达梦审计功能

达梦审计

前言

根据达梦官网文档整理

一、为什么要做数据库审计

• 增强内部安全，可解答是哪个对象/人员更改了关键数据，并在何时进行的更改。

• 安全等保、内审等合规条件的基本需求

• 定责、追责等提供依据，起到威慑作用

二、谁去做审计

• 安全审计员、也有可能是DBA、第三方监理部门

三、什么时候做审计

• 等保要求规范

• 保证数据安全，如一些敏感数据，核心业务数据外泄

• 出于其它业务上考虑，如防止贪污、非法转移等

四、审计

审计机制是 DM 数据库管理系统安全管理的重要组成部分之一。DM 数据库除了提供数 据安全保护措施外，还提供对日常事件的事后审计监督。DM 具有一个灵活的审计子系统， 可以通过它来记录系统级事件、个别用户的行为以及对数据库对象的访问。通过考察、跟踪 审计信息，数据库审计员可以查看用户访问的形式以及曾试图对该系统进行的操作，从而采 取积极、有效的应对措施。

五、dm.ini审计相关的参数

参数	说明
AUD_PATH	DM 审计信息存储在审计文件中。审计文件默认存放在数据库的 SYSTEM_PATH 指定的路径，即数据库所在路径。用户也可在 dm.ini 文件中添加参数 AUD_PATH 来指定审计文件的存放路径
AUDIT_SPACE_LIMIT	审计文件总存储空间大小，该参数取值范围为 0~1024*1024M，0 表示不限制，缺省为 8192M。
AUDIT_MAX_FILE_SIZE	单个审计文件的大小，有效值范围为 1~4096M，缺省值为 100M。当单个审计文件超过指定大小时，系统会自动切换审计文件，自动创建新的审计文件，审计记录将写入新的审计文件中。
AUDIT_FILE_FULL_MODE	随着系统的运行，审计记录将会不断增加，审计文件需要更多的磁盘空间。在极限情况下，审计记录可能会因为磁盘空间不足而无法写入审计文件，最终导致系统无法正常运行。对这种情况的处理有两种策略。 1：删除最老的审计文件，直至有足够的空间创建新审计文件。若将所有可以删除的审计文件都删除后空间仍旧不够，则数据库会挂起不再处理任何请求，直至磁盘空间被清理出足够创建新审计文件的空间。 2：不再写审计记录

注意

AUDIT_FILE_FULL_MODE的**两种策略都会导致审计记录的缺失，因此，管理员应该及时对审计文件进行备份**。

六、审计类别

数据库审计员指定被审计对象的活动称为审计设置，只有具有 AUDIT DATABASE 权限的审计员才能进行审计设置。DM 提供审计设置系统过程来实现这种设置，被审计的对象可以是某类操作，也可以是某些用户在数据库中的全部行踪。只有预先设置的操作和用户才能被 DM 系统自动进行审计。

DM 允许在三个级别上进行审计设置。

审计级别	说明
系统级	系统的启动、关闭、部分系统事件以及一些系统过程和函数的调用，此级别的审计无法也无需由用户进行设置，只要审计开关打开就会自动生成对应审计记录
语句级	导致影响特定类型数据库对象的特殊 SQL 或语句组的审计。如 AUDIT TABLE 将审计 CREATE TABLE、ALTER TABLE 和 DROP TABLE 等语句
对象级	审计作用在特殊对象上的语句。如 test 表上的 INSERT 语句

语句级与对象级的区别？

• 语句级一类的操作，不指明具体对象
• 对象级针对某个具体对象的操作

审计设置存放于 DM 字典表 SYSAUDIT 中，进行一次审计设置就在 SYSAUDIT 中增加一条对应的记录，取消审计则删除 SYSAUDIT 中相应的记录。

SYSAUDITOR.SYSAUDIT表结构：

列	数据类型	说明	系统函数
LEVEL	SMALLINT	审计级别	SF_GET_AUDIT_LEVELNAME
UID	INTEGER	用户 ID
TVPID	INTEGER	表/视图/触发器/存储过程函数 ID
COLID	SMALLINT	列 ID
TYPE	SMALLINT	审计类型	SF_GET_AUDIT_TYPENAME
WHENEVER	SMALLINT	审计情况	SF_GET_AUDIT_WHENEVERNAME

