SunSHIELD 基本セキュリティモジュール

監査レコード

この節では、すべての監査レコードを紹介します。まず、カーネルのイベントによって生成される監査レコードについて説明します( 「カーネルレベルで生成される監査レコード」を参照。)。その次に、ユーザレベルのイベントによって生成される監査レコードについて説明します( 「ユーザレベルで生成される監査レコード」を参照)。

「イベントからシステムコールへの変換」には、考えられるすべての監査イベントと、どのカーネルベントやユーザイベントによって監査イベントが作成されたかを識別する 2 つの表が掲載さています。表 A-173 は、監査イベントとシステムコールとのマッピングを示しています。表 A-174 は、監査イベントとアプリケーションまたはコマンドとのマッピングを示しています。

一般的な監査レコードの構造

基本セキュリティモジュールによって生成される監査レコードには、一連のトークンが入っています。現在の監査方針に従って、特定のトークンは監査レコード内で省略できます。group、sequence、trailer の各トークンは、いずれもこのカテゴリに該当します。管理者は、auditconfig コマンドの -getpolicy オプションを使用して、これらのトークンが監査レコードに入っているかどうかを判断できます。

カーネルレベルで生成される監査レコード

カーネルに使用されるシステムコールによって、次の監査レコードが作成されます。各レコードは、システムコールのアルファベット順に掲載してあります。各レコードの説明には次の情報が含まれています。

システムコール名
参照先のマニュアルページ (該当する場合)
監査イベント番号 (ID)
監査イベント名
監査イベントクラス
イベントクラスのマスク
監査レコード構造

表 A-5 access(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_ACCESS`	`14`	`fa`	0x00000004
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-6 acct(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_ACCT`	`18`	`ad`	0x00000800
形式 (zero path): `header-token` `argument-token` (1, "accounting off", 0) `subject-token` `return-token` 形式 (non-zero path): `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-7 adjtime(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_ADJTIME`	`50`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-8 audit(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDIT`	`211`	`no`	0x00000000
形式 `header-token` `subject-token` `return-token`

表 A-9 auditon(2) - get car


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITON_GETCAR`	`224`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-10 auditon(2) - get event class


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITON_GETCLASS`	`231`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-11 auditon(2) - get audit state


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITON_GETCOND`	`229`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-12 auditon(2) - get cwd


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITON_GETCWD`	`223`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-13 auditon(2) - get kernal mask


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITON_GETKMASK`	`221`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-14 auditon(2) - get audit statistics


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITON_GETSTAT`	`225`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-15 auditon(2) - GPOLICY command


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITON_GPOLICY`	`114`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-16 auditon(2) - GQCTRL command


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITON_GQCTRL`	`145`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-17 auditon(2) - set event class


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITON_SETCLASS`	`232`	`ad`	0x00000800
形式 `header-token` [`argument-token`] (2, "setclass:ec_event", event number) [`argument-token`] (3, "setclass:ec_class", class mask) `subject-token` `return-token`

表 A-18 auditon(2) - set audit state


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITON_SETCOND`	`230`	`ad`	0x00000800
形式 `header-token` [`argument-token`] (3, "setcond", audit state) `subject-token` `return-token`

表 A-19 auditon(2) - set kernal mask


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITON_SETKMASK`	`222`	`ad`	0x00000800
形式 `header-token` [`argument-token`] (2, "setkmask:as_success", kernel mask) [`argument-token`] (2, "setkmask:as_failure", kernel mask) `return-token`

表 A-20 auditon(2) - set mask per session ID


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITON_SETSMASK`	`228`	`ad`	0x00000800
形式 `header-token` [`argument-token`] (3, "setsmask:as_success", session ID mask) [`argument-token`] (3, "setsmask:as_failure", session ID mask) `subject-token` `return-token`

表 A-21 auditon(2) - reset audit statistics


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITON_SETSTAT`	`226`	`ad`	0x00000800
形式: `header-token` `subject-token` `return-token`

表 A-22 auditon(2) - set mask per uid


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITON_SETUMASK`	`227`	`ad`	0x00000800
形式 `header-token` [`argument-token`] (3, "setumask:as_success", audit ID mask) [`argument-token`] (3, "setumask:as_failure", audit ID mask) `subject-token` `return-token`

表 A-23 auditon(2) - SPOLICY command


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITON_SPOLICY`	`147`	`ad`	0x00000800
形式 `header-token` [`argument-token`] (1, "policy", audit policy flags) `subject-token` `return-token`

表 A-24 auditon(2) - SQCTRL command

イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITON_SQCTRL`	`146`	`ad`	0x00000800
形式 `header-token` [`argument-token`] (3,"setqctrl:aq_hiwater",queue control param.) [`argument-token`] (3,"setqctrl:aq_lowater",queue control param.) [`argument-token`] (3,"setqctrl:aq_bufsz",queue control param.) [`argument-token`] (3,"setqctrl:aq_delay",queue control param.) `subject-token` `return-token`

イベント名

イベント ID

イベントクラス

マスク

AUE_AUDITON_SQCTRL

146

ad

0x00000800

形式

	
header-token

	[argument-token]      (3,"setqctrl:aq_hiwater",queue control param.)

	[argument-token]      (3,"setqctrl:aq_lowater",queue control param.)

	[argument-token]      (3,"setqctrl:aq_bufsz",queue control param.)

	[argument-token]      (3,"setqctrl:aq_delay",queue control param.)

	
subject-token

	return-token

表 A-25 auditsvc(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_AUDITSVC`	`136`	`ad`	0x00000800
形式 (valid file descriptor): `header-token` [`path-token`] [`attr-token`] `subject-token` `return-token` 形式 (invalid file descriptor): `header-token` `argument-token` (1, "no path: fd", fd) `subject-token` `return-token`

表 A-26 chdir(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_CHDIR`	`8`	`pc`	0x00000080
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-27 chmod(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_CHMOD`	`10`	`fm`	0x00000008
形式 `header-token` `argument-token` (2, "new file mode", mode) `path-token` [`attr-token`] `subject-token` `return-token`

表 A-28 chown(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_CHOWN`	`11`	`fm`	0x00000008
形式 `header-token` `argument-token` (2, "new file uid", uid) `argument-token` (3, "new file gid", gid) `path-token` [`attr-token`] `subject-token` `return-token`

表 A-29 chroot(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_CHROOT`	`24`	`pc`	0x00000080
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-30 close(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_CLOSE`	`112`	`cl`	0x00000040
形式 <file system object> `header-token` `argument-token` (1, "fd", file descriptor) [`path-token`] [`attr-token`] `subject-token` `return-token`

