diff --git a/ru_RU.KOI8-R/books/handbook/audit/chapter.xml b/ru_RU.KOI8-R/books/handbook/audit/chapter.xml index f9f2d00bac..2ce8b4a9ee 100644 --- a/ru_RU.KOI8-R/books/handbook/audit/chapter.xml +++ b/ru_RU.KOI8-R/books/handbook/audit/chapter.xml @@ -5,7 +5,7 @@ $FreeBSDru: frdp/doc/ru_RU.KOI8-R/books/handbook/audit/chapter.xml,v 1.10 2007/06/26 08:38:00 den Exp $ $FreeBSD$ - Original revision: r30208 + Original revision: r43688 --> <!-- Need more documentation on praudit, auditreduce, etc. Plus more info on the triggers from the kernel (log rotation, out of space, etc). @@ -13,16 +13,43 @@ And the /dev/audit special file if we choose to support that. Could use some coverage of integrating MAC with Event auditing and perhaps discussion on how some companies or organizations handle auditing and auditing requirements. --> -<chapter xmlns="http://docbook.org/ns/docbook" xmlns:xlink="http://www.w3.org/1999/xlink" version="5.0" xml:id="audit"> +<chapter xmlns="http://docbook.org/ns/docbook" + xmlns:xlink="http://www.w3.org/1999/xlink" version="5.0" + xml:id="audit"> <info><title>����� ������� ������������</title> <authorgroup> - <author><personname><firstname>Tom</firstname><surname>Rhodes</surname></personname><contrib>����� </contrib></author> + <author> + <personname> + <firstname>Tom</firstname> + <surname>Rhodes</surname> + </personname> + <contrib>����� </contrib> + </author> + <author> + <personname> + <firstname>Robert</firstname> + <surname>Watson</surname> + </personname> + </author> </authorgroup> <authorgroup> - <author><personname><firstname>�����</firstname><surname>�����</surname></personname><contrib>������� �� ������� ����: </contrib></author> + <author> + <personname> + <firstname>�����</firstname> + <surname>�����</surname> + </personname> + <contrib>������� �� ������� ����: </contrib> + </author> + <author> + <personname> + <firstname>��������</firstname> + <surname>�������</surname> + </personname> + <contrib>���������� ��������: </contrib> + </author> </authorgroup> </info> - + <sect1 xml:id="audit-synopsis"> <title>������� �����</title> <indexterm><primary>AUDIT</primary></indexterm> @@ -30,10 +57,9 @@ requirements. --> <primary>����� ������� ������������</primary> <see>MAC</see> </indexterm> - <para>&os; 6.2-RELEASE � ����� ������� ������ &os; - �������� � ���� ��������� ������ ������� ������������. - ����� ������� ���� �������� � ������ ������ ��� - ���������������� ��������� �������, ��������� � �������������, + <para>������������ ������� &os; �������� � ���� ��������� ������ + ������� ������������. ����� ������� ���� �������� � ������ ������ + ��� ���������������� ��������� �������, ��������� � �������������, ������� ����� � �������, ��������� ������������, ������ � ������ � ����. ��� ������ ����� ���� ���������� ��� ����������� ��������������� �������, ����������� ��������� @@ -84,117 +110,107 @@ requirements. --> </itemizedlist> <warning> - <para>���������� ������ � &os; 6.2 - �����������������, ������������� - �� � �������� ������� ������ ������������� ������ ����� - ������������� ������������ �� ����� �������, � ������� �������� - ������������� ������������������ ������������ �����������. � - ��������� ������������ ��������� � ��� ����, ��� �� ��� ������� - � ��������� ������ ��������������. ��������, ��������� ��������� - ����� � ������� (X11-���������� ������� ���������, ������ - ����������� ����������� �� ��������� ��������������) �� - ���������������� ��� ���������������� ������� ����� � ������� ����� - ���������� ������.</para> - </warning> - - <warning> - <para>������������� ������� � ������ ����� �������� � ������������� - �������� ���������� ������: �� ������ �� ������ ����������� �������� - � ��������� ������������� ����� ��������� ���������� �������� � ������. - �������������� ������ ����������� ������� �� �������� ������������� - � ������� ������� ������. ��������, ������������� �������� - ��������� ������ ��� �������� ������� ������ - <filename>/var/audit</filename>, ����� ������������ ������� ������ - �� ������ �� ����������������� ���� ��������� �������.</para> + <para>���������� ������ ����� ��������� �����������, ��������, + �� ��� ������� � ��������� ������ ��������������. + ��������, ��������� ��������� ����� � ������� (���������� �� X11 + ������� ���������, ������ ����������� ����������� �� ��������� + ��������������) �� ���������������� ��� ���������������� ������� + ����� � ������� ����� ���������� ������.</para> + <para>������������� ������� ������ ����� �������� � ������������� + �������� ���������� ������: �� ������ �� ������ ����������� �������� + � ��������� ������������� ����� ��������� ���������� �������� � ������. + �������������� ������ ��������� �� �������� ���������� + � ��������� ������������ ��� ����������� ������������ ������� + ������. ��������, ������������� �������� ��������� ������ ��� + �������� ������� ������ + <filename>/var/audit</filename>, + ����� ������������ ������� ������ �� ������ �� ����������������� + ���� ��������� �������.</para> </warning> </sect1> <sect1 xml:id="audit-inline-glossary"> - <title>�������� ������� - ������� �������.</title> + <title>�������� ������� � ������ �����.</title> <para>����� ������� ���� ����� ���������� ���������� ��������� - �������� �������. ��� ����� ��� ����, ����� ������������� - �������������, ������� ����� ���������� ��-�� ������� � ��������� - ��������� ��������. � ������� ������ ��������� ���������� + �������� �������. � ������� ������ ��������� ���������� ������� �� ������ ������� � � ������� ����������� ������������ ���������� ������.