Activation et utilisation de l'audit

Le gestionnaire de domaines logiques utilise la fonction d'audit du SE Oracle Solaris pour examiner l'historique des actions et événements qui se sont produits sur votre domaine de contrôle. L'historique est conservé dans un journal de ce qui a été fait, quand cela a été fait, par qui et ce qui a été affecté.

Vous pouvez activer et désactiver la fonction d'audit selon la version du SE Oracle Solaris exécutée sur votre système, comme suit :

• SE Oracle Solaris 10 : utilisez les commandes bsmconv et bsmunconv. Reportez-vous aux pages de manuel bsmconv(1M) et bsmunconv(1M), ainsi qu'à la version Oracle Solaris 10 du System Administration Guide: Security Services.

• SE Oracle Solaris 11 Express : utilisez la commande audit. Reportez-vous à la page de manuel audit(1M) et à la version Oracle Solaris 11 Express du System Administration Guide: Security Services.

Activation de l'audit

1. Ajoutez des personnalisations aux fichiers /etc/security/audit_event et /etc/security/audit_class.

   Ces personnalisations sont conservées lors des mises à niveau d'Oracle Solaris, mais elles doivent être ajoutées de nouveau après une réinstallation d'Oracle Solaris.

   1. Ajoutez l'entrée suivante au fichier audit_event, si elle n'y figure pas :

      40700:AUE_ldoms:ldoms administration:vs

   2. Ajoutez l'entrée suivante au fichier audit_class, si elle n'y figure pas :

      0x10000000:vs:virtualization_software

2. Activez la fonction d'audit.
   • Activez la fonction d'audit sur votre système Oracle Solaris 10.
     1. Exécutez la commande bsmconv.

        # /etc/security/bsmconv

     2. Réinitialisez le système.
   • Activez la fonction d'audit sur votre système Oracle Solaris 11 Express.

     # audit -s

3. Vérifiez que le logiciel d'audit est en cours d'exécution.

   # auditconfig -getcond

   Si le logiciel d'audit est en cours d'exécution, audit condition = auditing s'affiche dans la sortie.

Désactivation de l'audit

• Désactivez la fonction d'audit.
  • Désactivez la fonction d'audit sur votre système Oracle Solaris 10.
    1. Exécutez la commande bsmunconv.

       # /etc/security/bsmunconv
       Are you sure you want to continue? [y/n] y
       This script is used to disable the Basic Security Module (BSM).
       Shall we continue the reversion to a non-BSM system now? [y/n] y
       bsmunconv: INFO: removing c2audit:audit_load from /etc/system.
       bsmunconv: INFO: stopping the cron daemon.
       
       The Basic Security Module has been disabled.
       Reboot this system now to come up without BSM.

    2. Réinitialisez le système.
  • Désactivez la fonction d'audit sur votre système Oracle Solaris 11 Express.
    1. Exécutez la commande audit -t.

       # audit -t

    2. Vérifiez que le logiciel d'audit n'est plus en cours d'exécution.

       # auditconfig -getcond
       audit condition = noaudit

Impression de la sortie d'audit

• Utilisez l'une des méthodes suivantes pour imprimer la sortie d'audit :
  • Utilisez les commandes auditreduce et praudit pour imprimer la sortie d'audit.

    # auditreduce -c vs | praudit
    # auditreduce -c vs -a 20060502000000 | praudit

  • Utilisez la commande praudit -x pour imprimer la sortie XML.

Rotation des journaux d'audit

• Utilisez la commande audit -n pour faire tourner les journaux d'audit.

  La rotation des journaux d'audit ferme le fichier d'audit actuel et en ouvre un nouveau dans le répertoire d'audit actuel.