SQL Server中DML触发器无法监控提权操作，因其权限变更不经过用户表写入流程；必须组合使用DDL触发器、登录触发器和扩展事件（如audit_add_login_to_server_role_event）才能全面捕获。
直接在 SQL Server 中用触发器监控用户提权操作不可行——因为权限变更（如 sp_addsrvrolemember、ALTER SERVER ROLE ... ADD MEMBER）不触发 DML 触发器，也不走表写入流程，而是通过系统存储过程或 DDL 语句修改系统元数据，无法被 INSTEAD OF 或 AFTER 触发器捕获。
为什么 DML 触发器对权限提权完全无效
SQL Server 的服务器级角色成员变更（如加进 sysadmin）、数据库级角色授权（如 db_owner）、或显式 GRANT 权限操作，底层不修改用户可访问的任何用户表（如 sys.server_role_members 是只读视图），也不经过 INSERT/UPDATE/DELETE 流程。所以即使你在 sys.database_principals 或 sys.server_principals 上建触发器，也根本不会被调用。
-
sys.server_role_members和sys.database_role_members是系统视图，不是基表，不能建 DML 触发器 - 所有角色添加动作都由系统内部过程处理，不产生可拦截的 DML 事件
- DDL 触发器（
CREATE_SERVER_ROLE,ADD_SERVER_ROLE_MEMBER等）虽存在，但 SQL Server **不支持**对这些事件建FOR触发器——仅支持AFTER，且仅限部分事件；而ADD_SERVER_ROLE_MEMBER类事件根本不在可监听列表中（截至 SQL Server 2022 CU19）
真正能落地的监控方案：DDL 触发器 + 登录触发器 + 扩展事件
必须组合使用三种机制，缺一不可：
- 对
GRANT/DENY/REVOKE建AFTER DDL触发器：可捕获显式权限授予，但无法覆盖角色成员变更 - 用登录触发器（
LOGONtrigger）检查新会话是否具备高危权限：例如IS_SRVROLEMEMBER('sysadmin') = 1，发现即记录并可ROLLBACK - 启用扩展事件（
XEvent）监听audit_add_login_to_server_role_event和audit_add_member_to_db_role_event：这是唯一能稳定捕获角色添加行为的方式，需提前配置目标（如 event_file 或 ring_buffer）
示例 DDL 触发器（仅覆盖 GRANT 场景）：
CREATE TRIGGER trg_monitor_grant_on_server
ON ALL SERVER
AFTER GRANT_DATABASE, GRANT_SERVER
AS
BEGIN
IF EVENTDATA().value('(/EVENT_INSTANCE/ObjectType)[1]', 'NVARCHAR(100)') = 'SERVER'
AND EVENTDATA().value('(/EVENT_INSTANCE/TargetObjectName)[1]', 'NVARCHAR(128)') IN ('sysadmin', 'securityadmin', 'serveradmin')
BEGIN
INSERT INTO dbo.audit_log (event_time, event_type, target_principal, grantor)
VALUES (GETDATE(), 'SERVER_ROLE_GRANT',
EVENTDATA().value('(/EVENT_INSTANCE/ObjectName)[1]', 'NVARCHAR(128)'),
EVENTDATA().value('(/EVENT_INSTANCE/LoginName)[1]', 'NVARCHAR(128)'));
END
END;
容易忽略的关键限制和风险点
即使上述组合方案部署完成，仍存在几个硬性盲区：
- 扩展事件默认不开启，且
audit_add_login_to_server_role_event在 SQL Server 2016+ 才支持，2014 及更早版本无替代方案 - 登录触发器只能在连接建立时检查，无法回溯已存在的高权限会话；若攻击者复用已有连接，将完全绕过
- 所有自定义日志表（如
dbo.audit_log）必须设为TRUSTWORTHY OFF并用证书签名，否则高权限用户可直接清空或篡改 - 扩展事件文件路径若落在系统盘且未轮转，可能撑爆磁盘；建议设置
max_file_size和max_rollover_files
最现实的做法是：把扩展事件作为主通道，登录触发器作实时阻断补充，DDL 触发器仅当业务明确要求审计 GRANT 语句时才启用——三者逻辑上不重叠，也不能互相替代。
