Add a new translated chapter.
This commit is contained in:
Marc Fonvieille
parent
821d4caf74
commit
25b0880275
Notes:
svn2git
2020-12-08 03:00:23 +00:00
svn path=/head/; revision=30438
2 changed files with 953 additions and 0 deletions
15
fr_FR.ISO8859-1/books/handbook/audit/Makefile
Normal file
15
fr_FR.ISO8859-1/books/handbook/audit/Makefile
Normal file
|
|
@ -0,0 +1,15 @@
|
||||||
|
#
|
||||||
|
# Build the Handbook with just the content from this chapter.
|
||||||
|
#
|
||||||
|
# $FreeBSD$
|
||||||
|
#
|
||||||
|
|
||||||
|
CHAPTERS= audit/chapter.sgml
|
||||||
|
|
||||||
|
VPATH= ..
|
||||||
|
|
||||||
|
MASTERDOC= ${.CURDIR}/../${DOC}.${DOCBOOKSUFFIX}
|
||||||
|
|
||||||
|
DOC_PREFIX?= ${.CURDIR}/../../../..
|
||||||
|
|
||||||
|
.include "../Makefile"
|
||||||
938
fr_FR.ISO8859-1/books/handbook/audit/chapter.sgml
Normal file
938
fr_FR.ISO8859-1/books/handbook/audit/chapter.sgml
Normal file
|
|
@ -0,0 +1,938 @@
|
||||||
|
<!--
|
||||||
|
The FreeBSD Documentation Project
|
||||||
|
The FreeBSD French Documentation Project
|
||||||
|
|
||||||
|
$FreeBSD$
|
||||||
|
Original revision: 1.28
|
||||||
|
-->
|
||||||
|
|
||||||
|
<!-- Need more documentation on praudit, auditreduce, etc. Plus more info
|
||||||
|
on the triggers from the kernel (log rotation, out of space, etc).
|
||||||
|
And the /dev/audit special file if we choose to support that. Could use
|
||||||
|
some coverage of integrating MAC with Event auditing and perhaps discussion
|
||||||
|
on how some companies or organizations handle auditing and auditing
|
||||||
|
requirements. -->
|
||||||
|
|
||||||
|
<chapter id="audit">
|
||||||
|
<chapterinfo>
|
||||||
|
<authorgroup>
|
||||||
|
<author>
|
||||||
|
<firstname>Tom</firstname>
|
||||||
|
<surname>Rhodes</surname>
|
||||||
|
<contrib>Ecrit par </contrib>
|
||||||
|
</author>
|
||||||
|
<author>
|
||||||
|
<firstname>Robert</firstname>
|
||||||
|
<surname>Watson</surname>
|
||||||
|
</author>
|
||||||
|
</authorgroup>
|
||||||
|
</chapterinfo>
|
||||||
|
|
||||||
|
<title>Audit des événements relatifs à la
|
||||||
|
sécurité du système</title>
|
||||||
|
&trans.a.fonvieille;
|
||||||
|
|
||||||
|
<sect1 id="audit-synopsis">
|
||||||
|
<title>Synopsis</title>
|
||||||
|
|
||||||
|
<indexterm><primary>AUDIT</primary></indexterm>
|
||||||
|
<indexterm>
|
||||||
|
<primary>Audit des événements relatifs à la
|
||||||
|
sécurité du système</primary>
|
||||||
|
<see>MAC</see>
|
||||||
|
</indexterm>
|
||||||
|
|
||||||
|
<para>&os; 6.2-RELEASE et les versions suivantes disposent d'un
|
||||||
|
support pour l'audit d'événements relatifs
|
||||||
|
à la sécurité du système. L'audit
|
||||||
|
d'événements permet un enregistrement fiable et
|
||||||
|
configurable d'une grande variété
|
||||||
|
d'événements système en rapport avec la
|
||||||
|
sécurité, parmi lesquels les ouvertures de
|
||||||
|
session, les modifications de la configuration, et les
|
||||||
|
accès aux fichiers et au réseau. Ces
|
||||||
|
enregistrements ou journaux peuvent être d'une très
|
||||||
|
grande aide pour la surveillance d'un système, pour la
|
||||||
|
détection d'intrusion, et les analyses post-mortem. &os;
|
||||||
|
implémente l'API et le format de fichiers
|
||||||
|
<acronym>BSM</acronym> publiés par &sun; qui sont
|
||||||
|
interopérables avec les implémentations d'audits
|
||||||
|
de &solaris; de &sun; et de &macos; X d'&apple;.</para>
|
||||||
|
|
||||||
|
<para>Ce chapitre se concentre sur l'installation et la
|
||||||
|
configuration de l'audit des événements. Il
|
||||||
|
explique les stratégies utilisées pour l'audit, et
|
||||||
|
propose un exemple de configuration.</para>
|
||||||
|
|
||||||
|
<para>Après la lecture de ce chapitre, vous saurez:</para>
|
||||||
|
|
||||||
|
<itemizedlist>
|
||||||
|
<listitem>
|
||||||
|
<para>Ce qu'est l'audit d'événements et comment
|
||||||
|
cela fonctionne.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para>Comment configurer l'audit d'événements
|
||||||
|
sous &os; pour les utilisateurs et les processus.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para>Comment lire une trace d'audit en utilisant les outils
|
||||||
|
de réduction et de lecture.</para>
|
||||||
|
</itemizedlist>
|
||||||
|
|
||||||
|
<para>Avant de lire ce chapitre, vous devrez:</para>
|
||||||
|
|
||||||
|
<itemizedlist>
|
||||||
|
<listitem>
|
||||||
|
<para>Comprendre les fondements d'&unix; et de &os;
|
||||||
|
(<xref linkend="basics">).</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para>Etre familier avec la configuration et la compilation du
|
||||||
|
noyau (<xref linkend="kernelconfig">).</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para>Avoir quelques notions de sécurité et
|
||||||
|
savoir comment les appliquer à &os; (<xref
|
||||||
|
linkend="security">).</para>
|
||||||
|
</listitem>
|
||||||
|
</itemizedlist>
|
||||||
|
|
||||||
|
<warning>
|
||||||
|
<para>La fonctionnalité d'audit sous &os; 6.2 est
|
||||||
|
considérée comme expérimentale, aussi un
