启用并使用审计

Logical Domains Manager 使用 Oracle Solaris OS 审计功能检查控制域上发生的操作和事件的历史记录。这些历史记录保存在日志中，其中包括执行的操作、完成时间、执行者以及产生的后果。

您可以基于系统上运行的 Oracle Solaris OS 的版本，按如下方式启用和禁用审计功能：

• Oracle Solaris /10 OS。使用 bsmconv 和 bsmunconv 命令。请参见 bsmconv(1M) 和 bsmunconv(1M) 手册页，以及 Oracle Solaris /10 版的《系统管理指南：安全性服务》。

• Oracle Solaris 11 Express OS。使用 audit 命令。请参见 audit(1M) 手册页，以及 Oracle Solaris 11 Express 版的《系统管理指南：安全性服务》。

启用审计

1. 向 /etc/security/audit_event 和 /etc/security/audit_class 文件中添加定制内容。

   这些定制内容在 Oracle Solaris 升级之后会保留下来，但是，在全新安装 Oracle Solaris 之后应当重新添加这些定制内容。

   1. 将以下条目添加到 audit_event 文件中（如果尚未存在的话）：

      40700:AUE_ldoms:ldoms administration:vs

   2. 将以下条目添加到 audit_class 文件中（如果尚未存在的话）：

      0x10000000:vs:virtualization_software

2. 启用审计功能。
   • 在 Oracle Solaris /10 系统上启用审计功能。
     1. 运行 bsmconv 命令。

        # /etc/security/bsmconv

     2. 重新引导系统。
   • 在 Oracle Solaris 11 Express 系统上启用审计功能。

     # audit -s

3. 确认审计软件正在运行。

   # auditconfig -getcond

   如果审计软件正在运行，则输出中会出现 audit condition = auditing。

禁用审计

• 禁用审计功能。
  • 在 Oracle Solaris /10 系统上禁用审计功能。
    1. 运行 bsmunconv 命令。

       # /etc/security/bsmunconv
       Are you sure you want to continue? [y/n] y
       This script is used to disable the Basic Security Module (BSM).
       Shall we continue the reversion to a non-BSM system now? [y/n] y
       bsmunconv: INFO: removing c2audit:audit_load from /etc/system.
       bsmunconv: INFO: stopping the cron daemon.
       
       The Basic Security Module has been disabled.
       Reboot this system now to come up without BSM.

    2. 重新引导系统。
  • 在 Oracle Solaris 11 Express 系统上禁用审计功能。
    1. 运行 audit -t 命令。

       # audit -t

    2. 确认审计软件不再运行。

       # auditconfig -getcond
       audit condition = noaudit

显示审计输出

• 使用以下方法之一显示审计输出：
  • 使用 auditreduce 和 praudit 命令显示审计输出。

    # auditreduce -c vs | praudit
    # auditreduce -c vs -a 20060502000000 | praudit

  • 使用 praudit -x 命令显示 XML 输出。

轮转审计日志

• 使用 audit -n 命令轮转审计日志。

  轮转审计日志会关闭当前的审计文件并打开当前审计目录中的一个新日志。