From owner-p4-projects@FreeBSD.ORG Fri Sep 14 21:33:44 2007 Return-Path: Delivered-To: p4-projects@freebsd.org Received: by hub.freebsd.org (Postfix, from userid 32767) id 071DE16A41A; Fri, 14 Sep 2007 21:33:44 +0000 (UTC) Delivered-To: perforce@FreeBSD.org Received: from mx1.freebsd.org (mx1.freebsd.org [IPv6:2001:4f8:fff6::34]) by hub.freebsd.org (Postfix) with ESMTP id B847C16A418 for ; Fri, 14 Sep 2007 21:33:43 +0000 (UTC) (envelope-from pgj@FreeBSD.org) Received: from repoman.freebsd.org (repoman.freebsd.org [IPv6:2001:4f8:fff6::29]) by mx1.freebsd.org (Postfix) with ESMTP id A8F8C13C48A for ; Fri, 14 Sep 2007 21:33:43 +0000 (UTC) (envelope-from pgj@FreeBSD.org) Received: from repoman.freebsd.org (localhost [127.0.0.1]) by repoman.freebsd.org (8.14.1/8.14.1) with ESMTP id l8ELXh7m042429 for ; Fri, 14 Sep 2007 21:33:43 GMT (envelope-from pgj@FreeBSD.org) Received: (from perforce@localhost) by repoman.freebsd.org (8.14.1/8.14.1/Submit) id l8ELXhJ3042414 for perforce@freebsd.org; Fri, 14 Sep 2007 21:33:43 GMT (envelope-from pgj@FreeBSD.org) Date: Fri, 14 Sep 2007 21:33:43 GMT Message-Id: <200709142133.l8ELXhJ3042414@repoman.freebsd.org> X-Authentication-Warning: repoman.freebsd.org: perforce set sender to pgj@FreeBSD.org using -f From: Gabor Pali To: Perforce Change Reviews Cc: Subject: PERFORCE change 126408 for review X-BeenThere: p4-projects@freebsd.org X-Mailman-Version: 2.1.5 Precedence: list List-Id: p4 projects tree changes List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Fri, 14 Sep 2007 21:33:44 -0000 http://perforce.freebsd.org/chv.cgi?CH=126408 Change 126408 by pgj@disznohal on 2007/09/14 21:32:42 Submit the initial Hungarian translation of Chapter 17: Security Event Auditing. Affected files ... .. //depot/projects/docproj_hu/books/handbook/audit/chapter.sgml#2 edit Differences ... ==== //depot/projects/docproj_hu/books/handbook/audit/chapter.sgml#2 (text+ko) ==== @@ -1,22 +1,19 @@ - + - + Tom Rhodes - Written by + Írta: Robert @@ -25,503 +22,556 @@ - Security Event Auditing + Biztonsági események vizsgálata - Synopsis + Áttekintés AUDIT - Security Event Auditing + Biztonsági események vizsgálata MAC - FreeBSD 6.2-RELEASE and later include support for fine-grained - security event auditing. Event auditing allows the reliable, - fine-grained, and configurable logging of a variety of - security-relevant system events, including logins, configuration - changes, and file and network access. These log records can be - invaluable for live system monitoring, intrusion detection, and - postmortem analysis. &os; implements &sun;'s published - BSM API and file format, and is interoperable with - both &sun;'s &solaris; and &apple;'s &macos; X audit implementations. - - This chapter focuses on the installation and configuration of - Event Auditing. It explains audit policies, and provides an example - audit configuration. + A &os; 6.2-RELEASE és az azóta megjelent verziók támogatják a + biztonsági események aprólékos vizsgálatát. Ezzel egy megbízható, + részletes és jól konfigurálható naplózási rendszert társítanak a + rendszerben található biztonságot igénylõ események széles köréhez, + beleértve a bejelentkezéseket, a konfigurációs állományokban bekövetkezõ + változásokat, állomány- és hálózati hozzáféréseket. Az így létrehozott + naplóbejegyzések felbecsülhetetlen értékûnek bizonyulhatnak egy élõ + rendszer felügyelete során, vagy egy hálózati támadás észleléséhez, + esetleg egy összeomlás okainak kielemezéséhez. A &os; ehhez a &sun; + által kifejlesztett BSM technológia API-ját és + állományformátumát valósítja meg, és így képes együttmûködni a &sun; + &solaris; valamint az &apple; &macos; X bizonsági rendszereivel + egyaránt. + + Ebben a fejezetben a biztonsági események vizsgálatának + telepítéséhez és beállításához szükséges ismeretek tekintjük át. + Ennek keretében szó esik a vizsgálati házirendekrõl, valamint + mutatunk egy példát a vizsgálatok beállítására. + + A