Trusted Extensions 审计参考

Trusted Extensions 软件向 Oracle Solaris OS 中添加审计类、审计事件、审计令牌和审计策略选项。多个审计命令进行了扩展来处理标签。Trusted Extensions 审计记录包含一个标签，如下图中所示。

图 18-1 有标签系统中的典型审计记录

Trusted Extensions 审计类

下表中按字母顺序列出了 Trusted Extensions 软件添加到 Oracle Solaris OS 的审计类。这些类列在 /etc/security/audit_class 文件中。有关审计类的更多信息，请参见 audit_class(4) 手册页。

表 18-1 X 服务器审计类

X 服务器审计事件根据以下标准映射到这些类中：

• xc—该类针对创建或销毁对服务器对象进行审计。例如，该类对 CreateWindow() 进行审计。

• xp—该类针对特权的使用进行审计。包括成功的和不成功的特权使用。例如，当一个客户机试图更改另一个客户机的窗口的属性时，将对 ChangeWindowAttributes() 进行审计。该类还包括管理例程，如 SetAccessControl()。

• xs—当安全属性导致故障时，某些例程在发生故障时不会向客户机返回 X 错误消息，该类将对此类例程进行审计。例如，如果 GetImage() 由于缺少特权而无法从窗口进行读取，则它不会返回 BadWindow 错误。

  应当选择仅对成功情况审计这些事件。如果针对故障选择了 xs 事件，审计迹中会充满无关记录。

• xx—该类包括所有 X 审计类。

Trusted Extensions 审计事件

Trusted Extensions 软件向系统中添加了审计事件。新的审计事件和这些事件所属的审计类列在 /etc/security/audit_event 文件中。Trusted Extensions 的审计事件数目介于 9000 和 10000 之间。有关审计事件的更多信息，请参见 audit_event(4) 手册页。

Trusted Extensions 审计令牌

下表中按字母顺序列出了 Trusted Extensions 软件添加到 Oracle Solaris OS 的审计令牌。audit.log(4) 手册页中也列出了这些令牌。

表 18-2 Trusted Extensions 审计令牌

label 令牌

label 令牌包含一个敏感标签。此令牌包含以下字段：

• 令牌 ID

• 敏感标签

下图显示了该令牌的格式。

图 18-2 label 令牌格式

label 令牌由 praudit 命令显示如下：

sensitivity label,ADMIN_LOW

xatom 令牌

xatom 令牌包含与 X 原子有关的信息。此令牌包含以下字段：

• 令牌 ID

• 字符串长度

• 标识原子的文本字符串

xatom 令牌由 praudit 命令显示如下：

X atom,_DT_SAVE_MODE

xclient 令牌

xclient 令牌包含与 X 客户机有关的信息。此令牌包含以下字段：

• 令牌 ID

• 客户机 ID

xclient 令牌由 praudit 命令显示如下：

X client,15

xcolormap 令牌

xcolormap 令牌包含与颜色映射有关的信息。此令牌包含以下字段：

• 令牌 ID

• X 服务器标识符

• 创建者的用户 ID

下图显示了该令牌的格式。

图 18-3 xcolormap、xcursor 、xfont、xgc、xpixmap 和 xwindow 令牌的格式

xcolormap 令牌由 praudit 命令显示如下：

X color map,0x08c00005,srv

xcursor 令牌

xcursor 令牌包含与光标有关的信息。此令牌包含以下字段：

• 令牌 ID

• X 服务器标识符

• 创建者的用户 ID

图 18-3 显示了该令牌格式。

xcursor 令牌由 praudit 命令显示如下：

X cursor,0x0f400006,srv

xfont 令牌

xfont 令牌包含与字体有关的信息。此令牌包含以下字段：

• 令牌 ID

• X 服务器标识符

• 创建者的用户 ID

图 18-3 显示了该令牌格式。

xfont 令牌由 praudit 命令显示如下：

X font,0x08c00001,srv

xgc 令牌

xgc 令牌包含与 xgc 有关的信息。此令牌包含以下字段：

• 令牌 ID

• X 服务器标识符

• 创建者的用户 ID

图 18-3 显示了该令牌格式。

xgc 令牌由 praudit 命令显示如下：

Xgraphic context,0x002f2ca0,srv

xpixmap 令牌

xpixmap 令牌包含与像素映射有关的信息。此令牌包含以下字段：

• 令牌 ID

• X 服务器标识符

• 创建者的用户 ID

图 18-3 显示了该令牌格式。

xpixmap 令牌由 praudit 命令显示如下：

X pixmap,0x08c00005,srv

xproperty 令牌

xproperty 令牌包含与窗口的各个属性有关的信息。此令牌包含以下字段：

• 令牌 ID

• X 服务器标识符

• 创建者的用户 ID

• 字符串长度

• 标识原子的文本字符串

下图显示了 xproperty 令牌的格式。

图 18-4 xproperty 令牌格式

xproperty 令牌由 praudit 命令显示如下：

X property,0x000075d5,root,_MOTIF_DEFAULT_BINDINGS

xselect 令牌

xselect 令牌包含在窗口之间移动的数据。此数据包括一个没有既定内部结构的字节流和一个属性字符串。此令牌包含以下字段：

• 令牌 ID

• 属性字符串的长度

• 属性字符串

• 属性类型的长度

• 属性类型字符串

• 用以指定数据的字节数的长度字段

• 包含数据的字节字符串

下图显示了该令牌的格式。

图 18-5 xselect 令牌格式

xselect 令牌由 praudit 命令显示如下：

X selection,entryfield,halogen

xwindow 令牌

xwindow 令牌包含与窗口有关的信息。此令牌包含以下字段：

• 令牌 ID

• X 服务器标识符

• 创建者的用户 ID

图 18-3 显示了该令牌格式。

xwindow 令牌由 praudit 命令显示如下：

X window,0x07400001,srv

Trusted Extensions 审计策略选项

Trusted Extensions 向现有的 Oracle Solaris 审计策略选项中添加了两个审计策略选项。可以列出策略以查看添加项：

$ auditconfig -lspolicy
...
windata_down Include downgraded window information in audit records
windata_up   Include upgraded window information in audit records
...

Trusted Extensions 对审计命令的扩展

auditconfig、auditreduce 和 bsmrecord 命令进行了扩展以处理 Trusted Extensions 信息：

• auditconfig 命令包括了 Trusted Extensions 审计策略。有关详细信息，请参见 auditconfig(1M) 手册页。

• auditreduce 命令添加了 -l 选项，用以根据标签过滤记录。有关详细信息，请参见 auditreduce(1M) 手册页。

• bsmrecord 命令包括了 Trusted Extensions 审计事件。有关详细信息，请参见 bsmrecord(1M) 手册页。