Contrôle des coûts d'audit

Etant donné que la fonction d'audit consomme des ressources système, vous devez contrôler le degré de détail enregistré. Lorsque vous déterminez la portée de l'audit, vous devez prendre en compte les facteurs coûts suivants :

• Coût de l'augmentation du temps de traitement

• Coût de l'analyse des données d'audit

Si vous utilisez le plug-in par défaut, audit_binfile, vous devez également tenir compte du coût du stockage des données d'audit.

Coût de l'augmentation du temps de traitement des données d'audit

Le coût de l'augmentation du temps de traitement est le moins significatif des coûts d'audit. L'audit n'a généralement pas lieu durant des opérations à forte intensité de calcul, telles que le traitement d'images, des calculs complexes, etc. Si vous utilisez le plug-in audit_binfile, les administrateurs d'audit peuvent déplacer les tâches de postsélection du système ayant fait l'objet d'un audit vers les systèmes dédiés à l'analyse des données d'audit. Enfin, à moins que les événements du noyau ne soient présélectionnés, le noyau n'a aucun impact mesurable sur les performances du système au-delà de l'impact du service d'audit.

Coût de l'analyse des données d'audit

Le coût de l'analyse est globalement proportionnel à la quantité de données d'audit collectées. Le coût d'analyse comprend le temps requis pour fusionner et passer en revue les enregistrements d'audit.

Pour les enregistrements recueillis par le plug-in audit_binfile, le coût inclut également le temps nécessaire à l'archivage des enregistrements et des bases de données de services de noms, et à la conservation des enregistrements dans un endroit sûr. groups, hosts et passwd sont quelques-unes des bases de données de support.

Le temps requis pour analyser la piste d'audit est d'autant plus court que le nombre d'enregistrements générés est faible. Les sections Coût du stockage des données d'audit et Gestion efficace de l'audit décrivent les différentes manières d'effectuer un audit efficace. Un audit efficace permet de réduire la quantité de données d'audit, tout en fournissant une couverture suffisante pour atteindre vos objectifs en matière de sécurité du site.

Coût du stockage des données d'audit

Si vous utilisez le plug-in audit_binfile, le coût du stockage est le plus significatif de l'audit. La quantité des données d'audit dépend des facteurs suivants :

• Nombre d'utilisateurs

• Nombre de systèmes

• Niveau d'utilisation

• Degré de traçabilité et de responsabilité requis

Etant donné que ces facteurs varient d'un site à l'autre, aucune formule ne permet de prédéterminer la quantité d'espace disque à réserver pour le stockage des données d'audit. Inspirez-vous des informations suivantes, données à titre d'exemple :

• Assurez-vous de bien comprendre les classes d'audit.

  Avant de configurer l'audit, vous devez comprendre les types d'événements contenus dans les classes. Vous pouvez modifier les mappages des événements aux classes d'audit afin d'optimiser la collecte des enregistrements d'audit.

• Présélectionnez des classes d'audit judicieusement afin de réduire le volume des enregistrements générés.

  L'audit complet, c'est-à-dire, avec la classe all remplit l'espace disque rapidement. Même une tâche simple, telle que la compilation d'un programme, peut générer un fichier d'audit volumineux. Un programme de taille modeste peut générer des milliers d'enregistrements d'audit en moins d'une minute.

  Par exemple, en omettant la classe d'audit file_read, fr, vous pouvez réduire considérablement le volume d'audit. En choisissant d'auditer uniquement les opérations ayant échoué, vous pouvez parfois réduire le volume d'audit. Par exemple, en auditant les opérations file_read qui ont échoué, -fr, vous générez bien moins d'enregistrements qu'en auditant tous les événements file_read.

• Si vous utilisez le plug-in audit_binfile, il est également important de gérer efficacement les fichiers d'audit. Par exemple, vous pouvez compresser un système de fichiers ZFS dédié aux fichiers d'audit.

• Développez une philosophie d'audit pour votre site.

  Basez votre philosophie sur des mesures raisonnables. De telles mesures incluent le niveau de traçabilité requis par votre site et les types d'utilisateurs que vous administrez.