fejezet elolvasása során megismerjük: - After reading this chapter, you will know: - - What Event Auditing is and how it works. + mit jelent az események vizsgálata és hogyan + mûködik. - How to configure Event Auditing on &os; for users - and processes. + hogyan kell beállítani az események vizsgálatát &os;-n + a különbözõ felhasználók és programok esetén. - How to review the audit trail using the audit reduction and - review tools. + hogyan értelmezzük egy vizsgálati nyomokat a + vizsgálatot szûkítõ és -elemzõ segédprogramok segítségével. - Before reading this chapter, you should: + A fejezet elolvasásához ajánlott: - Understand &unix; and &os; basics - (). + alapvetõ &unix;-os és &os;-s ismeretek + (). - Be familiar with the basics of kernel - configuration/compilation - (). + a rendszermag konfigurálásával és fordításával kapcsolatos + tudnivalók alapszintû ismerete (). - Have some familiarity with security and how it - pertains to &os; (). + az informatikai biztonság alapfogalmainak és annak a &os;-re + vonatkozó részleteinek minimális ismerete + (). - The audit facility in &os; 6.2 is experimental, and production - deployment should occur only after careful consideration of the - risks of deploying experimental software. Known limitations include - that not all security-relevant system events are currently auditable, - and that some login mechanisms, such as X11-based display managers - and third party daemons, do not properly configure auditing for user - login sessions. + A &os; 6.2-es verziójában jelenlevõ biztonsági vizsgálat még + csak kísérleti jelleggel szerepel, éles környezetben kizárólag csak + az ilyen fajta szoftverekkel kapcsolatos kockázatok tudatában és + elfogadásával javasolt használni. Ismert korlátozások: nem mindegyik + biztonságot érintõ esemény vizsgálható, mint mondjuk az egyes + bejelentkezési típusok, mivel azok nem megfelelõen hitelesítik + a belépõ felhasználókat. Ilyenek például az X11-alapú felületek és + az egyéb, erre a célra alkalmas, más által fejlesztett daemonok. - The security event auditing facility is able to generate very - detailed logs of system activity: on a busy system, trail file - data can be very large when configured for high detail, exceeding - gigabytes a week in some configurations. Administrators should take - into account disk space requirements associated with high volume - audit configurations. For example, it may be desirable to dedicate - a file system to the /var/audit tree so that - other file systems are not affected if the audit file system becomes - full. + A biztonsági események vizsgálata során a rendszer képes nagyon + részletes naplókat készíteni az érintett tevékenységekrõl. Így egy + kellõen forgalmas rendszeren az állománymozgások alapos nyomonkövetése + bizonyos konfigurációkon akár gigabyte-okat is kitehet hetente. A + rendszergazdáknak ezért mindig javasolt számolniuk a nagy forgalmú + események biztonsági vizsgálatának tárigényével. Például, emiatt + érdemes lehet egy egész állományrendszert szánni erre a feladatra a + /var/audit könyvtárban, és így a többi + állományrendszer nem látja kárát, ha véletlenül betelne ez a + terület. - Key Terms in this Chapter + A fejezet fontosabb fogalmai - Before reading this chapter, a few key audit-related terms must be - explained: + A fejezet elolvasása elõtt meg kell ismernünk néhány fontos + alapfogalmat: - event: An auditable event is any event - that can be logged using the audit subsystem. - Examples of security-relevant events include the creation of - a file, the building of a network connection, or a user logging in. - Events are either attributable, - meaning that they can be traced to an authenticated user, or - non-attributable if they cannot be. - Examples of non-attributable events are any events that occur - before authentication in the login process, such as bad password - attempts. + esemény: Vizsgálható eseménynek azt az + eseményt nevezzük, amely egy