表 A-31 creat(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_CREAT`	`4`	`fc`	0x00000010
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-32 enter prom


イベント名	イベント ID	イベントクラス	マスク
`AUE_ENTERPROM`	`153`	`na`	0x00000400
形式 `header-token` `text-token` (addr, "monitor PROM"\|"kadb") `subject-token` `return-token`

表 A-33 exec(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_EXEC`	`7`	`pc,ex`	0x40000080
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-34 execve(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_EXECVE`	`23`	`pc,ex`	0x40000080
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-35 exit prom


イベント名	イベント ID	イベントクラス	マスク
`AUE_EXITPROM`	`154`	`na`	0x00000400
形式 `header-token` `text-token` (addr, "monitor PROM"\|"kadb") `subject-token` `return-token`

表 A-36 exit(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_EXIT`	`1`	`pc`	0x00000080
形式 `header-token` `subject-token` `return-token`

表 A-37 fchdir(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_FCHDIR`	`68`	`pc`	0x00000080
形式 `header-token` [`path-token`] [`attr-token`] `subject-token` `return-token`

表 A-38 fchmod(2)

イベント名	イベント ID	イベントクラス	マスク
`AUE_FCHMOD`	`39`	`fm`	0x00000008
形式 (valid file descriptor): `header-token` `argument-token` (2, "new file mode", mode) [`path-token`] [`attr-token`] `subject-token` `return-token` 形式 (invalid file descriptor): `header-token` `argument-token` (2, "new file mode", mode) `argument-token` (1, "no path: fd", fd) `subject-token` `return-token`

イベント名

イベント ID

イベントクラス

マスク

AUE_FCHMOD

39

fm

0x00000008

形式 (valid file descriptor):

	
header-token

	
argument-token	(2, "new file mode", mode)

	[path-token]

	[attr-token]

	subject-token

	return-token

形式 (invalid file descriptor):

	
header-token

	
argument-token	(2, "new file mode", mode)

	
argument-token	(1, "no path: fd", fd)

	
subject-token

	return-token

表 A-39 fchown(2)

イベント名	イベント ID	イベントクラス	マスク
`AUE_FCHOWN`	`38`	`fm`	0x00000008
形式 (valid file descriptor): `header-token` (2, "new file uid", uid) `argument-token` (3, "new file gid", gid) [`path-token`] [`attr-token`] `subject-token` `return-token` 形式 (non-file descriptor): `header-token` `argument-token` (2, "new file uid", uid) `argument-token` (3, "new file gid", gid) `argument-token` (1, "no path: fd", fd) `subject-token` `return-token`

イベント名

イベント ID

イベントクラス

マスク

AUE_FCHOWN

38

fm

0x00000008

形式 (valid file descriptor):

	
header-token	(2, "new file uid", uid)

	
argument-token	(3, "new file gid", gid)

	[path-token]

	[attr-token]

	subject-token

	return-token

形式 (non-file descriptor):

	
header-token

	
argument-token	(2, "new file uid", uid)

	
argument-token	(3, "new file gid", gid)

	
argument-token	(1, "no path: fd", fd)

	
subject-token

	return-token

表 A-40 fchroot(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_FCHROOT`	`69`	`pc`	0x00000080
形式 `header-token` [`path-token`] [`attr-token`] `subject-token` `return-token`

表 A-41 fcntl(2)

イベント名	イベント ID	イベントクラス	マスク
`AUE_FCNTL` (cmd=`F_GETLK`, `F_SETLK`, `F_SETLKW`)	`30`	`fm`	0x00000008
形式 (file descriptor): `header-token` `argument-token` (2, "cmd", cmd) `path-token` `attr-token` `subject-token` `return-token` 形式 (bad file descriptor): `header-token` `argument-token` (2, "cmd", cmd) `argument-token` (1, "no path: fd", fd) `subject-token` `return-token`

イベント名

イベント ID

イベントクラス

マスク

AUE_FCNTL (cmd=F_GETLK, F_SETLK, F_SETLKW)

30

fm

0x00000008

形式 (file descriptor):

	
header-token

	
argument-token	(2, "cmd", cmd)

	
path-token

	attr-token

	subject-token

	return-token

形式 (bad file descriptor):

	
header-token

	
argument-token	(2, "cmd", cmd)

	
argument-token	(1, "no path: fd", fd)

	
subject-token

	return-token

表 A-42 fork(2)

イベント名	イベント ID	イベントクラス	マスク
`AUE_FORK`	`2`	`pc`	0x00000080
形式 `header-token` [`argument-token`] (0, "child PID", pid) `subject-token` `return-token` 監査レコードは子プロセスが生成された時点で生成されるため、`fork()` の戻り値は不定なので注意する必要がある

イベント名

イベント ID

イベントクラス

マスク

AUE_FORK

2

pc

0x00000080

形式

	
header-token

	[argument-token]	(0, "child PID", pid)

	
subject-token

	return-token

監査レコードは子プロセスが生成された時点で生成されるため、fork() の戻り値は
不定なので注意する必要がある

表 A-43 fork1(2)

イベント名	イベント ID	イベントクラス	マスク
`AUE_FORK1`	`241`	`pc`	0x00000080
形式 `header-token` [`argument-token`] (0, "child PID", pid) `subject-token` `return-token` 監査レコードは子プロセスが生成された時点で生成されるため、`fork1()` の戻り値は不定なので注意する必要がある

イベント名

イベント ID

イベントクラス

マスク

AUE_FORK1

241

pc

0x00000080

形式

	
header-token

	[argument-token]	(0, "child PID", pid)

	
subject-token

	return-token

監査レコードは子プロセスが生成された時点で生成されるため、fork1() の戻り値は
不定なので注意する必要がある

表 A-44 fstatfs(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_FSTATFS`	`55`	`fa`	0x00000004
形式 (file descriptor): `header-token` [`path-token`] [`attr-token`] `subject-token` `return-token` 形式 (non-file descriptor): `header-token` `argument-token` (1, "no path: fd", fd) `subject-token` `return-token`

表 A-45 getaudit(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_GETAUDIT`	`132`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-46 getauid(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_GETAUID`	`130`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-47 getmsg(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_GETMSG`	`217`	`nt`	0x00000100
形式 `header-token` `argument-token` (1, "fd", file descriptor) `argument-token` (4, "pri", priority) `subject-token` `return-token`

表 A-48 getmsg - accept


イベント名	イベント ID	イベントクラス	マスク
`AUE_SOCKACCEPT`	`247`	`nt`	0x00000100
形式 `header-token` `socket-inet-token` `argument-token` (1, "fd", file descriptor) `argument-token` (4, "pri", priority) `subject-token` `return-token`

