Pista de auditoría

La pista de auditoría contiene archivos de auditoría binarios. La pista se crea mediante el daemon auditd. Una vez que el servicio de auditoría se haya habilitado con el comando orden bsmconv, el daemon auditd arranca cuando se inicia el sistema. El daemon auditd es responsable de recolectar los datos de la pista de auditoría y escribir los registros de auditoría.

Los registros de auditoría se almacenan en formato binario en los sistemas de archivos dedicados a los archivos de auditoría. Aunque se pueden ubicar físicamente directorios de auditoría en sistemas de archivos que no están dedicados a la auditoría, no lo haga, salvo para los directorios de último recurso. Los directorios de último recurso son directorios en los que los archivos de auditoría se escriben sólo cuando no hay ningún otro directorio adecuado disponible.

Existe otro escenario en el que ubicar directorios de auditoría fuera de los sistemas de archivos de auditoría dedicados puede ser aceptable. Puede hacerlo en un entorno de desarrollo de software en el que la auditoría sea opcional. Utilizar por completo el espacio en disco puede ser más importante que mantener una pista de auditoría. Sin embargo, en un entorno en el que la seguridad es una preocupación, colocar directorios de auditoría en otros sistemas de archivos no es aceptable.

También debe tener en cuenta los siguientes factores al administrar sistemas de archivos de auditoría:

• Un host debe tener al menos un directorio de auditoría local. El directorio local se puede utilizar como un directorio de último recurso si el host no se puede comunicar con el servidor de auditoría.

• Monte los directorios de auditoría con la opción de lectura-escritura (rw). Al montar directorios auditoría de forma remota, use también las opciones intr y noac.

• Visualice los sistemas de archivos de auditoría en el servidor de auditoría en el que residen. La lista de exportación debería incluir todos los sistemas que se están auditando en la ubicación.