vizsgálati alrendszerben naplózható. + Biztonsági események lehetnek például: egy állomány létrehozása, + egy hálózati kapcsolat felépítése, vagy egy felhasználó + bejelentkezése. Egy esemény jellegzetes, ha + visszakövethetõ valamelyik hitelesített felhasználóhoz, vagy + nem jellegzetes, ha ez nem lehetséges. Nem + jellegzetes események lehet például minden olyan esemény, amely + egy bejelentkezési folyamat hitelesítési lépése elõtt történik, + ilyenek a hibás jelszóval történõ belépési kísérletek. - class: Event classes are named sets of - related events, and are used in selection expressions. Commonly - used classes of events include file creation (fc), - exec (ex) and login_logout - (lo). + osztály: Eseményosztálynak az összefüggõ + események névvel ellátott halmazát tekintjük, és szûrési + feltételekben használjuk õket. Általában alkalmazott osztályok: + file creation (fc, állománylétrehozás), + exec (ex, programindítás), és + login_logout (lo, ki- és bejelentkezés). - record: A record is an audit log entry - describing a security event. Records contain a record event type, - information on the subject (user) performing the action, - date and time information, information on any objects or - arguments, and a success or failure condition. + rekord: Rekordnak nevezzük a biztonsági + eseményeket leíró biztonsági naplóbejegyzéseket. A rekordok + tartalmazhatják a feljegyzett esemény típusát, az eseményt kiváltó + tevékenységet (felhasználót), a dátumot és az idõt, tetszõleges + objektum vagy paraméter értékét, feltételek teljesülését vagy + meghiúsulását. - trail: An audit trail, or log file, - consists of a series of audit records describing security - events. Typically, trails are in roughly chronological - order with respect to the time events completed. Only - authorized processes are allowed to commit records to the - audit trail. + nyom: Vizsgálati nyomnak vagy + naplóállománynak nevezzük a különféle biztonsági eseményeket + leíró vizsgálati rekordok sorozatát. A nyomok többnyire nagyjából + az események bekövetkezése szerinti idõrendben következnek. Csak + és kizárólag az erre felhatalmazott programok hozhatnak létre + rekordokat a vizsgálati nyomban. - selection expression: A selection - expression is a string containing a list of prefixes and audit - event class names used to match events. + szûrési feltétel: Szûrési + feltételnek nevezünk egy olyan sztringet, amelyet események + szûrésére használunk, és módosítókat valamint eseményosztályok + neveit tartalmazza. - preselection: The process by which the - system identifies which events are of interest to the administrator - in order to avoid generating audit records describing events that - are not of interest. The preselection configuration - uses a series of selection expressions to identify which classes - of events to audit for which users, as well as global settings - that apply to both authenticated and unauthenticated - processes. + elõválogatás: Elõválogatásnak nevezzük + a folyamatot, amelynek során a rendszer beazonosítja azokat az + eseményeket, amelyek a rendszergazda számára fontosak. Ezáltal + elkerülhetjük olyan vizsgálati rekordok generálását, amelyek + számunkra érdektelen eseményekrõl számolnak be. Az elõválogatás + szûrési feltételek sorát használja az adott felhasználókhoz + tartozó adott biztonsági események vizsgálatának beállításához, + akárcsak a hitelesített és a nem hitelesített programokat + értintõ globális beállítások meghatározásához. - reduction: The process by which records - from existing audit trails are selected for preservation, printing, - or analysis. Likewise, the process by which undesired audit - records are removed from the audit trail. Using reduction, - administrators can implement policies for the preservation of audit - data. For example, detailed audit trails might be kept for one - month, but after that, trails might be reduced in order to preserve - only login information for