SQL > SELECT * FROM SYSAUDIT;
#|LEVEL |UID     |TVPID |COLID |TYPE  |WHENEVER|
-+------+--------+------+------+------+--------+
1|     1|50331649|    -1|    -1|     9|       3|
2|     1|50331649|    -1|    -1|    12|       3|
3|     1|50331649|    -1|    -1|    13|       3|

SQL> SELECT SF_GET_AUDIT_LEVELNAME(LEVEL) AS 审计级别, SF_GET_AUDIT_TYPENAME(TYPE) 审计项, SF_GET_AUDIT_WHENEVERNAME("WHENEVER") 审计条件 FROM SYSAUDIT;

审计级别 审计项     审计条件
-------- ---------- --------
STMT     TABLESPACE ALL
STMT     USER       ALL
STMT     ROLE       ALL

1、系统级审计

系统级审计无法也无需由用户进行设置，只要审计开关打开就会自动生成对应审计记录。

系统级审计选项

审计的数据库操作	说明
数据库系统启动关闭	区分第一次启动、正常退出后启动、异常退出后启动和还原库后第一次启动
审计空间不足告警	系统定时检测如果审计空间不足就会生成审计记录
数据库版本升级	包括数据字典版本、回滚段版本等
主备之间 redo 日志传输故障和恢复	包括主备之间 redo 日志传输异常和恢复两种
SP_SET_ENABLE_AUDIT	打开/关闭审计开关
SP_AUDIT_STMT/SP_NOAUDIT_STMT	设置/取消语句级审计
SP_AUDIT_OBJECT	设置对象级审计
SP_AUDIT_SET_ENC	设置审计加密
SP_DROP_AUDIT_FILE	删除审计文件
SP_SWITCH_AUDIT_FILE	切换审计文件
SP_SET_PARA_VALUE	设置 DM.INI 文件中整型的参数值
SP_SET_PARA_STRING_VALUE	设置 DM.INI 文件中字符型的参数值
SP_SET_PARA_DOUBLE_VALUE	设置 DM.INI 文件中浮点型的参数值
SF_SET_SYSTEM_PARA_VALUE	修改整型、double、varchar 的静态配置参数或动态配置参数
SF_SET_SESSION_PARA_VALUE	设置会话级 INI 参数在当前会话上的值
SP_RESET_SESSION_PARA_VALUE	重置会话级 INI 参数在当前会话上的值，使得当前会话的参数值和全局值一致
SP_SET_PARAM_IN_SESSION	设置指定会话的会话级 INI 参数的值
SP_SET_SQLLOG_INI	修改 SQLLOG.INI 文件的内容
SP_DELETE_SQLLOG_INI_MODE	删除 SQLLOG.INI 文件中的模式