</para> <itemizedlist> <listitem> <para><emphasis>�������</emphasis> (event): �������, ������� - ����� ���� �������� � ������. ������������� ����� ��������, - ����� ������ ������� ����� ��������������� ����������� - ������. ������ ������ ��� ������������ ������� - ������� ��������: �������� �����, ������������� �������� + ����� ���� �������� � ������. ������� ������ ��� ������������ + ������� ������� ��������: �������� �����, ������������� �������� ����������, ���� ������������ � �������. ������� ����������� �� <quote>�������������</quote> (attributable) - ��, ������� ����� ���� �������� � ����������� ������������ - - � <quote>��-�������������</quote> (non-attributable). ������ + � <quote>��-�������������</quote> (non-attributable), ���� + �� ������ ������� � ����������� ������������. ������ ��-�������������� ������� - ����� �������, ������������ �� - ����������� ������������, �����, ��� ��������� ���� ������������ - � �������.</para> + �������������� ������������, �����, ��������, �����, ��� + ��������� ���� ������������ � �������.</para> </listitem> <listitem> - <para><emphasis>�����</emphasis> (class): ������� ����� ���� - �������� � ������ ��� ����� �������, ������ ����������� - �� ��������� �������: <quote>�������� �����</quote> (fc), - <quote>������ � �����</quote> (fo), - <quote>���������� �����</quote> (ex), ������� - ����� � ������� � ������ �� ��� (lo). - ������������� ������� ��������� �������������� ��������� - ��������������� ������� ������ ��� �������� ���������� - ��������, ����� � ������� ������ ����������� � ������.</para> + <para><emphasis>�����</emphasis> (class): ������ ������� ��� + ����������� ������ ���������� �������, ������� ������������ + � ���������� ������. ����������������� ������ ������� + �������� <quote>�������� �����</quote> (fc), + <quote>���������� �����</quote> (ex) + � <quote>������� ����� � ������� � ������ �� ���</quote> (lo).</para> </listitem> <listitem> <para><emphasis>������</emphasis> (record): <quote>������</quote> - ��� ��������� ������ � �������, ����������� �� ��� ���� �������. ������ ������ �������� ���������� � ���� �������, - ���������� � �������� ������� (������������), ����� �������, - ���������� �� �������� ������� (��������, ������) � - ���������� �� ���������� ���������� ��������, ���������� - �������.</para> + ���������� � �������� ������� (������������), ������� + �������� ��������� ��������, ���� � ����� �������, + ���������� �� �������� � ���������� �������, ���� ��� ����, + � ����� ���������� �� ���������� ���������� ��������, + ���������� �������.</para> </listitem> <listitem> <para><emphasis>������</emphasis> (trail): - <quote>������</quote> ������, ��� ���-���� - - �������� ����� <quote>�������</quote> � ��������� ��������. + ������ ������, ��� ���-���� - + �������� ����� ������� � ��������� ��������. ��� �������, ������ �������� ������ � ������� ��������������� ������� �� ������� ���������� - �������. ������ �������������� �������� (��������, - <command>auditd</command>) ����� ������ � �������.</para> + �������. ������ �������������� �������� ����� + ��������� ������ � ������.</para> </listitem> <listitem> - <para><emphasis>��������� ���������</emphasis> (selection expression): + <para><emphasis>��������� ������</emphasis> (selection expression): ������, ���������� ������ ��������� � ���� �������, ������������ - ��� ��������� ������ �������.</para> + ��� ������ ������ �������.</para> </listitem> <listitem> - <para><emphasis>��������������� ���������</emphasis> (preselection): - �������, �� ����� �������� ������� ����������, ����� ������� ����� - ������������ �������� ��� ��������������. ��� ���������� ��� ����, + <para><emphasis>��������������� �����</emphasis> (preselection): + �������, � ������� �������� ������� ����������, ����� ������� ����� + �������� ��� ��������������. ��� ���������� ��� ����, ����� �������� ���������������� �������, �� ������� ������� ����������. - ��������������� ��������� ���������� ��� - <emphasis>��������� ���������</emphasis> ��� ����, ����� ����������, - ����� ������ ������ ������� ��� ������ ������������ ���������� ������� - � ������, ��� ��, ��� � ��� �������������� � ���������������� - ���������.</para> + ��������������� ����� ���������� ��� ��������� ������ + ��� ����, ����� ����������, ����� ������ ������ ������� ��� + ������ ������������ ���������� ������� � ������, � ��� �� + ���������� ���������, ������� ����� ����������� ��� ��� + ��������������, ��� � ��� ���������������� ���������.</para> </listitem> <listitem> <para><emphasis>����������</emphasis> (reduction): �������, � ���������� �������� ������ �� ������������� ������� - ���������� ��� ��������, ���������� ��� �������. ������� �� ������ - ���������� <emphasis>���������������� ���������</emphasis>. ��������� - <emphasis>����������</emphasis> �������������� ����� ������������� - ��������� �������� �������� �������� ������. ��������, ���������������� - ������ ����� ��������� �����, �� ����� ����� �� ������ ���� �������� - ����� ������� ������ ���������� � ����� � ������� � ������ �� ��� - ����� ���������� ����.</para> + ���������� ��� ��������, ���������� ��� �������. �����, ��� + �������, � ���������� �������� ������������� ������ ��������� + �� ������� ������. ��������� ����������, �������������� ����� + ������������� ��������� �������� �������� ������ ������. + ��������, ���������������� ������ ����� ��������� �����, �� + ����� ����� �� ������ ���� �������� ����� ������� ������ + ���������� � ����� � ������� � ������ �� ��� ��� ����� ���������.