archival purposes. + leszûkítés: Leszûkítésnek nevezzük a + folyamatot, amelynek során a már meglevõ biztonsági rekordokból + válogatunk le tárolásra, nyomtatásra vagy elemzésre. Hasonlóan + ez a folyamat, ahol a szükségtelen rekordokat eltávolítjuk a + vizsgálatai nyomból. A leszûkítés segítségével a rendszergazdák + a vizsgálati adatok eltárolására alakíthatnak ki házirendet. + Például a részletesebb vizsgálati nyomokat érdemes egy hónapig + megtartani, ennek lejártával viszont már inkább ajánlott + leszûkíteni õket és archiválásra csak a bejelentkezési információkat + megtartani. - Installing Audit Support - - User space support for Event Auditing is installed as part of the - base &os; operating system as of 6.2-RELEASE. However, Event Auditing - support must be explicitly compiled into the kernel by adding the - following lines to the kernel configuration file: - + A vizsgálat támogatásának telepítése + + A eseményvizsgálathoz szükséges felhasználói programok a &os; + 6.2-RELEASE kiadásától kezdõdõen az alap operációs rendszer részét + képezik. Azonban az eseményvizsgálat használatához a rendszermagban is + be kell kapcsolnunk a megfelelõ támogatást, mégpedig a rendszermag + konfigurációs állományában az alábbi sor hozzáadásával: + options AUDIT - - Rebuild and reinstall - the kernel via the normal process explained in - . - - Once the kernel is built, installed, and the system has been - rebooted, enable the audit daemon by adding the following line to - &man.rc.conf.5;: - + + Fordítsuk és telepítsük újra a rendszermagot az + ben ismertetett folyamat szerint. + + Ahogy a rendszermagot sikerült lefordítanunk és telepítenünk, + valamint a rendszerünk is újraindult, indítsuk el a vizsgáló daemont + a következõ sor hozzáadásával a &man.rc.conf.5;-ban: + auditd_enable="YES" - - Audit support must then be started by a reboot, or by manually - starting the audit daemon: - + + A vizsgálatot innentõl ténylegesen egy ismételt újraindítással vagy + pedig az elõbb említett daemon manuális elindításával + aktiválhatjuk: + /etc/rc.d/auditd start - Audit Configuration + A vizsgálat beállítása - All configuration files for security audit are found in - /etc/security. The following - files must be present before the audit daemon is started: + A vizsgálatok beállításához szükséges összes konfigurációs állomány + a /etc/security könyvtárban + található. A következõ állományok vannak itt a daemon indítása + elõtt: - audit_class - Contains the - definitions of the audit classes. - + audit_class - a vizsgálati osztályok + definícióit tartalmazza. + - audit_control - Controls aspects - of the audit subsystem, such as default audit classes, - minimum disk space to leave on the audit log volume, - maximum audit trail size, etc. + audit_control - a vizsgálati alrendszer + különbözõ területei vezérli, többek közt az alapértelmezett + vizsgálati osztályokat, az vizsgálati adatok tárhelyén meghagyandó + minimális lemezterület, a vizsgálati nyom maximális mérete + stb. - audit_event - Textual names and - descriptions of system audit events, as well as a list of which - classes each event in. + audit_event - a rendszerben jelenlevõ + vizsgálati események szöveges megnevezése és leírása, valamint a + lista, hogy melyikük mely osztályban található. - audit_user - User-specific audit - requirements, which are combined with the global defaults at - login. + audit_user - felhasználónként változó + vizsgálati elvárások, kombinálva a bejelentkezéskor érvényes + globálisan alapértelmezett beállításokkal. - audit_warn - A customizable shell script - used by auditd to generate warning messages in exceptional - situations, such as when space for audit records is running low or - when the audit trail file has been rotated. + audit_warn - az + auditd által használt testreszabható + shell szkript, aminek segítségével a szélsõséges helyzetekben + figyelmeztetõ üzeneteket tudunk generálni, mint mondjuk amikor + a rekordok számára