18.4 对审计进行配置

18.4.1 事件筛选表达式

　　在审计配置文件中的许多地方会用到筛选表达式来确定哪些事件是需要审计的。 表达式中需要指定要匹配的事件类型， 并使用前缀指定是否应接受或忽略匹配的事件， 此外， 还可以指定一个可选项指明匹配成功或失败的操作。 选择表达式是按从左到右的顺序计算的， 而对于两个表达式的情形， 则是通过将后一个追加到前一个之后来实现的。

　　下面列出了在 audit_class 中的默认事件类型：

• all - all (全部) - 表示匹配全部事件类。

• ad - administrative (管理) - 所有在系统上所进行的管理性操作。

• ap - application (应用) - 应用程序定义的动作。

• cl - file close (文件关闭) - 审计对 close 系统调用的操作。

• ex - exec (执行) - 审计程序的执行。 对于命令行参数和环境变量的审计是通过在 audit_control(5) 中 policy 的 argv 和 envv 参数来控制的。

• fa - file attribute access (造访文件属性) - 审计访问对象属性， 例如 stat(1)、 pathconf(2) 以及类似事件。

• fc - file create (创建文件) - 审计创建了文件的事件。

• fd - file delete (删除文件) - 审计所发生的文件删除事件。

• fm - file attribute modify (修改文件属性) - 审计文件属性发生变化的事件， 例如 chown(8)、 chflags(1)、 flock(2)， 等等。

• fr - file read (读文件数据) - 审计读取数据、 文件以读方式打开等事件。

• fw - file write (写文件数据) - 审计写入数据、 文件以写方式打开等事件。

• io - ioctl - 审计对 ioctl(2) 系统调用的使用。

• ip - ipc - 审计各种形式的进程间通信 (IPC)， 包括 POSIX 管道和 System V IPC 操作。

• lo - login_logout - 审计系统中发生的 login(1) 和 logout(1) 事件。

• na - non attributable (无主) - 审计无法归类的事件。

• no - invalid class (无效类) - 表示不匹配任何事件。

• nt - network (网络) - 与网络操作有关的事件， 例如 connect(2) 和 accept(2)。

• ot - other (其它) - 审计各类杂项事件。

• pc - process (进程) - 审计进程操作， 例如 exec(3) 和 exit(3)。

　　这些审计事件， 可以通过修改 audit_class 和 audit_event 这两个配置文件来进行定制。

　　这个列表中， 每个审计类均包含一个表示匹配成功/失败操作的前缀， 以及这一项是否是增加或删去对事件类或类型的匹配。

• (none) 审计事件的成功和失败实例。

• + 审计这一类的成功事件。

• - 审计这一类的失败事件。

• ^ 不审计本类中的成功或失败事件。

• ^+ 不审计本类中的成功事件。

• ^- 不审计本类中的失败事件。

　　下面例子中的筛选字符串表示筛选成功和失败的登录/注销事件， 而对执行事件， 则只审计成功的：

lo,+ex

18.4.2 配置文件

　　多数情况下， 在配置审计系统时， 管理员只需修改两个文件： audit_control 和 audit_user。 前者控制系统级的审计属性和策略， 而后者则用于针对具体的用户来微调。

dir:/var/audit
flags:lo
minfree:20
naflags:lo
policy:cnt
filesz:0

root:lo,+ex:no
www:fc,+ex:no