'\" te .\" Copyright (c) 2009, 2012, Oracle and/or its affiliates.All rights reserved. .TH audit_remote 5 "2012 年 5 月 10 日" "SunOS 5.11" "标准、环境和宏" .SH 名称 audit_remote \- 将 Solaris 审计日志发送到远程服务器 .SH 用法概要 .LP .nf \fB/usr/lib/security/audit_remote.so\fR .fi .SH 描述 .sp .LP 用于 Solaris 审计的 \fBaudit_remote\fR 插件模块 \fB/usr/lib/security/audit_remote.so\fR 可按照二进制审计记录 (\fBaudit.log\fR(4)) 在\fBauditconfig\fR(1M) 中的配置方式将二进制审计记录发送到审计服务器。 .sp .LP 如果 \fBaudit_remote\fR 插件通过 \fBauditconfig\fR 配置为活动状态，则由 \fBauditd\fR(1M) 装入该插件。使用 \fBauditconfig\fR \fB-setplugin\fR 选项可以更改所有与插件相关的配置参数。 .sp .LP Solaris 审计服务守护进程的审计远程服务 \fBars\fR(5) 可使用 \fBauditconfig\fR 进行配置以接收 \fBaudit_remote\fR 发送的二进制审计记录。 .SS "对象属性" .sp .LP 下列属性指定 \fBaudit_remote\fR 插件的配置： .sp .ne 2 .mk .na \fB\fBp_hosts\fR\fR .ad .sp .6 .RS 4n .sp .in +2 .nf \fIhost1\fR[:[\fIport1\fR][:\fImech1\fR]][,\fIhost2\fR[:[\fIport2\fR][:\fImech2\fR]],... \e \fIhostn\fR[:[\fIportn\fR][:\fImechn\fR]]] .fi .in -2 .sp 审计主机/服务器列表。审计记录将发送到第一台可用主机。如果在发送数据时主机无法访问或出现超时，则将尝试列表中的下一台主机。如果与所有主机的连接均失败，则将从头开始重新尝试该列表。 .sp \fBp_hosts\fR 条目的 \fIhost\fR 部分可采用 \fBgetipnodebyname\fR(3SOCKET) 接受的任何形式。 .sp \fBp_hosts\fR 条目的 \fIport\fR 部分是将联系以启动审计服务器连接的主机上的端口。如果未指定，则该端口号是分配给 \fBsolaris-audit\fR 服务的端口号。请参见 \fBgetservbyname\fR(3XNET)。 .sp \fBp_host\fR 条目的 \fBmech\fR 部分是 GSS-API 机制名称 (\fBmech\fR(4))。如果未指定，则使用本地主机的缺省机制。建议的机制为 \fBkerberos_v5\fR。 .RE .sp .ne 2 .mk .na \fB\fBp_retries\fR\fR .ad .sp .6 .RS 4n 尝试连接到服务器并向其发送数据的次数。 .sp 缺省值为 \fB3\fR。 .RE .sp .ne 2 .mk .na \fB\fBp_timeout\fR\fR .ad .sp .6 .RS 4n 连接/发送数据超时的秒数。 .sp 缺省值为 \fB5\fR 秒。 .RE .sp .ne 2 .mk .na \fB\fBqsize\fR\fR .ad .sp .6 .RS 4n 要保留的未处理审计记录的最大数目。 .sp 缺省值是内核队列控制高界限的值。请参见 \fBauditconfig\fR(1M)。 .RE .sp .LP 如果设置为 0，则缺省值是内核队列控制高界限的值。请参见 \fBauditconfig\fR(1M)。 .SS "GSS 会话" .sp .LP \fBaudit_remote plugin\fR 是一个 TCP 客户机，可使用 GSS-API (\fBlibgss\fR(3LIB)) 对配置的审计服务器进行验证。发送的二进制 Solaris 审计记录将通过 \fBgss_wrap\fR(3GSS) 生成的每消息令牌形式实施完整性和保密性保护。 .sp .LP 该插件启动与审计服务器 (\fIhost:port:mech\fR) 的 TCP 连接并通过相应的安全机制 (\fBmech\fR(4)) 建立 GSS 安全上下文（使用 \fBgss_init_sec_context\fR(3GSS)）。 .sp .LP 如果未指定端口，则将查找服务名称 \fBsolaris-audit\fR 以获取 TCP 端口号。如果未指定机制，\fBGSS_C_NO_OID\fR 将用作 \fBgss_init_sec_context\fR(3GSS) 的 \fBmech_type\fR 参数，并使基础 \fBGSS-API\fR 使用本地缺省机制。 .sp .LP \fBgss_init_sec_context\fR(3GSS) 使用 \fBGSS_C_NO_CREDENTIAL\fR 作为启动器的凭证句柄和 \fBaudit@\fR 格式的目标名称。服务器需要使用 \fBgss_accept_sec_context\fR(3GSS) 以完成上下文建立。 .sp .LP 在建立安全上下文后，客户机（\fBaudit_remote\fR 插件）调用 \fBgss_wrap\fR(3GSS) 以对传送的有效负荷（审计记录）实现保密性保护。服务器需要使用 \fBgss_unwrap\fR(3GSS) 才能展开收到的数据，并需要使用 \fBgss_get_mic\fR(3GSS) 获取稍后将作为消息检索确认发送回插件的 MIC（Message Integrity Code，消息完整性代码）。 .sp .LP 例如，如果 \fBkerberos_v5\fR 机制在客户机上配置为 \fBGSS_API\fR 机制，且双方就使用此机制达成一致，则客户机必须有资格以非交互方式从 Kerberos KDC/TGS 获取 \fBaudit/@\fR 主体的会话密钥。同时，运行审计服务器应用程序的身份必须具有与存储在 \fBkeytab\fR 文件 (\fBkrb5.conf\fR(4)) 中的 \fBaudit/@\fR 主体关联的长期密钥才能解密会话密钥。 .sp .LP \fBaudit_remote\fR 插件启动与 \fBp_hosts\fR 列表中的第一台服务器的连接。如果连接失败或审计记录发送在 \fBp_timeout\fR 秒内没有响应，则在 \fBp_retries\fR 次尝试后插件会尝试连接到下一台服务器。如果与最后一台服务器的连接失败，则插件会重新尝试连接到列表中的第一台主机。每次尝试连接到服务器未成功或发送超时（插件选项插件 \fBaudit_remote.so retry .\fR 是连接 \fB \fR），都将执行 \fBaudit_warn\fR(1M)。\fBEPROTO\fR 网络错误指示客户机插件未获得成功的协议版本握手。 .SS "协议说明" .sp .LP 所有协议消息的前面都带有说明后跟数据大小的 4 个八位字节。此大小采用网络字节顺序。 .sp .LP 协议以版本协商开头，后跟 \fBGSS-API\fR 安全上下文令牌交换。出现错误时将关闭连接（可以选择发送任何输出令牌）。 .sp .LP 版本协商以明文形式进行，插件将发送受支持版本的逗号 (\fB,\fR) 分隔列表的八位字节数组。当前版本号是字符 \fB01\fR。接收者需要使用其接受的版本（在当前情况下为字符 \fB01\fR）进行响应。不匹配将视为错误，并将关闭连接。 .sp .LP 插件发送的版本八位字节数组和接收者接受的版本字符串联在一起，以构成 GSS 安全上下文建立的通道绑定的应用程序数据字段。 .sp .in +2 .nf || "||" represents concatenation .fi .in -2 .sp .LP 后续令牌包含一个采用网络字节顺序的 64 位序列号以及一条审计记录 (\fBaudit.log\fR(4))；客户机使用保密性保护。wrap (64 位序列号 || 审计记录) .sp .LP 服务器使用收到的 64 位序列号以及已展开的 64 位序列号和审计记录的 MIC 令牌确认收到，然后对任何数据丢失负责。客户端上的 MIC 验证确认可以释放审计记录且不保存其用于可能的重新传输。 .sp .in +2 .nf 64 bit sequence number || mic (64 bit sequence number || audit record) .fi .in -2 .sp .LP 安全的远程审计客户机/服务器通信流： .sp .in +2 .nf 1) Client <--> Server - TCP handshake 2) Client <--> Server - protocol version negotiation: a) Client --> Server - send data size - uint32_t value (2) b) Client --> Server - send clear text message of the versions supported comma separated, e.g., "01,02,03" for versions 1 and 2 and 3. The only version supported at present is "01" c) Client <-- Server - send data size - uint32_t value (2) d) Client <-- Server - send clear text version selected ("01") :no version match; close connection; try next host 3) Security context initiation: a) Client - Construct channel bindings: initiator address type (GSS_C_AF_NULLADDR) acceptor address type (GSS_C_AF_NULLADDR) application data value (4 octets "0101") b) Client --> Server - send token (data) size - uint32_t value c) Client --> Server - GSS-API per-context token d) Client <-- Server - send token (data) size e) Client <-- Server - GSS-API per-context token :repeat a-e until security context is initialized; if unsuccessful, close connection; try next host 4) Client - transmit thread, when audit record to be sent: a) Client --> Server - send data size b) Client --> Server - GSS-API per-message token wrap (sequence number || audit record) :repeat a-b while less than max (qsize) outstanding records 