fenntartott hely elfogyóban van, vagy amikor a + nyomokat tartalmazó állományt archiváltuk. - Audit configuration files should be edited and maintained - carefully, as errors in configuration may result in improper - logging of events. + Az eseményvizsgálat konfigurációs állományait alapos körültekintés + mellett szabad szerkeszteni és karbantartani, mivel a bennük keletkezõ + hibák az események helytelen naplózását eredményezhetik. - Event Selection Expressions + Eseményszûrési feltételek - Selection expressions are used in a number of places in the - audit configuration to determine which events should be audited. - Expressions contain a list of event classes to match, each with - a prefix indicating whether matching records should be accepted - or ignored, and optionally to indicate if the entry is intended - to match successful or failed operations. Selection expressions - are evaluated from left to right, and two expressions are - combined by appending one onto the other. + Az eseményvizsgálati beállítások során számtalan helyen felbukkanak + a vizsgálni kívánt eseményeket meghatározó szûrési feltételek. Ezen + feltételek eseményosztályok felsorolását tartalmazzák, mindegyiküket + egy módosító vezeti be, ezzel jelezve, hogy az adott eseményosztályba + tartozó rekordokat tartsuk meg vagy vessük el. Esetleg utalhatnak arra + is, hogy vagy csak a sikerességet jelzõ rekordokat, vagy csak a + sikertelenséget jelzõ rekordokat szûrjük ki. A szûrési feltételek + balról jobbra értékelõdnek ki, és két kifejezés összefûzéssel + kombinálható. + + A most következõ lista tartalmazza a + audit_class állományban található alapértelmezett + eseményvizsgálati osztályokat: - The following list contains the default audit event classes - present in audit_class: - - - all - all - Match all - event classes. - + + all - all (mind) - + Minden eseményosztályra vonatkozik. + + + + ad - + administrive (adminisztrációs) - olyan + adminisztrációs tevékenységek, amelyek egyben az egész rendszeren + végrehajtódnak. + + + + ap - + application (alkalmazás) - az alkalmazások + által meghatározott tevékenység. + + + + cl - + file close (állomány lezárása) - a + close rendszerhívás meghívásának + vizsgálata. + + + + ex - + exec (programindítás) - egy program + indításának vizsgálata. A parancssorban átadott paraméterek és + a környezeti változók vizsgálatát a &man.audit.control.5; + vezérli a policy beállításhoz tartozó + argv és envv + paraméterek segítségével. + + + + fa - + file attribute access + (állományjellemzõk hozzáférése) - a rendszerbeli + objektumok jellemzõinek hozzáférésnek vizsgálata, mint pl. a + &man.stat.1;, &man.pathconf.2; és ehhez hasonló események. + - - ad - administrative - - Administrative actions performed on the system as a - whole. - - - - ap - application - - Application defined action. - + + fc - + file create (állomány létrehozása) - + állományt eredményezõ események vizsgálata. + + + + fd - + file delete (állomány törlése) - + állományt törlõ események vizsgálata. + + + + fm - + file attribute modify (állományjellemzõk + módosítása) - állományok jellemzõit megváltoztató + események vizsgálata, mint mondjuk a &man.chown.8;, + &man.chflags.1;, &man.flock.2; stb. + + + + fr - + file read (állományolvasás) - + állományok olvasásra történõ megnyitásával, olvasásával + stb. kapcsolatos események vizsgálata. + + + + fw - + file write (állományírás) - + állományok írásra történõ megnyitásával, írásával, + módosításával stb. kapcsolatos események vizsgálata. + + + + io - + ioctl - a &man.ioctl.2; rendszerhívást + használó események vizsgálata. + + + + ip - + ipc - a folyamatok közti kommunikáció + különféle formáinak, beleértve a POSIX csövek és System V + IPC mûveleteinek vizsgálata. + + + + lo - + login_logout (ki- és bejelentkezés) - + a rendszerben megjelenõ &man.login.1; és &man.logout.1; + események vizsgálata. + + + + na - + non attributable (nem jellegzetes) - + a nem jellegzetes