如何更改审计事件的类成员关系

可能需要更改审计事件的类成员关系来减小现有审计类的大小，或者将事件放置在它自己的类中。在一个系统上重新配置审计事件到类的映射时，应将此更改复制到正在审计的所有系统中。

1. 承担主管理员角色，或成为超级用户。

   主管理员角色拥有主管理员配置文件。要创建角色并将角色指定给用户，请参见《系统管理指南：基本管理》中的第 2  章 “使用 Solaris Management Console（任务）”。

2. （可选的）保存 audit_event 文件的副本。

   # cp /etc/security/audit_event /etc/security/audit_event.orig

3. 通过更改事件的 class-list 来更改特定事件所属的类。

   每一项都具有以下格式：

   number:name:description:class-list

   number

   审计事件 ID。

   name

   审计事件的名称。

   description

   通常为触发创建审计记录的系统调用或可执行文件。

   class-list

   审计类的逗号分隔列表。

示例 29–10 将现有审计事件映射到新类

本示例将现有审计事件映射到在示例 29–9 中创建的新类。在 audit_control 文件中，二进制审计记录捕获 pf 类中事件的成功和失败信息。syslog 审计日志只包含 pf 类中事件的失败信息。

# grep pf | /etc/security/audit_class

0x01000000:pf:profile command

# vi /etc/security/audit_event

6180:AUE_prof_cmd:profile command:ua,as,pf

# vi audit_control

...

flags:lo,pf

plugin:name=audit_syslog.so.1; p_flags=-lo,-pf

示例 29–11 审计 setuid 程序的使用

本示例创建用来保存监视 setuid 和 setgid 程序调用事件的类。audit_control 项审计 st 类中事件的所有成功调用。

# vi /etc/security/audit_class

0x00000800:st:setuid class

# vi /etc/security/audit_event

26:AUE_SETGROUPS:setgroups(2):st

27:AUE_SETPGRP:setpgrp(2):st

40:AUE_SETREUID:setreuid(2):st

41:AUE_SETREGID:setregid(2):st

214:AUE_SETEGID:setegid(2):st

215:AUE_SETEUID:seteuid(2):st

# vi audit_control

...

flags:lo,+st

plugin:name=audit_syslog.so.1; p_flags=-lo,+st