如何启用审计

语言：

必须在您的系统上配置和启用 Oracle Solaris 审计功能。默认情况下，Oracle Solaris 11 审计功能处于启用状态，但您仍然需要执行某些配置步骤。

注 - 不会为虚拟化软件 (vs) 类审计先前已存在的进程。确保在一般用户登录系统之前执行此步骤。

向 /etc/security/audit_event 和 /etc/security/audit_class 文件中添加定制内容。
这些定制内容在 Oracle Solaris 升级之后会保留下来，但是，在全新安装 Oracle Solaris 之后应当重新添加这些定制内容。
1. 将以下条目添加到 audit_event 文件中（如果尚未添加）：
```
40700:AUE_ldoms:ldoms administration:vs
```
2. 将以下条目添加到 audit_class 文件中（如果尚未添加）：
```
0x10000000:vs:virtualization_software
```
(Oracle Solaris 10) 将 vs 类添加到 /etc/security/audit_control 文件中。
以下示例 /etc/security/audit_control 片段说明您可以如何指定 vs 类：
```
dir:/var/audit
flags:lo,vs
minfree:20
naflags:lo,na
```
(Oracle Solaris 10) 启用审计功能。
1. 运行 bsmconv 命令。
```
# /etc/security/bsmconv
```
2. 重新引导系统。
(Oracle Solaris 11) 预选 vs 审计类。
1. 确定已经选择哪些审计类。
  确保已选择的所有审计类均属于更新的类集合。以下示例说明已经选择 lo 类：
```
# auditconfig -getflags
active user default audit flags = lo(0x1000,0x1000)
configured user default audit flags = lo(0x1000,0x1000)
```
2. 添加 vs 审计类。
```
# auditconfig -setflags [class],vs
```
  class 为零个或更多审计类，用逗号分隔。您可以在 /etc/security/audit_class 文件中查看审计类列表。请确保您的 Oracle VM Server for SPARC 系统包含 vs 类。
  
  例如，以下命令选择 lo 和 vs 类：
```
# auditconfig -setflags lo,vs
```
3. （可选）无论您要以管理员还是配置者的身份审计进程，均请注销系统。
  如果不想注销，请参见Oracle Solaris 11.1 Administration: Security Services 中的How to Update the Preselection Mask of Logged In Users。
确认审计软件正在运行。
```
# auditconfig -getcond
```
如果审计软件正在运行，则输出中会出现 audit condition = auditing。