5) Client - receive thread: a) Client <-- Server - receive data size - uint32_t value b) Client <-- Server - receive sequence number - uint64_t value c) Client <-- Server - receive MIC d) Client - MIC verification - OK e) Client - remove particular audit record pointed by the sequence number from the retransmit buffer :repeat a-e, on error close connection; try next host; retransmit unacknowledged audit records 6) Server - receive thread: a) Client --> Server - receive data size b) Client --> Server - GSS-API receive, uwrap, store per-message token 7) Server - transmit thread: a) Server - MIC generation - message integrity code mic (sequence number || audit record) b) Client <-- Server - send data size c) Client < -- Server - send sequence number d) Client <-- Server - send MIC .fi .in -2 .SH 示例 .LP \fB示例 1 \fR装入 \fBaudit_remote.so\fR 并指定远程审计服务器 .sp .LP 使用以下指令可装入 \fBaudit_remote.so\fR 并指定要将审计记录发送到的远程审计服务器。\fBkerberos_v5\fR 安全机制被定义为在与服务器通信时使用。 .sp .in +2 .nf auditconfig -setplugin audit_remote active \e "p_timeout=90;p_retries=2; p_hosts=eggplant.eng.sun.com::kerberos_v5, purple.ebay.sun.com:4592:kerberos_v5" .fi .in -2 .LP \fB示例 2 \fR使用缺省安全机制使用率的配置 .sp .LP 以下示例说明了缺省安全机制使用率的配置。它还说明了如何在其中一台配置的服务器上使用缺省端口： .sp .in +2 .nf auditconfig -setplugin audit_remote active \e "p_timeout=10;p_retries=2; p_hosts=jedger.eng.sun.com, jbadams.ebay.sun.com:4592" .fi .in -2 .sp .LP \fB示例 3 \fR内部插件队列大小设置 .sp .LP 某些条件（例如，高峰或突发审计数据通信流量以及服务器和客户机之间线路通信速度缓慢）可能使 \fBaudit_remote\fR 插件排队的未处理审计记录的数量达到配置的最大数量。以下示例说明了如何设置队列大小参数。 .sp .in +2 .nf auditconfig -setplugin audit_remote "" 1000 .fi .in -2 .sp .SH 属性 .sp .LP 有关以下属性的说明，请参见 \fBattributes\fR(5)： .sp .sp .TS tab() box; cw(2.75i) |cw(2.75i) lw(2.75i) |lw(2.75i) . 属性类型属性值 _ MT 级别MT-Safe（MT 安全） _ 接口稳定性请参见下文。 .TE .sp .LP 插件配置参数是 "Committed"（已确定）。客户机/服务器协议（版本 \fB"01"\fR）是 "Contracted Project Private"（合同项目专用）。有关审计记录格式和内容稳定性，请参见 \fBaudit.log\fR(4)。 .SH 另请参见 .sp .LP \fBauditd\fR(1M)、\fBauditconfig\fR(1M)、\fBaudit_warn\fR(1M)、\fBgetipnodebyname\fR(3SOCKET)、\fBgetservbyname\fR(3XNET)、\fBgss_accept_sec_context\fR(3GSS)、\fBgss_get_mic\fR(3GSS)、\fBgss_init_sec_context\fR(3GSS)、\fBgss_wrap\fR(3GSS)、\fBgss_unwrap\fR(3GSS)、\fBlibgss\fR(3LIB)、\fBlibsocket\fR(3LIB)、\fBaudit.log\fR(4)、\fBkrb5.conf\fR(4)、\fBmech\fR(4)、\fBars\fR(5)、\fBattributes\fR(5)、\fBkerberos\fR(5)、\fBtcp\fR(7P) .sp .LP \fI《Managing Auditing in Oracle Solaris 11.3》\fR .SH 附注 .sp .LP \fBaudit_remote\fR 通过 GSS-API (\fBlibgss\fR(3LIB)) 向远程审计服务验证自己。使用 \fBgss\fR 实现机制（例如 Kerberos）提供的缺省 gss 凭证。 .sp .LP IANA 分配的 \fBsolaris-audit\fR 服务端口为 \fB16162\fR。