|
||||||
|
déploiement en production ne devrait intervenir
|
||||||
|
qu'après avoir considéré avec prudence les
|
||||||
|
risques découlant de l'utilisation de logiciels
|
||||||
|
expérimentaux. Parmi les limitations connues, on peut
|
||||||
|
citer le fait que tous les événements
|
||||||
|
systèmes en rapport avec la sécurité ne
|
||||||
|
peuvent pas être soumis à un audit, et que certains
|
||||||
|
mécanismes d'ouverture de session, comme les
|
||||||
|
gestionnaires de procédures de connexions basés
|
||||||
|
sur X11 et des <quote>démons</quote> tiers, ne permettent
|
||||||
|
pas une configuration correcte de l'audit pour les ouvertures de
|
||||||
|
session utilisateur.</para>
|
||||||
|
</warning>
|
||||||
|
|
||||||
|
<warning>
|
||||||
|
<para>Le système d'audit des événements
|
||||||
|
permet la génération d'enregistrements
|
||||||
|
détaillés de l'activité du système:
|
||||||
|
sur un système occupé, un fichier journal d'audit
|
||||||
|
peut être très important quand le système
|
||||||
|
est configuré pour un haut niveau de détail,
|
||||||
|
dépassant plusieurs gigaoctets par semaine sur certaines
|
||||||
|
configurations. Les administrateurs système devraient
|
||||||
|
prendre en compte les besoins en espace disque associés
|
||||||
|
avec les configurations d'audit à haut niveau de
|
||||||
|
détail. Par exemple, il peut être
|
||||||
|
recommandé de dédier un système de fichiers
|
||||||
|
à l'arborescence <filename>/var/audit</filename> de
|
||||||
|
manière à ce que les autres systèmes de
|
||||||
|
fichiers ne soient pas affectés si le système de
|
||||||
|
fichiers pour les audits est plein.</para>
|
||||||
|
</warning>
|
||||||
|
</sect1>
|
||||||
|
|
||||||
|
<sect1 id="audit-inline-glossary">
|
||||||
|
<title>Mots-clés utilisés dans ce chapitre</title>
|
||||||
|
|
||||||
|
<para>Avant de lire ce chapitre, quelques termes relatifs à
|
||||||
|
l'audit doivent être explicités:</para>
|
||||||
|
|
||||||
|
<itemizedlist>
|
||||||
|
<listitem>
|
||||||
|
<para><emphasis>événement</emphasis>: un
|
||||||
|
événement pouvant être audité est
|
||||||
|
n'importe quel événement pouvant faire l'objet
|
||||||
|
d'un suivi par le système d'audit. La création
|
||||||
|
d'un fichier, la mise en place d'une connection réseau,
|
||||||
|
ou une ouverture de session sont des exemples
|
||||||
|
d'événements relatifs à la
|
||||||
|
sécurité. Les événements sont
|
||||||
|
considérés soit comme
|
||||||
|
<quote>attribuables</quote>, quand on peut les relier à
|
||||||
|
un utilisateur authentifié, soit
|
||||||
|
<quote>non-attribuables</quote> quand on ne peut pas les
|
||||||
|
relier à un utilisateur authentifié. Des
|
||||||
|
événements comme ceux qui apparaissent avant
|
||||||
|
l'authentification durant le processus d'ouverture de session,
|
||||||
|
tels que les tentatives avec un mauvais mot de passe, sont des
|
||||||
|
événement non-attribuables.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><emphasis>classe</emphasis>: les classes
|
||||||
|
d'événement désignent à l'aide
|
||||||
|
d'un nom particulier des ensembles
|
||||||
|
d'événements en rapport les uns avec les
|
||||||
|
autres et sont utilisées dans les expressions de
|
||||||
|
sélection des événements. Les classes
|
||||||
|
d'événement généralement
|
||||||
|
utilisées sont la <quote>création de
|
||||||
|
fichiers</quote> (fc) l'<quote>exécution</quote> (ex)
|
||||||
|
et l'<quote>ouverture/fermeture de session</quote>
|
||||||
|
(lo).</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><emphasis>enregistrement</emphasis>: un enregistrement
|
||||||
|
est une entrée du fichier de trace d'audit
|
||||||
|
décrivant un événement relatif à
|
||||||
|
la sécurité. Les enregistrements contiennent
|
||||||
|
le type d'événement, des informations sur
|
||||||
|
l'auteur (l'utilisateur) de l'action, la date et l'heure,
|
||||||
|
des informations sur tout objet ou argument en relation avec
|
||||||
|
l'action, et une condition de succès ou
|
||||||
|
d'échec.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><emphasis>trace d'audit</emphasis>: une trace d'audit,
|
||||||
|
ou fichier journal, consiste en une série
|
||||||
|
d'enregistrements décrivant les
|
||||||
|
événements relatifs à la
|
||||||
|
sécurité. Généralement ces traces
|
||||||
|
sont organisées de manière chronologiques par
|
||||||
|
rapport à l'horaire de fin des
|
||||||
|
événements. Seuls les processus
|
||||||
|
autorisés peuvent ajouter des enregistrements aux
|
||||||
|
fichiers journaux d'audit.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><emphasis>expression de sélection</emphasis>: une
|
||||||
|
expression de sélection est une chaîne de
|
||||||
|
caractères contenant une liste de préfixes et
|
||||||
|
de classes d'événement d'audit utilisés
|
||||||
|
pour désigner des événements.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><emphasis>préselection</emphasis>: le processus
|
||||||
|
par lequel le système identifie quels
