Teil I Übersicht über die Sicherheit
1. Sicherheitsservices (Überblick)
Teil II System-, Datei- und Gerätesicherheit
2. Verwalten von Rechnersicherheit (Übersicht)
3. Steuern des Zugriffs auf Systeme (Aufgaben)
4. Steuern des Zugriffs auf Geräte (Aufgaben)
5. Verwenden von Basic Audit Reporting Tool (Aufgaben)
6. Steuern des Zugriffs auf Dateien (Aufgaben)
7. Verwenden von Automated Security Enhancement Tool (Aufgaben)
Teil III Rollen, Berechtigungsprofile und Berechtigungen
8. Verwenden von Rollen und Berechtigungen (Übersicht)
9. Rollenbasierte Zugriffssteuerung (Aufgaben)
10. Rollenbasierte Zugriffssteuerung (Übersicht)
Teil IV Kryptografische Services
13. Oracle Solaris Cryptographic Framework (Übersicht)
14. Oracle Solaris Cryptographic Framework (Aufgaben)
15. Oracle Solaris Key Management Framework
Teil V Authentifizierungsservices und sichere Kommunikation
16. Verwenden von Authentifizierungsservices (Aufgaben)
19. Verwenden von Oracle Solaris Secure Shell (Aufgaben)
20. Oracle Solaris Secure Shell (Referenz)
21. Einführung zum Kerberos-Service
22. Planen des Kerberos-Service
23. Konfigurieren des Kerberos-Service (Aufgaben)
24. Kerberos-Fehlermeldungen und -Fehlerbehebung
25. Verwalten von Kerberos-Hauptelementen und Richtlinien (Aufgaben)
26. Verwenden von Kerberos-Anwendungen (Aufgaben)
27. Der Kerberos-Service (Referenz)
Teil VII Prüfung bei Oracle Solaris
28. Prüfung bei Oracle Solaris (Übersicht)
29. Planen der Oracle Solaris-Prüfung
30. Verwalten der Oracle Solaris-Prüfung (Aufgaben)
Prüfung bei Oracle Solaris (Übersicht der Schritte)
Konfigurieren der Prüfdateien (Übersicht der Schritte)
Konfigurieren von Prüfdateien (Aufgaben)
So ändern Sie die Datei audit_control
So konfigurieren Sie syslog-Prüfprotokolle
So ändern Sie die Prüfmerkmale eines Benutzers
So fügen Sie eine Prüfklasse hinzu
So ändern Sie die Klassenmitgliedschaft eines Prüfereignisses
Konfigurieren und Aktivieren des Prüfservice (Übersicht der Schritte)
Konfigurieren und Aktivieren des Prüfservice (Aufgaben)
So erstellen Sie Partitionen für Prüfdateien
So konfigurieren Sie den E-Mail-Alias audit_warn
So konfigurieren Sie die Prüfrichtlinie
So aktivieren Sie den Prüfservice
So deaktivieren Sie den Prüfservice
So aktualisieren Sie den Prüfservice
Konfigurieren des Prüfservice in Zonen (Aufgaben)
So können Sie alle Zonen für die Prüfung identisch konfigurieren
So konfigurieren Sie eine zonenweise Prüfung
Verwalten der Prüfdatensätze (Übersicht der Schritte)
So zeigen Sie Prüfdatensatzformate an
So führen Sie Prüfdateien aus dem Prüfpfad zusammen
So wählen Sie Prüfereignisse aus dem Prüfpfad aus
So zeigen Sie den Inhalt der binären Prüfdateien an
So bereinigen Sie eine Prüfdatei des Typs not_terminated
So verhindern Sie eine Prüfpfadüberlauf
Fehlerbehebung bei der Oracle Solaris-Prüfung (Aufgaben)
Fehlerbehebung bei der Oracle Solaris-Prüfung (Übersicht der Schritte)
So können Sie die Ausführung der Oracle Solaris-Prüfung feststellen
So verringern Sie den Umfang der erstellten Prüfdatensätze
So prüfen Sie alle Befehle der Benutzer
So suchen Sie nach Prüfdatensätzen der Änderungen an bestimmten Dateien
So ändern Sie die Vorauswahlmaske eines Benutzers
So verhindern Sie die Prüfung bestimmter Ereignisse
So beschränken Sie die Größe binärer Prüfdateien
In der folgenden Übersicht der Schritte wird auf Verfahren für die Fehlerbehebung bei der Oracle Solaris-Prüfung verwiesen.
|
Wenn Sie annehmen, dass trotz aktivierter Prüfung keine Prüfdatensätze im primären Prüfverzeichnis generiert werden, versuchen Sie den Fehler zu beheben, indem Sie Folgendes durchführen.