表 A-49 getmsg - receive


イベント名	イベント ID	イベントクラス	マスク
`AUE_SOCKRECEIVE`	`250`	`nt`	0x00000100
形式 `header-token` `socket-inet-token` `argument-token` (1, "fd", file descriptor) `argument-token` (4, "pri", priority) `subject-token` `return-token`

表 A-50 getpmsg(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_GETPMSG`	`219`	`nt`	0x00000100
形式 `header-token` `argument-token` (1, "fd", file descriptor) `subject-token` `return-token`

表 A-51 getportaudit(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_GETPORTAUDIT`	`149`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-52 ioctl(2)

イベント名	イベント ID	イベントクラス	マスク
`AUE_IOCTL`	`158`	`io`	0x20000000
形式 (good file descriptor): `header-token` `path-token` [`attr-token`] `argument-token` (2, "cmd" ioctl cmd) `argument-token` (3, "arg" ioctl arg) `subject-token` `return-token` 形式 (socket): `header-token` [`socket-token`] `argument-token` (2, "cmd" ioctl cmd) `argument-token` (3, "arg" ioctl arg) `subject-token` `return-token` 形式 (non-file file descriptor): `header-token` `argument-token` (1, "fd", file descriptor) `argument-token` (2, "cmd", ioctl cmd) `argument-token` (3, "arg", ioctl arg) `subject-token` `return-token` 形式 (bad file name): `header-token` `argument-token` (1, "no path: fd", fd) `argument-token` (2, "cmd", ioctl cmd) `argument-token` (3, "arg", ioctl arg) `subject-token` `return-token`

イベント名

イベント ID

イベントクラス

マスク

AUE_IOCTL

158

io

0x20000000

形式 (good file descriptor):

	
header-token

	
path-token

	[attr-token]

	
argument-token	(2, "cmd" ioctl cmd)

	
argument-token	(3, "arg" ioctl arg)

	
subject-token

	return-token

形式 (socket):

	
header-token

	[socket-token]

	
argument-token	(2, "cmd" ioctl cmd)

	argument-token	(3, "arg" ioctl arg)

	
subject-token

	return-token

形式 (non-file file descriptor):

	
header-token

	argument-token	(1, "fd", file descriptor)

	
argument-token	(2, "cmd", ioctl cmd)

	
argument-token	(3, "arg", ioctl arg)

	
subject-token

	return-token

形式 (bad file name):

	
header-token

	argument-token	(1, "no path: fd", fd)

	
argument-token	(2, "cmd", ioctl cmd)

	
argument-token	(3, "arg", ioctl arg)

	
subject-token

	return-token

表 A-53 kill(2)

イベント名	イベント ID	イベントクラス	マスク
`AUE_KILL`	`15`	`pc`	0x00000080
形式 (valid process): `header-token` `argument-token` (2, "signal", signo) [`process-token`] `subject-token` `return-token` 形式 (zero or negative process): `header-token` `argument-token` (2, "signal", signo) `argument-token` (1, "process", pid)) `subject-token` `return-token`

イベント名

イベント ID

イベントクラス

マスク

AUE_KILL

15

pc

0x00000080

形式 (valid process):

	
header-token

	argument-token	(2, "signal", signo)

	[process-token]

	
subject-token

	return-token

形式 (zero or negative process):

	
header-token

	argument-token	(2, "signal", signo)

	
argument-token	(1, "process", pid))

	
subject-token

	return-token

表 A-54 lchown(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_LCHOWN`	`237`	`fm`	0x00000008
形式 `header-token` `argument-token` (2, "new file uid", uid) `argument-token` (3, "new file gid", gid) `path-token` [`attr-token`] `subject-token` `return-token`

表 A-55 link(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_LINK`	`5`	`fc`	0x00000010
形式 `header-token` `path-token` (from path) [`attr-token`] (from path) `path-token` (to path) `subject-token` `return-token`

表 A-56 lstat(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_LSTAT`	`17`	`fa`	0x00000004
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-57 lxstat(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_LXSTAT`	`236`	`fa`	0x00000004
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-58 memcntl(2)

イベント名

イベント ID

イベントクラス

マスク

AUE_MEMCNTL

238

ot

0x80000000

形式

	
header-token

	argument-token	(1, "base", base address)

	
argument-token	(2, "len", length)

	
argument-token	(3, "cmd", command)

	
argument-token	(4, "arg", command args

	
argument-token	(5, "attr", command attributes)

	
argument-token	(6, "mask", 0)

	
subject-token

	return-token

表 A-59 mkdir(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_MKDIR`	`47`	`fc`	0x00000010
形式 `header-token` `argument-token` (2, "mode", mode) `path-token` [`attr-token`] `subject-token` `return-token`

表 A-60 mknod(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_MKNOD`	`9`	`fc`	0x00000010
形式 `header-token` `argument-token` (2, "mode", mode) `argument-token` (3, "dev", dev) `path-token` [`attr-token`] `subject-token` `return-token`

表 A-61 mmap(2)

イベント名

イベント ID

イベントクラス

マスク

AUE_MMAP

210

no

0x00000000

形式 (valid file descriptor):

	
header-token

	
argument-token	(1, "addr", segment address)

	
argument-token	(2, "len", segment length)

	[path-token]

	[attr-token]

	
subject-token

	return-token

形式 (invalid file descriptor):

	
header-token

	argument-token	(1, "addr", segment address)

	
argument-token	(2, "len", segment length)

	
argument-token	(1, "no path: fd", fd)

	
subject-token

	return-token

表 A-62 modctl(2) - bind module

イベント名

イベント ID

イベントクラス

マスク

AUE_MODADDMAJ

246

ad

0x00000800

形式

	header-token

	[text-token]	(driver major number)

	[text-token]	(driver name)

	
text-token	(root dir.|"no rootdir")

	
text-token	(driver major number|"no drvname")

	
argument-token	(5, "", number of aliases)

	(0..n)[text-token]	(aliases)

	
subject-token

	return-token

表 A-63 modctl(2) - configure module


イベント名	イベント ID	イベントクラス	マスク
`AUE_MODCONFIG`	`245`	`ad`	0x00000800
形式 `header-token` `text-token` (root dir.\|"no rootdir") `text-token` (driver major number\|"no drvname") `subject-token` `return-token`

表 A-64 modctl(2) - load module


イベント名	イベント ID	イベントクラス	マスク
`AUE_MODLOAD`	`243`	`ad`	0x00000800
形式 `header-token` [`text-token`] (default path) `text-token` (filename path) `subject-token` `return-token`

表 A-65 modctl(2) - unload module


イベント名	イベント ID	イベントクラス	マスク
`AUE_MODUNLOAD`	`244`	`ad`	0x00000800
形式 `header-token` `argument-token` (1, "id", module ID) `subject-token` `return-token`

