18.4. Die Konfiguration des Audit

18.4.1. Ereignis-Auswahlausdrücke

Auswahlausdrücke werden an einigen Stellen der Audit-Konfiguration benützt, um zu bestimmen, welche Ereignisse auditiert werden sollen. Die Ausdrücke enthalten eine Liste der Ereignisklassen, welche verglichen werden sollen, jede mit einem Präfix, welches anzeigt, ob verglichene Datensätze akzeptiert oder ignoriert werden sollen und optional, um anzuzeigen, ob der Eintrag beabsichtigt, erfolgreiche oder fehlgeschlagene Operationen zu vergleichen. Auswahlausdrücke werden von links nach rechts ausgewertet und zwei Ausdrücke werden durch Aneinanderhängen miteinander kombiniert.

Die folgende Liste enthält die Standard-Ereignisklassen für das Audit und ist in audit_class festgehalten:

• all – all – Vergleiche alle Ereignisklassen.

• ad – administrative – Administrative Aktionen ausgeführt auf dem System als Ganzes.

• ap – application – Aktionen definiert für Applikationen.

• cl – file close – Audit-Aufrufe für den Systemaufruf close.

• ex – exec – Ausführung des Audit-Programms. Auditierung von Befehlszeilen-Argumenten und Umgebungsvariablen wird gesteuert durch audit_control(5) mittels der argv und envv-Parametergemäss der Richtlinien-Einstellungen.

• fa – file attribute access – Auditierung des Zugriffs auf Objektattribute wie stat(1), pathconf(2) und ähnlichen Ereignissen.

• fc – file create – Audit-Ereignisse, bei denen eine Datei als Ergebnis angelegt wird.

• fd – file delete – Audit-Ereignisse, bei denen Dateilöschungen vorkommen.

• fm – file attribute modify – Audit-Ereignisse, bei welchen Dateiattribute geändert werden, wie chown(8), chflags(1), flock(2) etc.

• fr – file read – Audit-Ereignisse, bei denen Daten gelesen oder Dateien zum lesen geöffnet werden usw.

• fw – file write – Audit-Ereignisse, bei welchen Daten geschrieben oder Dateien geschrieben oder verändert werden usw.

• io – ioctl – Nutzung des Systemaufrufes ioctl(2) durch Audit.

• ip – ipc – Auditierung verschiedener Formen von Inter-Prozess-Kommunikation einschliesslich POSIX-Pipes und System V IPC-Operationen.

• lo – login_logout – Audit-Ereignisse betreffend login(1) und logout(1), welche auf dem System auftreten.

• na – non attributable – Auditierung nicht-attributierbarer Ereignisse (Ereignisse, die nicht auf einen bestimmten Benutzer zurückgeführt werden können).

• no – invalid class – Kein Abgleich von Audit-Ereignissen.

• nt – network – Audit-Ereignisse in Zusammenhang mit Netzwerkaktivitäten wie z.B. connect(2) und accept(2).

• ot – other – Auditierung verschiedener Ereignisse.

• pc – process – Auditierung von Prozess-Operationen wie exec(3) und exit(3).

Diese Ereignisklassen können angepasst werden durch Modifizierung der Konfigurationsdateien audit_class und audit_event.

Jede Audit-Klasse in dieser Liste ist kombiniert mit einem Präfix, welches anzeigt, ob erfolgreiche/gescheiterte Operationen abgebildet werden, und ob der Eintrag den Abgleich hinzufügt oder entfernt für die Klasse und den Typ.

• (none) Kein Präfix, sowohl erfolgreiche als auch gescheiterte Vorkommen eines Ereignisses werden auditiert.

• + Auditiere nur erfolgreiche Ereignisse in dieser Klasse.

• - Auditiere nur gescheiterte Operationen in dieser Klasse.

• ^ Auditiere weder erfolgreiche noch gescheiterte Ereignisse in dieser Klasse.

• ^+ Auditiere keine erfolgreichen Ereignisse in dieser Klasse.

• ^- Auditiere keine gescheiterten Ereignisse in dieser Klasse.

Das folgende Beispiel einer Auswahl-Zeichenkette wählt erfolgreiche und gescheiterte Anmelde/Abmelde-Ereignisse aus, aber nur erfolgreich beendete Ausführungs-Ereignisse:

lo,+ex

18.4.2. Konfigurationsdateien

In den meisten Fällen müssen Administratoren nur zwei Dateien ändern, wenn sie das Audit-System konfigurieren: audit_control und audit_user. Die erste Datei steuert systemweite Audit-Eigenschaften und -Richtlinien; die zweite Datei kann für die Feinanpassung der Auditierung von Benutzern verwendet werden.

dir:/var/audit
flags:lo
minfree:20
naflags:lo
policy:cnt
filesz:0

root:lo,+ex:no
www:fc,+ex:no