А можно включить штатный аудит от С2

C2 – это показатель оценки защиты системы (принятый в США), который показывает, что система достаточно хорошо защищена и имеет развитые функции аудита. Этот режим позволяет контролировать все попытки обращения к объектам базы данных. Чтобы включить режим C2, используйте следующий синтаксис:

EXEC sp_configure 'c2 audit mode', '1'
RECONFIGURE

Чтобы полностью обеспечить требования c2, Windows также должен соответствовать этому классу защищённости. После того, как Вы установили опцию «c2 audit mode» и перезапустили SQL сервер, автоматически создаётся файл трассировки в каталоге \MSSQL\Data. Используя Profiler, Вы можете просматривать этот файл трассировки.
SQL сервер сохраняет данные в файл трассировки блоками во 128Кб. Т.о. если SQL сервер будет отключен не надлежащим образом, самое большее, что Вы можете потерять, это 128Кб данных аудита. Не трудно представить, что файлы трассировки аудита будут быстро расти. Когда журнал аудита достигнет 200Мб, он будет завершен и создастся новый. При каждом своём запуске SQL сервер начинает новый файл аудита. Если пространство на жестком диске будет исчерпано, SQL сервер завершит свою работу и не будет запускаться до тех пор, пока Вы не освободите место на диске для файла аудита и не перезапустите сервер. У Вас есть возможность отключить аудит при запуске сервера, используя ключ -f.