SQL Server Audit (データベースエンジン)

[アーティクル]
05/15/2024

適用対象: SQL Server Azure SQL Managed Instance

SQL Server データベースエンジンまたは個々のデータベースのインスタンスを監査するには、データベースエンジンで発生するイベントを追跡し、ログに記録します。 SQL Server 監査では、サーバーレベルのイベントのためのサーバー監査仕様とデータベースレベルのイベントのためのデータベース監査仕様を含めることができる、サーバー監査を作成できます。監査イベントは、イベントログまたは監査ファイルへ書き込むことができます。

重要

Azure SQL Managed Instance では、この T-SQL 機能の特定の動作が変更されています。すべての T-SQL の動作変更の詳細については、Azure SQL Managed Instance の T-SQL の SQL Server との相違点に関する記事を参照してください。

インストールに対する政府や標準の要件に応じて、SQL Server には複数のレベルの監査があります。 SQL Server 監査では、さまざまなサーバーおよびデータベースオブジェクトで監査を有効化、格納、表示するために必要なツールとプロセスが提供されます。

サーバー監査アクショングループをインスタンスごとに、データベース監査アクショングループまたはデータベース監査アクションをデータベースごとに、それぞれ記録できます。監査可能なアクションが検出されるたびに監査イベントが発生します。

SQL Server のすべてのエディションでサーバーレベルの監査がサポートされます。 SQL Server 2016 (13.x) SP1 以降のすべてのエディションで、データベースレベルの監査がサポートされます。これより前のデータベースレベルの監査は、Enterprise、Developer、および Evaluation Edition に限定されています。詳細については、「SQL Server 2016 の各エディションがサポートする機能」を参照してください。

Note

このトピックの対象は、SQL Server です。 SQL データベースについては、「SQL Database 監査の開始」を参照してください。

SQL Server 監査のコンポーネント

監査では、複数の要素が、サーバーアクションやデータベースアクションの特定のグループのための 1 つのパッケージに組み合わされています。レポート定義がグラフィックやデータ要素と組み合わされてレポートが生成されるように、SQL Server 監査の複数のコンポーネントが組み合わされて、監査と呼ばれる出力が生成されます。

SQL Server 監査では、拡張イベント を使用して監査を作成します。拡張イベントの詳細については、「拡張イベント」を参照してください。

SQL Server Audit

SQL Server 監査 オブジェクトは、監視するサーバーレベルまたはデータベースレベルのアクションおよびアクションのグループの 1 つのインスタンスを収集します。監査は SQL Server インスタンスレベルで行われます。 SQL Server のインスタンスごとに複数の監査を使用できます。

監査を定義する場合、結果を出力する場所を指定します。これが監査の出力先です。監査は無効な状態で作成されるため、アクションの監査は自動的には行われません。監査を有効にすると、監査の出力先が監査からデータを受け取るようになります。

サーバー監査の仕様

サーバー監査の仕様 オブジェクトは監査に属しています。サーバー監査の仕様は監査ごとに 1 つ作成できます。これは、サーバー監査の仕様も監査も SQL Server インスタンスのスコープで作成されるためです。

サーバー監査の仕様は、拡張イベント機能によって発生するさまざまなサーバーレベルのアクショングループを収集します。サーバー監査の仕様には、 監査アクショングループ を含めることができます。監査アクショングループとは、データベースエンジンで発生するアトミックイベントであるアクションの定義済みのグループです。これらのアクションは監査に送信されて、ターゲットに記録されます。

サーバーレベルの監査アクショングループについては、記事「SQL Server 監査のアクショングループとアクション」に説明があります。

データベース監査の仕様

Database Audit Specification オブジェクトも、SQL Server 監査に属しています。各監査では、SQL Server データベースごとに 1 つのデータベース監査の仕様を作成できます。