Bevor Sie beginnen
Die Datenbank hosts im Naming Service wurde ordnungsgemäß konfiguriert und kann einwandfrei verwendet werden. Weitere Informationen zur Behebung von Fehlern beim Naming Service finden Sie in der folgenden Dokumentation:
Manpage nsswitch.conf(4)
Systemverwaltungshandbuch: Naming Services und Directory Services (DNS, NIS und LDAP)
System Administration Guide: Naming and Directory Services (NIS+)
# modinfo | grep c2audit
Keine Liste weist darauf hin, dass die Prüfung nicht ausgeführt wird. Anhand der folgenden Liste können Sie erkennen, ob die Prüfung ausgeführt wird:
40 132ce90 14230 186 1 c2audit (C2 system call)
Überprüfen Sie den Status des Service auditd. Anhand der folgenden Liste können Sie erkennen, dass die Prüfung nicht ausgeführt wird:
# svcs -x auditd svc:/system/auditd:default (Solaris audit daemon) State: disabled since Fri Aug 14 19:02:35 2009 Reason: Disabled by an administrator. See: http://sun.com/msg/SMF-8000-05 See: auditd(1M) See: audit(1M) Impact: This service is not running.
Anhand der folgenden Liste können Sie erkennen, dass der Prüfservice ausgeführt wird:
# svcs auditd STATE STIME FMRI online 10:10:10 svc:/system/auditd:default
Anhand der folgenden Liste können Sie erkennen, dass die Prüfung nicht ausgeführt wird:
# auditconfig -getcond auditconfig: auditon(2) failed. auditconfig: error = Operation not supported(48)
Anhand der folgenden Liste können Sie erkennen, ob die Prüfung ausgeführt wird:
# auditconfig -getcond audit condition = auditing
Wenn der Prüfservice nicht ausgeführt wird, aktivieren Sie ihn. Weitere Informationen zu dem Verfahren finden Sie unter So aktivieren Sie den Prüfservice.
# audit -v /etc/security/audit_control audit: audit_control must have either a valid "dir:" entry or a valid "plugin:" entry with "p_dir:" specified.
Beheben Sie die Fehler. Die Meldung syntax ok gibt an, dass die Syntax der Datei ordnungsgemäß vorhanden ist.
# grep flags /etc/security/audit_control flags:lo naflags:na,lp
Geben Sie gültige Werte an, wenn die Datei audit_control ungültige Werte aufweisen sollte. Im vorhergehenden Beispiel stellt lp eine ungültige Klasse dar.
# tail audit_user ... # User Level Audit User File # # File Format # # username:always:never # root:lo:no admin:lp:no
Geben Sie gültige Werte an, wenn die Datei audit_user ungültige Werte enthält. Im vorhergehenden Beispiel stellt lp eine ungültige Klasse dar.
Beispielsweise enthält die folgende Datei audit_control eine Klasse, die von der Oracle Solaris-Software nicht bereitgestellt wird:
# grep flags /etc/security/audit_control flags:lo,pf naflags:na,lo
Eine Beschreibung zur Erstellung der Klasse pf erhalten Sie unter So fügen Sie eine Prüfklasse hinzu.
Die Maske der Prüfklasse muss eindeutig sein.
# grep pf /etc/security/audit_class 0x10000000:pf:profile command
Wenn die Klasse noch nicht definiert ist, definieren Sie sie. Entfernen Sie andernfalls die Klasse aus den Dateien audit_control und audit_user.
# grep pf /etc/security/audit_event 6180:AUE_prof_cmd:profile command:ua,as,pf
Wenn der Klasse keine Ereignisse zugewiesen wurden, weisen Sie die entsprechenden Ereignisse zu dieser Klasse zu.
# audit -s
Weitere Informationen zu dem Verfahren finden Sie unter So aktivieren Sie den Prüfservice.
Nachdem Sie die zu prüfenden Ereignisse an Ihrem Standort festgestellt haben, erstellen Sie anhand der folgenden Vorschläge einfach zu verwaltende Prüfdateien.
