 要装入 CONTEXT 表，请发出下列命令：
15. LOAD FROM context.del OF DEL MODIFIED BY DELPRIORITYCHAR LOBSINFILE
INSERT INTO schema.CONTEXT
16. 要装入 EXECUTE 表，请发出下列命令：
17. LOAD FROM execute.del OF DEL MODIFIED BY DELPRIORITYCHAR LOBSINFILE
INSERT INTO schema.EXECUTE
18. 将数据装入表之后，从 sqllib 目录的 security/auditdata 子目录中删除 .del 文件。 19. 将审计数据装入表之后，您就可以从这些表中选择数据以进行分析。
如果初次填充表之后要再次执行此操作，那么使用 INSERT 选项将新的表数据添加至现有表数据。如果要从表中除去以前 db2audit extract 操作的记录，那么使用 REPLACE 选项再次装入表。
审计归档和抽取存储过程
安全性管理员可以使用 SYSPROC.AUDIT_ARCHIVE 和 SYSPROC.AUDIT_DELIM_EXTRACT 存储过程以及 SYSPROC.AUDIT_LIST_LOGS 表函数来归档他/她当前连接的数据库的审计日志并将该数据库中的数据抽取到定界文件中。
安全性管理员必须连接到数据库才能使用这些存储过程和表函数来归档或列示该数据库的审计日志。 如果将已归档的文件复制到另一个数据库系统，那么您可能要使用存储过程来访问它们、确保数据库名称相同，或者重命名文件以包括相同的数据库名称。
这些存储过程和表函数不归档或列示实例级审计日志。系统管理员必须使用 db2audit 命令来归档和抽取实例级审计日志。
安全性管理员可以使用这些存储过程和表函数来执行下列操作：
表 1. 审计系统存储过程 存储过程和表函数 AUDIT_ARCHIVE 操作 归档当前审计日志。 注释 将归档路径用作输入。如果未提供归档路径，那么此存储过程采用审计配置文件中的归档路径。 将在每个节点上运行归档命令，并且将同步的时间戳记追加至审计日志文件名。 AUDIT_LIST_LOGS 在指定路径中返回当前数据库的已归档审计日志列表。 AUDIT_ DELIM_EXTRACT 从二进制已归档日志中抽取数据并将它们装入到定界文件中。 使用适合装入到 DB2? 数据库表中的定界格式保存抽取的审计记录。输出将放在单独的文件中，每种类别一个文件。此外，将创建文件auditlobs，以保存审计数据中包含的任何大对象。文件名为： ? ? ? ? ? ? ? ? ? audit.del checking.del objmaint.del secmaint.del sysadmin.del validate.del context.del execute.del auditlobs 如果这些文件已存在，那么输出将追加到这些文件中。如果抽取 CONTEXT 或 EXECUTE 类别，那么将创建auditlobs文件。只能抽取当前数据库的已归档审计日志。仅抽取协调程序节点可视的那些文件。 只有实例所有者可以删除已归档的审计日志。 父主题：存储和分析审计日志
用于审计 SQL 语句的 EXECUTE 类别
EXECUTE 类别允许您准确地跟踪用户发出的 SQL 语句（在 V9.5 之前，必须使用 CONTEXT 类别来查找此信息）。
作为综合安全策略的一部分，您可能需要向后追溯若干年，并分析对数据库中的某些表发出任何特定请求所产生的效果。要对数据执行此分析，您必须制定一项策略，要求每周都归档备份和相关联的日志文件，以便这些备份和日志文件可以在所选择的任何时间重新组成数据库。您还必须确保捕获有关对该数据库发出的每个请求的足够数据库审计信息，以允许在将来任何时间重放和分析对已复原的有关数据库发出的任何请求。可以重放和分析静态和动态 SQL 语句。
EXECUTE 类别捕获 SQL 语句文本以及将来重放该语句所需的编译环境和其他值。例如，重放语句可以向您准确地显示 SELECT 语句返回的行。要重新运行语句，首先必须将数据库表复原到发出该语句时它们所处的状态。
