サーバー監査イベントをセキュリティ ログに書き込む方法

高度なセキュリティ環境では、オブジェクト アクセスを記録するイベントを書き込むのに適切な場所は Windows セキュリティ ログです。他の監査場所は、サポートされていますが、改ざんされる可能性が高くなります。

SQL Server サーバー監査を Windows セキュリティ ログに書き込むための主要な要件は 2 つあります。

• オブジェクト アクセスの監査の設定は、イベントをキャプチャするように構成する必要があります。この操作に最適な方法は、オペレーティング システムによって異なります。

  • Windows Vista および Windows Server 2008 では、監査ポリシー ツール (auditpol.exe) を使用します。監査ポリシー プログラムは、"オブジェクト アクセスの監査" カテゴリでさまざまなサブポリシー設定を公開しています。SQL Server がオブジェクト アクセスを監査できるようにするには、application generated 設定を構成します。

  • 以前のバージョンの Windows では、監査ポリシー ツールを使用できません。代わりに、セキュリティ ポリシー スナップイン (secpol.msc) を使用してください。監査ポリシーが使用可能な場合は、より細かい設定が可能なので、監査ポリシーの使用をお勧めします。

• SQL Server サービスを実行しているアカウントは、Windows セキュリティ ログに書き込むための "セキュリティ監査の生成" 権限を持っている必要があります。既定では、LOCAL SERVICE アカウントおよび NETWORK SERVICE アカウントにこの権限があります。SQL Server がこれらのアカウントのいずれかで実行されている場合、この手順は必要ありません。

Windows の監査ポリシーは、Windows セキュリティ ログに書き込むように構成されている場合、SQL Server の監査に影響を与えることがあります。監査ポリシーが不適切に構成された場合は、イベントが失われる可能性があります。通常、Windows セキュリティ ログは、古いイベントを上書きするよう設定されます。これにより、最新のイベントが保持されます。ただし、Windows セキュリティ ログが古いイベントを上書きするよう設定されていない場合、セキュリティ ログがいっぱいになると、システムは Windows イベント 1104 (ログがいっぱいです) を発行します。このとき、次の点に注意してください。

• それ以降のセキュリティ イベントは記録されません。

• SQL Server はシステムがイベントをセキュリティ ログに記録できないことを検出できないため、監査イベントが失われる場合があります。

• ボックス管理者によってセキュリティ ログが修復されると、ログ動作は正常に戻ります。

SQL Server コンピュータの管理者は、セキュリティ ログのローカル設定がドメイン ポリシーによって上書きされることを理解している必要があります。この場合、ドメイン ポリシーにより、サブカテゴリ設定 (auditpol /get /subcategory:"application generated") が上書きされます。SQL Server の監査対象であるイベントが記録されないことを検出する方法がない場合、これがイベントをログに記録する SQL Server の機能に影響します。

これらの設定を行うには、Windows 管理者である必要があります。