események vizsgálata. + + + + no - + invalid class (érvénytelen osztály) - + egyetlen biztonsági eseményt sem tartalmaz. + + + + nt - + network (hálózat) - + a hálózathoz tartozó események vizsgálata, mint pl. a + &man.connect.2; és &man.accept.2;. + + + + ot - + other (egyéb) - + más egyéb események vizsgálata. + + + + pc - + process (folyamat) - a folyamatokkal + kapcsolatos mûveletek, mint például a &man.exec.3; és + &man.exit.3; vizsgálata. + - - cl - file close - - Audit calls to the close system - call. - - - - ex - exec - Audit - program execution. Auditing of command line arguments and - environmental variables is controlled via &man.audit.control.5; - using the argv and envv - parameters to the policy setting. - - - - fa - file attribute access - - Audit the access of object attributes such as - &man.stat.1;, &man.pathconf.2; and similar events. - - - - fc - file create - - Audit events where a file is created as a result. - - - - fd - file delete - - Audit events where file deletion occurs. - - - - fm - file attribute modify - - Audit events where file attribute modification occurs, - such as &man.chown.8;, &man.chflags.1;, &man.flock.2;, - etc. - - - - fr - file read - - Audit events in which data is read, files are opened for - reading, etc. - - - - fw - file write - - Audit events in which data is written, files are written - or modified, etc. - - - - io - ioctl - Audit - use of the &man.ioctl.2; system call. - - - - ip - ipc - Audit - various forms of Inter-Process Communication, including POSIX - pipes and System V IPC operations. - - - - lo - login_logout - - Audit &man.login.1; and &man.logout.1; events occurring - on the system. - - - - na - non attributable - - Audit non-attributable events. - - - - no - invalid class - - Match no audit events. - - - - nt - network - - Audit events related to network actions, such as - &man.connect.2; and &man.accept.2;. - - - - ot - other - - Audit miscellaneous events. - - - - pc - process - - Audit process operations, such as &man.exec.3; and - &man.exit.3;. - - + + Az imént felsorolt eseményosztályok az + audit_class és audit_event + állományok módosításával igény szerint testreszabhatóak. + + A listában szereplõ minden egyes eseményosztályhoz tartozik + még egy módosító is, amely jelzi, hogy a sikeres vagy a sikertelen + mûveleteket kell-e szûrnünk, valamint hogy a bejegyzés az adott + típust vagy osztályt hozzáadja vagy elveszi az adott + szûrésbõl. - These audit event classes may be customized by modifying the - audit_class and - audit_event configuration files. - - Each audit class in the list is combined with a prefix - indicating whether successful/failed operations are matched, and - whether the entry is adding or removing matching for the class - and type. - - - (none) Audit both successful and failed instances of the - event. - - - - + Audit successful events in this - class. - - - - - Audit failed events in this - class. - + + + (üres) az adott típusból mind a sikereseket és mind a + sikerteleneket feljegyzi. + + + + + az eseményosztályba tartozó sikeres + eseményeket vizsgálja csak. + + + + - az eseményosztályba tartozó sikertelen + eseményeket vizsgálja csak. + + + + ^ az eseményosztályból sem a sikereseket, + sem pedig a sikerteleneket nem vizsgálja. + + + + ^+ az eseményosztályból nem vizsgálja a + sikeres eseményeket. + + + + ^- az eseményosztályból nem vizsgálja a + sikertelen eseményeket. + - - ^ Audit neither successful nor failed - events in this class. - - - - ^+ Do not audit successful events in this - class. - - - - ^- Do not audit failed events in this - class. - - + + Az alábbi példa egy olyan szûrési feltételt mutat be, amely + a ki/bejelentkezések közül megadja a sikereset és a sikerteleneket, + viszont a programindítások közül csak a sikereseket: - The following example selection string selects both successful - and failed login/logout events, but only successful execution - events: - lo,+ex - Configuration