Server:谁创建了审计，谁最后修改了审计？

Question

我试图找出谁创建了一个审计(在审计下发现)，但我似乎没有任何运气。我已经尝试过许多查询，例如：

博客1，博客2，博客3和

SELECT *
FROM   [sys].[objects]
SELEcT * FROM sys.server_audits

它们似乎适用于所有其他对象，但不适用于审计。我需要知道是哪个用户创建了审计，哪个用户最后修改了它。sys.server_audits不起作用。

Answer 1

跟踪不是数据库级的对象，所以您所读到的那些查询都没有任何机会。但是，默认跟踪在事件117 (AUDIT CHANGE AUDIT EVENT)下有这样的信息-假设您没有禁用它，并且审计是最近创建的，以至于它仍然存在(这是一个滚动跟踪)。

DECLARE @path NVARCHAR(260);

SELECT 
   @path = REVERSE(SUBSTRING(REVERSE([path]), 
   CHARINDEX(CHAR(92), REVERSE([path])), 260)) + N'log.trc'
FROM    sys.traces
WHERE   is_default = 1;

SELECT * 
  FROM sys.fn_trace_gettable(@path, DEFAULT)
  WHERE EventClass = 117
  ORDER BY StartTime DESC;

Answer 2

您还可能希望检查服务器审核规范是否映射到审计，以及是否包含了AUDIT_CHANGE_GROUP操作类型。最后一次对审计和/或其状态的修改最终可能会被记录在审计文件中。