使用 EXECUTE 类别进行审计时，随着记录输入参数标记和主变量，将记录静态和动态 SQL 的语句文本。可使用输入值或不使用输入值配置要审计的 EXECUTE 类别。不审计全局变量。 在完成 EXECUTE 事件时对该事件进行审计。对于 SELECT 语句，将在游标关闭时进行审计。还会存储事件完成时的状态。因为 EXECUTE 事件是在完成时审计的，所以长期运行的查询不会立即出现在审计日志中。
要点：在预编译期间由于授权错误而失败的语句不会生成 EXECUTE 事件。预编译语句不视为执行的一部分。大多数授权检查都在预编译时执行（例如，SELECT 特权）。
将审计过的语句文本和输入数据值存储在磁盘上时，它们会转换到数据库代码页中（所有审计过的字段都存储在数据库代码页中）。如果输入数据的代码页与数据库代码页不兼容，那么不会返回错误；将改为记录未转换的数据。因为每个数据库都有自己的审计日志，所以具有不同代码页的数据库不会产生问题。
ROLLBACK 和 COMMIT 在应用程序执行它们时进行审计，并且在另一个命令（如 BIND）中隐式发出 ROLLBACK 和 COMMIT 时也会对它们进行审计。
在由于访问已审计的表而审计了 EXECUTE 事件后，将审计影响工作单元中执行哪些其他语句的所有语句。这些语句是 COMMIT、ROLLBACK、ROLLBACK TO SAVEPOINT 和 SAVEPOINT 语句。
用于 EXECUTE 审计记录的 WITH DATA 选项的效果
指定 WITH DATA 选项后，并不会审计所有输入值。LOB、LONG、XML 和结构化类型参数将显示为 NULL。
日期、时间和时间戳记字段记录为 ISO 格式。
如果在一个策略中指定了 WITH DATA，但在另一个策略中指定了 WITHOUT DATA 并且该策略与执行的 SQL 语句中所涉及的对象关联，那么 WITH DATA 将优先，并且将审计该特定语句的数据。例如，如果与用户关联的审计策略指定 WITHOUT DATA，但与表关联的策略指定 WITH DATA，那么在该用户访问该表时，将审计用于语句的输入数据。
您无法确定在定位更新或定位删除语句中修改了哪些行。仅记录执行的底层 SELECT 语句，而不记录单独的 FETCH。在发出语句时，根据 EXECUTE 记录不能确定游标所在的行。以后重放语句时，只能发出 SELECT 语句来了解可能受影响的行的范围。
? 启用重放过去的活动
作为综合安全策略的一部分，一家公司会要求能够向后追溯若干年，并分析对数据库中的某些表发出任何特定请求所产生的效果。
? 重放过去的数据库活动
如果所有必需的数据、日志和信息都可用，就可以重放过去的数据库活动。此示例说明了可以如何重放过去的数据库活动。
审计设施管理
? ?
审计设施行为
审计设施技巧
审计设施行为
本主题提供了一些后台信息，它们有助于您了解将审计记录写入日志的时间如何影响数据库性能；如何管理审计设施中发生的错误；以及审计记录在不同情况下是如何生成的。
控制将审计记录写入活动日志的时间
将审计记录写入活动日志可与导致生成那些记录的事件同步或异步发生。audit_buf_sz数据库管理器配置参数的值确定何时写入审计记录。
如果audit_buf_sz的值为 0，那么异步写入记录。生成审计记录的事件将等到记录写入磁盘为止。与每个记录相关的等待将导致 DB2? 数据库性能降级。
如果audit_buf_sz的值大于 0，那么异步写入该记录。audit_buf_sz的值大于 0 时，该值是 4 KB 页的一个倍数，用来创建内部缓冲区。该内部缓冲区用来在将一组审计记录写入磁盘之前保存大量审计记录。作为审计事件的结果生成审计记录的语句将不会等到将该记录写入磁盘，它可继续其操作。 在异步情况下，审计记录可在未填写的缓冲区中保留一段时间。要防止这种情况的持续时间过长，数据库管理器将强制定期写入审计记录。审计设施的授权用户也可通过显式请求清空审计缓冲区。此外，缓冲区会在归档操作期间自动清空。