Resolución de problemas de la auditoría de Oracle Solaris (mapa de tareas)

El siguiente mapa de tareas hace referencia a los procedimientos para la resolución de problemas de la auditoría de Oracle Solaris.

Problema	Solución	Para obtener instrucciones
¿Por qué no se crean los archivos de auditoría cuando tengo configurada la auditoría?	Resuelva los problemas del daemon de auditoría y los archivos de configuración de auditoría.	Cómo determinar que la auditoría de Oracle Solaris se está ejecutando
¿Cómo puedo reducir la cantidad de información sobre auditoría que se está recopilando?	Audite sólo los eventos que desea auditar.	Cómo reducir el volumen de los registros de auditoría que se producen
¿Cómo puedo auditar todo lo que un usuario hace en el sistema?	Audite uno o más usuarios para cada comando.	Cómo auditar todos los comandos por usuarios
¿Cómo puedo cambiar los eventos de auditoría que se graban y hacer que el cambio afecte las sesiones existentes?	Actualice la máscara de preselección de un usuario.	Cómo modificar una máscara de preselección de usuario
¿Cómo puedo localizar modificaciones en archivos determinados?	Audite las modificaciones en los archivos y, luego, use el comando `auditreduce` para encontrar archivos determinados.	Cómo buscar registros de auditoría de los cambios realizados en archivos específicos
¿Cómo puedo reducir el tamaño de mis archivos de auditoría?	Limite el tamaño del archivo de auditoría binario.	Cómo limitar el tamaño de los archivos de auditoría binarios
¿Cómo puedo eliminar eventos de auditoría del archivo `audit_event`?	Actualice el archivo `audit_event`.	Cómo evitar la auditoría de determinados eventos
¿Cómo puedo auditar todos los inicios de sesión a un sistema Oracle Solaris?	Audite los inicios de sesión de cualquier sistema.	Cómo auditar inicios de sesión de otros OSes
¿Por qué no se mantienen los registros de auditoría de mis transferencias de FTP?	Utilice la herramienta de auditoría adecuada para las utilidades que generan sus propios registros.	Cómo auditar transferencias de archivos FTP y SFTP

Cómo determinar que la auditoría de Oracle Solaris se está ejecutando

Si cree que la auditoría se ha activado, pero no hay registros de auditoría en el directorio principal de auditoría, intente lo siguiente.

Antes de empezar

Que se ha configurado correctamente la base de datos hosts en su servicio de nombres y su funcionamiento. Para depurar los problemas del servicio de nombres, consulte lo siguiente:

Determine que la auditoría se esté ejecutando.
- Compruebe que el módulo de núcleo c2audit esté cargado.
```
# modinfo | grep c2audit
```
  Si no se proporciona ninguna lista, significa que la auditoría no se está ejecutando. La siguiente lista indica que la auditoría se está ejecutando:
```
40  132ce90  14230 186   1  c2audit (C2 system call)
```
- Compruebe que se esté ejecutando el daemon de auditoría.
  Compruebe el estado del servicio auditd. La siguiente lista indica que la auditoría no se está ejecutando:
```
# svcs -x auditd
svc:/system/auditd:default (Solaris audit daemon)
 State: disabled since Fri Aug 14 19:02:35 2009
Reason: Disabled by an administrator.
   See: http://sun.com/msg/SMF-8000-05
   See: auditd(1M)
   See: audit(1M)
Impact: This service is not running.
```
  La siguiente lista indica que el servicio de auditoría se está ejecutando:
```
# svcs auditd
STATE          STIME    FMRI
online         10:10:10 svc:/system/auditd:default
```
- Compruebe la condición actual de la auditoría.
  La siguiente lista indica que la auditoría no se está ejecutando:
```
# auditconfig -getcond
auditconfig: auditon(2) failed.
auditconfig: error = Operation not supported(48)
```
  La siguiente lista indica que la auditoría se está ejecutando:
```
# auditconfig -getcond
audit condition = auditing
```
Si el servicio de auditoría no se está ejecutando, habilítelo. Para conocer el procedimiento, consulte Cómo habilitar el servicio de auditoría.
Compruebe la sintaxis del archivo audit_control.
```
# audit -v /etc/security/audit_control
audit: audit_control must have either a valid "dir:" entry 
or a valid "plugin:" entry with "p_dir:" specified.
```
Corrija los errores. El mensaje syntax ok indica que el archivo es correcto desde el punto de vista sintáctico.
Compruebe que el archivo audit_control tenga valores válidos para las palabras clave flags y naflags.
```
# grep flags /etc/security/audit_control
flags:lo
naflags:na,lp
```
Si el archivo audit_control tiene valores no válidos, proporcione valores válidos. En el ejemplo anterior, lp es una clase no válida.
Compruebe que el archivo audit_user tenga valores válidos para todos los usuarios.
```
# tail audit_user
...
# User Level Audit User File
#
# File Format
#
#    username:always:never
#
root:lo:no
admin:lp:no
```
Si el archivo audit_user tiene valores no válidos, proporcione valores válidos. En el ejemplo anterior, lp es una clase no válida.
Si crea una clase de auditoría personalizada, compruebe que haya asignado eventos a la clase.
Por ejemplo, el siguiente archivo audit_control contiene una clase que el software de Oracle Solaris no entregó:
```
# grep flags /etc/security/audit_control
flags:lo,pf
naflags:na,lo
```
Para obtener una descripción de la creación de la clase pf, consulte Cómo agregar un clase de auditoría.
1. Compruebe que la clase esté definida en el archivo audit_class.
  La máscara de clase de auditoría debe ser única.
```
# grep pf /etc/security/audit_class
0x10000000:pf:profile command
```
  Si la clase no está definida, defínala. De lo contrario, elimine la clase de los archivos audit_control y audit_user.
2. Compruebe que los eventos se hayan asignado a la clase.
```
# grep pf /etc/security/audit_event
6180:AUE_prof_cmd:profile command:ua,as,pf
```
  Si los eventos no están asignados a la clase, asigne los eventos adecuados a esta clase.
Si los pasos anteriores no indicaban un problema, revise los archivos de registro del sistema /var/adm/messages y /var/log/syslog.
1. Localice y corrija los problemas.
2. A continuación, si el servicio de auditoría está en ejecución, reinícielo.
```
# audit -s
```
3. Si el servicio de auditoría no se está ejecutando, habilítelo.
  Para conocer el procedimiento, consulte Cómo habilitar el servicio de auditoría.

Cómo reducir el volumen de los registros de auditoría que se producen

Cuando haya determinado qué eventos deben auditarse en su ubicación, use las siguientes sugerencias para crear archivos de auditoría manejables.