データベース監査の仕様は、拡張イベント機能によって発生するデータベースレベルの監査アクションを収集します。データベース監査の仕様には、監査アクショングループまたは監査イベントを追加できます。 監査イベントとは、SQL Server エンジンで監査できるアトミックなアクションです。 監査アクショングループ とは、アクションの定義済みのグループです。これらはいずれも、SQL Server データベースのスコープにあります。これらのアクションは監査に送信されて、ターゲットに記録されます。ユーザーデータベース監査の仕様に、システムビューなどのサーバースコープオブジェクトは入れないでください。

データベースレベルの監査アクショングループと監査アクションについては、記事「SQL Server 監査のアクショングループとアクション」に説明があります。

ターゲット

監査の結果はターゲットに送信されます。ターゲットには、ファイル、Windows セキュリティイベントログ、または Windows アプリケーションイベントログを使用できます。定期的にログをレビューおよびアーカイブして、ターゲットにレコードをさらに書き込むための十分なスペースを確保しておく必要があります。

重要

Windows アプリケーションイベントログの読み取りおよび書き込みは、認証されているユーザーならば、だれでも行うことができます。アプリケーションイベントログでは、Windows セキュリティイベントログほど高いアクセス許可は要求されません。したがって、Windows セキュリティイベントログに比べてセキュリティが低くなります。

Windows セキュリティログに書き込むには、SQL Server サービスアカウントをセキュリティ監査の生成ポリシーに追加する必要があります。既定では、ローカルシステム、ローカルサービス、およびネットワークサービスがこのポリシーに追加されています。この設定は、セキュリティポリシースナップイン (secpol.msc) を使用して構成できます。さらに、 オブジェクトアクセスの監査 セキュリティポリシーを、成功と失敗の両方について有効にする必要があります。この設定は、セキュリティポリシースナップイン (secpol.msc) を使用して構成できます。 Windows Vista または Windows Server 2008 (以降) では、コマンドラインから監査ポリシープログラム (AuditPol.exe) を使用して、より細かいアプリケーション生成のポリシーを設定できます。 Windows セキュリティログへの書き込みを有効にする手順の詳細については、「セキュリティログへの SQL サーバー監査イベントの書き込み」を参照してください。 Auditpol.exe プログラムの詳細については、グループポリシーを使用して詳細なセキュリティの監査を構成する方法に関するサポート技術情報の記事 921469 を参照してください。 Windows イベントログは、すべての Windows オペレーティングシステムで使用できます。 Windows イベントログの詳細については、「イベントビューアーの概要」を参照してください。監査でより厳密なアクセス許可が必要な場合は、バイナリファイルターゲットを使用します。

改ざんの防止に役立てるために監査情報をファイルに保存している場合、次の方法でそのファイルの場所へのアクセスを制限できます。

SQL Server サービスアカウントには、読み取り権限と書き込み権限の両方が必要です。
通常、監査管理者には、読み取り権限と書き込み権限が必要です。これは、監査管理者が監査ファイルを管理 (他の共有への監査ファイルのコピー、監査ファイルのバックアップなど) するための Windows アカウントであることを前提としています。
監査ファイルの読み取りが許可されている監査リーダーには、読み取り権限が必要です。

データベースエンジンがファイルへの書き込みを行っているときでも、他の Windows ユーザーは、権限を持っていれば、監査ファイルを読み取ることができます。読み取り操作を阻止する排他的ロックをデータベースエンジンは取得しません。

データベースエンジンはファイルにアクセスできるため、CONTROL SERVER 権限を持つ SQL Server ログインはデータベースエンジンを使用して監査ファイルにアクセスできます。監査ファイルの読み取りを行っているユーザーを記録するには、master.sys.fn_get_audit_file で監査を定義します。これにより、SQL Server を介して監査ファイルにアクセスした、CONTROL SERVER 権限を持つログインが記録されます。

監査管理者が別の場所に監査ファイルをコピーする場合 (アーカイブ用など)、新しい場所に対するアクセス制御リスト (ACL) は、次のアクセス許可に限定する必要があります。

監査管理者 - 読み取り/書き込み
監査リーダー - 読み取り

監査管理者または監査閲覧者のみがアクセスできる SQL Server Express のインスタンスなど、SQL Server の別のインスタンスから監査レポートを生成することをお勧めします。レポート作成用に別のデータベースエンジンのインスタンスを使用することで、許可されていないユーザーによる監査レコードへのアクセスを防ぐことができます。

