Jeton header

Le jeton header est spécial car il marque le début d'un enregistrement d'audit. Le jeton header se combine avec le jeton trailer pour entourer tous les autres jetons de l'enregistrement.

Parfois, un jeton header peut inclure un ou plusieurs modificateurs d'événement :

• fe indique un événement d'audit qui a échoué.

• fp indique l'échec de l'utilisation d'un privilège.

• na indique un événement non attribuable.

  header,52,2,system booted,na,mach1,2011-10-10 10:10:20.564 -07:00

• rd indique que les données sont lues à partir de l'objet.

• sp indique l'utilisation réussie d'un privilège.

  header,120,2,exit(2),sp,mach1,2011-10-10 10:10:10.853 -07:00

• wr indique que les données sont écrites sur l'objet.

La commande praudit affiche le jeton header de la manière suivante :

header,756,2,execve(2),,machine1,2010-10-10 12:11:10.209 -07:00

La commande praudit -x affiche les champs du jeton header au début de l'enregistrement d'audit. La ligne dans l'exemple suivant est renvoyée à des fins d'affichage.

<record version="2" event="execve(2)" host="machine1"
iso8601="2010-10-10 12:11:10.209 -07:00">