プロセスの監査特性

最初のログイン時に次の監査特性が設定されます。

• 「プロセス事前選択マスク」– audit_control ファイルと audit_user データベースの監査クラスを結合したもの。ユーザーがログインすると、ログインプロセスは、事前に選択されたクラスを結合し、そのユーザーのプロセスに対する「プロセス事前選択マスク」を確立します。プロセス事前選択マスクは、各監査クラス内のイベントで監査レコードを生成するかどうかを指定します。

  ユーザーのプロセス事前選択マスクを取得する方法は、次のアルゴリズムで表されます。

  (flags line + always-audit-classes) - never-audit-classes

  audit_control ファイル内の flags 行にある監査クラスを、audit_user データベース内のユーザーエントリの always-audit-classes フィールドにあるクラスに追加します。次に、ユーザーの never-audit-classes フィールドにあるクラスを全体のクラスから減算します。

• 「監査 ID」– ユーザーがログインすると、プロセスは監査 ID を取得します。監査 ID は、ユーザーの初期プロセスが起動するすべての子プロセスに継承されます。監査 ID はアカウントの追跡を強行するときにも役立ちます。ユーザーが root になったあとも、監査 ID はそのまま変わらずに残ります。各監査レコード内に保存された監査 ID を使用すると、常に動作を追跡してログインした元のユーザーまでたどることができます。

• 「監査セッション ID」– 監査セッション ID はログイン時に割り当てられます。このセッション ID はすべての子プロセスに継承されます。

• 「端末 ID (ポート ID、マシンアドレス)」 – 端末 ID は、ホスト名とインターネットアドレスで構成され、そのあとにユーザーがログインした物理デバイスを識別する一意の番号が続きます。通常、ログインはコンソールから行われ、そのコンソールデバイスに対応する番号は 0 になります。