表 A-66 mount(2)

イベント名

イベント ID

イベントクラス

マスク

AUE_MOUNT

62

ad

0x00000800

形式 (UNIX file system):

	
header-token

	
argument-token	(3, "flags", flags)

	
text-token	(filesystem type)

	
path-token

	[attr-token]

	subject-token

	return-token

形式 (NFS file system):

	
header-token

	
argument-token	(3, "flags", flags)

	
text-token	(filesystem type)

	
text-token	(host name)

	
argument-token	(3, "internal flags", flags)

表 A-67 msgctl(2) - IPC_RMID command


イベント名	イベント ID	イベントクラス	マスク
`AUE_MSGCTL_RMID`	`85`	`ip`	0x00000200
形式 `header-token` `argument-token` (1, "msg ID", message ID) [`ipc-token`] `subject-token` `return-token` msg ID が無効な場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-68 msgctl(2) - IPC_SET command


イベント名	イベント ID	イベントクラス	マスク
`AUE_MSGCTL_SET`	`86`	`ip`	0x00000200
形式 `header-token` `argument-token` (1, "msg ID", message ID) [`ipc-token`] `subject-token` `return-token` msg ID が無効な場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-69 msgctl(2) - IPC_STAT command


イベント名	イベント ID	イベントクラス	マスク
`AUE_MSGCTL_STAT`	`87`	`ip`	0x00000200
形式 `header-token` `argument-token` (1, "msg ID", message ID) [`ipc-token`] `subject-token` `return-token` msg ID が無効な場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-70 msgget(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_MSGGET`	`88`	`ip`	0x00000200
形式 `header-token` [`ipc-token`] `subject-token` `return-token` msg ID が無効な場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-71 msgrcv(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_MSGRCV`	`89`	`ip`	0x00000200
形式 `header-token` `argument-token` (1, "msg ID", message ID) [`ipc-token`] `subject-token` `return-token` msg ID が無効な場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-72 msgsnd(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_MSGSND`	`90`	`ip`	0x00000200
形式 `header-token` `argument-token` (1, "msg ID", message ID) [`ipc-token`] `subject-token` `return-token` msg ID が無効な場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-73 munmap(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_MUNMAP`	`214`	`cl`	0x00000040
形式 `header-token` `argument-token` (1, "addr", address of memory) `argument-token` (2, "len", memory segment size) `subject-token` `return-token`

表 A-74 old nice(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_NICE`	`203`	`pc`	0x00000080
形式 `header-token` `subject-token` `return-token`

表 A-75 open(2) - read


イベント名	イベント ID	イベントクラス	マスク
`AUE_OPEN_R`	`72`	`fr`	0x00000001
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-76 open(2) - read,creat


イベント名	イベント ID	イベントクラス	マスク
`AUE_OPEN_RC`	`73`	`fc,fr`	0x00000011
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-77 open(2) - read,creat,trunc


イベント名	イベント ID	イベントクラス	マスク
`AUE_OPEN_RTC`	`75`	`fc,fd,fr`	0x00000031
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-78 open(2) - read,trunc


イベント名	イベント ID	イベントクラス	マスク
`AUE_OPEN_RT`	`74`	`fd,fr`	0x00000021
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-79 open(2) - read,write


イベント名	イベント ID	イベントクラス	マスク
`AUE_OPEN_RW`	`80`	`fr,fw`	0x00000003
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-80 open(2) - read,write,creat


イベント名	イベント ID	イベントクラス	マスク
`AUE_OPEN_RWC`	`81`	`fr,fw,fc`	0x00000013
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-81 open(2) - read,write,create,trunc


イベント名	イベント ID	イベントクラス	マスク
`AUE_OPEN_RWTC`	`83`	`fr,fw,fc,fd`	0x00000033
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-82 open(2) - read,write,trunc


イベント名	イベント ID	イベントクラス	マスク
`AUE_OPEN_RWT`	`82`	`fr,fw,fd`	0x00000023
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-83 open(2) - write


イベント名	イベント ID	イベントクラス	マスク
`AUE_OPEN_W`	`76`	`fw`	0x00000002
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-84 open(2) - write,creat


イベント名	イベント ID	イベントクラス	マスク
`AUE_OPEN_WC`	`77`	`fw,fc`	0x00000012
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-85 open(2) - write,creat,trunc


イベント名	イベント ID	イベントクラス	マスク
`AUE_OPEN_WTC`	`79`	`fw,fc,fd`	0x00000032
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-86 open(2) - write,trunc


イベント名	イベント ID	イベントクラス	マスク
`AUE_OPEN_WT`	`78`	`fw,fd`	0x00000022
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-87 pathconf(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_PATHCONF`	`71`	`fa`	0x00000004
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-88 pipe(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_PIPE`	`185`	`no`	0x00000000
形式 `header-token` `subject-token` `return-token`

表 A-89 priocntlsys(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_PRIOCNTLSYS`	`212`	`pc`	0x0000080
形式 `header-token` `argument-token` (1, "pc_version", priocntl version num.) `argument-token` (3,"cmd", command) `subject-token` `return-token`

表 A-90 process dumped core


イベント名	イベント ID	イベントクラス	マスク
`AUE_CORE`	`111`	`fc`	0x0000010
形式 `header-token` `path-token` [`attr-token`] `argument-token` (1, "signal", signal) `subject-token` `return-token`

表 A-91 putmsg(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_PUTMSG`	`216`	`nt`	0x00000100
形式 `header-token` `argument-token` (1, "fd", file descriptor) `argument-token` (4, "pri", priority) `subject-token` `return-token`

表 A-92 putmsg-connect


イベント名	イベント ID	イベントクラス	マスク
`AUE_SOCKCONNECT`	`248`	`nt`	0x00000100
形式 `header-token` `socket-inet-token` `argument-token` (1, "fd", file descriptor) `argument-token` (4, "pri", priority) `subject-token` `return-token`

表 A-93 putmsg-send


イベント名	イベント ID	EventClass	マスク
`AUE_SOCKSEND`	`249`	`nt`	0x00000100
形式 `header-token` `socket-inet-token` `argument-token` (1, "fd", file descriptor) `argument-token` (4, "pri", priority) `subject-token` `return-token`

表 A-94 putpmsg(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_PUTPMSG`	`218`	`nt`	0x00000100
形式 `header-token` `argument-token` (1, "fd", file descriptor) `subject-token` `return-token`

表 A-95 readlink(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_READLINK`	`22`	`fr`	0x00000001
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-96 rename(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_RENAME`	`42`	`fc,fd`	0x00000030
形式 `header-token` `path-token` (from name) [`attr-token`] (from name) [`path-token`] (to name) `subject-token` `return-token`

