Lors de la connexion initiale, l'audit est défini selon les caractéristiques suivantes :
Masque de présélection de processus : combinaison du masque d'audit à l'échelle du système et du masque d'audit spécifique à l'utilisateur, si un masque d'audit utilisateur a été spécifié. Lorsqu'un utilisateur se connecte, le processus de connexion combine les classes présélectionnées afin d'établir le masque de présélection des processus utilisateur. Le masque de présélection du processus spécifie les événements générant des enregistrements d'audit.
L'algorithme suivant décrit la façon dont le système obtient le masque de présélection de processus utilisateur :
(system-wide default flags + always-audit-classes) - never-audit-classes
Ajoutez les classes d'audit système issues des résultats de la commande auditconfig -getflags aux classes issues de la valeur always-audit-classes pour le mot-clé always_audit de l'utilisateur. Ensuite, du total, soustrayez les classes de la valeur never-audit-classes de l'utilisateur. Reportez-vous également à la page de manuel audit_flags(5).
ID utilisateur d'audit : un processus acquiert un ID utilisateur d'audit immuable à la connexion de l'utilisateur. Cet ID est hérité par tous les processus enfants qui ont été lancés par le processus initial de l'utilisateur. L'ID utilisateur d'audit permet d'appliquer la responsabilité. Même après qu'un utilisateur prenne un rôle, l'ID utilisateur d'audit reste le même. L'ID utilisateur d'audit enregistré dans chaque enregistrement d'audit permet de toujours retracer les actions jusqu'à l'utilisateur de connexion.
ID de session d'audit : l'ID de session d'audit est assigné lors de la connexion. Tous les processus enfants héritent de cet ID.
ID du terminal : pour une connexion locale, l'ID du terminal est composé de l'adresse IP du système local, suivie d'un numéro unique qui identifie le périphérique physique sur lequel l'utilisateur est connecté. Le plus souvent, la connexion s'effectue par l'intermédiaire de la console. Le nombre qui correspond au périphérique de la console est 0,0. Pour une connexion à distance, l'ID du terminal est constitué de l'adresse IP de l'hôte distant, suivie du numéro du port distant et du numéro du port local.