|
||||||
|
événements intéressent l'administrateur
|
||||||
|
afin d'éviter la génération
|
||||||
|
d'enregistrements d'audit sans intérêt pour
|
||||||
|
l'administrateur. La configuration de la
|
||||||
|
présélection utilise une série
|
||||||
|
d'expressions de sélection pour déterminer
|
||||||
|
quelles classes d'événement sont à
|
||||||
|
auditer et pour quels utilisateurs, ainsi que le
|
||||||
|
paramétrage global qui s'applique aux processus
|
||||||
|
authentifiés et non-authentifiés.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><emphasis>réduction</emphasis>: le processus par
|
||||||
|
lequel les enregistrements de traces d'audit existantes sont
|
||||||
|
sélectionnés pour être conservés,
|
||||||
|
imprimés ou analysés. Ou encore le processus
|
||||||
|
qui supprime de la trace d'audit les enregistrements
|
||||||
|
non-désirés. En utilisant le principe de
|
||||||
|
réduction, les administrateurs peuvent mettre en
|
||||||
|
place des stratégies pour la conservation des
|
||||||
|
données d'audit. Par exemple, les traces d'audit
|
||||||
|
détaillées peuvent être
|
||||||
|
conservées pendant un mois, mais passé ce
|
||||||
|
délai, les traces seront réduites afin de ne
|
||||||
|
préserver pour archivage que les informations
|
||||||
|
relatives aux ouvertures de sessions.</para>
|
||||||
|
</listitem>
|
||||||
|
</itemizedlist>
|
||||||
|
</sect1>
|
||||||
|
|
||||||
|
<sect1 id="audit-install">
|
||||||
|
<title>Installation du support pour les audits</title>
|
||||||
|
|
||||||
|
<para>Le support pour l'audit des événements est
|
||||||
|
installé avec le système de base de &os; depuis la
|
||||||
|
version 6.2-RELEASE. Cependant ce support doit être
|
||||||
|
compilé dans le noyau en ajoutant la ligne suivante au
|
||||||
|
fichier de configuration du noyau:</para>
|
||||||
|
|
||||||
|
<programlisting>options AUDIT</programlisting>
|
||||||
|
|
||||||
|
<para>Recompilez et réinstallez le noyau en suivant le
|
||||||
|
processus classique expliqué dans le <xref
|
||||||
|
linkend="kernelconfig">.</para>
|
||||||
|
|
||||||
|
<para>Une fois que le noyau a été compilé,
|
||||||
|
installé, et que le système a été
|
||||||
|
redémarré, activez le <quote>démon</quote>
|
||||||
|
d'audit en ajoutant la ligne suivante au fichier
|
||||||
|
&man.rc.conf.5;:</para>
|
||||||
|
|
||||||
|
<programlisting>auditd_enable="YES"</programlisting>
|
||||||
|
|
||||||
|
<para>Le support pour les audits peut alors être
|
||||||
|
lancé par un redémarrage de la machine ou
|
||||||
|
manuellement en lançant le <quote>démon</quote>
|
||||||
|
d'audit:</para>
|
||||||
|
|
||||||
|
<programlisting>/etc/rc.d/auditd start</programlisting>
|
||||||
|
</sect1>
|
||||||
|
|
||||||
|
<sect1 id="audit-config">
|
||||||
|
<title>Configuration de l'audit</title>
|
||||||
|
|
||||||
|
<para>Tous les fichiers de configuration de l'audit
|
||||||
|
d'événements en rapport avec la
|
||||||
|
sécurité se trouvent dans le répertoire
|
||||||
|
<filename class="directory">/etc/security</filename>. Les
|
||||||
|
fichiers suivants doivent être présents avant le
|
||||||
|
lancement du <quote>démon</quote> d'audit:</para>
|
||||||
|
|
||||||
|
<itemizedlist>
|
||||||
|
<listitem>
|
||||||
|
<para><filename>audit_class</filename> - contient les
|
||||||
|
définitions des classes d'audit.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><filename>audit_control</filename> - contrôle les
|
||||||
|
caractéristiques du système d'audit comme les
|
||||||
|
classes d'audit par défaut, l'espace disque minimal
|
||||||
|
à conserver sur le volume réservé aux
|
||||||
|
journaux, la taille maximale des traces d'audit, etc.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><filename>audit_event</filename> - les noms et la
|
||||||
|
description des événements systèmes
|
||||||
|
audités ainsi qu'une liste de classes auxquelles
|
||||||
|
appartiennent chaque événement.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><filename>audit_user</filename> - les classes
|
||||||
|
d'événement à auditer pour des
|
||||||
|
utilisateurs spécifiques, qui s'ajoutent aux
|
||||||
|
paramètres généraux fixés par
|
||||||
|
défaut à l'ouverture de session.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><filename>audit_warn</filename> - une procédure
|
||||||
|
modifiable utilisée par
|
||||||
|
<application>auditd</application> pour générer
|
||||||
|
des messages d'alerte lors des situations exceptionnelles
|
||||||
|
comme un espace disque faible pour les fichiers journaux
|
||||||
|
d'audit ou quand il y a eu rotation de ces fichiers
|
||||||
|
journaux.</para>
|
||||||
|
</listitem>
|
||||||
|
</itemizedlist>
|
||||||
|
|
||||||
|
<warning>
|
||||||
|
<para>Les fichiers de configuration de l'audit devraient
|
||||||
|
être modifiés et gérés avec prudence
|
||||||
|
étant donné que des erreurs dans la configuration
|
||||||
|
pourraient donner lieu à un enregistrement incorrect des
|
||||||
|
événements.</para>
|