表 A-97 rmdir(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_RMDIR`	`48`	`fd`	0x00000020
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-98 semctl(2) - getall


イベント名	イベント ID	イベントクラス	マスク
`AUE_SEMCTL_GETALL`	`105`	`ip`	0x00000200
形式 `header-token` `argument-token` (1, "sem ID", semaphore ID) [`ipc-token`] `subject-token` `return-token` セマフォ ID が無効な場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-99 semctl(2) - GETNCNT command


イベント名	イベント ID	イベントクラス	マスク
`AUE_SEMCTL_GETNCNT`	`102`	`ip`	0x00000200
形式 `header-token` `argument-token` (1, "sem ID", semaphore ID) [`ipc-token`] `subject-token` `return-token` セマフォ ID が無効な場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-100 semctl(2) - GETPID command


イベント名	イベント ID	イベントクラス	マスク
`AUE_SEMCTL_GETPID`	`103`	`ip`	0x00000200
形式 `argument-token` (1, "sem ID", semaphore ID) [`ipc-token`] `subject-token` `return-token` セマフォ ID が無効な場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-101 semctl(2) - GETVAL command


イベント名	イベント ID	イベントクラス	マスク
`AUE_SEMCTL_GETVAL`	`104`	`ip`	0x00000200
形式 `header-token` `argument-token` (1, "sem ID", semaphore ID) [`ipc-token`] `subject-token` `return-token` セマフォ ID が無効な場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-102 semctl(2) - GETZCNT command


イベント名	イベント ID	イベントクラス	マスク
`AUE_SEMCTL_GETZCNT`	`106`	`ip`	0x00000200
形式 `header-token` `argument-token` (1, "sem ID", semaphore ID) [`ipc-token`] `subject-token` `return-token` セマフォ ID が無効な場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-103 semctl(2) - IPC_RMID command


イベント名	イベント ID	イベントクラス	マスク
`AUE_SEMCTL_RMID`	`99`	`ip`	0x00000200
形式 `header-token` `argument-token` (1, "sem ID", semaphore ID) [`ipc-token`] `subject-token` `return-token` セマフォ ID が無効な場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-104 semctl(2) - IPC_SET command


イベント名	イベント ID	イベントクラス	マスク
`AUE_SEMCTL_SET`	`100`	`ip`	0x00000200
形式 `header-token` `argument-token` (1, "sem ID", semaphore ID) [`ipc-token`] `subject-token` `return-token` セマフォ ID が無効な場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-105 semctl(2) - SETALL command


イベント名	イベント ID	イベントクラス	マスク
`AUE_SEMCTL_SETALL`	`108`	`ip`	0x00000200
形式 `header-token` `argument-token` (1, "sem ID", semaphore ID) [`ipc-token`] `subject-token` `return-token` セマフォ ID が無効な場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-106 semctl(2) - SETVAL command


イベント名	イベント ID	イベントクラス	マスク
`AUE_SEMCTL_SETVAL`	`107`	`ip`	0x00000200
形式 `header-token` `argument-token` (1, "sem ID", semaphore ID) [`ipc-token`] `subject-token` `return-token` セマフォ ID が無効な場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-107 semctl(2) - IPC_STAT command


イベント名	イベント ID	イベントクラス	マスク
`AUE_SEMCTL_STAT`	`101`	`ip`	0x00000200
形式 `header-token` `argument-token` (1, "sem ID", semaphore ID) [`ipc-token`] `subject-token` `return-token`

表 A-108 semget(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_SEMGET`	`109`	`ip`	0x00000200
形式 `header-token` [`ipc-token`] `subject-token` `return-token` システムコールが失敗した場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-109 semop(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_SEMOP`	`110`	`ip`	0x00000200
形式 `header-token` `argument-token` (1, "sem ID", semaphore ID) [`ipc-token`] `subject-token` `return-token` セマフォ ID が無効な場合、`ipc` トークンと `ipc_perm` トークンは含まれない

表 A-110 setaudit(2)

イベント名

イベント ID

イベントクラス

マスク

AUE_SETAUDIT

133

ad

0x00000800

形式 (有効なプログラムスタックのアドレス):

	
header-token

	
argument-token	     (1, "setaudit:auid", audit user ID)

	
argument-token	     (1, "setaudit:port", terminal ID)

	
argument-token	     (1, "setaudit:machine", terminal ID)

	
argument-token	     (1, "setaudit:as_success", preselection mask)

	
argument-token	     (1, "setaudit:as_failure", preselection mask)

	
argument-token	     (1, "setaudit:asid", audit session ID)

	
subject-token

	return-token

形式 (無効なプログラムスタックのアドレス):

	
header-token

	subject-token

	return-token

表 A-111 setauid(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_SETAUID`	`131`	`ad`	0x00000800
形式 `header-token` `argument-token` (2, "setauid", audit user ID) `subject-token` `return-token`

表 A-112 setegid(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_SETEGID`	`214`	`pc`	0x00000080
形式 `header-token` `argument-token` (1, "gid", group ID) `subject-token` `return-token`

表 A-113 seteuid(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_SETEUID`	`215`	`pc`	0x00000080
形式 `header-token` `argument-token` (1, "gid", user ID) `subject-token` `return-token`

表 A-114 old setgid(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_SETGID`	`205`	`pc`	0x00000080
形式 `header-token` `argument-token` (1, "gid", group ID) `subject-token` `return-token`

表 A-115 setgroups(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_SETGROUPS`	`26`	`pc`	0x00000080
形式 `header-token` [`argument-token`] (1, "setgroups", group ID) `subject-token` `return-token` グループセットごとに１つずつトークンがある

表 A-116 setpgrp(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_SETPGRP`	`27`	`pc`	0x00000080
形式 `header-token` `subject-token` `return-token`

表 A-117 setrlimit(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_SETRLIMIT`	`51`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-118 old setuid(2)

イベント名

イベント ID

イベントクラス

マスク

AUE_OSETUID

200

pc

0x00000080

形式

	
header-token

	
argument-token	(1, "uid", user ID)

	
subject-token

	return-token

監査ソフトウェアに現在含まれているバグの関係で、このトークンは AUE_OSETUID として
表示される

表 A-119 shmat(2)

イベント名

イベント ID

イベントクラス

マスク

AUE_SHMAT

96

ip

0x00000200

形式

	
header-token

	
argument-token	(1, "shmid", shared memory ID)

	
argument-token	(2, "shmaddr", shared mem addr)

	[ipc-token]

