使用审核来跟踪对文件的读写操作

在本文中,将介绍如何在 AIX® 中使用审核(AIX 安全方面的一个重要特性)来跟踪多个事件,并了解如何使用审核来跟踪对文件的读写操作。另外,还将研究一些相关的命令,如 ls 或者 istat,以检查文件的时间戳。

引言

AIX® 提供了一些简单的方式以跟踪最近对文件的访问。ls 命令就是一个示例。但是,有时您还希望了解是谁、或者哪个进程对该文件进行了访问。您可能需要这样的信息,以便进行调试或者对重要的文件进行跟踪。在审核 的帮助之下,您可以跟踪对文件的读写操作的相关信息。

在 AIX 中,审核系统用于记录与安全相关的信息,并向管理员发出有关安全问题的警告。您可以自定义配置和目标文件,审核子系统将使用它们来跟踪任何需要跟踪的文件。您还可以使用审核的实时监视特性,以跟踪某些进程和文件(由未标识的进程随意地进行修改)。

跟踪

跟踪文件没有什么特殊的要求;您所需要的是具有 root 访问权限的一个普通的 AIX 系统。audit 命令为 root 用户和 audit 组的成员授予执行访问权限。对于非 root 用户,如果要在系统中执行审核,那么就应该是 audit 组的成员。

跟踪文件的概要步骤如下:

  1. 配置审核子系统
  2. 监视输出

配置审核子系统

配置审核子系统需要在目标和配置文件(审核子系统将其用于生成结果)中建立特定的条目。

在这个场景中,您将要跟踪 /home/test.txt 文件。为配置审核子系统,请尝试下面的操作:

  1. 在 /etc/security/audit/objects 文件中,为 /home/test.txt 建立相应的条目。请使用下面的格式:

     

    /home/test.txt:
    	r = "S_NOTAUTH_READ"
    	w = "S_NOTAUTH_WRITE"
    	

    S_NOTAUTH_READS_NOTAUTH_WRITE 分别是用于跟踪读操作和写操作的关键字。可以使用任何关键字来替换这两个关键字,这取决于您的具体需求。

    通过在 /etc/security/audit/objects 文件中采用相同的格式为每个想要跟踪的文件建立单独的条目,您还可以使用相同的关键字跟踪多个文件。

  2. 在 /etc/security/audit/config 文件中,在 classes 部分中建立如下所示的条目:

     

    classes:
    	abusers = S_NOTAUTH_READ, S_NOTAUTH_WRITE
    	

  3. 在 /etc/security/audit/config 文件中,为所有的用户添加相应的条目,如下所示:

     

    users:
    	root = general, abusers
    	user1=abusers
    	user2=abusers
    	.
    	.
    	.
    	userN=abusers
    	
    	

    这组条目可以确保审核将报告所有用户(在这个列表中的任何用户)对 /home/test.txt 文件所执行的读写操作。如果用户的条目已经存在,那么您可以为不正常的使用者追加相应的条目,使用逗号将其与前面的条目隔开。

  4. 审核提供了两种数据监视模式:
    • BIN 模式:将审核事件记录到两个交换使用的临时 BIN 文件中,然后将它们追加到一个审核跟踪文件中。

       

    • STREAM 模式:将审核记录写入到循环缓冲区(该缓冲区可以通过 /dev/audit 设备文件进行读取)。

    在这个场景中,除了所提供的输出格式不同之外,这两者之间并没有什么重大的区别。您可以打开任何一种模式或者同时打开两种模式以收集数据。可以通过在 etc/security/audit/config 文件中建立合适的条目来打开或者关闭它们。下面的示例打开了 STREAM 模式。

     

    start:
            bin mode = off
            stream mode = on	
    	

上面的步骤确保 /home/test.txt 文件处于审核子系统的观察之下。

监视输出

要对输出进行监视,首先使用下面的命令启动审核子系统:

 本文转自:IBM developerWorks 中国
请 点击此处查看全文

你可能感兴趣的:(使用审核来跟踪对文件的读写操作)