SQL Server 監査のアクショングループとアクション

[アーティクル]
10/19/2016

SQL Server Audit 機能を使用すると、サーバーレベルおよびデータベースレベルのイベントのグループおよび個別のイベントを監査することができます。詳細については、「SQL Server Audit (データベースエンジン)」を参照してください。

SQL Server の監査は、0 個以上の監査アクション項目で構成されます。これらの監査アクション項目には、アクションのグループ (Server_Object_Change_Group など) を使用することも、個別のアクション (テーブルに対する SELECT 操作など) を使用することもできます。

注意

Server_Object_Change_Group には、任意のサーバーオブジェクト (データベースまたはエンドポイント) に対する CREATE、ALTER、および DROP が含まれます。

監査には次のカテゴリのアクションが含まれます。

サーバーレベル。これらのアクションには、管理の変更やログオンおよびログオフの操作などのサーバーの操作が含まれます。
データベースレベル。これらのアクションには、データ操作言語 (DML) とデータ定義言語 (DDL) の操作が含まれます。
監査レベル。これらのアクションには、監査プロセス内のアクションが含まれます。

SQL Server の監査コンポーネントに対して実行されるアクションが、特定の監査でもともと監査されている場合もあります。そのような場合は、親オブジェクトで監査イベントが発生するため、監査イベントが自動的に発生します。

もともと監査されているアクションを以下に示します。

Server Audit の状態の変更 (状態を ON または OFF に設定)

もともと監査されていないイベントを以下に示します。

CREATE SERVER AUDIT SPECIFICATION
ALTER SERVER AUDIT SPECIFICATION
DROP SERVER AUDIT SPECIFICATION
CREATE DATABASE AUDIT SPECIFICATION
ALTER DATABASE AUDIT SPECIFICATION
DROP DATABASE AUDIT SPECIFICATION

監査はすべて、最初の作成時には無効になります。

サーバーレベルの監査アクショングループ

サーバーレベルの監査アクショングループは、 SQL Server セキュリティ監査イベントクラスに似ています。詳しくは、「 SQL Server イベントクラスの参照」をご覧ください。