Vermeiden Sie insbesondere, Ereignisse und Prüf-Token zum Prüfpfad hinzuzufügen. Die folgenden Richtlinien wirken sich auf die Größe des Prüfpfads aus.
arge (Richtlinie): Fügt Umgebungsvariablen zu den exec-Prüfereignissen hinzu
argv (Richtlinie): Fügt Befehlsparameter zu den exec-Prüfereignissen hinzu
public (Richtlinie): Beim Prüfen von Dateiereignissen wird ein Ereignis zum Prüfpfad hinzugefügt, wenn ein prüfbares Ereignis in einer öffentlichen Datei auftritt. Zu den Dateiklassen zählen fa, fc, fd, fm, fr, fw und cl. Eine Definition der öffentlichen Datei erhalten Sie unter Terminologie und Konzepte der Prüfung.
path (Richtlinie): Fügt ein path-Token zu den Prüfereignissen hinzu, die ein optionales path-Token enthalten
group (Richtlinie): Fügt ein group-Token zu den Prüfereignissen hinzu, die ein optionales newgroups-Token enthalten
seq (Richtlinie): Fügt ein sequence-Token zu allen Prüfereignissen hinzu
trail (Richtlinie): Fügt ein trailer-Token zu allen Prüfereignissen hinzu
windata_down (Richtlinie): Fügt Ereignisse auf einem System hinzu, das mit Trusted Extensions konfiguriert wurde, wenn Informationen in einem beschrifteten Fenster herabgestuft wurden
windata_up (Richtlinie): Fügt Ereignisse auf einem System hinzu, das mit Trusted Extensions konfiguriert wurde, wenn Informationen in einem beschrifteten Fenster hochgestuft wurden
zonename (Richtlinie): Fügt den Zonennamen zu allen Prüfereignissen hinzu. Wenn nur die globale Zone konfiguriert wurde, wird zone, global zu allen Prüfereignissen hinzugefügt.
Im folgenden Prüfdatensatz wird die Verwendung des Befehls ls dargestellt. Die Klasse ex wird geprüft und die Standardrichtlinie wird verwendet:
header,375,2,execve(2),,mach1,2009-08-06 11:19:57.388 -07:00 path,/usr/bin/ls subject,jdoe,root,root,root,root,1401,737,0 0 mach1 return,success,0
Der folgenden Datensatz wird verwendet, wenn alle Richtlinien aktiviert sind:
header,375,2,execve(2),,mach1,2009-08-06 11:19:57.388 -07:00 path,/usr/bin/ls attribute,100555,root,bin,136,432,0 exec_args,1,ls exec_env,9,HOME=/,HZ=,LANG=C,LOGNAME=root,MAIL=/var/mail/root,PATH=/u sr/sbin:/usr/bin,SHELL=/sbin/sh,TERM=xterm,TZ=US/Pacific path,/lib/ld.so.1 attribute,100755,root,bin,136,4289,0 subject,jdoe,root,root,root,root,1401,737,0 0 mach1 group,root,other,bin,sys,adm,uucp,mail,tty,lp,nuucp,daemon return,success,0 zone,global sequence,313540 trailer,375
Diese Strategie kann nur verwendet werden, wenn keine binären Datensätze der an syslog-Protokolle gesendeten Prüfereignisse gespeichert werden müssen. Mithilfe des Befehls auditreduce können Sie anschließend diese Datensätze von den binären Dateien entfernen, wodurch sich die Größe der binären Dateien verringert.
Verringern Sie den Umfang der Prüfung für alle Benutzer, indem Sie die Anzahl der Prüfklassen in der Datei audit_control reduzieren. Fügen Sie in der Datei audit_user Prüfklassen für bestimmte Benutzer und Rollen hinzu.
Sie können Prüfklassen an Ihrem Standort erstellen. Fügen Sie alle zu überwachenden Prüfereignisse zu diesen Klassen hinzu. Eine Beschreibung des Verfahrens erhalten Sie unter So fügen Sie eine Prüfklasse hinzu.
Hinweis - Wenn Sie vorhandene Prüfklassenzuordnungen ändern, gehen die Änderungen bei einem Upgrade zu einer neuen Version von Oracle Solaris-Betriebssystem möglicherweise verloren. Lesen Sie die Installationsprotokolle sorgfältig durch.
