Was ist eine Prüfung?

Bei der Prüfung werden Daten zur Nutzung der Systemressourcen erfasst. Die Prüfdaten enthalten einen Datensatz der sicherheitsrelevanten Systemereignisse. Anhand dieser Daten können Sie anschließend Verantwortung für die auf einem Host durchgeführten Aktionen feststellen. Eine erfolgreiche Prüfung beginnt mit zwei Sicherheitsfunktionen: Identifizierung und Authentifizierung. Nachdem ein Benutzer einen Benutzernamen und ein Passwort angegeben hat, wird bei jeder Anmeldung eine eindeutige Prüfsitzungs-ID generiert und dem Benutzerprozess zugewiesen. Die Prüfsitzungs-ID wird von allen während der Anmeldesitzung gestarteten Prozessen übernommen. Auch wenn ein Benutzer die Identität während einer Sitzung ändert, werden alle Aktionen mit der gleichen Prüfsitzungs-ID erfasst. Weitere Informationen zum Ändern der Identität erhalten Sie auf der Manpage su(1M).

Der Prüfservice ermöglicht Folgendes:

• Überwachen der auf einem Host durchgeführten sicherheitsrelevanten Ereignisse

• Aufzeichnen der Ereignisse in einem netzwerkweiten Prüfpfad

• Feststellen von falscher Verwendung oder unberechtigter Aktivität

• Überprüfen der Zugriffsmuster und des Zugriffsverlaufs der Personen und Objekte

• Feststellen von Umgehungsversuchen der Schutzmechanismen

• Festellen der übermäßigen Nutzung von Berechtigungen, wenn ein Benutzer die Identität ändert

Während der Systemkonfiguration legen Sie die zu überwachenden Klassen von Prüfdatensätzen fest. Außerdem können Sie den Grad der für die einzelnen Benutzer durchgeführten Prüfungen einstellen. In der folgenden Abbildung wird der Ablauf der Oracle Solaris-Prüfung ausführlich dargestellt.

Abbildung 28-1 Ablauf der Prüfung

Nach dem Erfassen der Prüfdaten im Kernel werden die Daten durch Plugins an die entsprechenden Standorte verteilt. Anschließend können Sie mithilfe von Tools für die Nachauswahl die interessanten Abschnitte des Prüfpfads auswählen und untersuchen. Beispielsweise können Sie Prüfdatensätze bestimmter Benutzer oder Gruppen überprüfen. Sie können alle Datensätze eines bestimmten Ereignistyps an einem bestimmten Tag untersuchen. Oder Sie können alle zu einem bestimmten Zeitpunkt des Tages generierten Datensätze auswählen.

Bei Systemen, auf denen nicht globale Zonen installiert sind, wird eine identische Prüfung aller Zonen über die globale Zone durchgeführt. Diese Systeme können so konfiguriert werden, dass sie verschiedene Datensätze in den nicht globalen Zonen erfassen. Weitere Informationen erhalten Sie unter Prüfung und Oracle Solaris-Zonen.