Аудит, учет использования системы защиты

Аудит - заключается в регистрации специальных данных о различных типах событий, происходящих в системе и так или иначе влияющих на состояние безопасности компьютерной системы. К числу таких событий относятся:

· вход или выход из системы;

· операции с файлами (открыть, закрыть, переименовать, удалить);

· обращение к удаленной системе;

· смена привилегий или иных атрибутов безопасности (режима доступа, уровня благонадежности пользователя и т.п.).

Если фиксировать все события, объем регистрационной информации, скорее всего, будет расти слишком быстро, а ее эффективный анализ станет невозможным. Следует предусматривать наличие средств выборочного протоколирования, как в отношении пользователей, когда слежение осуществляется только за подозрительными личностями, так и в отношении событий. Слежка важна в первую очередь как профилактическое средство. Можно надеяться, что многие воздержатся от нарушений безопасности, зная, что их действия фиксируются.

Помимо протоколирования можно сканировать систему периодически на наличие брешей в системе безопасности. Такое сканирование может проверить разнообразные аспекты системы:

· Короткие или легкие пароли

· Hеавторизованные set-uid программы, если система поддерживает этот механизм

· Hеавторизованные программы в системных директориях

· Долго выполняющиеся программы

· Нелогичная защита как пользовательских, так и системных директорий, системных файлов данных, таких как файлы паролей, драйверов, ядра

· Потенциально опасные списки поиска файлов, могущие привести к запуску троянского коня.

· Изменения в системных программах, обнаруженные при помощи контрольных сумм.

Любая проблема, обнаруженная сканером безопасности, может быть, как исправлена автоматически, так и доложена менеджеру системы.