Files - - In most cases, administrators will need to modify only two files - when configuring the audit system: audit_control - and audit_user. The first controls system-wide - audit properties and policies; the second may be used to fine-tune - auditing by user. + A konfigurációs állományok + + A vizsgálati rendszer beállításához az esetek túlnyomó részében + a rendszergazdáknak csupán két állományt kell módosítaniuk: ezek az + audit_control és az + audit_user. Az elõbbi felelõs a rendszerszintû + vizsgálati jellemzõkért és házirendekért, míg az utóbbi az igények + felhasználókénti finomhangolásához használható. - The <filename>audit_control</filename> File + Az <filename>audit_control</filename> állomány + + Az audit_control állomány határozza meg a + vizsgálati alrendszer alapértelmezéseit. Ezt az állományt + megnyitva a következõket láthatjuk: - The audit_control file specifies a number - of defaults for the audit subsystem. Viewing the contents of this - file, we see the following: - - dir:/var/audit + dir:/var/audit flags:lo minfree:20 naflags:lo policy:cnt filesz:0 - The option is used to set one or more - directories where audit logs will be stored. If more than one - directory entry appears, they will be used in order as they fill. - It is common to configure audit so that audit logs are stored on - a dedicated file system, in order to prevent interference between - the audit subsystem and other subsystems if the file system fills. - - - The field sets the system-wide default - preselection mask for attributable events. In the example above, - successful and failed login and logout events are audited for all - users. - - The option defines the minimum - percentage of free space for the file system where the audit trail - is stored. When this threshold is exceeded, a warning will be - generated. The above example sets the minimum free space to - twenty percent. + A opciót használjuk a vizsgálati naplók + tárolására szolgáló egy vagy több könyvtár megadására. Ha egynél + több könyvtárra vonatkozó bejegyzés található az állományban, akkor + azok a megadás sorrendjében kerülnek feltöltésre. Nagyon gyakori + az a beállítás, ahol a vizsgálati naplókat egy erre a célra külön + kialakított állományrendszeren tárolják, megelõzve ezzel az + állományrendszer betelésekor keletkezõ problémákat a többi + alrendszerben. + + A mezõ egy rendszerszintû + alapértelmezett elõválogatási maszkot határoz meg a jellegzetes + események számára. A fenti példában a sikeres és sikertelen ki- + és bejelentkezéseket mindegyik felhasználó esetén + vizsgáljuk. + + A opció megszabja a vizsgálati nyom + tárolására szánt állományrendszeren a minimális szabad helyet, + a teljes kapacitás százalékában. Amint ezt a küszöböt túllépjük, + egy figyelmeztetés fog generálódni. A fenti példa a minimálisan + szükséges rendelkezésre álló helyet húsz százalékra + állítja. + + A opció megadja azokat az + eseményosztályokat, amelyeket vizsgálni kell a nem jellegzetes + események, mind mondjuk a bejelentkezési folyamatok vagy + rendszerdaemonok esetén. + + A opció a vizsgálat különbözõ + szempontjait irányító házirendbeli beállítások vesszõvel + elválasztott listáját tartalmazza. Az alapértelmezett + cnt beállítás azt adja meg, hogy a rendszer + a felmerülõ vizsgálati hibák ellenére is folytassa tovább a + mûködését (erõsen javasolt a használata). A másik gyakorta + alkalmazott beállítás az argv, amellyel a + rendszer a parancsvégrehajtás részeként az &man.execve.2; + rendszerhívás parancssori paramétereit is megvizsgálja. + + A opció meghatározza a + vizsgálati nyom automatikus szétvágása és archiválása elõtti + maximális méretét, byte-ban. Az alapértelmezett értéke a 0, + amely kikapcsolja ezt az archiválást. Ha az itt megadott + állományméret nem nulla és a minimálisan elvárt 512 kb alatt + van, akkor a rendszer figyelmen kívül hagyja és errõl egy + figyelmeztetést ad. - The option specifies audit classes to - be