Utilice la política de auditoría predeterminada.
En concreto, evite agregar eventos y tokens de auditoría a la pista de auditoría. Las siguientes políticas afectan el tamaño de la pista de auditoría.
- Política arge: agrega variables de entorno a los eventos de auditoría exec.
- Política argv: agrega parámetros de comandos a los eventos de auditoría exec.
- Política public: si va a auditar eventos de archivos, agregue un evento a la pista de auditoría en el archivo público cada vez que ocurra un evento auditable. Las clases de archivos incluyen fa, fc , fd, fm, fr, fw y cl. Para la definición de un archivo público, consulte Conceptos y terminología de auditoría.
- Política path: agrega un token path a los eventos de auditoría que incluyen un token pathopcional.
- Política group: agrega un token de grupo a los eventos de auditoría que incluyen un token newgroups opcional.
- Política seq: agrega un token de secuencia a cada evento de auditoría.
- Política trail: agrega un token de ubicador a cada evento de auditoría.
- Política windata_down: en un sistema configurado con Trusted Extensions, agrega eventos cuando se disminuye el nivel de la información en una ventana con etiqueta.
- Política windata_up: en un sistema configurado con Trusted Extensions, agrega eventos cuando se aumenta el nivel de la información en una ventana con etiqueta.
- Política zonename: agrega el nombre de zona a cada evento de auditoría. Si la zona global es la única zona configurada, agrega zone, global a cada evento de auditoría.
El siguiente registro de auditoría muestra el uso del comando ls. La clase ex se está auditando y la política predeterminada está en uso:
```
header,375,2,execve(2),,mach1,2009-08-06 11:19:57.388 -07:00
path,/usr/bin/ls
subject,jdoe,root,root,root,root,1401,737,0 0 mach1
return,success,0
```
A continuación, se muestra el mismo registro cuando se activan todas las políticas:
```
header,375,2,execve(2),,mach1,2009-08-06 11:19:57.388 -07:00
path,/usr/bin/ls
attribute,100555,root,bin,136,432,0
exec_args,1,ls
exec_env,9,HOME=/,HZ=,LANG=C,LOGNAME=root,MAIL=/var/mail/root,PATH=/u
sr/sbin:/usr/bin,SHELL=/sbin/sh,TERM=xterm,TZ=US/Pacific
path,/lib/ld.so.1
attribute,100755,root,bin,136,4289,0
subject,jdoe,root,root,root,root,1401,737,0 0 mach1
group,root,other,bin,sys,adm,uucp,mail,tty,lp,nuucp,daemon
return,success,0
zone,global
sequence,313540
trailer,375
```
Utilice el complemento audit_syslog.so para enviar algunos eventos de auditoría a syslog.
Esta estrategia funciona sólo si no es necesario mantener registros binarios de los eventos de auditoría que envía a los registros syslog. Mediante el comando auditreduce, puede segregar los archivos binarios de estos registros y reducir de esta forma el tamaño de los archivos binarios.
Utilice el archivo audit_user para auditar eventos para usuarios y roles específicos.
Reduzca la cantidad de auditoría para todos los usuarios mediante la reducción del número de clases de auditoría en el archivo audit_control. En el archivo audit_user, puede agregar clases de auditoría para usuarios y roles específicos.
Cree sus propias clases de auditoría personalizadas.
Puede crear clases de auditoría en el sitio. En estas clases, coloque todos los eventos de auditoría que necesita supervisar. Para conocer el procedimiento, consulte Cómo agregar un clase de auditoría.

Nota - Si modifica asignaciones de clase de auditoría existentes, las modificaciones pueden perderse al actualizar a una versión más reciente del SO Oracle Solaris. Lea atentamente los registros de instalación.

Cómo auditar todos los comandos por usuarios

Como parte de la política de seguridad del sitio, algunos sitios requieren registros de auditoría de todos los comandos ejecutados por el usuario root o por los roles administrativos. Algunos sitios también requieren registros de auditoría de todos los comandos que ejecutan los usuarios.

Audite las clases lo y ex.

La clase ex audita todas las llamadas a las funciones exec() y execve(). La clase lo audita los inicios de sesión, los cierres de sesión y los bloqueos de pantalla. La siguiente salida muestra todos los eventos de las clases ex y lo.

7:AUE_EXEC:exec(2):ps,ex
23:AUE_EXECVE:execve(2):ps,ex
...
6152:AUE_login:login - local:lo
6153:AUE_logout:logout:lo
6154:AUE_telnet:login - telnet:lo
6155:AUE_rlogin:login - rlogin:lo
6158:AUE_rshd:rsh access:lo
6159:AUE_su:su:lo
6162:AUE_rexecd:rexecd:lo
6163:AUE_passwd:passwd:lo
6164:AUE_rexd:rexd:lo
6165:AUE_ftpd:ftp access:lo
6171:AUE_ftpd_logout:ftp logout:lo
6172:AUE_ssh:login - ssh:lo
6173:AUE_role_login:role login:lo
6212:AUE_newgrp_login:newgrp login:lo
6213:AUE_admin_authenticate:admin login:lo
6221:AUE_screenlock:screenlock - lock:lo
6222:AUE_screenunlock:screenlock - unlock:lo
6227:AUE_zlogin:login - zlogin:lo

Para auditar estas clases para los administradores, modifique el archivo audit_user.
En el siguiente ejemplo, el sitio ha creado tres roles, sysadm, auditadm y netadm. Estos roles y la cuenta root se auditan para las clases exec y lo:
```
## audit_user file
root:lo,ex:no
sysadm:lo,ex:no
auditadm:lo,ex:no
netadm:lo,ex:no
```
Para auditar la clase lo para eventos no atribuibles, modifique el archivo audit_control.
```
## audit_control file
...
naflags:lo
...
```

Para auditar estas clases para todos los usuarios, modifique el archivo audit_control .

