특정 이벤트의 감사를 막는 방법

유지 관리를 목적으로 때때로 사이트에서 이벤트가 감사되지 않도록 막을 수 있습니다.

시작하기 전에

root 역할을 맡아야 합니다. 자세한 내용은 Oracle Solaris 11.2의 사용자 및 프로세스 보안 의 지정된 관리 권한 사용을 참조하십시오.

1. 이벤트의 클래스를 no 클래스로 변경합니다.

   ---

   주 -  감사 구성 파일 수정의 영향에 대한 자세한 내용은 감사 구성 파일 및 패키징을 참조하십시오.

   ---

   예를 들어, 이벤트 26 및 27은 pm 클래스에 속해 있습니다.

   ## audit_event file
   ...
   25:AUE_VFORK:vfork(2):ps
   26:AUE_SETGROUPS:setgroups(2):pm
   27:AUE_SETPGRP:setpgrp(2):pm
   28:AUE_SWAPON:swapon(2):no
   ...

   이러한 이벤트를 no 클래스로 변경합니다.

   ## audit_event file
   ...
   25:AUE_VFORK:vfork(2):ps
   26:AUE_SETGROUPS:setgroups(2):no
   27:AUE_SETPGRP:setpgrp(2):no
   28:AUE_SWAPON:swapon(2):no
   ...

   pm 클래스가 현재 감사되는 경우 기존 세션에서는 이벤트 26 및 27을 여전히 감사합니다. 이러한 이벤트의 감사를 중지하려면 로그인한 사용자의 사전 선택 마스크를 업데이트하는 방법의 지침을 따라 사용자의 사전 선택 마스크를 업데이트해야 합니다.

   ---

   주의  -  audit_event 파일에서 이벤트를 주석 처리하지 마십시오. 이 파일은 praudit 명령에서 이진 감사 파일을 읽는 데 사용됩니다. 아카이브된 감사 파일은 파일에 나열된 이벤트를 포함할 수 있습니다.

   ---

2. 커널 이벤트를 새로 고칩니다.

   # auditconfig -conf
   Configured 283 kernel events.