監査ファイルの詳細

各監査ファイルは、それ自体で意味がわかるレコードの集合です。ファイル名には、レコードが生成された時間の範囲と、それを生成したマシン名が含まれます。

監査ファイルの命名

完全な監査ファイルには、次の書式の名前が付いています。

start-time.finish-time.machine 

start-time は、監査ファイル内の最初の監査レコードが生成された時刻です。finish-timeは、最後のレコードがファイルに書き込まれた時刻です。machine は、ファイルを生成したマシン名です。監査ファイル名の例については、閉じられた監査ファイル名の例を参照してください。

監査ログファイルが動作中である場合は、次の書式の名前が付いています。

start-time.not_terminated.machine

監査ファイル名の使用方法

auditreduce コマンドは、ファイル名のタイムスタンプを使用して、要求された特定期間内のレコードが入ったファイルを検索します。たとえば、1 か月以上蓄積された監査ファイルの全レコードから、24 時間以内に生成されたレコードを検索する場合、タイムスタンプを使用しなければ、検索時間が大幅に増大することになるため、タイムスタンプは重要な意味を持ちます。

タイムスタンプの書式と説明

start-time と end-time は 1 秒単位のタイムスタンプです。これらのタイムスタンプは、グリニッジ標準時 (GMT) で指定されます。タイムスタンプの書式は、次のように年が 4 桁で、2 桁ずつの月、日、時、分、秒があとに続きます。

YYYYMMDDHHMMSS

タイムスタンプには GMT が使用されるため、夏時間によるずれがあっても正しい順序でソートされることが保証されます。また、日時を把握しやすいように現在の時間帯に変換する必要があります。監査ファイルを auditreduce コマンドではなく標準ファイルコマンドで操作するときには、この点に注意してください。

動作中のファイル名の例

動作中のファイル名の書式は次のとおりです。

YYYYMMDDHHMMSS.not_terminated.machine

次に例を示します。

19990327225243.not_terminated.dopey

監査ログファイルの名前には、開始日が使用されます。上記の例の監査ファイルは、GMT の1990 年 3 月 27 日午後 10:52:43 に作成されています。ファイル名のうち not_terminated は、このファイルがまだ動作中であるか、または auditd デーモンが予期しない割り込みを行なったことを意味します。末尾の名前 dopey は、監査データが収集されているマシンのホスト名です。

閉じられた監査ファイル名の例

閉じられた監査ログファイル名の書式は次のとおりです。

YYYYMMDDHHMMSS.YYYYMMDDHHMMSS.hostname

次に例を示します。

19990320005243.19900327225351.dopey

この例の監査ログファイルは、GMT の 1999 年 3 月 20 日の午前 12:52:43 に作成されています。このファイルは、GMT の 3 月 27 日午後 10:53:51 に閉じられました。末尾の名前 dopey は、監査データが収集されたマシンのホスト名です。

auditd が予期しない割り込みを行うと、その時点で開いている監査ファイル名には not_terminated が付きます。また、マシンがリモートでマウントされた監査ファイルに書き込んでいるときに、ファイルサーバーがクラッシュするか、またはアクセスできなくなると、not_terminated が現在のファイル名に付いたままになります。監査デーモンは、古い監査ファイル名の監査ファイルをそのまま残して新しい監査ファイルを開きます。