审计是指收集有关系统资源使用情况的数据。审计数据提供与安全相关的系统事件的记录。以后便可以使用此数据来指定主机上执行的操作的职责。成功的审计应包括两个安全功能:识别和验证。每次登录时,在用户提供用户名和口令之后,都将生成一个与此用户的进程关联的唯一审计会话 ID。登录会话期间启动的每个进程都会继承此审计会话 ID。即使用户在单个会话期间更改了身份,也会使用同一个审计会话 ID 跟踪所有的用户操作。有关更改身份的更多详细信息,请参见 su(1M) 手册页。
使用审计服务可以:
监视主机上发生的与安全相关的事件
记录网络范围内审计跟踪中的事件
检测误用或未经授权的活动
查看访问模式以及个人和对象的访问历史记录
发现绕过保护机制的尝试
发现用户更改身份时权限的扩展使用
在系统配置期间,可以预先选择要监视的审计记录类。还可以微调针对单个用户执行审计的程度。
收集完审计数据之后,便可使用后选工具来减少和检查所需的审计跟踪部分。例如,您可以选择查看单个用户或特定组的审计记录。可以在特定日期检查某个事件类型的所有记录。或者,可以选择在特定时间生成的记录。
安装非全局区域的系统可以从全局区域以相同的方式审计所有区域。还可以配置这些系统,使其收集非全局区域中的不同记录。有关更多信息,请参见审计和 Solaris Zones。