Windows BitLocker ドライブ暗号化または Windows 暗号化ファイルシステムを使用して監査ファイルが格納されているフォルダーを暗号化することにより、許可されていないアクセスに対する保護を強化することができます。

ターゲットに書き込まれる監査レコードの詳細については、「 SQL Server Audit Records」を参照してください。

SQL Server 監査の使用の概要

監査は、SQL Server Management Studio または Transact-SQL を使用して定義できます。監査を作成して有効にすると、ターゲットがエントリを受け取るようになります。

Windows イベントログを閲覧するには、Windows の イベントビューアー ユーティリティを使用します。ファイルターゲットの場合、SQL Server Management Studio のログファイルビューアーまたは fn_get_audit_file 関数を使用してターゲットファイルを読み取ることができます。

監査の作成および使用の一般的な手順は次のとおりです。

監査を作成し、ターゲットを定義します。
監査にマップするサーバー監査の仕様またはデータベース監査の仕様を作成します。その監査の仕様を有効にします。
監査を有効にします。
Windows イベントビューアー、 [ログファイルの表示]、または fn_get_audit_file 関数を使用して、監査イベントを閲覧します。

詳細については、「サーバー監査およびサーバー監査の仕様を作成する」および「サーバー監査およびデータベース監査の仕様を作成する」を参照してください。

考慮事項

監査の開始時にエラーが発生すると、サーバーが起動しなくなります。その場合にサーバーを起動するには、コマンドラインで -f オプションを使用します。

監査に対して ON_FAILURE=SHUTDOWN が指定されているために監査エラーによってサーバーがシャットダウンしたり起動しなくなったりすると、MSG_AUDIT_FORCED_SHUTDOWN イベントがログに書き込まれます。シャットダウンはこの設定が初めて検出されたときに生じるため、このイベントが書き込まれるのは 1 回だけです。このイベントは、シャットダウンを引き起こした監査のエラーメッセージの後に書き込まれます。管理者は、-m フラグを使用して SQL Server をシングルユーザーモードで起動することで、監査に伴うシャットダウンを回避することができます。シングルユーザーモードで起動すると、ON_FAILURE=SHUTDOWN が指定されているすべての監査がダウングレードされて、そのセッションでは ON_FAILURE=CONTINUE として実行されます。 -m フラグを使用して SQL Server を起動すると、エラーログに MSG_AUDIT_SHUTDOWN_BYPASSED メッセージが書き込まれます。

スタートアップオプションの詳細については、「データベースエンジンサービスのスタートアップオプション」を参照してください。

定義済みの監査を含むデータベースのインポート

監査の仕様が含まれていて、サーバーに存在しない GUID が指定されているデータベースをアタッチすると、孤立した監査仕様が発生します。この場合は、一致する GUID を持つ監査がサーバーインスタンスに存在しないため、監査イベントは記録されません。この状況を修正するには、ALTER DATABASE AUDIT SPECIFICATION コマンドを使用して、孤立した監査の仕様を既存のサーバー監査に関連付けます。または、CREATE SERVER AUDIT コマンドを使用して、指定されている GUID を持つ新しい Server 監査を作成します。

監査の仕様が定義されているデータベースを、SQL Server 監査をサポートしていない別のエディションの SQL Server (SQL Server Express など) にアタッチすることができますが、監査イベントは記録されません。

データベースミラーリングと SQL Server 監査

データベース監査の仕様が定義されていて、データベースミラーリングを使用するデータベースには、そのデータベース監査の仕様が含まれます。ミラー化された SQL インスタンスでも正しく機能するようにするには、以下の項目を構成する必要があります。