サーバーレベルの監査アクショングループと、同等の SQL Server イベントクラス (存在する場合) を次の表に示します。

アクショングループ名	説明
APPLICATION_ROLE_CHANGE_PASSWORD_GROUP	このイベントは、アプリケーションロールのパスワードが変更されるたびに発生します。 Audit App Role Change Password Event Classと同じです。
AUDIT_CHANGE_GROUP	このイベントは、任意の監査が作成、変更、または削除されるたびに発生します。このイベントは、任意の監査の仕様が作成、変更、または削除されるたびに発生します。監査に対する変更はすべてその監査内で監査されます。 Audit Change Audit Event Classと同じです。
BACKUP_RESTORE_GROUP	このイベントは、バックアップまたは復元のコマンドが実行されるたびに発生します。 Audit Backup/Restore イベントクラスと同じです。
BROKER_LOGIN_GROUP	このイベントは、Service Broker トランスポートセキュリティに関する監査メッセージを報告するために発生します。 Audit Broker Login Event Classと同じです。
DATABASE_CHANGE_GROUP	このイベントは、データベースが作成、変更、または削除されるときに発生します。このイベントは、任意のデータベースが作成、変更、または削除されるたびに発生します。 Audit Database Management Event Classと同じです。
DATABASE_LOGOUT_GROUP	このイベントは、包含データベースのユーザーがデータベースをログアウトするときに発生します。 Database Logout Event Class と同じです。
DATABASE_MIRRORING_LOGIN_GROUP	このイベントは、データベースミラーリングのトランスポートセキュリティに関する監査メッセージを報告するために発生します。 Audit Database Mirroring Login Event Classと同じです。
DATABASE_OBJECT_ACCESS_GROUP	このイベントは、メッセージ型、アセンブリ、コントラクトなどのデータベースオブジェクトへのアクセスが行われるたびに発生します。このイベントは、任意のデータベースへの任意のアクセスに対して発生します。メモ：これにより、監査レコードが大きくなる可能性があります。 Audit Database Object Access Event Classと同じです。
DATABASE_OBJECT_CHANGE_GROUP	このイベントは、スキーマなどのデータベースオブジェクトで、CREATE、ALTER、または DROP ステートメントが実行されたときに発生します。このイベントは、任意のデータベースオブジェクトが作成、変更、または削除されるたびに発生します。メモ：これにより、非常に大量の監査レコードが発生する可能性があります。 Audit Database Object Management Event Classと同じです。
DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP	このイベントは、データベーススコープ内のオブジェクトの所有者が変更されたときに発生します。このイベントは、サーバー上の任意のデータベースの任意のオブジェクト所有権の変更に対して発生します。 Audit Database Object Take Ownership Event Classと同じです。
DATABASE_OBJECT_PERMISSION_CHANGE_GROUP	このイベントは、アセンブリやスキーマなどのデータベースオブジェクトに対して GRANT、REVOKE、または DENY が実行された場合に発生します。このイベントは、サーバー上の任意のデータベースの任意のオブジェクト権限の変更に対して発生します。 Audit Database Object GDR Event Classと同じです。
DATABASE_OPERATION_GROUP	このイベントは、チェックポイントやクエリ通知のサブスクライブなど、データベースの操作が行われたときに発生します。このイベントは、任意のデータベースの任意のデータベース操作に対して発生します。 Audit Database Operation Event Classと同じです。
DATABASE_OWNERSHIP_CHANGE_GROUP	このイベントは、ALTER AUTHORIZATION ステートメントを使用してデータベースの所有者を変更した場合に、この動作に必要な権限の確認が行われる際に発生します。このイベントは、サーバー上の任意のデータベースの、任意のデータベース所有権の変更に対して発生します。 Audit Change Database Owner Event Classと同じです。
DATABASE_PERMISSION_CHANGE_GROUP	このイベントは、 SQL Server の任意のプリンシパルによって、ステートメント権限に対して GRANT、REVOKE、または DENY が実行されるたびに発生します (データベースに対する権限の許可などのデータベース限定のイベントに適用されます)。このイベントは、サーバー上の任意のデータベースの、任意のデータベース権限の変更 (GDR) に対して発生します。 Audit Database Scope GDR Event Classと同じです。
