¿Cómo funciona la auditoría?

La auditoría genera registros de auditoría cuando se producen eventos especificados. Habitualmente, los eventos que generan registros de auditoría incluyen los siguientes:

• Inicio y cierre del sistema

• Inicio y cierre de sesión

• Creación o destrucción de proceso, o creación o destrucción de subproceso

• Apertura, cierre, creación, destrucción o cambio de nombre de objetos

• Uso de capacidades de privilegio o control de acceso basado en roles (RBAC)

• Acciones de identificación y de autenticación

• Cambios de permiso por un proceso o usuario

• Acciones administrativas, como la instalación de un paquete

• Aplicaciones específicas de sitio

Los registros de auditoría se generan a partir de tres orígenes:

• Por una aplicación

• Como resultado de un evento asíncrono de auditoría

• Como resultado de una llamada del sistema de proceso

Una vez que la información de evento pertinente se ha capturado, la información se formatea en un registro de auditoría. En cada registro de auditoría, se incluye información que identifica el evento, qué generó el evento, la hora del evento y otra información relevante. Este registro se coloca en una cola de auditoría para los complementos activos. Al menos un complemento debe estar activo, aunque todos los complementos pueden estar activos.

De manera predeterminada, un complemento está activo. Este es el complemento audit_binfile, que escribe los registros de auditoría en archivos de auditoría. Estos archivos se guardan localmente en formato binario. Un complemento audit_remote activo envía estos registros a un depósito remoto. Un complemento audit_syslog activo envía resúmenes de texto a la utilidad syslog. Si desea ver una ilustración, consulte la Figura 26-1.

Cuando se almacenan localmente, los archivos de auditoría se pueden encontrar en una o más agrupaciones ZFS. Las agrupaciones ZFS pueden facilitar la gestión del almacenamiento local. Estas agrupaciones pueden estar en diferentes sistemas y en redes diferentes pero que estén relacionadas. La recopilación de archivos de auditoría que están enlazados se considera una pista de auditoría.

Para obtener más información, consulte ¿Cómo se configura la auditoría?, Registros de auditoría y Módulos de complemento de auditoría.