2、语句级审计（STMT）

语句级审计的动作是全局的，不对应具体的数据库对象。其审计选项如表所示。

审计选项	审计的数据库操作	说明
ALL	所有的语句级审计选项	所有可审计操作
USER	CREATE USER ALTER USER DROP USER	创建／修改／删除用户操作
ROLE	CREATE ROLE DROP ROLE	创建／删除角色操作
TABLESPACE	CREATE TABLESPACE ALTER TABLESPACE DROP TABLESPACE	创建／修改／删除表空间操作
SCHEMA	CREATE SCHEMA DROP SCHEMA SET SCHEMA	创建／删除／设置当前模式操作
TABLE	CREATE TABLE ALTER TABLE DROP TABLE TRUNCATE TABLE	创建／修改／删除／清空基表操作
VIEW	CREATE VIEW ALTER VIEW DROP VIEW	创建／修改／删除视图操作
INDEX	CREATE INDEX DROP INDEX	创建／删除索引操作
PROCEDURE	CREATE PROCEDURE ALTER PROCEDURE DROP PROCEDURE	创建／修改／删除存储模块操作
TRIGGER	CREATE TRIGGER ALTER TRIGGER DROP TRIGGER	创建／修改／删除触发器操作
SEQUENCE	CREATE SEQUENCE ALTER SEQUENCE DROP SEQUENCE	创建／修改/删除序列操作
CONTEXT	CREATE CONTEXT INDEX ALTER CONTEXT INDEX DROP CONTEXT INDEX	创建／修改／删除全文索引操作
SYNONYM	CREATE SYNONYM DROP SYNONYM	创建／删除同义词
OPERATOR	CREATE OPERATOR DROP OPERATOR	创建／删除自定义运算符
GRANT	GRANT	授予权限操作
REVOKE	REVOKE	回收权限操作
AUDIT	AUDIT	设置审计操作
NOAUDIT	NOAUDIT	取消审计操作
INSERT TABLE	INSERT INTO TABLE	表上的插入操作
UPDATE TABLE	UPDATE TABLE	表上的修改操作
DELETE TABLE	DELETE FROM TABLE	表上的删除操作
SELECT TABLE	SELECT FROM TABLE	表上的查询操作
EXECUTE PROCEDURE	CALL PROCEDURE	调用存储过程或函数操作
PACKAGE	CREATE PACKAGE DROP PACKAGE	创建／删除包规范
PACKAGE BODY	CREATE PACKAGE BODY DROP PACKAGE BODY	创建／删除包体
MAC POLICY	CREATE POLICY ALTER POLICY DROP POLICY	创建／修改／删除策略
MAC LEVEL	CREATE LEVEL ALTER LEVEL DROP LEVEL	创建／修改／删除等级
MAC COMPARTMENT	CREATE COMPARTMENT ALTER COMPARTMENT DROP COMPARTMENT	创建／修改／删除范围
MAC GROUP	CREATE GROUP ALTER GROUP DROP GROUP ALTER GROUP PARENT	创建／修改／删除组，更新父组
MAC LABEL	CREATE LABEL ALTER LABEL DROP LABEL	创建／修改／删除标记
MAC USER	USER SET LEVELS USER SET COMPARTMENTS USER SET GROUPS USER SET PRIVS	设置用户等级／范围／组／特权
MAC TABLE	INSERT TABLE POLICY REMOVE TABLE POLICY APPLY TABLE POLICY	插入／取消／应用表标记
MAC SESSION	SESSION LABEL SESSION ROW LABEL RESTORE DEFAULT LABELS SAVE DEFAULT LABELS	保存／取消会话标记 设置会话默认标记 设置会话行标记
CHECKPOINT	CHECKPOINT	检查点（checkpoint）
SAVEPOINT	SAVEPOINT	保存点
EXPLAIN	EXPLAIN	显示执行计划
NOT EXIST		分析对象不存在导致的错误
DATABASE	ALTER DATABASE	修改当前数据库操作
CONNECT	LOGIN LOGOUT	登录／退出操作
COMMIT	COMMIT	提交操作
ROLLBACK	ROLLBACK	回滚操作
SET TRANSACTION	SET TRX ISOLATION SET TRX READ WRITE	设置事务的读写属性和隔离级别
BACKUP	BACKUP DATABASE BACKUP TABLESPACE BACKUP TABLE BACKUP ARCHIVE	库/表空间/表/归档备份操作
RESTORE	RESTORE TABLESPACE RESTORE TABLE	表空间/表还原操作
DIMP	DIMP FULL DIMP OWNER DIMP SCHEMA DIMP TABLE	逻辑导入：库级/用户级/模式级/表级
DEXP	DEXP FULL DEXP OWNER DEXP SCHEMA DEXP TABLE	逻辑导出：库级/用户级/模式级/表级
FLDR	FLDR IN FLDR OUT	FLDR 工具导入/导出
WARNING	AUD SPACE WARNING	审计剩余可用空间不足
KEY	CREATE KEY DESTROY KEY	生成/销毁密钥
CRYPT	ENCRYPT DECRYPT	数据加密/解密
DTS	DTS IN DTS OUT	DTS 工具迁入/迁出

