系统管理指南：安全性服务

如何查看二进制审计文件的内容

使用 praudit 命令，可以查看二进制审计文件的内容。可以传输 auditreduce 命令的输出，也可以读取特定审计文件。-x 选项可用于进一步处理。

承担拥有审计查看配置文件的角色或成为超级用户。

系统管理员角色拥有审计查看配置文件。另外，还可以创建拥有审计查看配置文件的单独用户。要创建角色并将其指定给用户，请参见配置 RBAC（任务列表）。

使用以下 praudit 命令之一来生成最符合您需要的输出。

以下示例显示同一审计事件的 praudit 输出。审计策略已设置为包括 sequence 和 trailer 标记。

praudit -s 命令以短格式（每行一个标记）显示审计记录。使用 -l 选项在一行放置一条记录。

$ auditreduce -c lo | praudit -s

header,101,2,AUE_rlogin,,example1,2003-10-13 11:23:31.050 -07:00

subject,jdoe,jdoe,staff,jdoe,staff,749,749,195 1234 server1

text,successful login 

return,success,0 

sequence,1298

praudit -r 命令以原始格式（每行一个标记）显示审计记录。使用 -l 选项在一行放置一条记录。

$ auditreduce -c lo | praudit -r

21,101,2,6155,0x0000,192.168.60.83,1062021202,64408258

36,2026700,2026700,10,2026700,10,749,749,195 1234 192.168.60.17

40,successful login

39,0,0

47,1298

praudit -x 命令以 XML 格式（每行一个标记）显示审计记录。使用 -l 选项在一行放置一条记录的 XML 输出。

$ auditreduce -c lo | praudit -x

<record version="2" event="login - rlogin" host="example1" 

time="Wed Aug 27 14:53:22 PDT 2003" msec="64">

<subject audit-uid="jdoe" uid="jdoe" gid="staff" ruid="jdoe" 

rgid="staff" pid="749" sid="749" tid="195 1234 server1"/>

<text>successful login</text>

<return errval="success" retval="0"/>

<sequence seq-num="1298"/>



</record>

示例 29–30 打印整个审计跟踪

通过 lp 命令的管道，整个审计跟踪的输出将转至打印机。打印机的访问应受到限制。

# auditreduce | praudit | lp -d example.protected.printer

示例 29–31 查看特定审计文件

在本示例中，在终端窗口中检查登录文件摘要。

# cd /var/audit/audit_summary.dir/logins

# praudit 20030827183936.20030827232326.logins | more

示例 29–32 放置 XML 格式的审计记录

在本示例中，审计记录转换为 XML 格式。

# praudit -x 20030827183214.20030827215318.logins > 20030827.logins.xml

可以在浏览器中显示 *xml 文件。可以使用脚本对文件内容进行操作，以便提取相关信息。