</para> </listitem> </itemizedlist> </sect1> @@ -203,30 +219,31 @@ requirements. --> <title>��������� ������� ������</title> <para>���������������� ����� ���������� ������ ��������������� ��� ����� - ������� ������� &os; ������� � ������ 6.2-RELEASE. ��� �� �����, - ��������� ������ ������ ���� ��������� � ����. ����� - ����� ��������, ������� ��������� ������ � ���������������� ���� - ������ ������������ ����:</para> + ������� ������� &os;. ��������� ������ ������� �� ������� ���� + ����� ������������� �� ���������, �� ��������� ������ ����������� + ������� �������� ������ ����, � ����������� ��������� ������ + � ���������������� ���� ����:</para> <programlisting>options AUDIT</programlisting> <para>������� ������ � ��������� ���� �������� ������ � ����� <xref linkend="kernelconfig"/>.</para> - <para>����� �����, ���������� ��������� ������ ������ ������, + <para>��� ������ ���� � ���������� ������ ���� ������� � �����������, + � ������� ���� �������������, ���������� ��������� ������ ������ ������, ������� ��������� ������ � &man.rc.conf.5;:</para> <programlisting>auditd_enable="YES"</programlisting> - <para>��� ������� ������ �� �������������� ����������� ����� - ������� ��� ��������� � ����� <option>auditd_flags</option> - ����� &man.rc.conf.5;.</para> - </sect1> + <para>����� ����� ��������� ��������� ������ ���� ����� + ������������, ���� �������, �������� ����� ������:</para> + + <programlisting>service auditd start</programlisting> + </sect1> <sect1 xml:id="audit-config"> <title>��������� ������� ������</title> - <para>��� ���������������� ����� ������� ������ ��������� � �������� <filename>/etc/security</filename>. ����� �������� ������ ������ ��� ������ ���������� ��������� �����:</para> @@ -241,72 +258,80 @@ requirements. --> <para><filename>audit_control</filename> - ��������� ������� ������: ������ �� ���������, ����������� �������� ������������, ������� ������ ���������� �� ������� ������� - ������, � ������.</para> + ������, ������������ ������ ������� ������ � ������.</para> </listitem> <listitem> - <para><filename>audit_event</filename> - ���������� �������� - ������� ������. ���, � ��������, ��������� ������.</para> + <para><filename>audit_event</filename> - ��������� ����� � + �������� ������� ������, � ����� ������, ������������ + ������������ ������� � �������, ������� ��������� � ������ + �������.</para> </listitem> <listitem> - <para><filename>audit_user</filename> - ������� ������ ��� - ��� ��������� �������������. ������������, �� ����������� - � ���� �����, ����� ��������������� ��� �������� ������������ - ��-��������� � ����� <filename>audit_control</filename>.</para> + <para><filename>audit_user</filename> - ���������� ������, ������� + ���������� ��� ��������� �������������. ��� ����������� � + ����������� ����������� �� ��������� ��� ����� ������������ + � �������.</para> </listitem> - <listitem> <para><filename>audit_warn</filename> - ������ ���������� - �������������� Bourne Shell, ������� ������������, ����� - ������������� ��������������� ��������� �� �������������� + ��������������, ������������ &man.auditd.8;, + ����� ������������� ��������������� ��������� �� �������������� ���������, ��������, ����� ������������� ��������� �������� - ������������ ��� ������� �������� ������.</para> + ������������ ��� ������� �������� ������, ���� ����� ��������� + ������� ����� ������� ������.</para> </listitem> </itemizedlist> + <warning> + <para>����� ������������ ������ ������ ��������������� � + ���������� � �������������, ��� ��� ������ � ������������ + ����� �������� � ������������� ���� �������</para> + </warning> + <sect2> - <title>������ ����������������� �����</title> + <title>��������� ������ �������</title> - <para>������ ����������������� ����� �� ����� �������, �� � ���, ��� - �� �����, ���������� ������ ��������. ������, ��������������� - ������� ���� ����� ������������� ��� ��������� �������� �� - ���������, ��������� ��� ������� ������������� ��������� - ������������� ����� ������ �������� ������.</para> + <para>��������� ������ ������������ � ���������� ������ + ������������ ������ ��� ����������� ����, ����� ������� ������ + ������������ ������. ��������� �������� ������ ������� �������, + � �������� ������������ ��� ������� ����� ������������. ������ + ��������� ����� �������, ������������, ����� �� ������� + ��� ������������ ��������� �������, �, ��������, ������������, + ���������� �� ��� �������� ��� ���������� ��������. ��������� + ������ ��������������� ����� �������, � ��� ��������� + ������������ ������� ����������� ������� ��������� � ����� + �������.</para> - <para>� ���������������� ����� ����� �������������� ��� ������, - ��� � ����������� ���������. ������������ ����� ��������� - ����.</para> - - <para>��������� ������ �������� ��� ������ �� ���������, + <para>��������� ������ �������� ������ �� ���������, �������������� � ����� <filename>audit_class</filename>:</para> <itemizedlist> <listitem> - <para><option>all</option> - <literal>all</literal> - + <para><literal>all</literal> - <emphasis>all</emphasis> - ������������� ���� ������� �������.</para> </listitem> <listitem> - <para><option>ad</option> - <literal>administrative</literal> + <para><literal>ad</literal> - <emphasis>administrative</emphasis> - ����� ���������������� ��������, ������������ � �������.