Аудит событий в ОС

R w x r - x - - - andersen trusted 4034 2007-04-12 05:50 xpdfrc

D r w x r - x r - x andersen trusted 4096 2007-05-09 21:52 xml

Ls –l /etc

Контроль доступа субъектов к объектам в Linux

Традиционно в файловых системах ОС UNIX за доступ ко всем типам файлов (файлы, каталоги) отвечают 10 битов, которые разделены на 3 группы.

При кодировании прав доступа используются следующие символы:

Пример:

Первый символ определяет тип файла (каталог, обычный файл).

Первая группа из 3 бит определяет права доступа к файлу для его владельца, вторая - для членов группы владельца, третья -для всех остальных пользователей.

Во второй строке для файла xpdfrc:

- Чтение, запись и исполнение для владельца Andersen

- Чтение и исполнение для членов группы trusted

- Нет доступа для всех остальных

В первой строке для каталога xml

- Просмотр содержимого, создание или удаление файлов, вход в каталог для владельца Andersen

- Просмотр содержимого, вход в каталог для членов группы trusted

- Просмотр содержимого, вход в каталог для остальных.

Права кодируются и в числовой форме:

644 = r w - r - - r - -

755= r w x r - x r - x

000 = - - - - - - - - -

Процедура аудита применительно к операционным системам заключается в регистрации в специальном журнале, называемом журналом аудита или журналом безопасности, событий, которые могут представлять опасность для операционной системы. Пользователи системы, обладающие правом чтения этого журнала, называются аудиторами,

Необходимость:

1. Администраторы операционной системы должны иметь возможность получать информацию не только о текущем состоянии системы, но и о том, как она функционировала в недавнем прошлом. Журнал аудита дает такую возможность, накапливая информацию о важных событиях, связанных с безопасностью системы

2. Если администратор операционной системы обнаружил, что против системы проведена успешная атака, ему важно выяснить, когда была начата атака и каким образом она осуществлялась. При наличии в системе подсистемы аудита не исключено, что вся необходимая информация содержится в журнале аудита.

Требования к аудиту

1. Только сама операционная система может добавлять записи в журнал аудита.

2. Ни один субъект доступа, в том числе и сама операционная система, не имеет возможности редактировать или удалять отдельные записи в журнале аудита.

3. Только пользователи-аудиторы, обладающие соответствующей привилегией, могут просматривать журнал аудита.

4. Только пользователи-аудиторы могут очищать журнал аудита. После очистки журнала в него автоматически вносится запись о том, что журнал аудита был очищен, с указанием времени очистки журнала и имени пользователя, очистившего журнал. Операционная система должна поддерживать возможность сохранения журнала аудита перед очисткой в другом файле.

5. При переполнении журнала аудита операционная система аварийно завершает работу ("зависает"). После перезагрузки работать с системой могут только аудиторы. Операционная система переходит к обычному режиму работы только после очистки журнала аудита.