セキュリティログへの SQL サーバー監査イベントの書き込み

[アーティクル]
03/06/2017

高度なセキュリティ環境では、オブジェクトアクセスを記録するイベントを書き込むのに適切な場所は Windows セキュリティログです。他の監査場所は、サポートされていますが、改ざんされる可能性が高くなります。

Windows セキュリティログにSQL Serverサーバー監査を書き込むには、次の 2 つの重要な要件があります。

オブジェクトアクセスの監査の設定は、イベントをキャプチャするように構成する必要があります。監査ポリシーツール (auditpol.exe) は、" オブジェクトアクセスの監査 " カテゴリでさまざまなサブポリシー設定を公開しています。 SQL Serverがオブジェクトアクセスを監査できるようにするには、アプリケーションによって生成される設定を構成します。
SQL Server サービスが実行されているアカウントには、Windows セキュリティログに書き込むセキュリティ監査の生成アクセス許可が必要です。既定では、LOCAL SERVICE アカウントおよび NETWORK SERVICE アカウントにこの権限があります。 SQL Serverがいずれかのアカウントで実行されている場合、この手順は必要ありません。

Windows 監査ポリシーは、Windows セキュリティログに書き込むよう構成されている場合、SQL Server監査に影響を与える可能性があります。監査ポリシーが正しく構成されていない場合は、イベントが失われる可能性があります。通常、Windows セキュリティログは、古いイベントを上書きするよう設定されます。これにより、最新のイベントが保持されます。ただし、Windows セキュリティログが古いイベントを上書きするよう設定されていない場合、セキュリティログがいっぱいになると、システムは Windows イベント 1104 (ログがいっぱいです) を発行します。このとき、次の点に注意してください。

それ以降のセキュリティイベントは記録されません。
SQL Serverは、システムがセキュリティログにイベントを記録できないことを検出できず、監査イベントが失われる可能性があります
ボックス管理者によってセキュリティログが修復されると、ログ動作は正常に戻ります。

このトピックの内容

作業を開始する準備:

制限事項と制約事項

Security
セキュリティログに SQL サーバー監査イベントを書き込むには:

auditpol を使用した Windows のオブジェクトアクセスの監査の設定

secpol を使用した Windows のオブジェクトアクセスの監査の設定

secpol を使用した "セキュリティ監査の生成" 権限のアカウントへの許可

はじめに

制限事項と制約事項

SQL Server コンピューターの管理者は、セキュリティログのローカル設定をドメインポリシーによって上書きできることを理解している必要があります。この場合、ドメインポリシーによってサブカテゴリ設定 (auditpol /get /subcategory:"application generated" ) が上書きされる可能性があります。これは、SQL Server監査しようとしているイベントが記録されないことを検出する方法がなくても、イベントSQL Serverログに記録する機能に影響を与える可能性があります。