</para> </listitem> <listitem> - <para><option>ap</option> - <literal>application</literal> - + <para><literal>ap</literal> - <emphasis>application</emphasis> - ����� �������, ���������� �����-���� �����������.</para> </listitem> <listitem> - <para><option>cl</option> - <literal>file_close</literal> - - ����� ������� ��������� ������� - <function>close</function>.</para> + <para><literal>cl</literal> - <emphasis>file close</emphasis> + - ����� ������� ��������� ������� <function>close</function>.</para> </listitem> <listitem> - <para><option>ex</option> - <literal>exec</literal> - + <para><literal>ex</literal> - <emphasis>exec</emphasis> - ����� ������� ����������. ����� ���������� ��������� ������ � ���������� ��������� �������������� ����� &man.audit.control.5; ��������� ��������� <literal>argv</literal> � <literal>envv</literal> @@ -314,85 +339,85 @@ requirements. --> </listitem> <listitem> - <para><option>fa</option> - <literal>file_attr_acc</literal> - - ����� ������� � ��������� �������� � �� ���������, - �������� ����� &man.stat.1;, &man.pathconf.2;, � + <para><literal>fa</literal> - <emphasis>file attribute access</emphasis> + - ����� ������� � ��������� ��������, + �������� &man.stat.1;, &man.pathconf.2;, � ����� �������� ���� �������.</para> </listitem> <listitem> - <para><option>fc</option> - <literal>file_creation</literal> + <para><literal>fc</literal> - <emphasis>file create</emphasis> - ����� �������, � ���������� ������� ��������� �����.</para> </listitem> <listitem> - <para><option>fd</option> - <literal>file_deletion</literal> + <para><literal>fd</literal> - <emphasis>file delete</emphasis> - ����� �������, � ���������� ������� ��������� �����.</para> </listitem> <listitem> - <para><option>fm</option> - <literal>file_attr_mod</literal> + <para><literal>fm</literal> - <emphasis>file attribute modify</emphasis> - ����� �������, � ���������� ������� ���������� �������� ������, ��������, &man.chown.8;, &man.chflags.1;, &man.flock.2;.</para> </listitem> <listitem> - <para><option>fr</option> - <literal>file_read</literal> + <para><literal>fr</literal> - <emphasis>file read</emphasis> - ����� �������, � ���������� ������� ���������� ������ ������, ����������� ����� �� ������ � �.�.</para> </listitem> <listitem> - <para><option>fw</option> - <literal>file_write</literal> - + <para><literal>fw</literal> - <emphasis>file write</emphasis> - - ����� �������, � ���������� ������� ���������� - ������ ������, ��������� ������ � ��� �����.</para> + ������ ������, ������ ��� ��������� ������ � ��� �����.</para> </listitem> <listitem> - <para><option>io</option> - <literal>ioctl</literal> - + <para><literal>io</literal> - <emphasis>ioctl</emphasis> - ����� ������� ��������� ������� &man.ioctl.2;.</para> </listitem> <listitem> - <para><option>ip</option> - <literal>ipc</literal> - + <para><literal>ip</literal> - <emphasis>ipc</emphasis> - ����� ��������� ����� �������������� ���������, - ������� �������� ��-����������� ������� (pipe) � + ������� �������� ��-����������� ������� (POSIX pipe) � �������������� ��������� � ����� System V <acronym>IPC</acronym>.</para> </listitem> <listitem> - <para><option>lo</option> - <literal>login_logout</literal> - - ����� ������� &man.login.1; � &man.logout.1;.</para> + <para><literal>lo</literal> - <emphasis>login_logout</emphasis> - + ����� ������� &man.login.1; � &man.logout.1;, + ������������ � �������.</para> </listitem> <listitem> - <para><option>na</option> - <literal>non_attrib</literal> - + <para><literal>na</literal> - <emphasis>non attributable</emphasis> - ����� ��-������������� �������.</para> </listitem> <listitem> - <para><option>no</option> - <literal>no_class</literal> - - ������ �����, ������������ ��� ���������� - ������.</para> + <para><literal>no</literal> - <emphasis>invalid class</emphasis> - + �� ������������� ������� �������� ������.</para> </listitem> <listitem> - <para><option>nt</option> - <literal>network</literal> - + <para><literal>nt</literal> - <emphasis>network</emphasis> - ����� �������, ��������� � �������� �������������, �������� &man.connect.2; � &man.accept.2;.</para> </listitem> <listitem> - <para><option>ot</option> - <literal>other</literal> - - ����� �������, �� �������� � ������ ������.</para> + <para><literal>ot</literal> - <emphasis>other</emphasis> - + ����� ��������� �������.</para> </listitem> <listitem> - <para><option>pc</option> - <literal>process</literal> - + <para><literal>pc</literal> - <emphasis>process</emphasis> - ����� �������� ���������, ����� ��� &man.exec.3; � &man.exit.3;.</para> </listitem> @@ -402,40 +427,40 @@ requirements. --> ������ <filename>audit_class</filename> � <filename>audit_event</filename>.</para> - <para>������ ����� ������������� � ���������, ������������ ������� - ��� ��������� ���������� ��������.</para> + <para>������ ����� ������ ������������� � ���������, ������������, + ����� �������� ����� ����������� - ������� ��� ���������, + � ����� ��, �������� �� ������ ������ ����� ��� ������� + ������ � ����, ���� ��������� ���.</para> <itemizedlist> <listitem> <para><literal>[������ �������]</literal> - ����� ���������� ��� ��� - ���������, ��� � ��� ���������� �������. ��������, ������ - �������� ������ ��� �������� �������� � ��������� ������� - � ������ ��� ����� ���������� ��������.</para> + ���������, ��� � ��� ���������� �������.</para> </listitem> <listitem> <para><literal>+</literal> - ����� ������ �������� - �������.</para> + ������� � ������ ������.