||||||
|
</warning>
|
||||||
|
|
||||||
|
<sect2>
|
||||||
|
<title>Expressions de sélection des
|
||||||
|
événements</title>
|
||||||
|
|
||||||
|
<para>Les expressions de sélection sont utilisées
|
||||||
|
à plusieurs endroits dans la configuration du
|
||||||
|
système d'audit pour déterminer quels
|
||||||
|
événements doivent être suivis. Les
|
||||||
|
expressions contiennent une liste de classes
|
||||||
|
d'événements, chacune avec un préfixe
|
||||||
|
indiquant si les enregistrements correspondants doivent
|
||||||
|
être acceptés ou ignorés, et qui peut, de
|
||||||
|
manière optionnelle, indiquer si l'entrée se
|
||||||
|
limite aux opérations réussies ou aux
|
||||||
|
échecs. Les expressions de sélection sont
|
||||||
|
évaluées de gauche à droite, et deux
|
||||||
|
expressions sont combinées en ajoutant l'une à
|
||||||
|
la suite de l'autre.</para>
|
||||||
|
|
||||||
|
<para>La liste suivante contient les classes
|
||||||
|
d'événements présentes par défaut
|
||||||
|
dans le fichier <filename>audit_class</filename>:</para>
|
||||||
|
|
||||||
|
<itemizedlist>
|
||||||
|
<listitem>
|
||||||
|
<para><literal>all</literal> - <emphasis>all</emphasis>
|
||||||
|
(tout) - correspond à toutes les classes
|
||||||
|
d'événements.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>ad</literal> -
|
||||||
|
<emphasis>administrative</emphasis> (administration)
|
||||||
|
- actions d'administration du système.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>ap</literal> -
|
||||||
|
<emphasis>application</emphasis> - action définie
|
||||||
|
par l'application.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>cl</literal> - <emphasis>file
|
||||||
|
close</emphasis> (fermeture de fichiers) - enregistre les
|
||||||
|
utilisations de l'appel système
|
||||||
|
<function>close</function>.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>ex</literal> - <emphasis>exec</emphasis>
|
||||||
|
(exécution) - audite les exécutions de
|
||||||
|
programmes. L'audit des arguments en ligne de commande et
|
||||||
|
des variables d'environnement est contrôlé
|
||||||
|
par via &man.audit.control.5; en utilisant les
|
||||||
|
paramètres <literal>argv</literal> et
|
||||||
|
<literal>envv</literal> pour l'entrée
|
||||||
|
<literal>policy</literal>.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>fa</literal> - <emphasis>file attribute
|
||||||
|
access</emphasis> - enregistre l'accès aux
|
||||||
|
attributs des objets comme &man.stat.1;, &man.pathconf.2;
|
||||||
|
et les événements similaires.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>fc</literal> - <emphasis>file
|
||||||
|
create</emphasis> (cration de fichiers) - enregistre les
|
||||||
|
événements ayant pour résultat la
|
||||||
|
création d'un fichier.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>fd</literal> - <emphasis>file
|
||||||
|
delete</emphasis> (suppression de fichiers) - enregistre
|
||||||
|
les événements pour lesquels une suppression
|
||||||
|
de fichier a lieu.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>fm</literal> - <emphasis>file attribute
|
||||||
|
modify</emphasis> (modification des attributs d'un
|
||||||
|
fichier) - enregistre les événements lors
|
||||||
|
desquels une modification des attributs d'un fichier
|
||||||
|
intervient, comme l'utilisation de &man.chown.8;,
|
||||||
|
&man.chflags.1;, &man.flock.2;, etc.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>fr</literal> - <emphasis>file read</emphasis>
|
||||||
|
(lecture de fichiers) - enregistre les
|
||||||
|
événements qui donnent lieu à la
|
||||||
|
lecture de données, l'ouverture de fichiers
|
||||||
|
à la lecture, etc.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>fw</literal> - <emphasis>file
|
||||||
|
write</emphasis> (écriture de fichiers) -
|
||||||
|
enregistre les événements qui donnent lieu
|
||||||
|
à l'écriture de données, à
|
||||||
|
l'écriture ou à la modification de fichiers,
|
||||||
|
etc.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>io</literal> - <emphasis>ioctl</emphasis> -
|
||||||
|
enregistre l'utilisation de l'appel système
|
||||||
|
&man.ioctl.2;.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>ip</literal> - <emphasis>ipc</emphasis> -
|
||||||
|
enregistre les différentes utilisations de
|
||||||
|
communication inter-processus, dont les utilisations des
|
||||||
|
tubes POSIX et les opérations
|
||||||
|
<acronym>IPC</acronym> Système V.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>lo</literal> -
|
||||||
|
<emphasis>login_logout</emphasis> (ouverture et fermeture
|
||||||
|
de session) - enregistre les ouvertures et fermeture de
|
||||||
|
session (&man.login.1; et &man.logout.1;) intervenant sur
|
||||||
|
le système.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>na</literal> - <emphasis>non
|
||||||
|
attributable</emphasis> (non-attribuable) - enregistre les
|
||||||
|
événements non-attribuables.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>no</literal> - <emphasis>invalid
