감사를 사용으로 설정한 후 사용

Logical Domains Manager는 Oracle Solaris OS 감사 기능을 사용하여 컨트롤 도메인에서 발생한 작업 및 이벤트의 내역을 검사합니다. 내역은 수행된 작업, 수행 시기 및 수행자 및 영향을 받는 대상에 대한 로그에 보존됩니다.

사용 중인 시스템에서 실행되는 Oracle Solaris OS의 버전에 따라 다음과 같이 감사 기능을 사용 및 사용 안함으로 설정할 수 있습니다.

• Oracle Solaris 10 OS. bsmconv 및 bsmunconv 명령을 사용합니다. bsmconv(1M) 및 bsmunconv(1M) 매뉴얼 페이지와 System Administration Guide: Security Services의 제VII부, Auditing in Oracle Solaris를 참조하십시오.

• Oracle Solaris 11 OS. audit 명령을 사용합니다. audit(1M) 매뉴얼 페이지와 Oracle Solaris 관리: 보안 서비스의 제VII부, Oracle Solaris에서 감사를 참조하십시오.

감사를 사용으로 설정하는 방법

시스템에서 Oracle Solaris 감사 기능을 구성하고 사용으로 설정해야 합니다. Oracle Solaris OS 감사 기능을 사용하여 컨트롤 도메인에서 발생한 작업 및 이벤트의 내역을 검사할 수 있습니다. 내역은 수행된 작업, 수행 시기, 수행자 및 영향을 받는 대상에 대한 로그에 보존됩니다. 기본적으로 Oracle Solaris 11 감사 기능은 사용으로 설정되어 있지만 이 경우에도 몇 가지 구성 단계를 수행해야 합니다.

1. /etc/security/audit_event 및 /etc/security/audit_class 파일에 사용자 정의를 추가합니다.

   이러한 사용자 정의는 Oracle Solaris 업그레이드 간에 보존되지만 새 Oracle Solaris 설치 후에는 다시 추가해야 합니다.

   1. audit_event 파일에 다음 항목(제공되지 않은 경우)을 추가합니다.

      40700:AUE_ldoms:ldoms administration:vs

   2. audit_class 파일에 다음 항목(제공되지 않은 경우)을 추가합니다.

      0x10000000:vs:virtualization_software

2. (Oracle Solaris 10) /etc/security/audit_control 파일에 vs 클래스를 추가합니다.

   다음 /etc/security/audit_control 단편 예에서는 vs 클래스를 지정한 방법을 보여줍니다.

   dir:/var/audit
   flags:lo,vs
   minfree:20
   naflags:lo,na

3. (Oracle Solaris 10) 감사 기능을 사용으로 설정합니다.
   1. bsmconv 명령을 실행합니다.

      # /etc/security/bsmconv

   2. 시스템을 재부트합니다.
4. (Oracle Solaris 11) vs 감사 클래스를 사전 선택합니다.
   1. 이미 선택된 감사 클래스를 확인합니다.

      이미 선택된 감사 클래스가 업데이트된 클래스 세트에 속하는지 확인합니다. 다음 예에서는 lo 클래스가 이미 선택되어 있음을 보여줍니다.

      # auditconfig -getflags
      active user default audit flags = lo(0x1000,0x1000)
      configured user default audit flags = lo(0x1000,0x1000)

   2. vs 감사 클래스를 추가합니다.

      # auditconfig -setflags [class],vs

      class는 쉼표로 구분된 0개 이상의 감사 클래스입니다. /etc/security/audit_class 파일에서 감사 클래스 목록을 확인할 수 있습니다. Oracle VM Server for SPARC 시스템에서 vs 클래스를 포함해야 합니다.

      예를 들어, 다음 명령은 lo 클래스와 vs 클래스를 모두 선택합니다.

      # auditconfig -setflags lo,vs

   3. (선택 사항) 관리자 또는 구성자로 프로세스를 감사하려면 시스템에서 로그아웃합니다.

      로그아웃하지 않으려면 Oracle Solaris 관리: 보안 서비스의 로그인한 사용자의 사전 선택 마스크를 업데이트하는 방법를 참조하십시오.

5. 감사 소프트웨어가 실행 중인지 확인합니다.

   # auditconfig -getcond

   감사 소프트웨어가 실행 중이면 출력에 audit condition = auditing이 나타납니다.

감사를 사용 안함으로 설정하는 방법

• 감사 기능을 사용 안함으로 설정합니다.
  • Oracle Solaris 10 시스템에서 감사 기능을 사용 안함으로 설정합니다.
    1. bsmunconv 명령을 실행합니다.

       # /etc/security/bsmunconv
       Are you sure you want to continue? [y/n] y
       This script is used to disable the Basic Security Module (BSM).
       Shall we continue the reversion to a non-BSM system now? [y/n] y
       bsmunconv: INFO: removing c2audit:audit_load from /etc/system.
       bsmunconv: INFO: stopping the cron daemon.
       
       The Basic Security Module has been disabled.
       Reboot this system now to come up without BSM.

    2. 시스템을 재부트합니다.
  • Oracle Solaris 11 시스템에서 감사 기능을 사용 안함으로 설정합니다.
    1. audit -t 명령을 실행합니다.

       # audit -t

    2. 감사 소프트웨어가 더 이상 실행 중이 아닌지 확인합니다.

       # auditconfig -getcond
       audit condition = noaudit

감사 레코드를 검토하는 방법

• 다음 방법 중 하나로 vs 감사 출력을 검토합니다.
  • auditreduce 및 praudit 명령을 사용하여 감사 출력을 검토합니다.

    # auditreduce -c vs | praudit
    # auditreduce -c vs -a 20060502000000 | praudit

  • praudit -x 명령을 사용하여 XML 형식으로 감사 레코드를 인쇄합니다.

감사 로그를 교체하는 방법

• audit -n 명령을 사용하여 감사 로그를 교체합니다.

  감사 로그를 교체하면 현재 감사 파일은 닫히고 현재 감사 디렉토리에서 새 파일이 열립니다.