## audit_control file
flags:lo,ex
naflags:lo
...

El resultado es similar al siguiente:

header,375,2,execve(2),,mach1,2009-08-06 11:19:57.388 -07:00
path,/usr/bin/ls
subject,jdoe,root,root,root,root,1401,737,0 0 mach1
return,success,0

Para registrar los argumentos en los comandos, configure la política argv.

## audit_startup script
...
auditconfig -setpolicy +argv
...

El token exec_args registra los argumentos de los comandos:

header,375,2,execve(2),,mach1,2009-08-06 11:19:57.388 -07:00
path,/usr/bin/ls
exec_args,1,ls
subject,jdoe,root,root,root,root,1401,737,0 0 mach1
return,success,0

Para registrar el entorno en el que se ejecuta el comando, configure la políticaarge.

## audit_startup script
...
auditconfig -setpolicy +arge
...

El token exec_env registra el entorno de los comandos:

header,375,2,execve(2),,mach1,2009-08-06 11:19:57.388 -07:00
path,/usr/bin/ls
exec_env,9,HOME=/,HZ=,LANG=C,LOGNAME=root,MAIL=/var/mail/root,
  PATH=/usr/sbin:/usr/bin,SHELL=/sbin/sh,TERM=xterm,TZ=US/Pacific
subject,jdoe,root,root,root,root,1401,737,0 0 mach1
return,success,0

Para registrar los argumentos y el entorno de comandos, establezca ambas políticas.

## audit_startup script
...
auditconfig -setpolicy +argv
auditconfig -setpolicy +arge
...

El resultado es similar al siguiente:

header,375,2,execve(2),,mach1,2009-08-06 11:19:57.388 -07:00
path,/usr/bin/ls
exec_args,1,ls
exec_env,9,HOME=/,HZ=,LANG=C,LOGNAME=root,MAIL=/var/mail/root,
  PATH=/usr/sbin:/usr/bin,SHELL=/sbin/sh,TERM=xterm,TZ=US/Pacific
subject,jdoe,root,root,root,root,1401,737,0 0 mach1
return,success,0

Cómo buscar registros de auditoría de los cambios realizados en archivos específicos

Si tiene como objetivo registrar las escrituras de los archivos en comparación con un número limitado de archivos, como /etc/passwd y los archivos en el directorio /etc/default, debe utilizar el comando auditreduce para ubicar los archivos.

Auditoría de la clase fw.
Si agrega la clase al archivo audit_user, genera menos registros que si agrega la clase al archivo audit_control.
- Agregue la clase fw al archivo audit_user.
```
## audit_user file
root:fw:no
sysadm:fw:no
auditadm:fw:no
netadm:fw:no
```
- Agregue la clase fw al archivo audit_control.
```
## audit_control file
flags:lo,fw
...
```
Para buscar los registros de auditoría para archivos específicos, utilice el comando auditreduce.
```
# /usr/sbin/auditreduce -o file=/etc/passwd,/etc/default -O filechg
```
El comando auditreduce busca en la pista de auditoría todas las instancias del argumento file. El comando crea un archivo binario con el sufijo filechg que contiene todos los registros que incluyen los nombres de ruta de los archivos de interés. Consulte la página del comando man auditreduce(1M) para conocer la sintaxis de la opción-o file=nombre_ruta.
Para leer el archivo filechg, utilice el comando praudit .
```
# /usr/sbin/praudit *filechg
```

Cómo modificar una máscara de preselección de usuario

Si modifica el archivo audit_control o audit_user , la máscara de preselección de los usuarios que ya iniciaron sesión no cambia. Debe forzar la máscara de preselección para que cambie.

Antes de empezar

Debe haber habilitado la auditoría, los inicios de sesión de los usuarios y, luego, debe haber cambiado el valor de flags o naflags en el archivo audit_control . Quiere que los usuarios que ya iniciaron sesión se auditen en estas clases de auditoría recientemente seleccionadas.