An einigen Standorten erfordern die Sicherheitsrichtlinien möglicherweise, dass die Prüfdatensätze aller Befehle, die vom root-Benutzer oder von administrativen Rollen ausgeführt werden, erfasst werden. Andere Standorte erfordern möglicherweise die Erfassung der Prüfdatensätze aller Befehle, die von Benutzern ausgeführt werden.
Die Klasse ex prüft alle Aufrufe der Funktionen exec() und execve(). Die Klasse lo prüft Anmeldungen, Abmeldungen und Bildschirmsperrungen. Durch die folgende Ausgabe werden alle Ereignisse in den Klassen ex und lo aufgeführt.
7:AUE_EXEC:exec(2):ps,ex 23:AUE_EXECVE:execve(2):ps,ex ... 6152:AUE_login:login - local:lo 6153:AUE_logout:logout:lo 6154:AUE_telnet:login - telnet:lo 6155:AUE_rlogin:login - rlogin:lo 6158:AUE_rshd:rsh access:lo 6159:AUE_su:su:lo 6162:AUE_rexecd:rexecd:lo 6163:AUE_passwd:passwd:lo 6164:AUE_rexd:rexd:lo 6165:AUE_ftpd:ftp access:lo 6171:AUE_ftpd_logout:ftp logout:lo 6172:AUE_ssh:login - ssh:lo 6173:AUE_role_login:role login:lo 6212:AUE_newgrp_login:newgrp login:lo 6213:AUE_admin_authenticate:admin login:lo 6221:AUE_screenlock:screenlock - lock:lo 6222:AUE_screenunlock:screenlock - unlock:lo 6227:AUE_zlogin:login - zlogin:lo
Im folgenden Beispiel wurden an dem Standort drei Rollen (sysadm, auditadm und netadm) erstellt. Diese Rollen und das root-Konto werden auf die Klassen exec und lo geprüft:
## audit_user file root:lo,ex:no sysadm:lo,ex:no auditadm:lo,ex:no netadm:lo,ex:no
## audit_control file ... naflags:lo ...
## audit_control file flags:lo,ex naflags:lo ...
Es wird eine Ausgabe ähnlich der folgenden angezeigt:
header,375,2,execve(2),,mach1,2009-08-06 11:19:57.388 -07:00 path,/usr/bin/ls subject,jdoe,root,root,root,root,1401,737,0 0 mach1 return,success,0
## audit_startup script ... auditconfig -setpolicy +argv ...
Durch das Token exec_args werden die Befehlsargumente aufgezeichnet:
header,375,2,execve(2),,mach1,2009-08-06 11:19:57.388 -07:00 path,/usr/bin/ls exec_args,1,ls subject,jdoe,root,root,root,root,1401,737,0 0 mach1 return,success,0
## audit_startup script ... auditconfig -setpolicy +arge ...
Durch das Token exec_env wird die Befehlsumgebung aufgezeichnet:
header,375,2,execve(2),,mach1,2009-08-06 11:19:57.388 -07:00 path,/usr/bin/ls exec_env,9,HOME=/,HZ=,LANG=C,LOGNAME=root,MAIL=/var/mail/root, PATH=/usr/sbin:/usr/bin,SHELL=/sbin/sh,TERM=xterm,TZ=US/Pacific subject,jdoe,root,root,root,root,1401,737,0 0 mach1 return,success,0
## audit_startup script ... auditconfig -setpolicy +argv auditconfig -setpolicy +arge ...
Es wird eine Ausgabe ähnlich der folgenden angezeigt:
header,375,2,execve(2),,mach1,2009-08-06 11:19:57.388 -07:00 path,/usr/bin/ls exec_args,1,ls exec_env,9,HOME=/,HZ=,LANG=C,LOGNAME=root,MAIL=/var/mail/root, PATH=/usr/sbin:/usr/bin,SHELL=/sbin/sh,TERM=xterm,TZ=US/Pacific subject,jdoe,root,root,root,root,1401,737,0 0 mach1 return,success,0
Wenn Sie Dateiaufzeichnungen bei einer beschränkten Anzahl von Dateien protokollieren möchten, beispielsweise /etc/passwd und die Dateien im Verzeichnis /etc/default, suchen Sie die Dateien mithilfe des Befehls auditreduce.