|
||||||
|
class</emphasis> (classe invalide) - ne correspond
|
||||||
|
à aucun des événements
|
||||||
|
surveillés.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>nt</literal> - <emphasis>network</emphasis>
|
||||||
|
(réseau) - enregistre les événements
|
||||||
|
relatifs au réseau, comme l'utilisation des
|
||||||
|
fonctions &man.connect.2; et &man.accept.2;.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>ot</literal> - <emphasis>other</emphasis>
|
||||||
|
(autre) - enregistre les événements
|
||||||
|
divers.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>pc</literal> - <emphasis>process</emphasis>
|
||||||
|
(processus) - enregistre les opérations sur les
|
||||||
|
processus, comme l'utilisation des fonctions &man.exec.3;
|
||||||
|
et &man.exit.3;.</para>
|
||||||
|
</listitem>
|
||||||
|
</itemizedlist>
|
||||||
|
|
||||||
|
<para>Ces classes d'événement peuvent être
|
||||||
|
personnalisées en modifiant les fichiers de
|
||||||
|
configuration <filename>audit_class</filename> et
|
||||||
|
<filename>audit_event</filename>.</para>
|
||||||
|
|
||||||
|
<para>Chaque classe d'audit dans la liste est combinée
|
||||||
|
avec un préfixe indiquant si les opérations
|
||||||
|
réussies/échouées sont
|
||||||
|
sélectionnées, et si l'entrée ajoute ou
|
||||||
|
supprime une sélection pour la classe ou le type
|
||||||
|
concerné.</para>
|
||||||
|
|
||||||
|
<itemizedlist>
|
||||||
|
<listitem>
|
||||||
|
<para>(rien) enregistre les succès et les
|
||||||
|
échecs de l'événement.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>+</literal> enregistre les
|
||||||
|
événements réussis de cette
|
||||||
|
classe.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>-</literal> enregistre les
|
||||||
|
événements de cette classe qui ont
|
||||||
|
échoué.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>^</literal> n'enregistre ni les
|
||||||
|
événements réussis ni les échecs
|
||||||
|
de cette classe.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>^+</literal> ne pas enregistrer les
|
||||||
|
événements réussis de cette
|
||||||
|
classe.</para>
|
||||||
|
</listitem>
|
||||||
|
|
||||||
|
<listitem>
|
||||||
|
<para><literal>^-</literal> ne pas enregistrer les
|
||||||
|
événements de cette classe qui ont
|
||||||
|
échoué.</para>
|
||||||
|
</listitem>
|
||||||
|
</itemizedlist>
|
||||||
|
|
||||||
|
<para>L'exemple suivant d'expression de sélection permet
|
||||||
|
la sélection des ouvertures et fermetures de session
|
||||||
|
réussies ou échouées, et uniquement les
|
||||||
|
exécutions ayant réussies:</para>
|
||||||
|
|
||||||
|
<programlisting>lo,+ex</programlisting>
|
||||||
|
</sect2>
|
||||||
|
|
||||||
|
<sect2>
|
||||||
|
<title>Fichiers de configuration</title>
|
||||||
|
|
||||||
|
<para>Dans la plupart des cas, les administrateurs ne devront
|
||||||
|
modifier que deux fichiers lors de la configuration du
|
||||||
|
système d'audit: <filename>audit_control</filename> et
|
||||||
|
<filename>audit_user</filename>. Le premier contrôle
|
||||||
|
les propriétés et les stratégies au
|
||||||
|
niveau du système; le second peut être
|
||||||
|
utilisé pour affiner l'audit pour chaque
|
||||||
|
utilisateur.</para>
|
||||||
|
|
||||||
|
<sect3 id="audit-auditcontrol">
|
||||||
|
<title>Le fichier <filename>audit_control</filename></title>
|
||||||
|
|
||||||
|
<para>Le fichier <filename>audit_control</filename> fixe un
|
||||||
|
certain nombre de paramètres par défaut pour
|
||||||
|
le système d'audit. Le contenu de ce fichier
|
||||||
|
ressemble à ce qui suit:</para>
|
||||||
|
|
||||||
|
<programlisting>dir:/var/audit
|
||||||
|
flags:lo
|
||||||
|
minfree:20
|
||||||
|
naflags:lo
|
||||||
|
policy:cnt
|
||||||
|
filesz:0</programlisting>
|
||||||
|
|
||||||
|
<para>L'option <literal>dir</literal> est utilisée pour
|
||||||
|
déclarer un ou plusieurs répertoires dans
|
||||||
|
lesquels seront stockés les fichiers journaux. Si
|
||||||
|
l'on mentionne plus d'un répertoire, ces derniers
|
||||||
|
seront utilisés dans l'ordre à mesure qu'ils
|
||||||
|
se remplissent. Il est classique de configurer le
|
||||||
|
système d'audit pour le stockage des fichiers
|
||||||
|
journaux sur un système de fichiers
|
||||||
|
dédié, afin d'éviter toute
|
||||||
|
interférence entre le système d'audit et
|
||||||
|
d'autres systèmes si le système de fichiers
|
||||||
|
est plein.</para>
|
||||||
|
|
||||||
|
<para>Le champ <literal>flags</literal> fixe le masque
|
||||||
|
général de présélection
|
||||||
|
utilisé par défaut pour les
|
||||||
|
événements attribuables. Dans l'exemple
|
||||||
|
ci-dessus, les ouvertures et fermetures de sessions
|
||||||
|
réussies ou échouées sont
|
||||||
|
enregistrées pour tous les utilisateurs.</para>
|
||||||
|
|
||||||
|
<para>L'option <literal>minfree</literal> définit le
|
||||||
|
pourcentage minimal d'espace libre du système de
|
||||||
|
fichiers sur lequel les traces d'audit sont stockées.