データベース監査の仕様が監査レコードを書き込めるようにするには、同じ GUID を持つ監査をミラーサーバーに作成する必要があります。これは、CREATE AUDIT WITH GUID =<ソースサーバー監査の GUID> コマンドを使用して構成できます。
バイナリファイルターゲットの場合は、監査記録が書き込まれる場所に対する適切なアクセス許可がミラーサーバーのサービスアカウントに必要です。
Windows イベントログターゲットの場合は、ミラーサーバーが配置されているコンピューターのセキュリティポリシーで、セキュリティイベントログまたはアプリケーションイベントログへのサービスアカウントのアクセスが許可されている必要があります。

監査管理者

sysadmin 固定サーバーロールのメンバーは、各データベースで dbo ユーザーとして認識されます。管理者のアクションを監査するには、 dbo ユーザーのアクションを監査します。

Transact-SQL を使用した監査の作成と管理

DDL ステートメント、動的管理ビューと関数、およびカタログビューを使用して、SQL Server 監査のすべての機能を実装できます。

データ定義言語ステートメント

以下の DDL ステートメントを使用して、監査の仕様を作成、変更、および削除することができます。

DDL ステートメント	説明
ALTER AUTHORIZATION	セキュリティ保護可能なエンティティの所有権を変更します。
ALTER DATABASE AUDIT SPECIFICATION	SQL Server Audit 機能を使用して、データベース監査仕様オブジェクトを変更します。
ALTER SERVER AUDIT	SQL Server Audit 機能を使用して、サーバー監査オブジェクトを変更します。
ALTER SERVER AUDIT SPECIFICATION	SQL Server Audit 機能を使用して、サーバー監査仕様オブジェクトを変更します。
CREATE DATABASE AUDIT SPECIFICATION	SQL Server Audit 機能を使用して、データベース監査仕様オブジェクトを作成します。
CREATE SERVER AUDIT	SQL Server Audit を使用して、サーバー監査オブジェクトを作成します。
CREATE SERVER AUDIT SPECIFICATION	SQL Server Audit 機能を使用して、サーバー監査仕様オブジェクトを作成します。
DROP DATABASE AUDIT SPECIFICATION	SQL Server Audit 機能を使用して、データベース監査仕様オブジェクトを削除します。
DROP SERVER AUDIT	SQL Server の監査機能を使用して、サーバー監査オブジェクトを削除します。
DROP SERVER AUDIT SPECIFICATION	SQL Server Audit 機能を使用して、サーバー監査仕様オブジェクトを削除します。

動的ビューと関数

次の表に、SQL Server 監査に使用できる動的ビューと関数の一覧を示します。

動的ビューと関数	説明
sys.dm_audit_actions	監査ログで報告される可能性のあるすべての監査アクション、および SQL Server 監査の一部として構成できるすべての監査アクショングループに対して 1 つの行を返します。
sys.dm_server_audit_status	監査の現在の状態に関する情報を提供します。
sys.dm_audit_class_type_map	監査ログ内の class_type フィールドを、`sys.dm_audit_actions` 内の class_desc フィールドにマップするテーブルを返します。
fn_get_audit_file	サーバー監査で作成された監査ファイルからの情報を返します。

カタログビュー

次の表に、SQL Server 監査に使用できるカタログビューの一覧を示します。

カタログビュー	説明
sys.database_audit_specifications	サーバーインスタンス上の SQL Server 監査に含まれるデータベース監査仕様に関する情報を含みます。
sys.database_audit_specification_details	すべてのデータベースについてサーバーインスタンス上の SQL Server 監査に含まれる、データベース監査仕様に関する情報を含みます。
sys.server_audits	サーバーインスタンス内の各 SQL Server 監査について行を 1 つずつ含みます。
sys.server_audit_specifications	サーバーインスタンス上の SQL Server 監査に含まれるサーバー監査仕様に関する情報を含みます。
sys.server_audit_specifications_details	サーバーインスタンス上の SQL Server 監査に含まれるサーバー監査仕様の詳細 (アクション) に関する情報を含みます。
sys.server_file_audits	サーバーインスタンス上の SQL Server 監査に含まれるファイル監査の種類に関する拡張情報を含みます。

