Fonctionnement de l'audit

L'audit génère des enregistrements d'audit lorsque des événements donnés se produisent. Le plus souvent, les événements générant des enregistrements d'audit sont les suivants :

• Démarrage et arrêt du système

• Connexion et déconnexion

• Création ou destruction de processus et création ou destruction de threads

• Ouverture, fermeture, création, destruction, ou modification du nom d'objets

• Utilisation des capacités de privilège ou du contrôle d'accès basé sur les rôles (RBAC)

• Actions d'identification et d'authentification

• Modification d'autorisations par un processus ou un utilisateur

• Actions d'administration, telles que l'installation d'un package

• Applications spécifiques à un site

Les enregistrements d'audit sont générés à partir de trois sources :

• Par une application

• A la suite d'un événement d'audit asynchrone

• A la suite d'un appel système de processus

Une fois recueillies, les informations pertinentes d'événement prennent la forme d'un enregistrement d'audit. Chaque enregistrement d'audit contient des informations qui identifient l'événement, la cause, l'heure et d'autres informations pertinentes. Cet enregistrement est ensuite placé dans une file d'attente d'audit pour les plug-ins actifs. Au moins un plug-in doit être actif, bien que tous puissent l'être.

Par défaut, un seul plug-in est actif. Il s'agit du plug-in audit_binfile, qui écrit les enregistrements d'audit dans les fichiers d'audit. Ces fichiers sont stockés localement au format binaire. Un plug-in audit_remote actif envoie ces enregistrements à un référentiel distant. Un plug-in audit_syslog actif envoie des résumés au format texte à l'utilitaire syslog. Pour obtenir un exemple, reportez-vous à la Figure 26-1.

Lorsqu'ils sont stockés en local, les fichiers d'audit peuvent résider dans un ou plusieurs pools ZFS. Les pools ZFS facilitent la gestion du stockage local. Ils peuvent résider sur différents systèmes et sur des réseaux différents mais liés. L'ensemble des fichiers d'audit liés est considéré comme une piste d'audit.

Pour plus d'informations, reportez-vous aux sections Configuration de l'audit, Journaux d'audit et Modules plug-in d'audit.