|
||||||
|
Si cette limite est dépassée, un avertissement
|
||||||
|
sera généré. L'exemple ci-dessus fixe
|
||||||
|
l'espace minimal à vingt pourcents.</para>
|
||||||
|
|
||||||
|
<para>L'entrée <literal>naflags</literal> indique les
|
||||||
|
classes à surveiller pour les
|
||||||
|
événements non-attribués, comme les
|
||||||
|
processus d'ouverture de session et les
|
||||||
|
<quote>démons</quote> système.</para>
|
||||||
|
|
||||||
|
<para>L'entrée <literal>policy</literal> donne une
|
||||||
|
liste d'indicateurs de stratégie contrôlant
|
||||||
|
divers aspect du comportement de l'audit
|
||||||
|
séparés par une virgule. L'indicateur
|
||||||
|
<literal>cnt</literal> indique que le système devrait
|
||||||
|
continuer à fonctionner en dépit d'un
|
||||||
|
échec dans l'audit (l'emploi de cet indicateur est
|
||||||
|
hautement recommandé). Un autre indicateur
|
||||||
|
généralement utilisé est
|
||||||
|
<literal>argv</literal>, qui provoque l'audit des arguments
|
||||||
|
passés à l'appel système &man.execve.2;
|
||||||
|
lors de l'audit de l'exécution des commandes.</para>
|
||||||
|
|
||||||
|
<para>L'entrée <literal>filez</literal> indique la
|
||||||
|
taille maximale en octets autorisée pour un fichier
|
||||||
|
de trace avant qu'il soit interrompu et que le
|
||||||
|
système provoque sa rotation. La valeur par
|
||||||
|
défaut, 0, désactive la rotation automatique
|
||||||
|
des journaux. Si la taille de fichier est différente
|
||||||
|
de zéro mais inférieure à 512K, elle
|
||||||
|
sera ignorée et un message sera
|
||||||
|
généré.</para>
|
||||||
|
</sect3>
|
||||||
|
|
||||||
|
<sect3 id="audit-audituser">
|
||||||
|
<title>Le fichier <filename>audit_user</filename></title>
|
||||||
|
|
||||||
|
<para>Le fichier <filename>audit_user</filename> permet
|
||||||
|
à l'administrateur de préciser des conditions
|
||||||
|
supplémentaires d'audit pour des utilisateurs
|
||||||
|
spécifiques. Chaque ligne paramètre l'audit
|
||||||
|
pour un utilisateur par l'intermédiaire de deux
|
||||||
|
champs: le premier est le champ
|
||||||
|
<literal>alwaysaudit</literal>, qui indique l'ensemble des
|
||||||
|
événements qui devraient toujours être
|
||||||
|
surveillés pour l'utilisateur, le deuxième
|
||||||
|
champ, <literal>neveraudit</literal>, indique un ensemble
|
||||||
|
d'événements qui ne devrait jamais être
|
||||||
|
audité pour cet utilisateur.</para>
|
||||||
|
|
||||||
|
<para>L'exemple suivant de fichier
|
||||||
|
<filename>audit_user</filename> permet le suivi des
|
||||||
|
ouvertures et fermetures de sessions et l'exécution
|
||||||
|
de commandes avec succès de l'utilisateur
|
||||||
|
<username>root</username>, et audite la création de
|
||||||
|
fichiers et l'exécution de commandes avec
|
||||||
|
succès pour l'utilisateur <username>www</username>.
|
||||||
|
Si ce fichier est utilisé avec l'exemple
|
||||||
|
précédent de fichier
|
||||||
|
<filename>audit_control</filename>, l'entrée
|
||||||
|
<literal>lo</literal> pour <username>root</username> est
|
||||||
|
redondante, et les événements relatifs aux
|
||||||
|
ouvertures et aux fermetures de sessions seront
|
||||||
|
également enregistrés pour l'utilisateur
|
||||||
|
<username>www</username>.</para>
|
||||||
|
|
||||||
|
<programlisting>root:lo,+ex:no
|
||||||
|
www:fc,+ex:no</programlisting>
|
||||||
|
</sect3>
|
||||||
|
</sect2>
|
||||||
|
</sect1>
|
||||||
|
|
||||||
|
<sect1 id="audit-administration">
|
||||||
|
<title>Administration du système d'audit</title>
|
||||||
|
|
||||||
|
<sect2>
|
||||||
|
<title>Consultation des traces d'audit</title>
|
||||||
|
|
||||||
|
<para>Les traces d'audit sont stockées sous le format
|
||||||
|
binaire BSM (<quote>Basic Security Module</quote>), aussi il
|
||||||
|
sera nécessaire d'utiliser des outils pour modifier ou
|
||||||
|
convertir en texte les fichiers de trace. La commande
|
||||||
|
&man.praudit.1; convertit les fichiers de trace en simple
|
||||||
|
texte; la commande &man.auditreduce.1; peut être
|
||||||
|
utilisée pour réduire le fichier de trace en vue
|
||||||
|
d'une analyse, d'un archivage, ou d'une impression. La
|
||||||
|
commande <command>auditreduce</command> supporte une
|
||||||
|
variété de paramètres de
|
||||||
|
sélection, parmi lesquels le type
|
||||||
|
d'événement, la classe de
|
||||||
|
l'événement, l'utilisateur, la date ou l'heure
|
||||||
|
de l'événement, et le chemin d'accès ou
|
||||||
|
l'objet sur lequel on agit.</para>
|
||||||
|
|
||||||
|
<para>Par exemple, l'utilitaire <command>praudit</command>
|
||||||
|
affichera sous forme de texte brut l'intégralité
|
||||||
|
du contenu du fichier journal d'audit
|
||||||
|
précisé:</para>
|
||||||
|
|
||||||
|
<screen>&prompt.root; <userinput>praudit /var/audit/AUDITFILE</userinput></screen>
|
||||||
|
|
||||||
|
<para>Où
|
||||||
|
<filename><replaceable>AUDITFILE</replaceable></filename> est
|
||||||
|
le journal à afficher.</para>
|
||||||
|
|
||||||
|
<para>Les traces d'audit consistent en une série
|
||||||
|
d'enregistrements constitués de champs que la commande
|
||||||
|
<command>praudit</command> affiche de manière
|
||||||
|
séquentielle, un par ligne. Chaque champ est
|
||||||
|
spécifique, comme <literal>header</literal> contenant
|
||||||
|
l'entête de l'enregistrement, ou <literal>path</literal>