2.1 设置语句级审计

设置语句级审计的系统过程如下：

VOID
SP_AUDIT_STMT(
    TYPE VARCHAR(30),
    USERNAME VARCHAR (128),
    WHENEVER VARCHAR (20)
)

TYPE ：语句级审计选项，即上表中的第一列

USERNAME ：用户名，NULL 表示不限制

WHENEVER ：审计时机，可选的取值为：

• ALL：所有的
• SUCCESSFUL：操作成功时
• FAIL：操作失败时

-- 审计表的创建、修改、删除和清空
SP_AUDIT_STMT('TABLE', 'NULL', 'ALL');

-- 对 SYSDBA 创建、修改、删除用户成功进行审计
SP_AUDIT_STMT('USER', 'SYSDBA', 'SUCCESSFUL');

-- 对用户 CALL进行的表的修改和删除进行审计，不管失败和成功
SP_AUDIT_STMT('UPDATE TABLE', 'CALL', 'ALL');
SP_AUDIT_STMT('DELETE TABLE', 'CALL', 'ALL');

2.2 取消语句级审计

取消语句级审计的系统过程如下：

VOID
SP_NOAUDIT_STMT(
    TYPE VARCHAR(30),
    USERNAME VARCHAR (128),
    WHENEVER VARCHAR (20)
)

TYPE ：语句级审计选项，即上表中的第一列

USERNAME ：用户名，NULL 表示不限制

WHENEVER ：审计时机，可选的取值为：

• ALL：所有的
• SUCCESSFUL：操作成功时
• FAIL：操作失败时

-- 取消对表的创建、修改、删除和清空的审计
SP_NOAUDIT_STMT('TABLE', 'NULL', 'ALL');

-- 取消对 SYSDBA 创建、修改、删除用户成功进行审计
SP_NOAUDIT_STMT('USER', 'SYSDBA', 'SUCCESSFUL');

-- 取消对用户 CALL进行的表的修改和删除的审计
SP_NOAUDIT_STMT('UPDATE TABLE', 'CALL', 'ALL');
SP_NOAUDIT_STMT('DELETE TABLE', 'CALL', 'ALL');

---

3、对象级审计（OBJECT）

对象级审计发生在具体的对象上，需要指定模式名以及对象名。其审计选项如表所示。

审计选项	TABLE	VIEW	COL	PROCEDURE FUNCTION	TRIGGER
INSERT	√	√	√
UPDATE	√	√	√
DELETE	√	√	√
SELECT	√	√	√
EXECUTE				√
MERGE INTO	√	√
EXECUTE TRIGGER					√
LOCK TABLE	√
BACKUP TABLE	√
RESTORE TABLE	√
ALL(所有对象级审计选项)	√	√	√	√	√

注意：

对于 UPDATE 和 DELETE 操作，因为也需要做 SELECT 操作，所以只要设置审计 SELECT 操作时，UPDATE 和 DELETE 也会作为 SELECT 操作被审计。

创建测试表

CREATE SCHEMA PERSON AUTHORIZATION SYSDBA;

CREATE TABLE PERSON.ADDRESS
(
	uid int,
	ADDRESS1 VARCHAR(100)
);

3.1 设置对象级审计

VOID
SP_AUDIT_OBJECT (
    TYPE VARCHAR(30),
    USERNAME VARCHAR (128),
    SCHNAME VARCHAR (128),
    TVNAME VARCHAR (128),
    WHENEVER VARCHAR (20)
)

VOID
SP_AUDIT_OBJECT (
    TYPE VARCHAR(30),
    USERNAME VARCHAR (128),
    SCHNAME VARCHAR (128),
    TVNAME VARCHAR (128),
    COLNAME VARCHAR (128),
    WHENEVER VARCHAR (20)
)

TYPE 对象级审计选项，即上表中的第一列

USERNAME： 用户名

SCHNAME ：模式名，为空时置‘null’

TVNAME ：表、视图、存储过程名不能为空

COLNAME ：列名

WHENEVER ：审计时机，可选的取值为：

• ALL：所有的
• SUCCESSFUL：操作成功时
• FAIL：操作失败时

SQL> SELECT SF_GET_AUDIT_LEVELNAME(LEVEL) AS 审计级别, SF_GET_AUDIT_TYPENAME(TYPE) 审计项, SF_GET_AUDIT_WHENEVERNAME("WHENEVER") 审计条件 FROM SYSAUDIT;