DATABASE_PRINCIPAL_CHANGE_GROUP	このイベントは、ユーザーなどのプリンシパルがデータベースで作成、変更、または削除されるときに発生します。 Audit Database Principal Management Event Classと同じです。 (Audit Add DB Principal イベントクラスとも同じです。このイベントクラスは、非推奨の sp_grantdbaccess、sp_revokedbaccess、sp_addPrincipal、および sp_dropPrincipal の各ストアドプロシージャに対して発生します)。このイベントは、sp_addrole ストアドプロシージャまたは sp_droprole ストアドプロシージャを使用してデータベースロールが追加または削除されるたびに発生します。このイベントは、任意のデータベースで任意のデータベースプリンシパルが作成、変更、または削除されるたびに発生します。 Audit Add Role イベントクラスと同じです。
DATABASE_PRINCIPAL_IMPERSONATION_GROUP	このイベントは、EXECUTE AS <プリンシパル> や SETPRINCIPAL などのデータベーススコープに偽装操作がある場合に発生します。このイベントは、任意のデータベースで行われた権限の借用に対して発生します。 Audit Database Principal Impersonation Event Classと同じです。
DATABASE_ROLE_MEMBER_CHANGE_GROUP	このイベントは、データベースロールにログインが追加または削除されるたびに発生します。このイベントクラスは、sp_addrolemember、sp_changegroup、および sp_droprolemember の各ストアドプロシージャに対して発生します。このイベントは、任意のデータベースの任意のデータベースロールメンバーの変更に対して発生します。 Audit Add Member to DB Role イベントクラスと同じです。
DBCC_GROUP	このイベントは、プリンシパルが任意の DBCC コマンドを実行するたびに発生します。 Audit DBCC Event Classと同じです。
FAILED_DATABASE_AUTHENTICATION_GROUP	プリンシパルが包含データベースにログオンしようとして失敗したことを示します。このクラスのイベントは、新しい接続によって生じることも、接続プールから再利用された接続によって生じることもあります。 Audit Login Failed Event Classと同じです。
FAILED_LOGIN_GROUP	プリンシパルが SQL Server へのログインを試みて失敗したことを示します。このクラスのイベントは、新しい接続によって生じることも、接続プールから再利用された接続によって生じることもあります。 Audit Login Failed Event Classと同じです。
FULLTEXT_GROUP	フルテキストイベントが発生したことを示します。 Audit Fulltext Event Classと同じです。
LOGIN_CHANGE_PASSWORD_GROUP	このイベントは、ALTER LOGIN ステートメントまたは sp_password ストアドプロシージャを使用してログインのパスワードが変更されるたびに発生します。 Audit Login Change Password Event Classと同じです。
LOGOUT_GROUP	プリンシパルが SQL Serverからログアウトしたことを示します。このクラスのイベントは、新しい接続によって生じることも、接続プールから再利用された接続によって生じることもあります。 Audit Logout Event Classと同じです。
SCHEMA_OBJECT_ACCESS_GROUP	このイベントは、スキーマでオブジェクト権限が使用されるたびに発生します。 Audit Schema Object Access Event Classと同じです。
SCHEMA_OBJECT_CHANGE_GROUP	このイベントは、スキーマに対して CREATE、ALTER、または DROP の各操作が実行されたときに発生します。 Audit Schema Object Management Event Classと同じです。このイベントはスキーマオブジェクトで発生します。 Audit Object Derived Permission Event Classと同じです。このイベントは、任意のデータベースの任意のスキーマが変更されるたびに発生します。 Audit Statement Permission Event Classと同じです。
SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP	このイベントは、スキーマオブジェクト (テーブル、プロシージャ、関数など) の所有者を変更する権限について確認が行われる際に発生します。この確認動作は、ALTER AUTHORIZATION ステートメントを使用してオブジェクトに所有者を割り当てたときに行われます。このイベントは、サーバー上の任意のデータベースの任意のスキーマ所有権の変更に対して発生します。 Audit Schema Object Take Ownership Event Classと同じです。
SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP	このイベントは、スキーマオブジェクトに対して GRANT、DENY、または REVOKE が実行されるたびに発生します。 Audit Schema Object GDR Event Classと同じです。
SERVER_OBJECT_CHANGE_GROUP	このイベントは、サーバーオブジェクトに対して CREATE、ALTER、または DROP の各操作が実行されたときに発生します。 Audit Server Object Management Event Classと同じです。
SERVER_OBJECT_OWNERSHIP_CHANGE_GROUP	このイベントは、サーバースコープ内のオブジェクトの所有者が変更されたときに発生します。 Audit Server Object Take Ownership Event Classと同じです。
SERVER_OBJECT_PERMISSION_CHANGE_GROUP	このイベントは、 SQL Serverの任意のプリンシパルによって、サーバーオブジェクトの権限に対して GRANT、REVOKE、または DENY が実行されるたびに発生します。 Audit Server Object GDR Event Classと同じです。
SERVER_OPERATION_GROUP	このイベントは、設定、リソース、外部アクセス、承認の変更などのセキュリティ監査操作が使用されるときに発生します。 Audit Server Operation Event Classと同じです。
SERVER_PERMISSION_CHANGE_GROUP	このイベントは、ログインの作成など、サーバースコープでの権限に対して GRANT、REVOKE、または DENY が実行されているときに発生します。 Audit Server Scope GDR Event Classと同じです。
SERVER_PRINCIPAL_CHANGE_GROUP	このイベントは、サーバープリンシパルが作成、変更、または削除されるときに発生します。 Audit Server Principal Management Event Classと同じです。このイベントは、プリンシパルが sp_defaultdb ストアドプロシージャ、sp_defaultlanguage ストアドプロシージャ、または ALTER LOGIN ステートメントを実行したときに発生します。 Audit Addlogin Event Classと同じです。このイベントは、sp_addlogin ストアドプロシージャおよび sp_droplogin ストアドプロシージャに対して発生します。 Audit Login Change Property Event Classとも同じです。このイベントは、sp_grantloginまたはsp_revokeloginストアドプロシージャに対して発生します。 Audit Login GDR Event Classと同じです。
SERVER_PRINCIPAL_IMPERSONATION_GROUP	このイベントは、EXECUTE AS <ログインなどのサーバースコープ内に偽装がある場合に発生します>。 Audit Server Principal Impersonation Event Classと同じです。
SERVER_ROLE_MEMBER_CHANGE_GROUP	このイベントは、固定サーバーロールにログインが追加または削除されるたびに発生します。このイベントは sp_addsrvrolemember ストアドプロシージャと sp_dropsrvrolemember ストアドプロシージャに対して発生します。 Audit Add Login to Server Role イベントクラスと同じです。
SERVER_STATE_CHANGE_GROUP	このイベントは、 SQL Server サービスの状態が変更されたときに発生します。 Audit Server Starts and Stops Event Classと同じです。
SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP	プリンシパルが包含データベースに正常にログインしたことを示します。 Audit Successful Database Authentication Event Class と同じです。
SUCCESSFUL_LOGIN_GROUP	プリンシパルが SQL Serverに正常にログインしたことを示します。このクラスのイベントは、新しい接続によって生じることも、接続プールから再利用された接続によって生じることもあります。 Audit Login Event Classと同じです。
TRACE_CHANGE_GROUP	このイベントは、ALTER TRACE 権限をチェックするすべてのステートメントで発生します。 Audit Server Alter Trace Event Classと同じです。
USER_CHANGE_PASSWORD_GROUP	このイベントは、包含データベースのユーザーのパスワードが USER ALTER ステートメントを使用して変更されるたびに発生します。
USER_DEFINED_AUDIT_GROUP	このグループは、 sp_audit_write (Transact-SQL) を使用して発生したイベントを監視します。通常、トリガーまたはストアドプロシージャには、重要なイベントを監査できるようにするために、`sp_audit_write` への呼び出しが含まれています。

