用于服务器/数据库审核的扩展事件

Question

我想知道是否有人知道是否有一个扩展事件，我可以利用它来检测一个SQL服务器/数据库审计定义是否被修改、创建、删除等等。目前，我正在使用SQL服务器/数据库审核，但正在引入扩展事件。

我在谷歌上搜索的很多内容都与XE与SQL审计有关。更不用说如何使用XE来监视SQL审核了。

寻找一种“审计我的审计”的方法。

谢谢。

Answer 1

任何审核都将在审核会话更改(AUSC)事件下跟踪自己的启动和停止。我在本地实例上创建了一个审核，只启用/禁用它，然后运行以下查询：

select actions.name, event_time, additional_information
from sys.fn_get_audit_file('c:\temp\TestAudit*', DEFAULT, DEFAULT) as events
join sys.dm_audit_actions as actions
    on actions.action_id = events.action_id;

我看到的是：

name    event_time  additional_information
AUDIT SESSION CHANGED   2022-04-10 16:41:58.7244182 <action_info xmlns="http://schemas.microsoft.com/sqlserver/2008/sqlaudit_data"><session><![CDATA[TestAudit$A]]></session><action>event enabled</action><startup_type>manual</startup_type><object><![CDATA[audit_event]]></object></action_info>
AUDIT SESSION CHANGED   2022-04-10 16:42:09.2291167 <action_info xmlns="http://schemas.microsoft.com/sqlserver/2008/sqlaudit_data"><session><![CDATA[TestAudit$A]]></session><action>destroyed</action></action_info>
AUDIT SESSION CHANGED   2022-04-10 16:42:09.2291167 <action_info xmlns="http://schemas.microsoft.com/sqlserver/2008/sqlaudit_data"><session><![CDATA[TestAudit$A]]></session><action>event disabled</action><object><![CDATA[audit_event]]></object></action_info>