ユーザーによるすべてのコマンドを監査する方法

サイトのセキュリティーポリシーの一環として、サイトによっては、root アカウントや管理役割によって実行されるすべてのコマンドの監査レコードが必要になります。サイトによっては、すべてのユーザーによるすべてのコマンドの監査レコードが必要な場合があります。さらに、サイトでコマンド引数や環境を記録することが必要になる場合もあります。

始める前に

監査クラスを事前選択し、監査ポリシーを設定するには、Audit Configuration 権利プロファイルが割り当てられている管理者になる必要があります。ユーザー、役割、および権利プロファイルに監査フラグを割り当てるには、root 役割になる必要があります。

1. lo および ex クラスに関するユーザーレベルのイベント情報を表示します。

   ex クラスは、exec() 関数および execve() 関数のすべての呼び出しを監査します。

   lo クラスは、ログイン、ログアウト、および画面ロックを監査します。次の出力は、ex および lo クラス内のすべてのイベントを一覧表示しています。

   % auditconfig -lsevent | grep " lo "
   AUE_login                       6152 lo login - local
   AUE_logout                      6153 lo logout
   AUE_telnet                      6154 lo login - telnet
   AUE_rlogin                      6155 lo login - rlogin
   AUE_rshd                        6158 lo rsh access
   AUE_su                          6159 lo su
   AUE_rexecd                      6162 lo rexecd
   AUE_passwd                      6163 lo passwd
   AUE_rexd                        6164 lo rexd
   AUE_ftpd                        6165 lo ftp access
   AUE_ftpd_logout                 6171 lo ftp logout
   AUE_ssh                         6172 lo login - ssh
   AUE_role_login                  6173 lo role login
   AUE_newgrp_login                6212 lo newgrp login
   AUE_admin_authenticate          6213 lo admin login
   AUE_screenlock                  6221 lo screenlock - lock
   AUE_screenunlock                6222 lo screenlock - unlock
   AUE_zlogin                      6227 lo login - zlogin
   AUE_su_logout                   6228 lo su logout
   AUE_role_logout                 6229 lo role logout
   AUE_smbd_session                6244 lo smbd(1m) session setup
   AUE_smbd_logoff                 6245 lo smbd(1m) session logoff
   AUE_ClientConnect               9101 lo client connection to x server
   AUE_ClientDisconnect            9102 lo client disconn. from x server
   
   % auditconfig -lsevent | egrep " ex |,ex |ex,"
   AUE_EXECVE                        23 ex,ps execve(2)

2. lo クラスおよび ex クラスを監査します。
   • 管理役割に対してこれらのクラスを監査するには、それらの役割のセキュリティー属性を変更します。

     次の例で、root は役割です。このサイトでは、sysadm、auditadm、および netadm の 3 つの役割が作成されています。すべての役割で、ex および lo クラス内のイベントの成功と失敗が監査されます。

     # rolemod -K audit_flags=lo,ex:no root
     
     # rolemod -K audit_flags=lo,ex:no sysadm
     
     # rolemod -K audit_flags=lo,ex:no auditadm
     
     # rolemod -K audit_flags=lo,ex:no netadm
     

   • すべてのユーザーに対してこれらのクラスを監査するには、システム全体のフラグを設定します。

     # auditconfig -setflags lo,ex
     

     出力は次のようになります。

     header,129,2,AUE_EXECVE,,mach1,2010-10-14 12:17:12.616 -07:00
     path,/usr/bin/ls
     attribute,100555,root,bin,21,320271,18446744073709551615
     subject,jdoe,root,root,root,root,2486,50036632,82 0 mach1
     return,success,0
     

3. 記録されるコマンドの使用に関する追加情報を指定します。
   • コマンドへの引数を記録するには、argv ポリシーを追加します。

     # auditconfig -setpolicy +argv

     exec_args トークンは、コマンド引数を記録します。

     header,151,2,AUE_EXECVE,,mach1,2010-10-14 12:26:17.373 -07:00
     path,/usr/bin/ls
     attribute,100555,root,bin,21,320271,18446744073709551615
     exec_args
     ,2,ls,/etc/security
     subject,jdoe,root,root,root,root,2494,50036632,82 0 mach1
     return,success,0

   • コマンドが実行される環境を記録するには、arge ポリシーを追加します。

     # auditconfig -setpolicy +arge
     

     exec_env トークンは、コマンド環境を記録します。

     header,1460,2,AUE_EXECVE,,mach1,2010-10-14 12:29:39.679 -07:00
     path,/usr/bin/ls
     attribute,100555,root,bin,21,320271,18446744073709551615
     exec_args,2,ls,/etc/security
     exec_env
     ,49,MANPATH=/usr/share/man,USER=jdoe,GDM_KEYBOARD_LAYOUT=us,EDITOR=gedit,
     LANG=en_US.UTF-8,GDM_LANG=en_US.UTF-8,PS1=#,GDMSESSION=gnome,SESSIONTYPE=1,SHLVL=2,
     HOME=/home/jdoe,LOGNAME=jdoe,G_FILENAME_ENCODING=@locale,UTF-8,
     PRINTER=example-dbl,...,_=/usr/bin/ls
     subject,jdoe,root,root,root,root,2502,50036632,82 0 mach1
     return,success,0