审计级别 审计项     审计条件
-------- ---------- ----------
STMT     TABLESPACE ALL
STMT     USER       ALL
STMT     ROLE       ALL
STMT     TABLE      ALL
STMT     USER       SUCCESSFUL

• 加入对象审计

-- 对 SYSDBA 对表 PERSON.ADDRESS 进行的添加和修改的成功操作进行审计
SQL> SP_AUDIT_OBJECT('INSERT', 'SYSDBA', 'PERSON', 'ADDRESS', 'SUCCESSFUL');
SQL> SP_AUDIT_OBJECT('UPDATE', 'SYSDBA', 'PERSON', 'ADDRESS', 'SUCCESSFUL');
-- 对 SYSDBA 对表 PERSON.ADDRESS 的 ADDRESS1 列进行的修改成功的操作进行审计
SQL> SP_AUDIT_OBJECT('UPDATE','SYSDBA','PERSON','ADDRESS','ADDRESS1','SUCCESSFUL');

SQL> SELECT SF_GET_AUDIT_LEVELNAME(LEVEL) AS 审计级别, SF_GET_AUDIT_TYPENAME(TYPE) 审计项, SF_GET_AUDIT_WHENEVERNAME("WHENEVER") 审计条件 FROM SYSAUDIT;

审计级别 审计项     审计条件
-------- ---------- ----------
STMT     TABLESPACE ALL
STMT     USER       ALL
STMT     ROLE       ALL
STMT     TABLE      ALL
STMT     USER       SUCCESSFUL
OBJECT   INSERT     SUCCESSFUL
OBJECT   UPDATE     SUCCESSFUL
OBJECT   UPDATE     SUCCESSFUL

3.2 测试对象审计

INSERT INTO PERSON.ADDRESS VALUES(1,'福建');
UPDATE PERSON.ADDRESS SET UID = 4;
UPDATE PERSON.ADDRESS SET ADDRESS1 = '上海';

SQL> SELECT USERNAME,SCHNAME,OBJNAME,OPERATION,SUCC_FLAG,SQL_TEXT FROM V$AUDITRECORDS WHERE OBJNAME = 'ADDRESS';
*************************** 1. row ***************************
 USERNAME: SYSDBA
  SCHNAME: PERSON
  OBJNAME: ADDRESS
OPERATION: INSERT
SUCC_FLAG: Y
 SQL_TEXT: INSERT INTO PERSON.ADDRESS VALUES(1,'福建');
*************************** 2. row ***************************
 USERNAME: SYSDBA
  SCHNAME: PERSON
  OBJNAME: ADDRESS
OPERATION: UPDATE
SUCC_FLAG: Y
 SQL_TEXT: UPDATE PERSON.ADDRESS SET ADDRESS1 = '上海';

审计结果表中可以发现，语句1,3被审计记录了，而语句2没有被审计记录。

3.3 取消对象级审计

VOID
SP_NOAUDIT_OBJECT (
    TYPE VARCHAR(30),
    USERNAME VARCHAR (128),
    SCHNAME VARCHAR (128),
    TVNAME VARCHAR (128),
    WHENEVER VARCHAR (20)
)

VOID
SP_NOAUDIT_OBJECT (
    TYPE VARCHAR(30),
    USERNAME VARCHAR (128),
    SCHNAME VARCHAR (128),
    TVNAME VARCHAR (128),
    COLNAME VARCHAR (128),
    WHENEVER VARCHAR (20)
)

TYPE 对象级审计选项，即上表中的第一列

USERNAME： 用户名

SCHNAME ：模式名，为空时置‘null’