|
||||||
|
contenant le chemin d'accès. Ce qui suit est un
|
||||||
|
exemple d'événement
|
||||||
|
<literal>execve</literal>:</para>
|
||||||
|
|
||||||
|
<programlisting>header,133,10,execve(2),0,Mon Sep 25 15:58:03 2006, + 384 msec
|
||||||
|
exec arg,finger,doug
|
||||||
|
path,/usr/bin/finger
|
||||||
|
attribute,555,root,wheel,90,24918,104944
|
||||||
|
subject,robert,root,wheel,root,wheel,38439,38032,42086,128.232.9.100
|
||||||
|
return,success,0
|
||||||
|
trailer,133</programlisting>
|
||||||
|
|
||||||
|
<para>Cet audit représente un appel réussi
|
||||||
|
à <literal>execve</literal>, lors de l'exécution
|
||||||
|
de la commande <literal>finger doug</literal>. Le champ pour
|
||||||
|
les arguments contient la ligne de commande
|
||||||
|
présentée par l'interpréteur de commandes
|
||||||
|
au noyau. Le champ <literal>path</literal> contient le chemin
|
||||||
|
d'accès à l'exécutable comme le voit le
|
||||||
|
noyau. Le champ <literal>attribute</literal> décrit le
|
||||||
|
binaire, et en particulier, précise les permissions sur
|
||||||
|
le fichier qui permettent de déterminer si
|
||||||
|
l'application avait les permissions <quote>setuid</quote>. Le
|
||||||
|
champ <literal>subject</literal> décrit le sujet de
|
||||||
|
l'audit, et conserve sous la forme d'une séquence
|
||||||
|
l'identifiant (ID) de l'utilisateur audité, les
|
||||||
|
identifiants groupe et utilisateur effectifs, les identifiants
|
||||||
|
groupe et utilisateur réels, l'ID du processus, l'ID de
|
||||||
|
la session, l'ID du port, et l'adresse correspondant à
|
||||||
|
la session. Notez que l'ID de l'utilisateur pour l'audit
|
||||||
|
diffère de l'ID réel de l'utilisateur:
|
||||||
|
l'utilisateur <username>robert</username> est passé en
|
||||||
|
<username>root</username> avant l'exécution de la
|
||||||
|
commande, mais l'audit se fait par rapport à
|
||||||
|
l'utilisateur authentifié original. Et enfin, le champ
|
||||||
|
<literal>return</literal> indique la réussite de
|
||||||
|
l'exécution, et le champ <literal>trailer</literal>
|
||||||
|
termine l'enregistrement.</para>
|
||||||
|
</sect2>
|
||||||
|
|
||||||
|
<sect2>
|
||||||
|
<title>Réduction des traces d'audit</title>
|
||||||
|
|
||||||
|
<para>Comme les journaux d'audit peuvent être très
|
||||||
|
gros, un administrateur voudra ne conserver qu'une partie des
|
||||||
|
enregistrements, comme par exemple les enregistrements
|
||||||
|
associés à un utilisateur particulier:</para>
|
||||||
|
|
||||||
|
<screen>&prompt.root; <userinput>auditreduce -u trhodes /var/audit/AUDITFILE | praudit</userinput></screen>
|
||||||
|
|
||||||
|
<para>Cette commande sélectionnera tous les
|
||||||
|
enregistrements stockés dans le fichier
|
||||||
|
<filename><replaceable>AUDITFILE</replaceable></filename> et
|
||||||
|
concernant l'utilisateur <username>trhodes</username>.</para>
|
||||||
|
</sect2>
|
||||||
|
|
||||||
|
<sect2>
|
||||||
|
<title>Délégation des droits d'accès aux
|
||||||
|
résultats des audits</title>
|
||||||
|
|
||||||
|
<para>Les membres du groupe <groupname>audit</groupname> sont
|
||||||
|
autorisés à lire les traces d'audit
|
||||||
|
présentes dans le répertoire <filename
|
||||||
|
class="directory">/var/audit</filename>; par défaut ce
|
||||||
|
groupe est vide, par conséquent seul l'utilisateur
|
||||||
|
<username>root</username> pourra lire les traces d'audit. Des
|
||||||
|
utilisateurs peuvent être ajoutés au groupe
|
||||||
|
<groupname>audit</groupname> afin de déléguer
|
||||||
|
les droits de lecture des audits à ses utilisateurs.
|
||||||
|
Comme la possibilité de suivre le contenu des fichiers
|
||||||
|
journaux de l'audit donne un aperçu significatif du
|
||||||
|
comportement des utilisateurs et des processus, il est donc
|
||||||
|
recommandé de déléguer avec prudence les
|
||||||
|
droits de lecture des audits.</para>
|
||||||
|
</sect2>
|
||||||
|
|
||||||
|
<sect2>
|
||||||
|
<title>Surveillance en direct à l'aide de tubes
|
||||||
|
d'audit</title>
|
||||||
|
|
||||||
|
<para>Les tubes (<quote>pipes</quote>) d'audit sont des
|
||||||
|
pseudo-périphériques <quote>clonables</quote> du
|
||||||
|
système de fichiers des périphériques qui
|
||||||
|
autorisent aux applications l'accès au flux
|
||||||
|
d'enregistrement des audits en cours. C'est de tout premier
|
||||||
|
intérêt pour les auteurs d'applications de
|
||||||
|
détection des intrusions et de surveillance du
|
||||||
|
système. Pour l'administrateur, le tube d'audit est un
|
||||||
|
moyen pratique d'autoriser la surveillance en direct sans
|
||||||
|
avoir à faire face aux problèmes de permissions
|
||||||
|
ou de rotation des fichiers journaux interrompant le flux des
|
||||||
|
enregistrements des événements. Pour suivre le
|
||||||
|
flux des enregistrements de l'audit en cours, utiliser la
|
||||||
|
ligne de commande suivante:</para>
|
||||||
|
|
||||||
|
<screen>&prompt.root; <userinput>praudit /dev/auditpipe</userinput></screen>
|
||||||
|
|
||||||
|
<para>Par défaut, les fichiers spéciaux de
|
||||||
|
périphériques correspondant aux tubes d'audit ne
|
||||||
|
sont accessibles qu'à l'utilisateur
|
||||||
|
<username>root</username>. Pour les rendre accessibles aux
|
||||||
|
membres du groupe <groupname>audit</groupname>, ajoutez une
