Gestion efficace de l'audit

Les techniques suivantes peuvent vous aider à atteindre les objectifs de sécurité de votre organisation tout en améliorant l'efficacité de l'audit.

• Présélectionnez autant de classes d'audit que possible uniquement au niveau des utilisateurs et des rôles, non du système.

• Auditez de manière aléatoire uniquement un certain pourcentage d'utilisateurs à un moment donné.

• Si le plug-in audit_binfile est actif, réduisez l'espace de stockage requis sur le disque pour les fichiers d'audit par filtrage, fusion et compression des fichiers. Développez des procédures pour l'archivage des fichiers, le transfert des fichiers vers des médias amovibles et le stockage des fichiers hors ligne.

• Surveillez les données d'audit en temps réel pour identifier des comportements inhabituels.

  • Plug-in audit_syslog : vous pouvez étendre les outils d'analyse et de gestion que vous avez déjà développés pour traiter les enregistrements d'audit dans des fichiers syslog.

  • Plug-in audit_binfile : vous pouvez définir des procédures pour surveiller certaines activités dans la piste d'audit. Vous pouvez écrire un script pour déclencher une augmentation automatique de l'audit de certains utilisateurs ou systèmes en réponse à la détection d'événements inhabituels.

    Par exemple, vous pouvez écrire un script effectuant les opérations suivantes :

    1. Surveillance de la création des fichiers d'audit sur les systèmes faisant l'objet d'un audit.

    2. Traitement des fichiers d'audit avec la commande tail.

       Le traitement pipeline de la sortie de la commande tail -0f via la commande praudit peut produire un flux d'enregistrements d'audit lorsque les enregistrements sont générés. Pour plus d'informations, reportez-vous à la page de manuel tail(1).

    3. Analyse des types de messages inhabituels ou d'autres indicateurs dans ce flux et fourniture de l'analyse à l'auditeur.

       Ou, le script peut être utilisé pour le déclenchement de réponses automatiques.

    4. Surveillance permanente des systèmes de fichiers d'audit pour détecter l'apparition de nouveaux fichiers d'audit not_terminated.

    5. Arrêt de processus tail à traiter lorsque leurs fichiers ne sont plus en cours d'écriture.