TVNAME ：表、视图、存储过程名不能为空

COLNAME ：列名

WHENEVER ：审计时机，可选的取值为：

• ALL：所有的
• SUCCESSFUL：操作成功时
• FAIL：操作失败时

取消对象审计

-- 取消对 SYSDBA 对表 PERSON.ADDRESS 进行的添加和修改的成功操作的审计
SP_NOAUDIT_OBJECT('INSERT', 'SYSDBA', 'PERSON', 'ADDRESS', 'SUCCESSFUL');
SP_NOAUDIT_OBJECT('UPDATE', 'SYSDBA', 'PERSON', 'ADDRESS', 'SUCCESSFUL');
-- 取消对 SYSDBA 对表 PERSON.ADDRESS 的 ADDRESS1 列进行的修改成功操作的审计
SP_NOAUDIT_OBJECT('UPDATE','SYSDBA','PERSON','ADDRESS','ADDRESS1','SUCCESSFUL');

SQL> SELECT SF_GET_AUDIT_LEVELNAME(LEVEL) AS 审计级别, SF_GET_AUDIT_TYPENAME(TYPE) 审计项, SF_GET_AUDIT_WHENEVERNAME("WHENEVER") 审计条件 FROM SYSAUDIT;

审计级别 审计项     审计条件
-------- ---------- ----------
STMT     TABLESPACE ALL
STMT     USER       ALL
STMT     ROLE       ALL
STMT     TABLE      ALL
STMT     USER       SUCCESSFUL

---

4、语句序列审计

DM 还提供了语句序列审计功能，作为语句级审计和对象级审计的补充。语句序列审计需要审计员预先建立一个审计规则，包含 N 条 SQL 语句（SQL1,SQL2……），如果某个会话依次执行了这些 SQL 语句，就会触发审计。

4.1 创建语句序列审计

建立语句序列审计规则的过程包括下面三个系统过程。

VOID
    SP_AUDIT_SQLSEQ_START(
    NAME VARCHAR (128)
）

VOID
    SP_AUDIT_SQLSEQ_ADD(
    NAME VARCHAR (128),
    SQL VARCHAR (8188)
)

VOID
    SP_AUDIT_SQLSEQ_END(
    NAME VARCHAR (128)
)

NAME ：语句序列审计规则名

SQL ：需要审计的语句序列中的 SQL 语句

建立语句序列审计规则需要先调用 SP_AUDIT_SQLSEQ_START，之后调用若干次 SP_AUDIT_SQLSEQ_ADD，每次加入一条 SQL 语句，审计规则中的 SQL 语句顺序根据加入 SQL 语句的顺序确定，最后调用 SP_AUDIT_SQLSEQ_END 完成规则的建立。

-- 建立一个语句序列审计规则 AUDIT_SQL1
SP_AUDIT_SQLSEQ_START('AUDIT_SQL1');
SP_AUDIT_SQLSEQ_ADD('AUDIT_SQL1', 'SELECT NAME FROM TEST1;');
SP_AUDIT_SQLSEQ_ADD('AUDIT_SQL1', 'SELECT ID FROM TEST2;');
SP_AUDIT_SQLSEQ_ADD('AUDIT_SQL1', 'SELECT * FROM TEST3;');
SP_AUDIT_SQLSEQ_END('AUDIT_SQL1');

4.2 取消语句序列审计

VOID
    SP_AUDIT_SQLSEQ_DEL(
    NAME VARCHAR (128)
）

删除语句序列审计规则 AUDIT_SQL1

SP_AUDIT_SQLSEQ_DEL('AUDIT_SQL1');

5、总结

• 只要审计功能被启用，系统级的审计记录就会产生；
• 在进行数据库审计时，审计员之间没有区别，可以审计所有数据库对象，也可取消其他审计员的审计设置；
• 语句级审计不针对特定的对象，只针对用户；
• 对象级审计针对指定的用户与指定的对象进行审计；
• 在设置审计时，审计选项不区分包含关系，都可以设置；
• 在设置审计时，审计时机不区分包含关系，都可以进行设置；
• 如果用户执行的一条语句与设置的若干审计项都匹配，只会在审计文件中生成一条审计记录。

---

七、常用的审计命令

1、开启审计

在 DM 系统中，专门为审计设置了开关，要使用审计功能首先要打开审计开关。审计开关由过程 VOID SP_SET_ENABLE_AUDIT（param int）控制，过程执行完后会立即生效，param 有三种取值：