|
||||||
|
règle <literal>devfs</literal> au fichier
|
||||||
|
<filename>devfs.rules</filename>:</para>
|
||||||
|
|
||||||
|
<programlisting>add path 'auditpipe*' mode 0440 group audit</programlisting>
|
||||||
|
|
||||||
|
<para>Consultez la page de manuel &man.devfs.rules.5; pour plus
|
||||||
|
d'information sur la configuration du système de
|
||||||
|
fichiers devfs.</para>
|
||||||
|
|
||||||
|
<warning>
|
||||||
|
<para>Il est relativement simple de produire un effet de
|
||||||
|
boucle sans fin, dans lequel la consultation de chaque
|
||||||
|
événement enregistré par le
|
||||||
|
système d'audit provoque la génération
|
||||||
|
de nouveaux événements d'audit. Par exemple,
|
||||||
|
si toutes les entrées/sorties réseau sont
|
||||||
|
surveillées, et que &man.praudit.1; est
|
||||||
|
exécuté depuis une session SSH, alors un flux
|
||||||
|
continu d'événements sera
|
||||||
|
généré suivant une fréquence
|
||||||
|
importante, chaque événement affiché
|
||||||
|
générant un autre événement. Il
|
||||||
|
est recommandé d'exécuter
|
||||||
|
<command>praudit</command> sur un tube par
|
||||||
|
l'intermédiaire de sessions sans surveillance
|
||||||
|
précise des entrées/sortie afin
|
||||||
|
d'éviter que ne survienne un tel
|
||||||
|
problème.</para>
|
||||||
|
</warning>
|
||||||
|
</sect2>
|
||||||
|
|
||||||
|
<sect2>
|
||||||
|
<title>Rotation des fichiers de trace d'audit</title>
|
||||||
|
|
||||||
|
<para>Les traces d'audit ne sont écrites que par le
|
||||||
|
noyau, et ne sont gérées que par le
|
||||||
|
<quote>démon</quote> d'audit,
|
||||||
|
<application>auditd</application>. Les administrateurs ne
|
||||||
|
devraient donc pas tenter d'utiliser &man.newsyslog.conf.5; ou
|
||||||
|
tout autre outil pour assurer la rotation directe des journaux
|
||||||
|
d'audit. A la place, l'utilitaire <command>audit</command>
|
||||||
|
devrait être employé pour stopper l'audit,
|
||||||
|
reconfigurer le système d'audit et effectuer la
|
||||||
|
rotation des journaux. La commande suivante provoque la
|
||||||
|
création d'un nouveau fichier journal d'audit par le
|
||||||
|
<quote>démon</quote> et signale au noyau d'utiliser le
|
||||||
|
nouveau fichier pour les enregistrements. L'ancien fichier
|
||||||
|
journal sera fermé et renommé et pourra,
|
||||||
|
à partir de cet instant, être manipulé par
|
||||||
|
l'administrateur.</para>
|
||||||
|
|
||||||
|
<screen>&prompt.root; <userinput>audit -n</userinput></screen>
|
||||||
|
|
||||||
|
<warning>
|
||||||
|
<para>Si le <quote>démon</quote>
|
||||||
|
<application>auditd</application> ne tourne pas, cette
|
||||||
|
commande échouera et un message d'erreur sera
|
||||||
|
généré.</para>
|
||||||
|
</warning>
|
||||||
|
|
||||||
|
<para>Ajouter la ligne suivante au fichier
|
||||||
|
<filename>/etc/crontab</filename> provoquera la rotation des
|
||||||
|
fichiers toutes les douze heures à l'aide de
|
||||||
|
&man.cron.8;:</para>
|
||||||
|
|
||||||
|
<programlisting>0 */12 * * * root /usr/sbin/audit -n</programlisting>
|
||||||
|
|
||||||
|
<para>La modification sera prise en compte une fois que aurez
|
||||||
|
sauvegardé le nouveau fichier
|
||||||
|
<filename>/etc/crontab</filename>.</para>
|
||||||
|
|
||||||
|
<para>La rotation automatique du fichier d'une trace d'audit
|
||||||
|
basée sur la taille du fichier est possible à
|
||||||
|
l'aide de l'option <option>filesz</option> de
|
||||||
|
&man.audit.control.5;, cette option est décrite dans la
|
||||||
|
section de ce chapitre concernant les fichiers de
|
||||||
|
configuration.</para>
|
||||||
|
</sect2>
|
||||||
|
|
||||||
|
<sect2>
|
||||||
|
<title>Compresser les traces d'audit</title>
|
||||||
|
|
||||||
|
<para>Les fichiers de trace d'audit peuvent devenir très
|
||||||
|
gros, il est souvent désirable de les compresser ou
|
||||||
|
sinon de les archiver une fois qu'ils ont été
|
||||||
|
fermés par le <quote>démon</quote> d'audit. La
|
||||||
|
procédure <filename>audit_warn</filename> peut
|
||||||
|
être employée pour effectuer des
|
||||||
|
opérations personnalisées pour une
|
||||||
|
variété d'événements relatifs
|
||||||
|
à l'audit, y compris l'arrêt propre des traces
|
||||||
|
d'audit lors de leur rotation. Par exemple, ce qui suit peut
|
||||||
|
être ajouté à la procédure
|
||||||
|
<filename>audit_warn</filename> pour compresser les traces
|
||||||
|
d'audit à leur fermeture:</para>
|
||||||
|
|
||||||
|
<programlisting>#
|
||||||
|
# Compression des fichiers de trace d'audit à leur fermeture.
|
||||||
|
#
|
||||||
|
if [ "$1" = closefile ]; then
|
||||||
|
gzip -9 $2
|
||||||
|
fi</programlisting>
|
||||||
|
|
||||||
|
<para>D'autres activités d'archivage pourront inclure la
|
||||||
|
copie des fichiers de trace vers un serveur central, la
|
||||||
|
suppression d'anciennes traces, ou la réduction des
|
||||||
|
traces pour supprimer les enregistrements inutiles. La
|
||||||
|
procédure ne sera exécutée que lorsque
|
||||||
|
les fichiers de trace d'audit auront été
|
||||||
|
proprement arrêtés, et ne sera pas
|
||||||
|
exécutée sur les traces interrompues en cours
|
||||||
|
d'utilisation suite à un arrêt incorrect du
|
||||||
|
système.</para>
|
||||||
|
</sect2>
|
||||||
|
</sect1>
|
||||||
|
</chapter>
|
||||||
Loading…
Reference in a new issue