アクセス許可

SQL Server 監査の各機能とコマンドには、個別の権限要件があります。

サーバー監査またはサーバー監査の仕様を作成、変更、削除する場合、サーバープリンシパルには、ALTER ANY SERVER AUDIT または CONTROL SERVER の権限が必要です。データベース監査の仕様を作成、変更、削除する場合、データベースプリンシパルには、ALTER ANY DATABASE AUDIT 権限、またはデータベースに対する ALTER 権限か CONTROL 権限が必要です。さらに、プリンシパルには、データベースに接続する権限、または ALTER ANY SERVER AUDIT 権限か CONTROL SERVER 権限が必要です。

VIEW ANY DEFINITION 権限では、サーバーレベルの監査ビューを表示できます。また、VIEW DEFINITION 権限では、データベースレベルの監査ビューを表示できます。これらのアクセス許可を拒否すると、プリンシパルが ALTER ANY SERVER AUDIT 権限または ALTER ANY DATABASE AUDIT 権限を付与されている場合でも、カタログビューを表示する機能がオーバーライドされます。

アクセス権および権限を付与する方法の詳細については、「GRANT (Transact-SQL)」を参照してください。

注意事項

sysadmin ロールのプリンシパルによって監査コンポーネントが勝手に書き換えられることも、db_owner ロールのプリンシパルによってデータベース内の監査の仕様が勝手に書き換えられることもないとはいえません。 SQL Server 監査では、監査の仕様を作成または変更するログオンが、ALTER ANY DATABASE AUDIT 以上の権限を持っているかどうかが検証されます。ただし、データベースにアタッチするときには検証は行われません。すべてのデータベース監査の仕様は、sysadmin ロールまたは db_owner ロールのプリンシパルと同等の信頼性しかないと見なす必要があります。

サーバー監査およびサーバー監査の仕様を作成する

サーバー監査およびデータベース監査の仕様を作成する

SQL Server 監査ログを表示する

セキュリティログへの SQL Server 監査イベントの書き込み

[サーバーのプロパティ] ([セキュリティ] ページ)
SQL Server のログインの監査をオンにする方法について説明します。監査レコードは Windows アプリケーションログに格納されます。

c2 audit mode サーバー構成オプション
SQL Server の C2 セキュリティ準拠の監査モードについて説明します。

Security Audit イベントカテゴリ (SQL Server Profiler)
SQL Server Profiler で使用できる監査イベントについて説明します。詳細については、「 SQL Server Profiler」を参照してください。

SQL トレース (SQL Trace)
SQL トレースを使用して、SQL Server Profiler からではなく、ユーザー独自のアプリケーションからトレースを手動で作成する方法について説明します。

DDL トリガー
データ定義言語 (DDL) トリガーを使用してデータベースの変更を追跡する方法について説明します。

Microsoft TechNet: SQL Server TechCenter: SQL Server 2005 - セキュリティと保護
SQL Server セキュリティに関する最新の情報を提供します。

次の方法で共有

SQL Server Audit (データベースエンジン)

SQL Server 監査のコンポーネント

SQL Server Audit

サーバー監査の仕様

データベース監査の仕様

ターゲット

SQL Server 監査の使用の概要

考慮事項

定義済みの監査を含むデータベースのインポート

データベースミラーリングと SQL Server 監査

監査管理者

Transact-SQL を使用した監査の作成と管理

データ定義言語ステートメント

動的ビューと関数

カタログビュー

アクセス許可

フィードバック

その他のリソース

次の方法で共有

SQL Server Audit (データベース エンジン)

SQL Server 監査のコンポーネント

SQL Server Audit

サーバー監査の仕様

データベース監査の仕様

ターゲット

SQL Server 監査の使用の概要

考慮事項

定義済みの監査を含むデータベースのインポート

データベース ミラーリングと SQL Server 監査

監査管理者

Transact-SQL を使用した監査の作成と管理

データ定義言語ステートメント

動的ビューと関数

カタログ ビュー

アクセス許可

Related Tasks

監査に密接に関連する記事

関連するコンテンツ

フィードバック

その他のリソース

SQL Server Audit (データベースエンジン)

データベースミラーリングと SQL Server 監査

カタログビュー