自定义审计日志消息通过syslog从Oracle DB版本12c发送到SIEM
我需要通过IBM上的syslog将Oracle DB version 12c中的审计日志发送到我的SIEM。问题是它不包括我需要的信息。用于exp：
<134>Mar 4 11:00:25来自abc:甲骨文Audit5374348: LENGTH：'494‘动作:344 '9')，chartorowid('AAAAJCAABAAAA+nABn')，chartorowid('AAAAJCAABAAAA+nABv')，chartorowid('AAAAJCAABAAAisBAAP')，chartorowid('AAAAJCAABAAAisBAC9')，chartorowid('AAAAJCAABAAAisBADQ')，chartorowid('AAAAJCAABAAAisDACn')，chartorowid('AAAAJCAABAAAisEABG')，chartorowid('AAAAJCAABAAAisEABf')，chartorowid('AAAAJCAABAAAisEABn')，chartorowid('AAAAJCAABAAAisEACb')，数据库用户:3 'SYS‘特权:4 'NONE’客户端用户：‘客户端:7’未知‘状态:1 '0’DBID:10 '2346730987‘
它没有真正需要解析日志以达到安全目的的有关源IP的信息。我们是否有可能修改和包含一些我们需要的信息？谢谢！
回答 1
Stack Overflow用户
发布于 2021-03-05 03:53:14
不可能修改Oracle内部审核生成的信息。如果您需要补充到您的暹罗的数据，那么
- SIEM工具需要生成对审计跟踪和数据库中任何其他必要表的SQL查询，而不是依赖syslog；或
。
- 您需要编写一个自定义PL/SQL函数来运行适当的查询，并使用UTL_FILE将输出写入暹粒可以读取的外部日志文件。
尽管如此，您的日志示例似乎是对SYS操作的审计，根据您的特定设置和版本，内部审计跟踪中甚至可能不存在这些操作。如果是这样的话，你所看到的就是一切。
https://stackoverflow.com/questions/66486001
复制相似问题
腾讯云开发者
