Activación y utilización auditoría

Dominios lógicos Manager utiliza la función de auditoría del SO de Solaris de Oracle para examinar el historial de acciones y eventos que han tenido lugar en el dominio de control. El historial se guarda en un registro de que lo se ha realizado, cuándo ha sido realizado, por quién y a qué ha afectado.

Puede habilitar e inhabilitar la función de auditoría según la versión del SO de Solaris de Oracle que se ejecute en el sistema, como se indica a continuación:

• SO Solaris de Oracle /10: utilice los comandos bsmconv y bsmunconv. Consulte las páginas de comando man bsmconv(1M) y bsmunconv(1M), y la versión de Solaris de Oracle /10 de System Administration Guide: Security Services.

• SO Solaris de Oracle 11 Express: utilice el comando audit. Consulte la página de comando man audit(1M) y la versión Solaris de Oracle 11 Express de System Administration Guide: Security Services.

Activar auditoría

1. Personalice los archivos /etc/security/audit_event y /etc/security/audit_class.

   Estas personalizaciones se conservan en las actualizaciones de Solaris de Oracle, pero deben volver a añadirse después de una instalación Solaris de Oracle desde cero.

   1. Añada la entrada siguiente al archivo audit_event, si todavía no está presente:

      40700:AUE_ldoms:ldoms administration:vs

   2. Añada la entrada siguiente al archivo audit_class, si todavía no está presente:

      0x10000000:vs:virtualization_software

2. Habilite la función de auditoría.
   • Habilite la función de auditoría en el sistema Solaris de Oracle /10.
     1. Ejecute el bsmconv comando.

        # /etc/security/bsmconv

     2. Reinicie el sistema.
   • Habilite la función de auditoría en el sistema Solaris de Oracle 11 Express.

     # audit -s

3. Compruebe que el software de auditoría esté en ejecución.

   # auditconfig -getcond

   Si el software de auditoría se está ejecutando, aparecerá en el resultado audit condition = auditing.

Inhabilitación de auditorías

• Inhabilite la función de auditoría.
  • Inhabilite la función de auditoría en el sistema Solaris de Oracle /10.
    1. Ejecute el comando bsmunconv.

       # /etc/security/bsmunconv
       Are you sure you want to continue? [y/n] y
       This script is used to disable the Basic Security Module (BSM).
       Shall we continue the reversion to a non-BSM system now? [y/n] y
       bsmunconv: INFO: removing c2audit:audit_load from /etc/system.
       bsmunconv: INFO: stopping the cron daemon.
       
       The Basic Security Module has been disabled.
       Reboot this system now to come up without BSM.

    2. Reinicie el sistema.
  • Inhabilite la función de auditoría en el sistema Solaris de Oracle 11 Express.
    1. Ejecute el comando audit -t.

       # audit -t

    2. Compruebe que el software de auditoría ya no esté en ejecución.

       # auditconfig -getcond
       audit condition = noaudit

Impresión de una salida de auditoría

• Utilice uno de los siguientes para imprimir auditoría salida:
  • Utilice el auditreduce y praudit comandos para imprimir auditoría salida.

    # auditreduce -c vs | praudit
    # auditreduce -c vs -a 20060502000000 | praudit

  • Use el comando praudit -x para imprimir la salida XML.

Giro de los registros de la auditoría

• Use el comando audit -n para girar los registros de la auditoría.

  Al rotar los registros de auditoría se cierra el archivo de auditoría actual y se abre uno nuevo en el directorio de auditoría actual.