	[ipc_perm-token]

	subject-token

	return-token

共有メモリのセグメント ID が無効な場合、ipc トークンと ipc_perm トークンは
含まれない

表 A-120 shmctl(2) - IPC_RMID command

イベント名

イベント ID

イベントクラス

マスク

AUE_SHMCTL_RMID

92

ip

0x00000200

形式

	
header-token

	
argument-token	(1, "shmid", shared memory ID)

	[ipc-token]

	subject-token

	return-token

共有メモリのセグメント ID が無効な場合、ipc トークンと ipc_perm トークンは
含まれない

表 A-121 shmctl(2) - IPC_SET command

イベント名

イベント ID

イベントクラス

マスク

AUE_SHMCTL_SET

93

ip

0x00000200

形式

	
header-token

	
argument-token	(1, "shmid", shared memory ID)

	[ipc-token]

	[ipc_perm-token]

	subject-token

	return-token

共有メモリのセグメント ID が無効な場合、ipc トークンと ipc_perm トークンは
含まれない

表 A-122 shmctl(2) - IPC_STAT command

イベント名

イベント ID

イベントクラス

マスク

AUE_SHMCTL_STAT

94

ip

0x00000200

形式

	
header-token

	
argument-token	(1, "shmid", shared memory ID)

	[ipc-token]

	subject-token

	return-token

共有メモリのセグメント ID が無効な場合、ipc トークンと ipc_perm トークンは
含まれない

表 A-123 shmdt(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_SHMDT`	`97`	`ip`	0x00000200
形式 `header-token` `argument-token` (1, "shmaddr", shared mem addr) `subject-token` `return-token`

表 A-124 shmget(2)

イベント名

イベント ID

EventClass

マスク

AUE_SHMGET

95

ip

0x00000200

形式

	
header-token

	
argument-token	(0, "shmid", shared memory ID)

	[ipc-token]

	[ipc_perm-token]

	subject-token

	return-token

失敗したイベントの場合、ipc トークンと ipc_perm トークンは含まれない

表 A-125 stat(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_STAT`	`16`	`fa`	0x00000004
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-126 statfs(2)


イベント名	イベント ID	EventClass	マスク
`AUE_STATFS`	`54`	`fa`	0x00000004
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-127 statvfs(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_STATVFS`	`234`	`fa`	0x00000004
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-128 stime(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_STIME`	`201`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-129 symlink(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_SYMLINK`	`21`	`fc`	0x00000010
形式 `header-token` `text-token` (symbolic link string) `path-token` [`attr-token`] `subject-token` `return-token`

表 A-130 sysinfo(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_SYSINFO`	`39`	`ad`	0x00000800
形式 `header-token` `argument-token` (1, "cmd", command) `text-token` (name) `subject-token` `return-token`

表 A-131 system booted


イベント名	イベント ID	イベントクラス	マスク
`AUE_SYSTEMBOOT`	`113`	`na`	0x00000400
形式 `header-token` `text-token` ("booting kernel") `return-token`

表 A-132 umount(2) - old version


イベント名	イベント ID	イベントクラス	マスク
`AUE_UMOUNT`	`12`	`ad`	0x00000800
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-133 unlink(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_UNLINK`	`6`	`fd`	0x00000020
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-134 old utime(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_UTIME`	`202`	`fm`	0x00000008
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-135 utimes(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_UTIMES`	`49`	`fm`	0x00000008
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-136 utssys(2) - fusers


イベント名	イベント ID	イベントクラス	マスク
`AUE_UTSSYS`	`233`	`ad`	0x00000800
形式 `header-token` `path-token` `[attr-token]` `subject-token` `return-token`

表 A-137 vfork(2)

イベント名

イベント ID

イベントクラス

マスク

AUE_VFORK

25

pc

0x00000080

形式

	
header-token

	
argument-token	(0, "child PID", pid)

	
subject-token

	return-token

監査レコードは子プロセスが作成された時点で作成されるため、fork の戻り値は
不定なので注意する必要がある

表 A-138 vtrace(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_VTRACE`	`36`	`pc`	0x00000080
形式 `header-token` `subject-token` `return-token`

表 A-139 xmknod(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_XMKNOD`	`240`	`fc`	0x00000010
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

表 A-140 xstat(2)


イベント名	イベント ID	イベントクラス	マスク
`AUE_XSTAT`	`235`	`fa`	0x00000004
形式 `header-token` `path-token` [`attr-token`] `subject-token` `return-token`

ユーザレベルで生成される監査レコード

カーネルの外側で動作するアプリケーションによって、次の監査レコードが作成されます。各レコードはプログラムのアルファベット順に掲載されています。各レコードの説明には、次の情報が含まれています。

プログラム名
参照先のマニュアルページ (該当する場合)
監査イベント番号
監査イベント名
監査レコードの構造

表 A-141 allocate-device success


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_allocate_succ`	`/usr/sbin/allocate`	`6200`	`ad`	0x00000800
形式 `header-token` `subject-token` `newgroups-token` `exit-token`

表 A-142 allocate-device failure


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_allocate_fail`	`/usr/sbin/allocate`	`6201`	`ad`	0x00000800
形式 `header-token` `subject-token` `newgroups-token` `exit-token`

表 A-143 deallocate-device success


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_allocate_succ`	`/usr/sbin/allocate`	`6202`	`ad`	0x00000800
形式 `header-token` `subject-token` `newgroups-token` `exit-token`

表 A-144 deallocate-device failure


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_allocate_fail`	`/usr/sbin/allocate`	`6203`	`ad`	0x00000800
形式 `header-token` `subject-token` `newgroups-token` `exit-token`

表 A-145 allocate-list devices success


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_listdevice_succ`	`/usr/sbin/allocate`	`6205`	`ad`	0x00000800
形式 `header-token` `subject-token` [`group-token`] `exit-token`

表 A-146 allocate-list devices failure


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_listdevice_fail`	`/usr/sbin/allocate`	`6206`	`ad`	0x00000800
形式 `header-token` `subject-token` [`group-token`] `exit-token`

表 A-147 at-create crontab


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_at_create`	`/usr/bin/at`	`6144`	`ad`	0x00000800
形式 `header-token` `subject-token` [`group-token`] `exit-token`

表 A-148 at-delete atjob (at or atrm)


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_at_delete`	`/usr/bin/at`	`6145`	`ad`	0x00000800
形式 `header-token` `subject-token` [`group-token`] `exit-token`

表 A-149 at-permission


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_at_perm`	`/usr/bin/at`	`6146`	`ad`	0x00000800
形式 `header-token` `subject-token` [`group-token`] `exit-token`

表 A-150 crontab-crontab created


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_crontab_create`	`/usr/bin/crontab`	`6148`	`ad`	0x00000800
形式 `header-token` `subject-token` [`group-token`] `exit-token`