Indem Sie die Klasse zur Datei audit_user anstatt zur Datei audit_control hinzufügen, werden weniger Datensätze generiert.
## audit_user file root:fw:no sysadm:fw:no auditadm:fw:no netadm:fw:no
## audit_control file flags:lo,fw ...
# /usr/sbin/auditreduce -o file=/etc/passwd,/etc/default -O filechg
Durch den Befehl auditreduce wird der Prüfpfad nach allen Instanzen des Arguments file durchsucht. Der Befehl erstellt eine binäre Datei mit dem Suffix filechg, die alle Datensätze mit den Pfadnamen der gewünschten Dateien enthält. Weitere Informationen zur Syntax der Option -o file=pathname erhalten Sie auf der Manpage auditreduce(1M).
# /usr/sbin/praudit *filechg
Wenn Sie die Datei audit_control oder audit_user ändern, ändert sich die Vorauswahlmaske der bereits angemeldeten Benutzer nicht. Sie müssen das Ändern der Vorauswahlmaske erzwingen.
Bevor Sie beginnen
Sie haben die Prüfung aktiviert, die Benutzer sind angemeldet und Sie haben den Wert von flags oder naflags in der Datei audit_control geändert. Sie möchten die bereits angemeldeten Benutzer auf diese neu ausgewählten Prüfklassen prüfen.
Es sind folgende zwei Möglichkeiten verfügbar. Sie können die vorhandenen Sitzungen beenden oder mit dem Befehl auditconfig die Vorauswahlmasken der Benutzer aktualisieren.
Die Benutzer können sich abmelden und anschließend erneut anmelden oder der Administrator kann die aktiven Sitzungen manuell beenden (abbrechen). Die neuen Sitzungen übernehmen die neue Vorauswahlmaske. Das Beenden der Benutzer kann sich jedoch als unpraktisch erweisen.
Beispielsweise wurde das Attribut flags in der Datei audit_control von lo in lo,ex geändert.
Suchen Sie zunächst alle gewöhnlichen Benutzer. Im folgenden Beispiel sucht der Administrator nach allen Prozessen, deren Eigentümer nicht root, daemon oder lp ist:
# /usr/bin/pgrep -v -u root,daemon,lp | more .. 3941 3948 3949 10640 ...
Verwenden Sie anschließend einen der Benutzerprozesse, um die Prüf-ID des Benutzers zu suchen:
# auditconfig -getpinfo 3941 audit id = jdoe(1002) process preselection mask = lo(0x1000,0x1000) terminal id (maj,min,host) = 9426,65559,mach1(192.168.123.234) audit session id = 713
Achten Sie darauf, dass die Vorauswahlmaske des Benutzers die Klasse lo enthält und die neu hinzugefügte Klasse ex nicht enthält.
Die Prüf-ID des Benutzers lautet 1002. Die Prüfsitzungs-ID des Benutzers lautet 713.
Verwenden Sie eine der folgenden zwei Methoden:
# /usr/sbin/auditconfig -setsmask lo,ex 713
# /usr/sbin/auditconfig -setumask lo,ex 1002
# auditconfig -getpinfo 3941 audit id = jdoe(1002) process preselection mask = ex,lo(0x40001000,0x40001000) terminal id (maj,min,host) = 9426,65559,mach1(192.168.123.234) audit session id = 713
Aus Wartungsgründen muss an einigen Standorten möglicherweise verhindert werden, dass Prüfereignisse geprüft werden.
Beispielsweise gehören die Ereignisse 26 und 27 zur Klasse pm.
## audit_event file ... 25:AUE_VFORK:vfork(2):ps 26:AUE_SETGROUPS:setgroups(2):pm 27:AUE_SETPGRP:setpgrp(2):pm 28:AUE_SWAPON:swapon(2):no ...
Ändern Sie die Klasse dieser Ereignisse in die Klasse no.
## audit_event file ... 25:AUE_VFORK:vfork(2):ps 26:AUE_SETGROUPS:setgroups(2):no 27:AUE_SETPGRP:setpgrp(2):no 28:AUE_SWAPON:swapon(2):no ...
Wenn die Klasse pm derzeit geprüft wird, werden die Ereignisse 26 und 27 weiterhin in den vorhandenen Sitzungen geprüft. Damit diese Ereignisse nicht geprüft werden, müssen Sie die Vorauswahlmasken der Benutzer aktualisieren.