Actualice la máscara de preselección de los usuarios que ya iniciaron sesión.
Dispone de dos opciones. Puede terminar las sesiones existentes o utilizar el comando auditconfig para actualizar las máscaras de preselección de los usuarios.
- Termine las sesiones existentes de los usuarios.
  Los usuarios pueden cerrar sesión y volver a iniciarla, o el administrador puede terminar manualmente (finalizar) las sesiones activas. Las nuevas sesiones heredan la nueva máscara de preselección. Sin embargo, cerrar la sesión de los usuarios puede ser poco práctico.
- Cambie de forma dinámica la máscara de preselección de cada usuario.
  Supongamos que el atributo flags en el archivo audit_control se ha cambiado de lo a lo,ex.
  1. Determine el ID de auditoría del usuario y el ID de sesión de auditoría.
    En primer lugar, busque los usuarios comunes. En el siguiente ejemplo, el administrador busca todos los procesos que no sean responsabilidad de root, daemon o lp:
```
# /usr/bin/pgrep -v -u root,daemon,lp | more 
..
3941
3948
3949
10640 ...
```
    A continuación, utilice uno de los procesos de usuario para buscar ID de auditoría del usuario:
```
# auditconfig -getpinfo 3941
audit id = jdoe(1002)
process preselection mask = lo(0x1000,0x1000)
terminal id (maj,min,host) = 9426,65559,mach1(192.168.123.234)
audit session id = 713
```
    Tenga en cuenta que la máscara de preselección del usuario incluye la clase lo y no incluye la clase ex recién agregada.
  El ID de auditoría del usuario es 1002. El ID de sesión de auditoría del usuario es 713.
Cambie la máscara de preselección del usuario.
Utilice uno de los dos métodos siguientes:
- Utilice el ID de sesión de auditoría del usuario para cambiar la máscara de preselección del usuario.
```
# /usr/sbin/auditconfig -setsmask lo,ex 713
```
- Utilice el ID de auditoría del usuario para cambiar la máscara de preselección del usuario.
```
# /usr/sbin/auditconfig -setumask lo,ex 1002
```

Compruebe que la máscara de preselección haya cambiado.

# auditconfig -getpinfo 3941
audit id = jdoe(1002)
process preselection mask = ex,lo(0x40001000,0x40001000) 
terminal id (maj,min,host) = 9426,65559,mach1(192.168.123.234)
audit session id = 713

Cómo evitar la auditoría de determinados eventos

Con fines de mantenimiento, a veces, un sitio quiere evitar que se auditen eventos de auditoría.

Cambie la clase del evento a la clase no.

Por ejemplo, los eventos 26 y 27 pertenecen a la clase pm.

## audit_event file
...
25:AUE_VFORK:vfork(2):ps
26:AUE_SETGROUPS:setgroups(2):pm
27:AUE_SETPGRP:setpgrp(2):pm
28:AUE_SWAPON:swapon(2):no
...

Cambie estos eventos a la clase no.

## audit_event file
...
25:AUE_VFORK:vfork(2):ps
26:AUE_SETGROUPS:setgroups(2):no
27:AUE_SETPGRP:setpgrp(2):no
28:AUE_SWAPON:swapon(2):no
...

Si la clase pm está asiendo auditada actualmente, las sesiones existentes aún auditarán los eventos 26 y 27. Para evitar que estos eventos se auditen, debe actualizar las máscaras de preselección de los usuarios.

Precaución - Nunca quite el comentario de eventos en el archivo audit_event. Este archivo es utilizado por el comando praudit para leer archivos binarios de auditoría. Los archivos de auditoría almacenados pueden contener eventos que se muestran en el archivo.

Para actualizar la preselección de máscaras de los usuarios, siga las instrucciones de Cómo modificar una máscara de preselección de usuario.

Cómo limitar el tamaño de los archivos de auditoría binarios

Los archivos de auditoría binarios crecen sin límite. Para facilitar el archivado y la búsqueda, puede que desee limitar el tamaño. También puede crear archivos binarios más pequeños a partir del archivo original.