表 A-151 crontab-crontab deleted


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_crontab_delete`	`/usr/bin/crontab`	`6149`	`ad`	0x00000800
形式 `header-token` `subject-token` [`group-token`] `exit-token`

表 A-152 cron-invoke atjob or crontab


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_cron_invoke`	`/usr/bin/crontab`	`6147`	`ad`	0x00000800
形式 `header-token` `subject-token` `text-token` (program) `text-token` (shell) `text-token` (cmd) `exit-token`

表 A-153 crontab-permission


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_crontab_perm`	`/usr/bin/crontab`	`6150`	`ad`	0x00000800
形式 `header-token` `subject-token` [`group-token`] `exit-token`

表 A-154 halt(1m)


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_halt_solaris`	`/usr/sbin/halt`	`6160`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-155 inetd


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_inetd_connect`	`/usr/sbin/inetd`	`6151`	`na`	0x00000400
形式 `header-token` `subject-token` `text-token` (service name) `return-token`

表 A-156 init(1m)


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_init_solaris`	`/sbin/init`; `/usr/sbin/init`; `/usr/sbin/shutdown`	`6166`	`ad`	0x00000800
形式 `header-token` `subject-token` `text-token` (init level) `return-token`

表 A-157 ftp access


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_ftpd`	`/usr/sbin/in.ftpd`	`6165`	`lo`	0x00001000
形式 `header-token` `subject-token` `text-token` (error message, failure only) `return-token`

表 A-158 login - local


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_login`	`/usr/sbin/login`	`6152`	`lo`	0x00001000
形式 `header-token` `subject-token` `text-token` (error message) `return-token`

表 A-159 login - rlogin


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_rlogin`	`/usr/sbin/login`	`6155`	`lo`	0x00001000
形式 `header-token` `subject-token` `text-token` (error message) `return-token`

表 A-160 login - telnet


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_telnet`	`/usr/sbin/login`	`6154`	`lo`	0x00001000
形式 `header-token` `subject-token` `text-token` (error message) `return-token`

表 A-161 logout


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_logout`	`/usr/sbin/login`	`6153`	`lo`	0x00001000
形式 `header-token` `subject-token` `return-token`

表 A-162 mount


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_mountd_mount`	`/usr/lib/nfs/mountd`	`6156`	`na`	0x00000400
形式 `header-token` `subject-token` `text-token` (remote client hostname) `path-token` (mount dir) `text-token` (error message, failure only) `return-token`

表 A-163 unmount


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_mountd_umount`	`/usr/lib/nfs/mountd`	`6157`	`na`	0x00000400
形式 `header-token` `subject-token` `text-token` (remote client hostname) `path-token` (mount dir) `text-token` (error message, failure only) `return-token`

表 A-164 passwd


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_passwoeoed`	`/usr/bin/passwd`	`6163`	`lo`	0x00001000
形式 `header-token` `subject-token` `text-token` (error message) `return-token`

表 A-165 poweroff(1m)


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_poweroff _solaris`	`/usr/sbin/poweroff`	`6169`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-166 reboot (1m)


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_reboot_solaris`	`/usr/sbin/reboot`	`6161`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-167 rexd


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_rexd`	`/usr/sbin/rpc.rexd`	`6164`	`lo`	0x00001000
形式 `header-token` `subject-token` `text-token` (error message, failure only) `text-token` (hostname) `text-token` (username) `text-token` (command to be executed) `exit-token`

表 A-168 rexecd


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_rexecd`	`/usr/sbin/in.rexecd`	`6162`	`lo`	0x00001000
形式 `header-token` `subject-token` `text-token` (error message, failure only) `text-token` (hostname) `text-token` (username) `text-token` (command to be executed) `exit-token`

表 A-169 rsh access


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_rshd`	`/usr/sbin/in.rshd`	`6158`	`lo`	0x00001000
形式 `header-token` `subject-token` `text-token` (command string) `text-token` (local user) `text-token` (remote user) `return-token`

表 A-170 shutdown(1b)


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_shutdown _solaris`	`/usr/ucb/shutdown`	`6168`	`ad`	0x00000800
形式 `header-token` `subject-token` `return-token`

表 A-171 su


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_su`	`/usr/bin/su`	`6159`	`lo`	0x00001000
形式 `header-token` `text-token` (error message) `subject-token` `return-token`

表 A-172 uadmin(1m)


イベント名	プログラム	イベント ID	イベントクラス	マスク
`AUE_uadmin_solaris`	`/sbin/uadmin`; `/usr/sbin/uadmin`	`6167`	`ad`	0x00000800
形式 `header-token` `subject-token` `text-token` (function) `text-token` (argument) `return-token`

イベントからシステムコールへの変換

表 A-173 は、監査イベント名とそれを作成したシステムコールまたはカーネルイベントとの関連付けを示しています。表 A-174 は、監査イベントとそれを生成したアプリケーションまたはコマンドとの関連付けを示しています。

