Las siguientes técnicas lo pueden ayudar a lograr los objetivos de seguridad de su organización y al mismo tiempo auditar de manera más eficaz.
Para la mayor cantidad de clases de auditoría posible, sólo preseleccione aquellas clases para usuarios y roles, y no para todo el sistema.
Audite de manera aleatoria sólo un determinado porcentaje de usuarios a la vez.
Si el complemento audit_binfile está activo, reduzca los requisitos de espacio en disco para archivos de auditoría filtrando, fusionando y comprimiendo los archivos. Desarrolle procedimientos para archivar los archivos, para transferir los archivos a soportes extraíbles y para almacenar los archivos fuera de línea.
Supervise los datos de auditoría en tiempo real para comportamientos poco usuales.
Complemento audit_syslog: puede ampliar las herramientas de análisis y de gestión que ya haya desarrollado para gestionar los registros de auditoría en archivos syslog.
Complemento audit_binfile: puede configurar procedimientos para supervisar la pista de auditoría para ciertas actividades. Puede escribir una secuencia de comandos para impulsar un aumento automático de la auditoría de determinados usuarios o determinados sistemas en respuesta a la detección de eventos poco usuales.
Por ejemplo, puede escribir una secuencia de comandos que haga lo siguiente:
Controla la creación de archivos de auditoría en los sistemas auditados.
Procese los archivos de auditoría con el comando tail.
La conducción de la salida del comando tail -0f mediante el comando praudit pueden producir un flujo de registros de auditoría a medida que los registros se generan. Para obtener más información, consulte la página del comando man tail(1).
Analice este flujo para tipos de mensajes poco usuales u otros indicadores y entregue el análisis al auditor.
De manera alternativa, la secuencia de comandos se puede utilizar para desencadenar respuestas automáticas.
Supervise constantemente los sistemas de archivos de auditoría en busca de nuevos archivos de auditoría not_terminated.
Termine procesos tail pendientes cuando no se esté escribiendo en los archivos.