A partir de la versión Solaris 10 10/08, use el atributo p_fsize para limitar el tamaño de los archivos de auditoría binarios individuales.
El atributo p_fsize en el complemento audit_binfile.so lo habilita a limitar el tamaño de un archivo de auditoría. El valor predeterminado es cero (0), que le permite al archivo crecer sin límite. El valor se especifica en bytes, de 512.000 a 2.147.483.647. Cuando se alcanza el tamaño especificado, se cierra el archivo de auditoría actual y se abre un nuevo archivo.
En el siguiente ejemplo, se limita el tamaño de un archivo de auditoría a 1 Mbyte:
```
plugin:name=audit_binfile.so; p_dir:/var/audit; p_fsize=1024000
```
Utilice el comando auditreduce para seleccionar registros y escribir los registros en un archivo para su análisis posterior.
Las opciones auditreduce -minúscula buscan registros específicos.
Las opciones auditreduce -mayúscula escriben las selecciones en un archivo. Para obtener más información, consulte la página del comando man auditreduce(1M).

Cómo auditar inicios de sesión de otros OSes

Oracle Solaris puede auditar todos los inicios de sesión, independientemente del origen.

Audite la clase lo para los eventos atribuibles y no atribuibles.
Esta clase audita los inicios de sesión, los cierres de sesión y los bloqueos de pantalla.
```
## audit_control file
flags:lo
naflags:lo
...
```
Nota - Para auditar inicios de sesión ssh, su sistema Oracle Solaris debe ejecutar el daemon ssh de Oracle Solaris. Este daemon se ha modificado para la auditoría de Oracle Solaris. Para obtener más información, consulte Oracle Solaris Secure Shell y el proyecto OpenSSH.

Cómo auditar transferencias de archivos FTP y SFTP

El servicio FTP crea registros de sus transferencias de archivos. El servicio SFTP, que se ejecuta en el protocolo SSH, se puede auditar mediante la auditoría de Oracle Solaris. Los inicios de sesión de ambos servicios se pueden auditar mediante la auditoría de Oracle Solaris.

Para registrar los comandos y las transferencias de archivos del servicio FTP, consulte la página del comando man ftpaccess(4).
Para conocer las opciones de registro disponibles, lea la sección de “capacidades de registro”. En particular, las opciones log commands y log transfers pueden proporcionar registros útiles.
Para registrar transferencias de archivos sftp, realice una de las siguientes acciones o ambas acciones:
- Audite las lecturas de archivos.
  Las transferencias de archivos a través de una conexión SSH utilizan el comando sftp. Estas transferencias se pueden registrar mediante el indicador de auditoría +fr. Para auditar las transferencias de archivos sftp fallidas, audite el indicador de auditoría-fr.
  El siguiente resultado es de una sesión sftp satisfactoria:
```
header,138,2,open(2) - read,,ma2,2009-08-25 14:48:58.770 -07:00
path,/home/jdoe/vpn_connect
attribute,100644,jdoe,staff,391,437,0
subject,jdoe,jdoe,staff,jdoe,staff,4444,120289379,8457 65558 ma1
return,success,6
```
- Utilice la opción detallada para el comando sftp.
  La opción -v se puede repetir hasta tres veces.
```
# sftp -vvv [ other options ] hostname 
```

Para registrar el acceso a los servicios FTP y SFTP, audite la clase lo.

Como indica el siguiente resultado, el inicio y cierre de sesión del daemon ftpd generan registros de auditoría.

% bsmrecord -c lo | more
...
in.ftpd
  program     /usr/sbin/in.ftpd    See ftp access
  event ID    6165                 AUE_ftpd
  class       lo                   (0x00001000)
      header
      subject
      [text]                       error message
      return

in.ftpd
  program     /usr/sbin/in.ftpd    See ftp logout
  event ID    6171                 AUE_ftpd_logout
  class       lo                   (0x00001000)
      header
      subject
      return
...

El inicio de sesión SSH registra todos los accesos al comando sftp.

...
/usr/lib/ssh/sshd
  program     /usr/lib/ssh/sshd    See login - ssh
  event ID    6172                 AUE_ssh
  class       lo                   (0x00001000)
      header
      subject
      [text]                       error message
      return

Omitir V�nculos de navegaci�n
Salir de la Vista de impresi�n
	Guía de administración del sistema: servicios de seguridad