Planification de l'audit Oracle Solaris (tâches)

Vous voulez sélectionner avec soin les types d'activités auditées. Dans le même temps, vous voulez collecter des informations d'audit utiles. Les fichiers d'audit peuvent rapidement augmenter de volume et remplir l'espace disponible, de sorte que vous devez leur allouer suffisamment d'espace disque. Vous devez également planifier soigneusement les utilisateurs et objets audités.

Procédure de planification de l'audit par zone

Si votre système a mis en œuvre des zones, vous avez deux possibilités de configuration d'audit :

Vous pouvez configurer un seul service d'audit dans la zone globale pour toutes les zones.
Vous pouvez configurer un service d'audit par zone.

Pour une description des compromis, reportez-vous à la section Audit sur un système à zones Oracle Solaris.

Sélectionnez l'une des méthodes suivantes :
- OPTION 1 : configuration d'un service d'audit pour toutes les zones.
  L'audit de toutes les zones de façon identique peut créer une piste d'audit à image unique. Une piste d'audit à image unique se produit lorsque toutes les zones sur un système font partie d'un même domaine d'administration. Les enregistrements d'audit peuvent ensuite être facilement comparés, car les enregistrements de chaque zone sont présélectionnés avec des paramètres identiques.
  Cette configuration traite toutes les zones comme faisant partie d'un système. La zone globale exécute le démon d'audit sur un système et collecte les journaux d'audit pour chaque zone. Vous personnalisez les fichiers de configuration d'audit uniquement dans la zone globale, puis copiez ces fichiers dans chaque zone non globale.
  1. Copiez le fichier audit_control de la zone globale dans chaque zone non globale.
  2. Utilisez la même base de données audit_user pour chaque zone.
    La base de données audit_user peut être un fichier local, ou vous pouvez l'obtenir à partir d'un service de nommage partagé.
  3. Activez la sélection par zone des enregistrements d'audit.
    Pour placer le nom de la zone dans le cadre de l'enregistrement d'audit, définissez la stratégie zonename dans la zone globale. La commande auditreduce peut alors sélectionner les événements d'audit par zone dans la piste d'audit. Pour un exemple, reportez-vous à la page de manuel auditreduce(1M).
  Pour planifier une piste d'audit à image unique, reportez-vous à la section Procédure de planification des personnes et objets à auditer. Commencez à la première étape. L'administrateur de la zone globale doit également réserver du stockage, comme décrit dans la section Procédure de planification du stockage pour les enregistrements d'audit.
- OPTION 2 : configuration d'un service d'audit par zone
  Sélectionnez l'option de configuration d'audit par zone si différentes zones disposent de différents fichiers de service de nommage, ou si les administrateurs de zone souhaitent contrôler l'audit dans leurs zones.
  - Lorsque vous configurez l'audit par zone, vous devez configurer la zone globale pour l'audit. Vous définissez la stratégie d'audit perzone dans la zone globale. Pour définir la stratégie d'audit, reportez-vous à la section Configuration de l'audit par zone.
    
    Remarque - Si les fichiers du service de nommage sont personnalisés dans des zones non globales, et la stratégie perzone n'est pas définie, une utilisation soigneuse des outils d'audit est requise pour sélectionner des enregistrements utilisables. Un ID d'utilisateur dans une zone peut se rapporter à un autre utilisateur du même ID dans une autre zone.
  - Pour générer des enregistrements dont le suivi peut être effectué jusqu'à leur zone d'origine, définissez la stratégie d'audit zonename dans la zone globale. Dans la zone globale, exécutez la commande auditreduce avec l'option zonename. Ensuite, dans la zone zonename, exécutez la commande praudit sur la sortie auditreduce.
  - Chaque administrateur de zone configure les fichiers d'audit pour la zone.
    
    Un administrateur de zone non globale peut définir toutes les options de stratégie à l'exception de perzone et ahlt.
  - Chaque administrateur de zone peut activer ou désactiver l'audit dans la zone.
  Si vous personnalisez les fichiers de configuration d'audit dans chaque zone, reportez-vous à la section Procédure de planification des personnes et objets à auditer pour planifier chaque zone. Vous pouvez ignorer la première étape. Chaque administrateur de zone doit également réserver du stockage pour chaque zone, comme décrit dans la section Procédure de planification du stockage pour les enregistrements d'audit.

Procédure de planification du stockage pour les enregistrements d'audit

La piste d'audit requiert un espace de fichiers dédié. L'espace de fichiers dédié pour les fichiers d'audit doit être disponible et sécurisé. Chaque système doit disposer de plusieurs répertoires d'audit configurés pour les fichiers d'audit. Avant d'activer l'audit sur un système, vous devez d'abord décider de la manière de configurer les répertoires d'audit. La procédure suivante décrit les problèmes à résoudre lorsque vous planifiez le stockage de la piste d'audit.

Avant de commencer

Si vous mettez en œuvre des zones non globales, effectuez la Procédure de planification de l'audit par zone avant d'utiliser cette procédure.

Déterminez le niveau d'audit requis par votre site.
Définissez les besoins de sécurité de votre disque en tenant compte de l'espace disque disponible pour la piste d'audit.
Pour obtenir des instructions sur la manière de réduire l'espace requis tout en maintenant la sécurité du site, ainsi que sur la conception du stockage d'audit, reportez-vous aux sections Contrôle des coûts d'audit et Gestion efficace de l'audit.
Déterminez les systèmes à auditer.
Sur ces systèmes, allouez de l'espace pour au moins un répertoire d'audit local. Pour spécifier les répertoires d'audit, reportez-vous à l'Exemple 30-3.
Déterminez les systèmes pour le stockage des fichiers d'audit.
Décidez quels serveurs devront contenir les répertoires d'audit principal et secondaire. Pour consulter des exemples de configuration des disques pour les répertoires d'audit, reportez-vous à la section Création des partitions pour les fichiers d'audit.
Nommez les répertoires d'audit.
Créez une liste de tous les répertoires d'audit que vous prévoyez d'utiliser. Pour obtenir des instructions sur la procédure de nommage, reportez-vous aux sections Stockage de la piste d'audit et Commande auditreduce.
Déterminez quels répertoires d'audit doivent être utilisés par les systèmes.
Créez un tableau indiquant quel système doit utiliser quel répertoire d'audit. Le tableau doit vous permettre d'équilibrer les activités d'audit. Pour obtenir un exemple, reportez-vous aux Figure 31-1 et Figure 31-2.

