Наконец-то хоть кто-то заинтересовался аудитом, а то сколько форум не читал, никто ни спрашивал ни отвечал.

Я использую аудит следующих операций:

-login (45-й event). Зачем пять записей, там только одна. Причем с EBF11541 кроме NETBIOS имени в поле extrainfo добавили и ip с какой машины производилось соединение.

-выполнение хранимой процедуры (38-й). Но это уже у кого как, я знаю, выполнение каких процедур мне надо отслеживать. Прямые select и т.д. для пользователей запрещены, поэтому особо не разбирался как их смотреть, они в extrainfo мало информации пишут.
Поставил только админам на cmdtext, т.е. все чего они из командной строки запускают. В базу от этого много записей валится, но все же полезно.

-загрузку/сохранение дампов баз и лога, (34,35,43,44)

Остальное то включу, то выключу, пока еще разбираюсь.

Если данные, которые процессу аудита надо записать в extrainfo больше, чем размер этого поля, то добавляются еще записи с такими же значениями остальных полей (event, eventtime и т.д.) пока в extrainfo не влезут все данные.

Вопрос: Есть ли какой либо признак, по которому можно выделить этот набор записей. Если несколько событий с большими extrainfo записываются в одно время, то их записи идут вперемешку и их трудно просматривать.



------------------
ASE 12.0 EBF11541

у cmdtext event 92

Если кому интересно, то несколько событий с большими extrainfo записываются в одно время, их записи идут по порядку со значениями в поле sequece начиная от 1.

------------------
ASE 12.0 EBF11541