Activación y desactivación del servicio de auditoría (tareas)

El servicio de auditoría está activado de manera predeterminada. Si la política de auditoría perzone se configura en la zona global, los administradores de zonas pueden activar, refrescar y desactivar el servicio de auditoría en sus zonas no globales.

Cómo refrescar el servicio de auditoría

Este procedimiento actualiza el servicio de auditoría cuando se haya cambiado la configuración de un complemento de auditoría después de activar el servicio de auditoría.

Antes de empezar

Debe convertirse en un administrador con el perfil de derechos de control de auditoria asignado. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados.

1. Refresque el servicio de auditoría.

   # audit -s

   ---

   Nota - Al refrescar el servicio de auditoría, toda la configuración temporal se pierde. La política de auditoría y los controles de colas permiten valores temporales. Para obtener más información, consulte la página del comando man auditconfig(1M).

   ---

2. Actualice las máscaras de preselección de los usuarios que se están auditando en ese momento.

   Refrescar el servicio de auditoría no cambia las máscaras de procesos existentes. Para restablecer explícitamente la máscara de preselección de un proceso existente, consulte Cómo actualizar la máscara de preselección de usuarios con sesión iniciada.

Ejemplo 28-25 Refrescamiento de un servicio de auditoría activado

En este ejemplo, el administrador reconfigura la auditoría, verifica los cambios y luego refresca el servicio de auditoría.

• En primer lugar, el administrador agrega una política temporal.

  # auditconfig -t -setpolicy +zonename
  # auditconfig -getpolicy
  configured audit policies = ahlt,arge,argv,perzone
  active audit policies = ahlt,arge,argv,perzone,zonename

• A continuación, el administrador especifica controles de colas.

  # auditconfig -setqctrl 200 20 0 0
  # auditconfig -getqctrl
  configured audit queue hiwater mark (records) = 200
  configured audit queue lowater mark (records) = 20
  configured audit queue buffer size (bytes) = 8192
  configured audit queue delay (ticks) = 20
  active audit queue hiwater mark (records) = 200
  active audit queue lowater mark (records) = 20
  active audit queue buffer size (bytes) = 8192
  active audit queue delay (ticks) = 20

• A continuación, el administrador especifica atributos de complementos.

  • Para el complemento audit_binfile, el administrador elimina el valor qsize.

    # auditconfig -getplugin audit_binfile
    Plugin: audit_binfile
        Attributes: p_dir=/audit/sys1.1,/var/audit;
        p_minfree=2;p_fsize=4G;
    Queue size: 200 
    # auditconfig -setplugin audit_binfile  "" 0
    # auditconfig -getplugin audit_binfile
    Plugin: audit_binfile
        Attributes: p_dir=/audit/sys1.1,/var/audit
     p_minfree=2;p_fsize=4G;

  • Para el complemento audit_syslog, el administrador especifica que los eventos de inicio y cierre de sesión con éxito y los archivos ejecutables con fallos se envíen a syslog. qsize para este complemento se define en 150.

    # auditconfig -setplugin audit_syslog active p_flags=+lo,-ex 150
    # auditconfig -getplugin audit_syslog
    auditconfig -getplugin audit_syslog
    Plugin: audit_syslog
        Attributes: p_flags=+lo,-ex;
        Queue size: 150

  • El administrador no configura ni usa el complemento audit_remote.

• Luego, el administrador refresca el servicio de auditoría y verifica la configuración.

  • La política zonename temporal ya no está definida.

    # audit -s
    # auditconfig -getpolicy
    configured audit policies = ahlt,arge,argv,perzone
    active audit policies = ahlt,arge,argv,perzone

  • Los controles de colas permanecen igual.

    # auditconfig -getqctrl
    configured audit queue hiwater mark (records) = 200
    configured audit queue lowater mark (records) = 20
    configured audit queue buffer size (bytes) = 8192
    configured audit queue delay (ticks) = 20
    active audit queue hiwater mark (records) = 200
    active audit queue lowater mark (records) = 20
    active audit queue buffer size (bytes) = 8192
    active audit queue delay (ticks) = 20

  • El complemento audit_binfile no tiene un tamaño de cola especificado. El complemento audit_syslog tiene un tamaño de cola especificado.

    # auditconfig -getplugin
    Plugin: audit_binfile
        Attributes: p_dir=/var/audit;p_fsize=4G;p_minfree=2;
    
    Plugin: audit_syslog
        Attributes: p_flags=+lo,-ex;
        Queue size: 50 
    ...

Cómo desactivar el servicio de auditoría

Este procedimiento muestra cómo desactivar la auditoría en la zona global y en una zona no global cuando se configura la política de auditoría perzone. Después de que la política perzone esté definida en la zona global, una zona no global que haya activado la auditoría sigue recopilando registros de auditoría en los reinicios de la zona global y de la zona no global.

Antes de empezar

Para activar o desactivar el servicio de auditoría, debe convertirse en administrador con el perfil de derechos de control de auditoría asignado. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados.

• Ejecute el comando audit -t para desactivar el servicio de auditoría.

  Para obtener más información, consulte las páginas del comando man audit(1M) y auditd(1M).

  • En la zona global, desactive el servicio de auditoría.

    # audit -t

    Si la política de auditoría perzone no está definida, este comando desactiva la auditoría en todas las zonas. Si está establecida la política de auditoría perzone, las zonas no globales no se ven afectadas.

  • En una zona no global, desactive el servicio de auditoría.

    Si la política de auditoría perzone está definida, el administrador de zonas no globales debe desactivar el servicio en la zona no global.

    zone1 # audit -t

Cómo activar el servicio de auditoría

Este procedimiento activa el servicio de auditoría para todas las zonas después de que un administrador desactiva el servicio. Para iniciar el servicio de auditoría en una zona no global, consulte el Ejemplo 28-26.

Antes de empezar

Para activar o desactivar el servicio de auditoría, debe convertirse en administrador con el perfil de derechos de control de auditoría asignado. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados.

1. Use el comando audit -s para activar el servicio de auditoría.

   # audit -s

   Para obtener más información, consulte la página del comando man audit(1M).

2. Verifique que la auditoría esté activada.

   # auditconfig -getcond
   audit condition = auditing

Ejemplo 28-26 Activación de la auditoría en una zona no global

En este ejemplo, el administrador de zonas activa el servicio de auditoría para zone1 después de realizar las siguientes acciones:

• El administrador de zonas globales establece la política perzone en la zona global.

• El administrador de zonas de la zona no global configura el servicio de auditoría y las personalizaciones por usuario.

A continuación, el administrador de zonas activa el servicio de auditoría para la zona.

zone1# audit -s