Fonctionnement de l'audit

L'audit génère des enregistrements d'audit lorsque des événements donnés se produisent. Le plus souvent, les événements générant des enregistrements d'audit sont les suivants :

• Démarrage et arrêt du système

• Connexion et déconnexion

• Création ou destruction de processus et création ou destruction de threads

• Ouverture, fermeture, création, destruction, ou modification du nom d'objets

• Utilisation des capacités de privilège ou du contrôle d'accès basé sur les rôles (RBAC)

• Actions d'identification et d'authentification

• Modification d'autorisations par un processus ou un utilisateur

• Actions d'administration, telles que l'installation d'un package

• Applications spécifiques à un site

Les enregistrements d'audit sont générés à partir de trois sources :

• Par une application

• À la suite d'un événement d'audit asynchrone

• À la suite d'un appel système de processus

Une fois les informations de l'événement recueillies, elles sont formatées en un enregistrement d'audit. L'enregistrement est ensuite écrit dans les fichiers d'audit. Les enregistrements d'audit complets sont stockés au format binaire. Dans la version Solaris10, les enregistrements d'audit peuvent également être consignés par l'utilitaire syslog.

Les fichiers d'audit au format binaire peuvent être stockés dans un système de fichiers local. Les fichiers peuvent également être stockés sur des serveurs de fichiers montés via NFS. L'emplacement peut inclure plusieurs partitions sur le même système, des partitions sur des systèmes différents ou des partitions sur des systèmes basés sur des réseaux différents mais reliés. L'ensemble des fichiers d'audit liés est considéré comme une piste d'audit. Les enregistrements d'audit s'accumulent dans des fichiers d'audit dans l'ordre chronologique. Chaque enregistrement d'audit contient des informations qui identifient l'événement, la cause, l'heure et d'autres informations pertinentes.

Les enregistrements d'audit peuvent également être surveillés à l'aide de l'utilitaire syslog. Ces journaux d'audit peuvent être stockés localement. Ou, les journaux peuvent être envoyés à un système distant via le protocole UDP. Pour plus d'informations, reportez-vous à la section Journaux d'audit.