![]() | Achtung - Setzen Sie die Ereignisse in der Datei audit_event niemals in Kommentare. Diese Datei wird vom Befehl praudit zum Lesen binärer Prüfdateien verwendet. Archivierte Prüfdateien enthalten möglicherweise Ereignisse, die in der Datei aufgeführt sind. |
Für die Größe der binären Prüfdateien gibt es keine Beschränkung. Sie können die Größe beschränken, um die Archivierung und Suche zu erleichtern. Außerdem können Sie auch kleinere binäre Dateien aus der Originaldatei erstellen.
Durch das Attribut p_fsize des Plugins audit_binfile.so können Sie die Größe einer Prüfdatei beschränken. Der Standardwert ist Null (0), wodurch keine Beschränkung für die Dateigröße besteht. Der Wert wird in Byte von 512.000 bis 2.147.483.647 angegeben. Wenn die angegebene Größe erreicht wurde, wird die aktuelle Prüfdatei geschlossen und eine neue Datei geöffnet.
Im folgenden Beispiel wird die Größe einer Prüfdatei auf 1 MB begrenzt:
plugin:name=audit_binfile.so; p_dir:/var/audit; p_fsize=1024000
Durch die Optionen auditreduce -lowercase werden bestimmte Datensätze gesucht.
Durch die Optionen auditreduce -Uppercase wird die Auswahl in eine Datei geschrieben. Weitere Informationen erhalten Sie auf der Manpage auditreduce(1M).
Bei Oracle Solaris können alle Anmeldungen unabhängig von der Quelle geprüft werden.
Durch diese Klasse werden Anmeldungen, Abmeldungen und Bildschirmsperrungen geprüft.
## audit_control file flags:lo naflags:lo ...
Hinweis - Um ssh-Anmeldungen zu prüfen, muss auf dem Oracle Solaris-System der ssh-Dämon von Oracle Solaris ausgeführt werden. Dieser Dämon wurde für die Oracle Solaris-Prüfung geändert. Weitere Informationen erhalten Sie unter Oracle Solaris Secure Shell und das OpenSSH-Projekt.
Der FTP-Service erstellt Protokolle der zugehörigen Dateiübertragungen. Der SFTP-Service, der unter dem SSH-Protokoll ausgeführt wird, kann durch die Oracle Solaris-Prüfung geprüft werden. Die Anmeldungen an beiden Services können durch die Oracle Solaris-Prüfung geprüft werden.
Weitere Informationen zu den verfügbaren Protokollierungsoptionen erhalten Sie im Abschnitt zu den Protokollierungsfunktionen. Insbesondere durch die Optionen log commands und log transfers erhalten Sie hilfreiche Protokolle.
Bei Dateiübertragungen über eine SSH-Verbindung wird der Befehl sftp verwendet. Diese Übertragungen können mithilfe des Prüf-Flags +fr aufgezeichnet werden. Um fehlgeschlagene sftp-Dateiübertragungen zu prüfen, verwenden Sie das Prüf-Flag -fr.
Im Folgenden sehen Sie die Ausgabe einer erfolgreichen sftp-Sitzung:
header,138,2,open(2) - read,,ma2,2009-08-25 14:48:58.770 -07:00 path,/home/jdoe/vpn_connect attribute,100644,jdoe,staff,391,437,0 subject,jdoe,jdoe,staff,jdoe,staff,4444,120289379,8457 65558 ma1 return,success,6
Die Option -v (verbose) kann bis zu dreimal wiederholt werden.
# sftp -vvv [ other options ] hostname
Wie Sie anhand der folgenden Ausgabe sehen, werden durch das An- und Abmelden beim Dämon ftpd Prüfdatensätze generiert.
% bsmrecord -c lo | more ... in.ftpd program /usr/sbin/in.ftpd See ftp access event ID 6165 AUE_ftpd class lo (0x00001000) header subject [text] error message return in.ftpd program /usr/sbin/in.ftpd See ftp logout event ID 6171 AUE_ftpd_logout class lo (0x00001000) header subject return ...
Durch die SSH-Anmeldung werden alle Zugriffe auf den Befehl sftp aufgezeichnet.
... /usr/lib/ssh/sshd program /usr/lib/ssh/sshd See login - ssh event ID 6172 AUE_ssh class lo (0x00001000) header subject [text] error message return