Procédure de planification des personnes et objets à auditer

Avant de commencer

Si vous mettez en œuvre des zones non globales, effectuez la Procédure de planification de l'audit par zone avant d'utiliser cette procédure.

Déterminez si vous souhaitez une piste d'audit d'image système unique.
Des systèmes au sein d'un même domaine administratif peuvent créer une piste d'audit d'image système unique. Si vos systèmes utilisent différents services de nommage, commencez avec l'étape suivante. Vous devez effectuer le reste des étapes de planification pour chaque système.

Une piste d'audit d'image système unique traite les systèmes en cours d'audit comme un seul ordinateur. Pour créer une piste d'audit d'image système unique pour un site, chaque système dans l'installation doit être configuré comme suit :
- Utilisation du même service de nommage.
  
  Pour interpréter les enregistrements d'audit, deux commandes sont utilisées : auditreduce et praudit. Pour l'interprétation correcte des enregistrements d'audit, les fichiers passwd, hosts et audit_user doivent être cohérents.
- Utilisation des mêmes fichiers audit_warn, audit_event, audit_class et audit_startup que tout autre système.
- Utilisation de la même base de données audit_user. La base de données peut se trouver dans un service de nommage, tel que NIS ou LDAP.
- Disposition d'entrées flags, naflags et plugin identiques dans le fichier audit_control.
Déterminez la stratégie d'audit.
Utilisez la commande auditconfig -lspolicy pour afficher une brève description des options de stratégie disponibles. Par défaut, seule la stratégie cnt est activée. Pour une description plus complète, reportez-vous à l'Étape 8.
Pour les effets des options de stratégie, reportez-vous à la section Détermination de la stratégie d'audit. Pour définir la stratégie d'audit, reportez-vous à la section Configuration de la stratégie d'audit.
Déterminez si vous souhaitez modifier les mappages des événements aux classes.
Dans de nombreux cas, le mappage par défaut est suffisant. Cependant, si vous ajoutez de nouvelles classes, modifiez des définitions de classe ou déterminez qu'un enregistrement d'un appel système spécifique n'est pas utile, vous devrez peut-être également déplacer un événement vers une autre classe.
La section Modification de l'appartenance à une classe d'un événement d'audit présente un exemple.
Déterminez les classes d'audit à présélectionner.
Le meilleur moment pour ajouter des classes d'audit ou modifier des classes par défaut est avant le démarrage du service d'audit.
Les valeurs de classe d'audit des entrées flags, naflags et plugin dans le fichier audit_control s'appliquent à tous les utilisateurs et processus. Les classes présélectionnées déterminent si une classe d'audit est auditée en cas de réussite, d'échec ou dans les deux cas.
Pour présélectionner des classes d'audit, reportez-vous à la section Modification du fichier audit_control .
Déterminez les exceptions d'utilisateurs aux classes d'audit présélectionnées à l'échelle du système.
Si vous souhaitez que certains utilisateurs soient audités différemment selon la classe d'audit présélectionnée à l'échelle du système, modifiez les entrées d'utilisateurs dans la base de données audit_user.
Pour un exemple, reportez-vous à la section Modification des caractéristiques d'audit d'un utilisateur.
Déterminez l'espace disque minimal disponible.
Lorsque l'espace disque disponible sur un système de fichiers d'audit passe en dessous du pourcentage minfree, le démon auditd bascule vers le prochain répertoire d'audit disponible. Le démon envoie ensuite un message d'avertissement indiquant que la limite dépassable a été dépassée.
Pour définir l'espace disque disponible minimal, reportez-vous à l'Exemple 30-4.
Déterminez la façon de gérer les alias de messagerie audit_warn.
Le script audit_warn est exécuté chaque fois que le système d'audit doit vous avertir d'une situation qui requiert l'attention du service d'administration. Par défaut, le script audit_warn envoie un e-mail à un alias audit_warn et un message à la console.
Pour configurer l'alias, reportez-vous à la section Configuration de l'alias de messagerie audit_warn .
Déterminez la mesure à prendre lorsque tous les répertoires d'audit sont pleins.
Par défaut, lorsque la piste d'audit est trop longue, le système continue de fonctionner. Le système comptabilise les enregistrements d'audit qui sont supprimés, mais n'enregistre pas les événements. Pour plus de sécurité, vous pouvez désactiver la stratégie cnt et activer la stratégie ahlt. La stratégie ahlt arrête le système lorsqu'un événement asynchrone ne peut pas être placé dans la file d'attente de l'audit.
Pour une description de ces options de stratégie, reportez-vous à la section Stratégies d'audit des événements asynchrones et synchrones . Pour configurer ces options de stratégie, reportez-vous à l'Exemple 30-16.
Déterminez si les enregistrements d'audit sont collectés au format binaire, au format syslog ou dans les deux formats.
Pour des informations générales, reportez-vous à la section Journaux d'audit.
La section Configuration des journaux d'audit syslog présente un exemple.

Ignorer les liens de navigation
Quitter l'aperu
	Guide d'administration système : Services de sécurité