• 0：关闭审计
• 1：打开普通审计
• 2：打开普通审计和实时审计

缺省值为 0。

SP_SET_ENABLE_AUDIT (1);

注意

审计开关必须由具有数据库审计员权限的管理员进行设置，DBA权限是开不了的。

2、查看审计开关状态

SELECT PARA_NAME,PARA_VALUE FROM V$DM_INI WHERE PARA_NAME='ENABLE_AUDIT';

3、查看审计设置信息

SELECT * FROM SYSAUDIT;

4、查看语句序列审计设置信息

SELECT * FROM SYSAUDITSQLSEQ;

5、查看审计详细记录

SELECT * FROM V$AUDITRECORDS;

SYSAUDITOR.V$AUDITRECORDS结构

列	数据类型	说明
USERID	INTEGER	用户 ID
USERNAME	VARCHAR(128)	用户名
ROLEID	INTEGER	角色 ID。 没有具体角色的用户和 SQL 序列审计，没用角色信息。
ROLENAME	VARCHAR(128)	角色名。 没有具体角色的用户和 SQL 序列审计，没用角色信息。
IP	VARCHAR(25)	IP 地址
SCHID	INTEGER	模式 ID
SCHNAME	VARCHAR(128)	模式名
OBJID	INTEGER	对象 ID
OBJNAME	VARCHAR(128)	对象名
OPERATION	VARCHAR(128)	操作类型名
SUCC_FLAG	CHAR(1)	成功标记
SQL_TEXT	VARCHAR(8188)	SQL 文本
DESCRIPTION	VARCHAR(8188)	描述信息
OPTIME	DATETIME	操作时间
MAC	VARCHAR(25)	操作对应的 MAC 地址
SEQNO	TINYINT	DMDSC 环境下表示生成审计记录的节点号，非 DMDSC 环境下始终 0
BIND_INFO	VARCHAR(8188)	绑定参数具体值，如果绑定参数是复杂类型，仅记录类型名，不记录具体值

6、审计相关函数

名称	用途	参数说明
SP_SET_ENABLE_AUDIT	打开/关闭审计开关
SP_AUDIT_STMT/SP_NOAUDIT_STMT	设置/取消语句级审计
SP_AUDIT_OBJECT	设置对象级审计
SP_AUDIT_SQLSEQ_START SP_AUDIT_SQLSEQ_ADD SP_AUDIT_SQLSEQ_END	设置语句序列审计
SP_AUDIT_SQLSEQ_DEL	取消语句序列审计
SP_DROP_AUDIT_FILE	删除指定时间点之前的审计文件，但是不会删除 DM 当前正在使用的审计文件。	TIME_STR：指定的时间字符串 TYPE：审计文件类型，0 表示删除普通审计文件，1 表示删除实时审计文件
SP_SWITCH_AUDIT_FILE	切换是指生成一个新的审计文件，并将新生成的审计信息存储在新生成的审计文件中。一般用在审计文件被删除无法存储审计信息，或任何需要生成新审计文件的情况下。	AUDIT_SWITCH：切换开关值，取值 1 或 2。 1 表示切换普通审计文件；2 表示同时切换普通和实时审计文件。对于 DMDSC 环境仅切换当前节点审计文件。
SF_GET_AUDIT_TYPENAME	表SYSAUDIT.TYPE 值的意义描述	TYPE: 审计类型，对应 SYSAUDIT 中 TYPE 字段值
SF_GET_AUDIT_LEVELNAME	表SYSAUDIT.LEVEL 值的意义描述	LEVEL： 审计级别，对应 SYSAUDIT 中 LEVEL 字段值
SF_GET_AUDIT_WHENEVERNAME	表SYSAUDIT.WHENEVER 值的意义描述	WHENEVER ：审计记录生成时机，对应 SYSAUDIT 中 WHENEVER 字段值

-- 指定删除 2015-12-6 16:30:00 以前的普通审计文件
SP_DROP_AUDIT_FILE('2015-12-6 16:30:00',0);

达梦社区：https://eco.dameng.com