Los Eventos Extendidos de SQL Server – como sustitución y el reemplazo definitivo para los elementos rastreadores y de SQL Server Profiler, se tiene que los eventos extendidos ofrecen varias ventajas, incluidas las herramientas GUI integradas y un rendimiento potencialmente mejorado.

Existen 2 Tipo de Auditoria :

• A Nivel de Servidor

• A Nivel de Base de Datos

Para auditar inicios de sesión fallidos en SQL Server, crearemos un nuevo objeto de auditoría para una instancia de SQL Server. Luego, crearemos un objeto de especificación de auditoría de servidor vinculado al objeto de auditoría. Aunque el mismo objeto de auditoría puede ser utilizado por múltiples especificaciones de auditoría de servidor, es una buena práctica declarar un objeto de auditoría por tipo de evento de auditoría (por ejemplo, inicios de sesión fallidos) para evitar el ruido en la información capturada por otros eventos auditados. Además, esto facilita el mantenimiento de una estructura de auditoría (auditoría y objetos de especificación de auditoría del servidor junto con los archivos de registro correspondientes).

Expanda el nodo Seguridad en el Explorador de Objetos de SQL Server Management Studio y seleccione la opción Nueva auditoría en el menú contextual del subnodo Auditorías.

Seleccione la Nueva especificación de auditoría del servidor en el menú contextual del nodo Especificaciones de auditoría del servidor.

Seleccione el valor FAILED_LOGIN_GROUP en el campo Tipo de acción de auditoría de la cuadrícula Acciones . Tenga en cuenta que el resto de los campos de la fila no se pueden establecer.

Listado de Grupos de acciones de auditoría de nivel de servidor

Click en OK para guardar la especificación de auditoría del servidor.

Después, hay que habilitar la auditoria.

Para poder ver la Auditoria, ingresar a View Audit Logs

Con el tiempo, la cantidad de entradas en los registros puede aumentar y el filtrado básico disponible en el Visor de archivos de registro no puede ser útil. También se puede consultar la información sobre inicios de sesión fallidos en los archivos de registro:

SELECT event_time AS Login_Time,
       server_instance_name ,
       statement AS Description
  FROM sys.fn_get_audit_file('C:\AuditoriaSQL*.sqlaudit', DEFAULT, DEFAULT)
WHERE action_id = 'LGIF';

Ahora vamos a ver un ejemplo a Nivel de Base de Datos

Seleccione la Nueva especificación de auditoría del servidor en el menú contextual del nodo Especificaciones de auditoría del servidor.

Seleccione la Nueva especificación de auditoría de la base de datos en el menú contextual del nodo Especificaciones de DataBase Audit Specifications

Se crea una Auditoria para los DELETE de toda la base de datos.

Para poder ver la Auditoria, ingresar a View Audit Logs, y como vez se muestra todos los DELETE realizados en la Base de Datos y puedes ver todos los detalles.