表 A-173 イベントからシステムコールへの変換


監査イベント	システムコール
`AUE_ACCESS`	表 A-5
`AUE_ACCT`	表 A-6
`AUE_ADJTIME`	表 A-7
`AUE_AUDIT`	表 A-8
`AUE_AUDITON_GETCAR`	表 A-9
`AUE_AUDITON_GETCLASS`	表 A-10
`AUE_AUDITON_GETCOND`	表 A-11
`AUE_AUDITON_GETCWD`	表 A-12
`AUE_AUDITON_GETKMASK`	表 A-13
`AUE_AUDITON_GETSTAT`	表 A-14
`AUE_AUDITON_GPOLICY`	表 A-15
`AUE_AUDITON_GQCTRL`	表 A-16
`AUE_AUDITON_SETCLASS`	表 A-17
`AUE_AUDITON_SETCOND`	表 A-18
`AUE_AUDITON_SETKMASK`	表 A-19
`AUE_AUDITON_SETSMASK`	表 A-20
`AUE_AUDITON_SETSTAT`	表 A-21
`AUE_AUDITON_SETUMASK`	表 A-22
`AUE_AUDITON_SPOLICY`	表 A-23
`AUE_AUDITON_SQCTRL`	表 A-24
`AUE_AUDITSVC`	表 A-25
`AUE_CHDIR`	表 A-26
`AUE_CHMOD`	表 A-27
`AUE_CHOWN`	表 A-28
`AUE_CHROOT`	表 A-29
`AUE_CLOSE`	表 A-30
`AUE_CORE`	表 A-90
`AUE_CREAT`	表 A-31
`AUE_ENTERPROM`	表 A-32
`AUE_EXEC`	表 A-33
`AUE_EXECVE`	表 A-34
`AUE_EXIT`	表 A-36
`AUE_EXITPROM`	表 A-35
`AUE_FCHDIR`	表 A-37
`AUE_FCHMOD`	表 A-38
`AUE_FCHOWN`	表 A-39
`AUE_FCHROOT`	表 A-40
`AUE_FCNTL`	表 A-41
`AUE_FORK`	表 A-42
`AUE_FORK1`	表 A-43
`AUE_FSTATFS`	表 A-44
`AUE_GETAUDIT`	表 A-45
`AUE_GETAUID`	表 A-46
`AUE_GETMSG`	表 A-47
`AUE_GETPMSG`	表 A-50
`AUE_GETPORTAUDIT`	表 A-51
`AUE_IOCTL`	表 A-52
`AUE_KILL`	表 A-53
`AUE_LCHOWN`	表 A-54
`AUE_LINK`	表 A-55
`AUE_LSTAT`	表 A-56
`AUE_LXSTAT`	表 A-57
`AUE_MEMCNTL`	表 A-58
`AUE_MKDIR`	表 A-59
`AUE_MKNOD`	表 A-60
`AUE_MMAP`	表 A-61
`AUE_MODADDMAJ`	表 A-62
`AUE_MODCONFIG`	表 A-63
`AUE_MODLOAD`	表 A-64
`AUE_MODUNLOAD`	表 A-65
`AUE_MOUNT`	表 A-66
`AUE_MSGCTL_RMID`	表 A-67
`AUE_MSGCTL_SET`	表 A-68
`AUE_MSGCTL_STAT`	表 A-69
`AUE_MSGGET`	表 A-70
`AUE_MSGRCV`	表 A-71
`AUE_MSGSND`	表 A-72
`AUE_MUNMAP`	表 A-73
`AUE_NICE`	表 A-74
`AUE_OPEN_R`	表 A-75
`AUE_OPEN_RC`	表 A-76
`AUE_OPEN_RT`	表 A-78
`AUE_OPEN_RTC`	表 A-77
`AUE_OPEN_RW`	表 A-79
`AUE_OPEN_RWC`	表 A-80
`AUE_OPEN_RWT`	表 A-82
`AUE_OPEN_RWTC`	表 A-81
`AUE_OPEN_W`	表 A-83
`AUE_OPEN_WC`	表 A-84
`AUE_OPEN_WT`	表 A-86
`AUE_OPEN_WTC`	表 A-85
`AUE_OSETUID`	表 A-118
`AUE_PATHCONF`	表 A-87
`AUE_PIPE`	表 A-88
`AUE_PRIOCNTLSYS`	表 A-89
`AUE_PUTMSG`	表 A-91
`AUE_PUTPMSG`	表 A-94
`AUE_READLINK`	表 A-95
`AUE_RENAME`	表 A-96
`AUE_RMDIR`	表 A-97
`AUE_SEMCTL_GETALL`	表 A-98
`AUE_SEMCTL_GETNCNT`	表 A-99
`AUE_SEMCTL_GETPID`	表 A-100
`AUE_SEMCTL_GETVAL`	表 A-101
`AUE_SEMCTL_GETZCNT`	表 A-102
`AUE_SEMCTL_RMID`	表 A-103
`AUE_SEMCTL_SET`	表 A-104
`AUE_SEMCTL_SETALL`	表 A-105
`AUE_SEMCTL_SETVAL`	表 A-106
`AUE_SEMCTL_STAT`	表 A-107
`AUE_SEMGET`	表 A-108
`AUE_SEMOP`	表 A-109
`AUE_SETAUDIT`	表 A-110
`AUE_SETAUID`	表 A-111
`AUE_SETEGID`	表 A-112
`AUE_SETEUID`	表 A-113
`AUE_SETGID`	表 A-114
`AUE_SETGROUPS`	表 A-115
`AUE_SETPGRP`	表 A-116
`AUE_SETRLIMIT`	表 A-117
`AUE_SETUID`	表 A-118
`AUE_SHMAT`	表 A-119
`AUE_SHMCTL_RMID`	表 A-120
`AUE_SHMCTL_SET`	表 A-121
`AUE_SHMCTL_STAT`	表 A-122
`AUE_SHMDT`	表 A-123
`AUE_SHMGET`	表 A-124
`AUE_SOCKACCEPT`	表 A-48
`AUE_SOCKCONNECT`	表 A-92
`AUE_SOCKRECEIVE`	表 A-49
`AUE_SOCKSEND`	表 A-93
`AUE_STAT`	表 A-125
`AUE_STATFS`	表 A-126
`AUE_STATVFS`	表 A-127
`AUE_STIME`	表 A-128
`AUE_SYMLINK`	表 A-129
`AUE_SYSINFO`	表 A-130
`AUE_SYSTEMBOOT`	表 A-131
`AUE_UMOUNT`	表 A-132
`AUE_UNLINK`	表 A-133
`AUE_UTIME`	表 A-134
`AUE_UTIMES`	表 A-135
`AUE_UTSSYS`	表 A-136
`AUE_VFORK`	表 A-137
`AUE_VTRACE`	表 A-138
`AUE_XMKNOD`	表 A-139
`AUE_XSTAT`	表 A-140

表 A-174 イベントからコマンドへの変換


監査イベント	コマンド
`AUE_allocate_succ`	表 A-141
`AUE_allocate_fail`	表 A-142
`AUE_deallocate_succ`	表 A-143
`AUE_deallocate_fail`	表 A-144
`AUE_listdevice_succ`	表 A-145
`AUE_listdevice_fail`	表 A-146
`AUE_at_create`	表 A-147
`AUE_at_delete`	表 A-148
`AUE_at_perm`	表 A-149
`AUE_crontab_create`	表 A-150
`AUE_crontab_delete`	表 A-151
`AUE_cron_invoke`	表 A-152
`AUE_crontab_perm`	表 A-153
`AUE_halt_solaris`	表 A-154
`AUE_inetd_connect`	表 A-155
`AUE_init_solaris`	表 A-156
`AUE_ftpd`	表 A-157
`AUE_login`	表 A-158
`AUE_rlogin`	表 A-159
`AUE_telnet`	表 A-160
`AUE_logout`	表 A-161
`AUE_mountd_mount`	表 A-162
`AUE_mountd_umount`	表 A-163
`AUE_passwd`	表 A-164
`AUE_poweroff_solaris`	表 A-165
`AUE_reboot_solaris`	表 A-166
`AUE_rexd`	表 A-167
`AUE_rexecd`	表 A-168
`AUE_rshd`	表 A-169
`AUE_shutdown_solaris`	表 A-170
`AUE_su`	表 A-171
`AUE_uadmin_solaris`	表 A-172