</para> </listitem> <listitem> <para><literal>-</literal> - ����� ������ ��������� - �������.</para> + ������� � ������ ������.</para> </listitem> <listitem> <para><literal>^</literal> - ���������� ������ ��� ��������, ��� � - ��������� �������.</para> + ��������� ������� � ������ ������.</para> + </listitem> + + <listitem> + <para><literal>^+</literal> - ���������� ������ �������� + ������� � ������ ������.</para> </listitem> <listitem> <para><literal>^-</literal> - ���������� ������ ��������� - �������.</para> - </listitem> - - <listitem> - <para><literal>^+</literal> - ��������� ������ �������� - �������.</para> + ������� � ������ ������.</para> </listitem> </itemizedlist> @@ -454,16 +479,14 @@ requirements. --> ��������� ������ � ��� ���������������� ����� ������� ������: <filename>audit_control</filename> � <filename>audit_user</filename>. ������ �� ��� �������� - ����� ��������� ������� ������ � ��������� �� ��������� ��� - ��� �������������, ��� � ��� ��-������������� �������. ������ - ������������ ��� ��������� ������ ���������������� �������.</para> + ����� ��������� ������� ������, ������ ����� �������������� + ��� ����� ������ ��������� ������ �������������.</para> <sect3 xml:id="audit-auditcontrol"> <title>���� <filename>audit_control</filename></title> - <para>���� <filename>audit_control</filename> �������� - ��������� �� ���������, �������, ��������, ����������� - ��������. ���������� ����� �����:</para> + <para>��������� ��������� �� ��������� ��� ���������� + ������ ���������� � ����� <filename>audit_control</filename>:</para> <programlisting>dir:/var/audit flags:lo @@ -472,115 +495,120 @@ naflags:lo policy:cnt filesz:0</programlisting> - <para>�������� <option>dir</option> ��������� �������, � - ������� ����� ����������� ������ ������� ������. ��� + <para>������ <option>dir</option> ������������ ��� + ��������� ������ ��� ����� ���������, � + ������� ����� ����������� ������ ������� ������. ���� + ������ ����� ��� ���� �������, �� ��������� �������� + ����� �������������� �� �������, �� ���� ����������. ��� �������, ������� ������ ��������������� ����� �������, ��� ������ ������ �������� �� ��������� �������, ����� - ������������� ���� � ������ ������������ �������, ���� - ��������� ����� �� ������� ������� ������ ����� - ���������.</para> + ������������� ����������� ���������� ������ � ��������� + ��������� � ������, ���� ��������� ����� �� ������� + ������� ������ ����� ���������.</para> - <para>�������� <option>flags</option> ������������ ��� - ��������� ���������� �����. �������� ����� ��������� - <option>lo</option> ����������� ����� ��� ���� ������� - &man.login.1; � &man.logout.1;. ����� ��������� - ������:</para> + <para>������ <option>flags</option> ������������ ��� + ��������� ���������� ����� ���������������� ������ + ��� ������������� �������. � ������� ����, ����� ������������ + ������ ��� ��������, ��� � ��������� ������� ����� � + ������� � ������ �� ��� ��� ���� �������������</para> - <programlisting>dir:/var/audit -flags:lo,ad,-all,^-fa,^-fc,^-cl -minfree:20 -naflags:lo</programlisting> - - <para>����� �������� ��������� <option>flags</option> - �������� � ������ ���� ������� &man.login.1; � - &man.logout.1;, ���� ���������������� �������, ���� ��������� - ��������� ������� �, �������, ��������� ����� ���� ��������� - ������� ������� <option>fa</option>, <option>fc</option> � - <option>cl</option>. �������� �� ��, ��� �������� - <option>-all</option> ��������� �� ������������� ������ - ���� ��������� �������, ������� <option>^-</option> �������� - ��� ��������� ��� ���� ����������� �����.</para> - - <para>��������, ��� �������� ����������� ����� �������. - ������� ����������� ������ �������� �������������� ��������, - ����������� �����.</para> - - <para>�������� <option>minfree</option> ���������� ����������� + <para>������ <option>minfree</option> ���������� ����������� �������� ���������� ��������� ������������ �� �������, � - ������� ����������� ����� �������� ������. ��������, ���� - �������� ��������� <option>dir</option> ����������� � - <filename>/var/audit</filename>, � �������� - <option>minfree</option> ����� �������� (20), �� ��������������� - ��������� ����� ������, ����� ������ <filename>/var</filename> ����� �������� �� - ����������� (80%) ���������.</para> + ������� ����������� ����� �������� ������. ����� ������ + ������� ����� ���������, ����� ������������� ��������������. + ��������������� ������ ������������� ����������� ��������� + ������������ � �������� ���������.</para> - <para>�������� <option>naflags</option> ���������� ������ - ������ ��� ��-������������� �������, �� ���� �������, - ��� ������� �� ������̣� ���������� ������������.</para> + <para>������ <option>naflags</option> ���������� ������ + ������ ��� ��-������������� �������, ��������, ��������� + ����� � ������� � ��������� �������.</para> + <para>������ <option>policy</option> ���������� ������ + ������ ��������, ������������ ��������� ������� ��������� + ������. �������� ������ ���������� ���� �� ����� ��������. + �� ���������, ���� <literal>cnt</literal> ���������, ��� + ������� ������ ���������� ��������, �������� �� ������ + ������ (������ ���� ����� ������ ������������� ������������). + ������ ����������������� ���� - <literal>argv</literal>, + ������� ���������� ���������� ������ ��������� ��������� + ������ ��� ������ ���������� ������ &man.execve.2;, ��� + ����� ���������� �������.