考慮事項

サーバーレベルのアクショングループは、 SQL Server インスタンス全体のアクションを対象とします。たとえば、該当するアクショングループをサーバー監査の仕様に追加すると、任意のデータベースの任意のスキーマオブジェクトのアクセス確認が記録されます。データベース監査の仕様では、そのデータベースのスキーマオブジェクトアクセスのみが記録されます。

サーバーレベルのアクションでは、データベースレベルのアクションに対する詳細なフィルタリングは使用できません。 Employee グループのログインの Customers テーブルに対する SELECT アクションの監査などのデータベースレベルの監査では、アクションの詳細なフィルタリングを実装する必要があります。ユーザーのデータベース監査の仕様に、システムビューなどのサーバースコープオブジェクトは含めないでください。

データベースレベルの監査アクショングループ

データベースレベルの監査アクショングループは、 SQL Server セキュリティ監査イベントクラスに似ています。イベントクラスの詳細については、「 SQL Server イベントクラスの参照」を参照してください。

データベースレベルの監査アクショングループと、同等の SQL Server イベントクラス (存在する場合) を次の表に示します。

アクショングループ名	説明
APPLICATION_ROLE_CHANGE_PASSWORD_GROUP	このイベントは、アプリケーションロールのパスワードが変更されるたびに発生します。 Audit App Role Change Password Event Classと同じです。
AUDIT_CHANGE_GROUP	このイベントは、任意の監査が作成、変更、または削除されるたびに発生します。このイベントは、任意の監査の仕様が作成、変更、または削除されるたびに発生します。監査に対する変更はすべてその監査内で監査されます。 Audit Change Audit Event Classと同じです。
BACKUP_RESTORE_GROUP	このイベントは、バックアップまたは復元のコマンドが実行されるたびに発生します。 Audit Backup/Restore イベントクラスと同じです。
DATABASE_CHANGE_GROUP	このイベントは、データベースが作成、変更、または削除されるときに発生します。 Audit Database Management Event Classと同じです。
DATABASE_LOGOUT_GROUP	このイベントは、包含データベースのユーザーがデータベースをログアウトするときに発生します。 Audit Backup/Restore イベントクラスと同じです。
DATABASE_OBJECT_ACCESS_GROUP	このイベントは、証明書や非対称キーなどのデータベースオブジェクトへのアクセスが行われるたびに発生します。 Audit Database Object Access Event Classと同じです。
DATABASE_OBJECT_CHANGE_GROUP	このイベントは、スキーマなどのデータベースオブジェクトで、CREATE、ALTER、または DROP ステートメントが実行されたときに発生します。 Audit Database Object Management Event Classと同じです。
DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP	このイベントは、データベーススコープ内のオブジェクトの所有者が変更されたときに発生します。 Audit Database Object Take Ownership Event Classと同じです。
DATABASE_OBJECT_PERMISSION_CHANGE_GROUP	このイベントは、アセンブリやスキーマなどのデータベースオブジェクトに対して GRANT、REVOKE、または DENY が実行された場合に発生します。 Audit Database Object GDR Event Classと同じです。
DATABASE_OPERATION_GROUP	このイベントは、チェックポイントやクエリ通知のサブスクライブなど、データベースの操作が行われたときに発生します。 Audit Database Operation Event Classと同じです。
DATABASE_OWNERSHIP_CHANGE_GROUP	このイベントは、ALTER AUTHORIZATION ステートメントを使用してデータベースの所有者を変更した場合に、この動作に必要な権限の確認が行われる際に発生します。 Audit Change Database Owner Event Classと同じです。
DATABASE_PERMISSION_CHANGE_GROUP	このイベントは、 SQL Server の任意のユーザーによって、ステートメント権限に対して GRANT、REVOKE、または DENY が実行されるたびに、データベースに対する権限の許可などのデータベース限定のイベントに対して発生します。 Audit Database Scope GDR Event Classと同じです。
DATABASE_PRINCIPAL_CHANGE_GROUP	このイベントは、ユーザーなどのプリンシパルがデータベースで作成、変更、または削除されるときに発生します。 Audit Database Principal Management Event Classと同じです。 Audit Add DB User Event Classとも同じです。このイベントクラスは、非推奨の sp_grantdbaccess、sp_revokedbaccess、sp_adduser、および sp_dropuser の各ストアドプロシージャに対して発生します。このイベントは、非推奨の sp_addrole ストアドプロシージャまたは sp_droprole ストアドプロシージャを使用してデータベースロールが追加または削除されるたびに発生します。 Audit Add Role イベントクラスと同じです。
DATABASE_PRINCIPAL_IMPERSONATION_GROUP	このイベントは、EXECUTE AS <ユーザー> や SETUSER などのデータベーススコープ内に偽装がある場合に発生します。 Audit Database Principal Impersonation Event Classと同じです。
DATABASE_ROLE_MEMBER_CHANGE_GROUP	このイベントは、データベースロールにログインが追加または削除されるたびに発生します。このイベントクラスは、sp_addrolemember、sp_changegroup、および sp_droprolemember の各ストアドプロシージャと共に使用されます。 Audit Add Member to DB Role イベントクラスsと同じです。
DBCC_GROUP	このイベントは、プリンシパルが任意の DBCC コマンドを実行するたびに発生します。 Audit DBCC Event Classと同じです。
FAILED_DATABASE_AUTHENTICATION_GROUP	プリンシパルが包含データベースにログオンしようとして失敗したことを示します。このクラスのイベントは、新しい接続によって生じることも、接続プールから再利用された接続によって生じることもあります。このイベントが発生します。
SCHEMA_OBJECT_ACCESS_GROUP	このイベントは、スキーマでオブジェクト権限が使用されるたびに発生します。 Audit Schema Object Access Event Classと同じです。
SCHEMA_OBJECT_CHANGE_GROUP	このイベントは、スキーマに対して CREATE、ALTER、または DROP の各操作が実行されたときに発生します。 Audit Schema Object Management Event Classと同じです。このイベントはスキーマオブジェクトで発生します。 Audit Object Derived Permission Event Classと同じです。 Audit Statement Permission Event Classとも同じです。
SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP	このイベントは、スキーマオブジェクト (テーブル、プロシージャ、関数など) の所有者を変更する権限について確認が行われる際に発生します。この確認動作は、ALTER AUTHORIZATION ステートメントを使用してオブジェクトに所有者を割り当てたときに行われます。 Audit Schema Object Take Ownership Event Classと同じです。
SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP	このイベントは、スキーマオブジェクトに対して GRANT、DENY、または REVOKE が実行されるたびに発生します。 Audit Schema Object GDR Event Classと同じです。
SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP	プリンシパルが包含データベースに正常にログインしたことを示します。 Audit Successful Database Authentication Event Class と同じです。
USER_CHANGE_PASSWORD_GROUP	このイベントは、包含データベースのユーザーのパスワードが USER ALTER ステートメントを使用して変更されるたびに発生します。
USER_DEFINED_AUDIT_GROUP	このグループは、 sp_audit_write (Transact-SQL) を使用して発生したイベントを監視します。

