Solarisバージョン9および10を使用したBSM監査の有効化

BSM監査を有効にするには、ルート権限で次のコマンドを使用します。

/etc/security/bsmconv

BSM監視の設定の詳細は、『Solaris BSM Auditing』マニュアルを参照してください。

監査がサーバーですでに有効になっている場合は、次に詳しく示す構成と監査システム構成が一致することを確認してください。

監視ファイルは、特定のイベントを含むように構成できます。/etc/security/audit_controlファイルは、監査ファイルに含めるイベントを制御します。この項では、構成について要約します。詳細は、Sunの製品オンライン・ドキュメント・サイトを参照してください。

エンティティ・タイプOS FILE(ファイル変更)およびOS USER(ユーザー・ログイン/ログアウト)をモニタリングする場合、ファイル/etc/security/audit_control内のフラグ行を次のように設定する必要があります。

フラグ: +fw、+fc、+fd、+fm、+fr、+lo

この構成により、ファイルの書込み(fw)、ファイルの作成(fc)、ファイルの削除(fd)、ファイル属性の変更(fm)、ファイルの読取り(fr)およびログイン/ログアウト・イベント(lo)の成功/失敗の監査が有効になります。+は、成功したイベントのみを記録するという意味です。

失敗したイベントのロギングも行う場合は、フラグの各イベントの前の+記号を削除します。

ノート:

既存のホストにBSMをインストールする場合は、そのホストを再起動する必要があります。

ユーザーの監査: audit_userファイルは、監査対象のユーザーを制御します。このファイル内の設定は特定のユーザーに対するものであり、すべてのユーザーに適用されるaudit_controlファイル内の設定を上書きします。

監査ログおよびディスク領域: audit_controlファイルは、監査ログの格納場所や監査システムで使用されるディスク領域の最大容量を制御するためのエントリを使用します。ファイル・モニタリングの最小要件は、10分間(または構成されている報告間隔)でハード・ドライブに格納されるデータの容量にほぼ相当します。