</para> + + <para>������ <option>filesz</option> ���������� + ������������ ������ � ������, �� �������� ����� ����� + ������ ������� ������, ������ ��� �� ����� ������������� + �������� � ���������� �������. �� ���������, �������� 0 + ��������� �������������� ������� �����. ���� ��������� + ������ ����� ���������, �� ���� ������������ �������� � + 512�, �� �� ����� ��������������, � ����� ������������� + ��������������� ��������� � �����.</para> </sect3> <sect3 xml:id="audit-audituser"> <title>���� <filename>audit_user</filename></title> - <para>���� <filename>audit_user</filename> ��������� - �������������� ���������� ������ �������, ����� ������� ����� - ������������� ��� ������� ������������ �������.</para> + <para>������������� ����� ���������� �������������� + ���������� � ������ ��� ���������� ������������� + � ����� <filename>audit_user</filename>. + ������ ������ ������������� ����� ��� ������������ + � �������������� ���� �����: ������ ���� + <literal>alwaysaudit</literal>, ������� ���������� + ����� �������, ������� ������ ������ ������������ + ������ ��� ������� ������������, � ������ - ���� + <literal>neveraudit</literal>, ������� ���������� + ����� �������, ������� ������� �� ������ ������������ + ������ ��� ������������.</para> - <para>�� ��������� ���� <filename>audit_user</filename> - ��������:</para> + <para>������������� ������ <filename>audit_user</filename> + �������� ����� ���� ������� ����� � ������� � ������ �� + ������� ��� ������������ <systemitem class="username">root</systemitem>, + � ����� �������� ����� ���� �������, ��������� � ��������� + ������ � �������� ����������� ������ ��� ������������ + <systemitem class="username">www</systemitem>. ��� ������������� � + ��������������� �������� ����� <filename>audit_control</filename>, + ������ <literal>lo</literal> ��� <systemitem class="username">root</systemitem> + �������� ������, ����� ����, ������� ����� � ������� � ������ + �� ������� ����� ������������ ������ � ��� ������������ + <systemitem class="username">www</systemitem>.</para> - <programlisting>root:lo:no -audit:fc:no</programlisting> - - <para>�������� ��������: �� ��������� ������������ ����� ���� - <command>login</command>/<command>logout</command> ������� � - ����������� ����� ���� ������ ������� ��� ������������ - <systemitem class="username">root</systemitem>. ��� ������������ ����� �������� - ����� ���� �������, ��������� � ��������� ������ � ��������� - ����� ���� ������ ������� ��� ������������ - <systemitem class="username">audit</systemitem>. ���� ������������� ������� - ������ �� ������� ������� � ������� ������������ - ������������, � ��������� �������������, �������� - ������������ <acronym>MAC</acronym> (Mandatory Access - Control), ��� ����� ���� ����������.</para> + <programlisting>root:lo,+ex:no +www:fc,+ex:no</programlisting> </sect3> </sect2> </sect1> <sect1 xml:id="audit-administration"> - <title>����������������� ������� ������</title> + <title>����������������� ���������� ������</title> <sect2> <title>�������� ������� ������</title> <para>������ ������ �������� � �������� ������� BSM, ������� ��� ��� ��������� � ����������� � ��������� ������ ����������� ����������� - �������. ������� <command>praudit</command> ����������� ������ ������ - � ��������� ������; ������� <command>auditreduce</command> ����� ���� + �������. ������� &man.praudit.1; ����������� ������ ������ + � ��������� ������; ������� &man.auditreduce.1; ����� ���� ������������ ��� ������� � ���������� ������� � ����� �������, - ������������� ��� ����������. ������� <command>auditreduce</command> - ������������ ��������� ���������� �������, ������� ���� �������, ������ - �������, ���������������� �������, ���� � ����� ������� � ���� ������, - � ������� ��������� �������.</para> + ������������� ��� ����������. ��������� ���������� ������� + �������������� �������� &man.auditreduce.1;, ������� ���� + �������, ������ �������, ����������� ������������, ���� � + ����� �������,� ����� ���� ������, � ������� ��������� �������.</para> - <para>��������, ������� <command>praudit</command> ������� ��� ���������� + <para>��������, ������� &man.praudit.1; ������� ��� ���������� ������� ������ � ��������� �������:</para> <screen>&prompt.root; <userinput>praudit /var/audit/AUDITFILE</userinput></screen> - <para>� ������ ������� <replaceable>AUDITFILE</replaceable> - ������, + <para>� ������ ������� <filename>AUDITFILE</filename> - ������, ������� ����� ������� � ��������� �������.</para> <para>������ ������ ������� �� ����� �������, �������, � ���� - ������� ������� �� ���������. ��� �������� ������� - <command>praudit</command> ������� ��������������� - �� ������ �� ������. - ������ ������� ����� ������������� ���, �������� - <literal>���������</literal> (header) �������� ��������� pfgbcb, a + ������� ������� �� ���������, ������� ������� &man.praudit.1; + ������� ��������������� - �� ������ �� ������. ������ ������� + ����� ������������� ���, �������� + <literal>���������</literal> (header) �������� ��������� ������, a <literal>����</literal> (path) - ���� � �����, � �������� ��������� ������. - lookup. ��������� ������ ���������� ������ ��� ������� ���������� - (execve):</para> + ��������� ������ ���������� ������ ��� ������� <literal>execve</literal>:</para> <programlisting>header,133,10,execve(2),0,Mon Sep 25 15:58:03 2006, + 384 msec exec arg,finger,doug @@ -590,27 +618,33 @@ subject,robert,root,wheel,root,wheel,38439,38032,42086,128.232.9.100 return,success,0 trailer,133</programlisting> - <para>��� ������ �������� ����������� ��������� ���������� ���������� + <para>��� ������ �������� ��������� ��������� ���������� ���������� ������ <literal>execve</literal>, ������� ���� ����������� ���������� - ������� <literal>finger doug</literal>. ������� <literal>exec</literal> �������� � - �������, ������� �������� �������� ����, � �� ���������. ������� + ������� <literal>finger doug</literal>. � ��������� ������ ���� � + ��������� ������, ������� �������� �������� ����. ������� <literal>����</literal> (path) �������� ���� � ������������ ����� � ������������� ����. ������� <literal>�������</literal> (attribute) - ��������� ����������� ����, �, � ���������, ����� ������� � �����. - ������� <literal>�������</literal> (subject) ��������� �������, ��������� - ���������� � ��������� ��� � ���� ���� ��������, �������������� ����� - UID ����������� ������������, ����������� (effective) UID � GID, - �������� (real) UID � GID, ������������� ��������, ������������� ������, - ���� � �����, � �������� ��� ����������� ���� � �������. - �������� �������� - ������������� ����������� ������������ � �������� - ������������� ������������ ����������: ��� ������, ��� ������������ - <literal>robert</literal> ������� ���������� �� ������������ - <literal>root</literal> ����� ����������� �������, �� ������� ������ - ������� ��� �������� � ������ ��������� ����������� �������������. - �������, ������� <literal>�������</literal> (return) ��������� �������� + ��������� ����������� ����, �, � ���������, ����� �����, ��� + ����� ������������ ��� �����������, ������������ �� ���������� + setuid. ������� <literal>�������</literal> (subject) ��������� �������, ��������� + � ��������� ��� � ���� ���� ��������, �������������� ����� + ID ����������� ������������, ����������� (effective) UID � GID, + �������� ID ������������ � ������, ������������� ��������, + ������������� ������, ���� � �����, � �������� ��� ����������� + ���� � �������. �������� �������� - ������������� ����������� + ������������ � �������� ������������� ������������ ����������: + ��� ������, ��� ������������ <systemitem class="username">robert</systemitem> ������� + ���������� �� ������������ <systemitem class="username">root</systemitem> ����� + ����������� �������, �� ������� ������ ������� ��� �������� � + ������ ��������� ����������� �������������. �������, ������� + <literal>�������</literal> (return) ��������� �������� ���������� �������� � ����� ���������� 0, � ������� <literal>trailer</literal> ��������� ������.</para> + <para>������ � ������� <acronym>XML</acronym> ����� ����� + ������� � ������� ������� &man.praudit.1;, ��������� �������� + <option>-x</option>.</para> + </sect2> <sect2> @@ -622,8 +656,8 @@ trailer,133</programlisting> <screen>&prompt.root; <userinput>auditreduce -u trhodes /var/audit/AUDITFILE | praudit</userinput></screen> - <para>��� ������� ������� ��� ������, ����������� � ������������ - <systemitem class="username">trhodes</systemitem>, ������� �������� � ����� + <para>��� ������� ������� ��� ������, ����������� � + <systemitem class="username">trhodes</systemitem>, ������� �������� � <filename>AUDITFILE</filename>.</para> </sect2> @@ -631,50 +665,55 @@ trailer,133</programlisting> <title>������������� ���� ��������� �������</title> <para>����� ������ <systemitem class="groupname">audit</systemitem> ����� ������ �� ������ - � ������� ������, ������������ � <filename>/var/audit</filename>; + � ������� ������, ������������ � + <filename>/var/audit</filename>; �� ��������� ��� ������ �����, � ������ <systemitem class="username">root</systemitem> ����� � ��� ������. ��� ����, ��� �� �������� ������������ ����� �� ������ �������, ��� ���������� �������� � ������ <systemitem class="groupname">audit</systemitem>. ����� �� ������ ������� ������ ��������� �������� ��������� - ���������� � ��������� ������������� � ���������, ��� ����� �������� � - ��������� ���������������� ������. �������, ������������� ������������ - ����� �� ������ ������� ������ � ������� �������������.</para> + ���������� � ��������� ������������� � ���������, �������, + ������������� ������������ ����� �� ������ ������� ������ + � ������� �������������.</para> </sect2> <sect2> - <title>���������� ������� � �������� �������</title> + <title>���������� ������� � �������� ������� � �������������� ������� ������</title> - <para>������ ������� ������ - ������������� ������-����������, - ��������� �������, ���������� ����� �������� ���������� � ��������� - �������� � �������� �������. � ������ �������, ��� ������ - �������������� ������� �������� ��� ����������� � ����������� - ��������� � �������. ��� �� �����, ��� �������������� ������ - ������� ������ ����� ����� ������� ������������ ��� ����������� - � �������� ������� ��� ����, ����� ��������� � ������ ����������� - ������������ ��� �������� ���� �� ������ ������� ������. ��� ����, - ����� �������� ����� ������� � �������� ������� ����������� + <para>������ ������� ������ - ������������� ������-���������� � + �������� ������� ���������, ��������� �������, ���������� ����� + �������� ���������� � ��������� �������� � �������� �������. + � ������ �������, ��� ������ �������������� ������� �������� + ��� ����������� � ����������� ��������� � �������. ��� �� + �����, ��� �������������� ������ ������� ������ ����� ����� + ������� ������������ ��� ����������� � �������� ������� ��� + �������, ��������� � ������� ����� ������, � ������������ + �������� �������, ��� �������� � ������ ������ �������. + ��� ����, ����� �������� ����� ������� � �������� ������� ����������� ��������� �������:</para> <screen>&prompt.root; <userinput>praudit /dev/auditpipe</userinput></screen> - <para>�� ���������, ������ �������� ������ ������������ <systemitem class="username">root</systemitem>. ����� - ������� �� ���������� ������ ������ <systemitem class="groupname">audit</systemitem> �������� + <para>�� ���������, ������ �������� ������ ������������ <systemitem class="username">root</systemitem>. + ����� ������� �� ���������� ������ ������ <systemitem class="groupname">audit</systemitem> �������� ������� <literal>devfs</literal> � ���� <filename>devfs.rules</filename>:</para> <programlisting>add path 'auditpipe*' mode 0440 group audit</programlisting> - <para>�������� �������� ����������� &man.devfs.rules.5; ��� ����� ������ + <para>�������� &man.devfs.rules.5; ��� ����� ������ ���������� � ��������� �������� ������� devfs.</para> <warning> <para>��� ������������ ������������� �������� ������������� ����������� ������ �������. ��������, ���� ������ ������������ ��� �������� - �������� �����-������, � ������� <command>praudit</command> - �������� �� ����� SSH-������, �� ����� ������� ������� ����� - ���������, ������� � ���� ������� ���� ����� �������� � ��� �� - �������������. �������� ����� �� ��������� <command>praudit</command> - �� ������ ������� �� ������, ������� �������� �������������.</para> + �������� �����-������, � ������� &man.praudit.1; + �������� �� ����� SSH-������, �� ����� ������������ + ���������� ����� ��������� ������, ��� ��� ������ ������� + ������� ��� ���� �������, � ��� �� �������������. + �������� ����� ��������� &man.praudit.1; + �� ���������� ������ ������ �� ������, � ������� + ��� �������� ������ �����-������, ����� �������� ������ + ���������.</para> </warning> </sect2> @@ -682,20 +721,20 @@ trailer,133</programlisting> <title>������� ���������� ������ ������</title> <para>������ ������ ������� ������ ����� � ����������� ������ ������� - ������ <application>auditd</application>. �������������� �� ������ �������� + ������ &man.auditd.8;. �������������� �� ������ �������� ������������ &man.newsyslog.conf.5; ��� ������ ����������� ��� ������ ������� �����. ������ �����, ��� ����������� ������, �������������� � ������� ���������� ������ ������ �������������� - ������� <command>audit</command>. ��������� ������� �������� � + ������� &man.audit.8;. ��������� ������� �������� � �������� ������ ����������� ����� � ���� ������� ���� ������������� �� ������ � ���� ����. ���������������� � ������ ���� ����� ����������, � - ��� ���� - ������������. ��� ��������������� ������ ������� - ���������� ������.</para> + ��� ���� - ������������, � ���������� ���� � ��� ����� ����� + �������� ��������������.</para> <screen>&prompt.root; <userinput>audit -n</userinput></screen> <warning> - <para>���� ����� <application>auditd</application> �� �������, �� ��� ������� + <para>���� &man.auditd.8; �� �������, �� ��� ������� ��������� �������� � ����� �������� ��������� �� ������.</para> </warning> @@ -708,10 +747,10 @@ trailer,133</programlisting> <para>��������� ������� � ���� ����� ���������� ����� <filename>/etc/crontab</filename>.</para> - <para>�������������� ������� ���������� ������ �������� ��� ������������� - ����� <option>filesz</option> � ����� - &man.audit.control.5;, � ������ � ������ - "������ ����������������� �����".</para> + <para>�������������� ������� ���������� ������ �� ��������� + �� ������� �������� ��� ������������� ����� <option>filesz</option> + � ����� &man.audit.control.5;, � ������� � ������� + "������ ����������������� �����" ������ �����.</para> </sect2> <sect2> @@ -719,10 +758,10 @@ trailer,133</programlisting> <para>��������� ���������� ����� ����� ��������� ����� ������� ��������, ����� ���������� ������������� ������� �� � ����� �������� ����� �� - ����� �������� �� ������� <command>auditd</command>. ��� ���������� - ������������ ������������� �������� ��������������� ������������� - �������� ������� ������, ������� ���������� ���������� ������ ������� - ������ � ���������� ���������� ������, ����� ���� ����������� ������ + ����� �������� �� ������� ������. ��� ���������� + ������������ ������������� ��������, ��������������� ������������� + �������� ������� ������, ������� ���������� ���������� �������� + ������ ��� �� �������, ����� ���� ����������� ������ <filename>audit_warn</filename>. ��������, ���������� ��������� ����� � ���� <filename>audit_warn</filename> �������� � ������ ����� ����� ��� ��������:</para> @@ -734,13 +773,12 @@ if [ "$1" = closefile ]; then gzip -9 $2 fi</programlisting> - <para>��������� ������ �������� ����� ����, ��������, ����������� ������ � ����� �� - ������������ ��������, �������� ������ ���������� ������, ���������� - ���������� ������ ��� �������� �������� �������. ������ - <filename>audit_warn</filename> ����� ������� ������ ������ ��� - ���������� �������� ������� �������� ������ � �� ���������� - ��� ���������� ������, ������ � ������� ���� ���������� � - ���������� ������������� ����������.</para> + <para>��������� ������ �������� ����� ����, ��������, ����������� ������ + ������ �� ���������������� ������, �������� ������ ���������� ������, + ���������� ���������� ������ ��� �������� �������� �������. ������ + ����� ������� ������ ������ ��� ���������� �������� ������� �������� + ������ � �� ���������� ��� ���������� ������, ������ � ������� ���� + ���������� � ���������� ������������� ����������.</para> </sect2> </sect1> </chapter>