データベースレベルの監査アクション

データベースレベルのアクションを使用すると、データベース、スキーマ、およびスキーマオブジェクト (テーブル、ビュー、ストアドプロシージャ、関数、拡張ストアドプロシージャ、キュー、シノニムなど) で特定のアクションを直接監査することができます。型、XML スキーマコレクション、データベース、およびスキーマは監査されません。スキーマオブジェクトの監査をスキーマおよびデータベースに構成できます。これは、指定したスキーマまたはデータベースに含まれるすべてのスキーマオブジェクトのイベントが監査されることを意味します。データベースレベルの監査アクションを次の表に示します。

アクション	説明
SELECT	このイベントは、SELECT が実行されるたびに発生します。
UPDATE	このイベントは、UPDATE が実行されるたびに発生します。
INSERT	このイベントは、INSERT が実行されるたびに発生します。
DELETE	このイベントは、DELETE が実行されるたびに発生します。
EXECUTE	このイベントは、EXECUTE が実行されるたびに発生します。
RECEIVE	このイベントは、RECEIVE が実行されるたびに発生します。
REFERENCES	このイベントは、REFERENCES 権限の確認が行われるたびに発生します。

考慮事項

データベースレベルの監査アクションは列には適用されません。
クエリプロセッサによってクエリをパラメーター化すると、パラメーターがクエリの列値の代わりに監査イベントログに表示されます。
RPC ステートメントは記録されません。

監査レベルの監査アクショングループ

監査プロセス内のアクションを監査することもできます。この監査は、サーバースコープで行うことも、データベーススコープで行うこともできます。データベーススコープでは、データベース監査の仕様についてのみ監査が行われます。監査レベルの監査アクショングループを次の表に示します。

アクショングループ名	説明
AUDIT_ CHANGE_GROUP	このイベントは、次のいずれかのコマンドが実行されるたびに発生します。 - CREATE SERVER AUDIT - ALTER SERVER AUDIT - DROP SERVER AUDIT - CREATE SERVER AUDIT SPECIFICATION - ALTER SERVER AUDIT SPECIFICATION - DROP SERVER AUDIT SPECIFICATION - CREATE DATABASE AUDIT SPECIFICATION - ALTER DATABASE AUDIT SPECIFICATION - DROP DATABASE AUDIT SPECIFICATION