Prüfklassen

Systemweite Standardwerte für die Prüfung bei Oracle Solaris werden im Voraus ausgewählt, indem Sie mindestens eine Klasse der Ereignisse angeben. Die Klassen werden für jedes System in der Datei audit_control des Systems im Voraus ausgewählt. Alle Benutzer, die das System verwenden, werden auf diese Ereignisklassen geprüft. Eine Beschreibung der Datei erhalten Sie unter Datei audit_control.

Sie können Prüfklassen konfigurieren und neue Prüfklassen erstellen. Die Namen der Prüfklassen können aus bis zu acht Zeichen bestehen. Für die Beschreibung der Klasse können maximal 72 Zeichen verwendet werden. Numerische und alphanumerische Zeichen sind zulässig.

Sie können die für einen bestimmten Benutzer geprüften Objekte ändern, indem Sie Prüfklassen zu einem Benutzereintrag in der Datenbank audit_user hinzufügen. Die Prüfklassen werden außerdem als Argumente für den Befehl auditconfig verwendet. Ausführliche Informationen erhalten Sie auf der Manpage auditconfig(1M).

Definitionen der Prüfklassen

Die folgende Tabelle zeigt die einzelnen vordefinierten Prüfklassen, den beschreibenden Namen der jeweiligen Prüfklasse und eine Kurzbeschreibung.

Tabelle 31-1 Vordefinierte Prüfklassen

Prüfklasse	Beschreibender Name	Beschreibung
`all`	`all`	Alle Klassen (Metaklasse)
`no`	`no_class`	Nullwert für Deaktivieren der Ereignisvorauswahl
`na`	`non_attrib`	Nicht zuweisbare Ereignisse
`fr`	`file_read`	Lesen von Daten, offen für Lesezugriff
`fw`	`file_write`	Schreiben von Daten, offen für Schreibzugriff
`fa`	`file_attr_acc`	Zugriff der Objektattribute: `stat`, `pathconf`
`fm`	`file_attr_mod`	Ändern der Objektattribute: `chown`, `flock`
`fc`	`file_creation`	Erstellen eines Objekts
`fd`	`file_deletion`	Löschen eines Objekts
`cl`	`file_close`	`close` (Systemaufruf)
`ap`	`application`	Anwendungsdefiniertes Ereignis
`ad`	`administrative`	Administrative Aktionen (veraltete administrative Metaklasse)
`am`	`administrative`	Administrative Aktionen (Metaklasse)
`ss`	`system state`	Ändern des Systemstatus
`as`	`system-wide administration`	Systemweite Verwaltung
`ua`	`user administration`	Benutzerverwaltung
`aa`	`audit administration`	Prüfungsauslastung
`ps`	`process start`	Prozessbeginn und Prozessende
`pm`	`process modify`	Prozessänderung
`pc`	`process`	Prozess (Metaklasse)
`ex`	`exec`	Programmausführung
`io`	`ioctl`	`ioctl()` (Systemaufruf)
`ip`	`ipc`	System V IPC-Vorgänge
`lo`	`login_logout`	Anmelde- und Abmeldeereignisse
`nt`	`network`	Netzwerkereignisse: `bind`, `connect`, `accept`
`ot`	`other`	Verschiedenes wie Gerätezuordnung und `memcntl()`

Sie können neue Klassen definieren, indem Sie die Datei /etc/security/audit_class ändern. Außerdem können Sie vorhandene Klassen umbenennen. Weitere Informationen erhalten Sie auf der Manpage audit_class(4).

Syntax der Prüfklassen

Ereignisse können auf Erfolg, auf Fehler und auf beides geprüft werden. Ohne eine Präfixangabe wird eine Ereignisklasse auf eine erfolgreiche oder fehlerhafte Durchführung geprüft. Bei einem Pluszeichen (+) als Präfix wird eine Ereignisklasse nur auf eine erfolgreiche Durchführung geprüft. Bei einem Minuszeichen (-) als Präfix wird eine Ereignisklasse nur auf eine fehlerhafte Durchführung geprüft. Die folgende Tabelle enthält einige mögliche Darstellungen von Prüfklassen.

Tabelle 31-2 Prüfklassen mit Plus- und Minuszeichen als Präfix

`[prefix]` `class`	Erläuterung
`lo`	Prüfung aller erfolgreichen An- und Abmeldeversuche und aller fehlerhaften Anmeldeversuche. Ein fehlerhafter Abmeldeversuch eines Benutzers ist nicht möglich.
`+lo`	Prüfung aller erfolgreichen An- und Abmeldeversuche
`-all`	Prüfung aller fehlerhaften Ereignisse
`+all`	Prüfung aller erfolgreichen Ereignisse

Achtung - Durch die Klasse all können umfangreiche Datenmengen generiert werden und der Speicherplatz der Prüfdateisysteme schnell belegt werden. Verwenden Sie die Klasse all nur, wenn ein wichtiger Grund für die Prüfung aller Aktivitäten vorliegt.

Prüfklassen, die bereits ausgewählt wurden, können durch ein Caret-Präfix (^) weiter angepasst werden. In der folgenden Tabelle sehen Sie, wie durch das Caret-Präfix eine im Voraus ausgewählte Prüfklasse geändert wird.

Tabelle 31-3 Caret-Präfix zum Ändern bereits angegebener Prüfklassen

`^`[`prefix`]`class`	Erläuterung
`-all,^-fc`	Prüfung aller fehlerhaften Ereignisse, mit Ausnahme von fehlerhaften Versuchen zum Erstellen von Dateiobjekten
`am,^+aa`	Prüfung aller administrativen Ereignisse auf erfolgreiche oder fehlerhafte Durchführung, mit Ausnahme von erfolgreichen Versuchen zur Verwaltung der Prüfung
`am,^ua`	Prüfung aller administrativen Ereignisse auf erfolgreiche und fehlerhafte Durchführung, mit Ausnahme von Benutzeradministrationsereignissen

Die Prüfklassen und die zugehörigen Präfixe können in den folgenden Dateien und Befehlen verwendet werden:

In der Zeile flags der Datei audit_control
In der Zeile plugin:name=audit_syslog.so; p_flags= der Datei audit_control
Im Benutzereintrag der Datenbank audit_user
Als Argumente für die auditconfig-Befehlsoptionen

Ein Beispiel zur Verwendung der Präfixe in der Datei audit_control finden Sie unter Datei audit_control.

Navigationslinks �berspringen
Druckansicht beenden
	Systemverwaltungshandbuch: Sicherheitsservices