audited for non-attributed events, such as the login process - and system daemons. - - The option specifies a comma-separated - list of policy flags controlling various aspects of audit - behavior. The default cnt flag indicates that - the system should continue running despite an auditing failure - (this flag is highly recommended). Another commonly used flag is - argv, which causes command line arguments to - the &man.execve.2; system call to be audited as part of command - execution. - - The option specifies the maximum size - in bytes to allow an audit trail file to grow to before - automatically terminating and rotating the trail file. The - default, 0, disables automatic log rotation. If the requested - file size is non-zero and below the minimum 512k, it will be - ignored and a log message will be generated. - The <filename>audit_user</filename> File + Az <filename>audit_user</filename> állomány + + Az audit_user állomány lehetõvé teszi a + rendszergazda számára, hogy az egyes felhasználók számára további + vizsgálati szigorításokat határozzon meg. Minden sor egy-egy + felhasználó vizsgálatának pontosítását adja meg két mezõ + segítségével: az elsõ közülük az alwaysaudit + mezõ, mely felsorolja azokat az eseményeket, amelyeket minden + esetben vizsgáni kell az adott felhasználó esetén, valamint a + második a neveraudit mezõ, mely az adott + felhasználó esetén a nem vizsgálandó eseményeket adja meg. + + A most következõ audit_user példában + vizsgáljuk a root felhasználó + ki/bejelentkezéseit és sikeres programindításait, valamint + a www felhasználó + állománylétrehozásait és sikeres programindításait. Ha a korábban + bemutatott audit_control példával együtt + használjuk, akkor észrevehetjük, hogy a lo + bejegyzés a root felhasználó esetén + redundáns, illetve ilyenkor a ki/bejelentkezést a + www felhasználó esetén is vizsgáljuk. - The audit_user file permits the - administrator to specify further audit requirements for specific - users. - Each line configures auditing for a user via two fields: the - first is the alwaysaudit field, which specifies - a set of events that should always be audited for the user, and - the second is the neveraudit field, which - specifies a set of events that should never be audited for the - user. - - The following example audit_user file - audits login/logout events and successful command execution for - the root user, and audits file creation and successful command - execution for the www user. - If used with the example audit_control file - above, the lo entry for root - is redundant, and login/logout events will also be audited for the - www user. - - root:lo,+ex:no + root:lo,+ex:no www:fc,+ex:no @@ -529,36 +579,40 @@ - Administering the Audit Subsystem + A vizsgálati alrendszer használata - Viewing Audit Trails - - Audit trails are stored in the BSM binary format, so tools must - be used to modify or convert to text. The &man.praudit.1; - command converts trail files to a simple text format; the - &man.auditreduce.1; command may be used to reduce the - audit trail file for analysis, archiving, or printing purposes. - auditreduce supports a variety of selection - parameters, including event type, event class, user, date or time of - the event, and the file path or object acted on. + A vizsgálati nyomok megtekintése + + A vizsgálati nyomok a BSM bináris formátumban tárolódnak, + ezért a tartalmának konvertálásához és módosításához külön + segédprogramokra van szükség. A &man.praudit.1; parancs a + nyomállományokat egyszerû szöveges formátumra alakítja, a + &man.auditreduce.1; parancs pedig a nyomok elemzéséhez, + archiválásához vagy nyomtatásához szükséges leszûkítéséket + végzi el. Az auditreduce a szûrési feltételek + paramétereinek széles skáláját kezeli, beleértve az eseménytípusokat, + -osztályokat, felhasználókat, események dátumát vagy idõpontját, + állományok elérési útvonalát vagy az általuk érintett >>> TRUNCATED FOR MAIL (1000 lines) <<<