Vy mozhete izmenit' nekotorye parametry kontrolya, chtoby nastroit' kontrol' v sootvetstvii s trebovaniyami sistemy. Neko- torye iz etih parametrov svyazany s problemami kompromissa mezhdu proizvoditel'nost'yu i nadezhnost'yu, obsuzhdavshimisya vyshe. Teper' eto stanet yasnee. Imeyutsya sleduyushchie parametry: Write to disk...   (Zapis' na disk) |ti dva parametra opredelyayut chastotu, s kotoroj dannye kontrolya sinhronno sbrasyvayutsya v fajl sbora dannyh kontro- lya iz vnutrennih buferov kontrolya. Sbros mozhno kontroliro- vat' libo kolichestvom dannyh, nakoplennyh pered zapis'yu, libo istecheniem zadannogo intervala vremeni. Poslednyaya voz- mozhnost' osobenno polezna, kogda generiruyutsya nebol'shie ob®emy dannyh i chastota generacii zapisej razmazana po vre- meni. Mozhno zadat' sbros i po schetchiku bajtov, i po isteche- niyu vremeni. Interval vremeni vsegda zadaetsya v sekundah. Plohoj vybor etih velichin mozhet neblagopriyatno povliyat' na proizvoditel'nost'. Slishkom chastye operacii zapisi za- medlyayut rabotu sistemy pri chrezmernom trafike vvoda-vyvoda. S drugoj storony, kogda eti znacheniya slishkom veliki, rastet veroyatnost' poteri dannyh v sluchae fatal'nogo sboya sistemy. Rekomenduetsya pri kazhdom zapolnenii odnogo vnutrennego bu- fera delat' sbros. Takim obrazom, obychno dostatochno zadat' schetchik sbrosa ravnym 1024 (razmer vnutrennego bufera). Wake up daemon... (Aktivizirovat' demon) Dannyj parametr upravlyaet demonom kontrolya. |tot demon pos- toyanno chitaet s ustrojstva kontrolya i poluchaet zapisi, po- meshchennye v fajly sbora dannyh. Zatem eti zapisi uplotnyayutsya i zapisyvayutsya v uplotnennye fajly, kotorye vposledstvii podvergayutsya redukcii. Dlya polucheniya maksimal'noj effektiv- nosti algoritma uplotneniya demonu sleduet chitat' bloki dan- nyh razmerom ot 4K do 5K bajt. Dlya etogo nuzhna special'naya obrabotka v podsisteme, tak kak obychno operaciya chteniya vozvrashchaet upravlenie, kogda dostupny kakie-libo dannye, a ne zhdet, kogda nakopitsya opredelennyj ob®em dannyh. Dlya maksimal'noj effektivnosti etot parametr dolzhen lezhat' v diapazone ot 4096 do 5120 bajt. Po umolchaniyu prinimaetsya velichina 4096 bajt. . - 5-30 - Collection buffers (Bufery sbora dannyh) |tot parametr pozvolyaet zadat' chislo buferov sbora dannyh, ispol'zuemyh podsistemoj. Ona ispol'zuet eti vnutrennie bu- fera dlya sbora dannyh kontrolya, zapisyvaemyh v fajl sbora dannyh. Dlya uvelicheniya effektivnosti sistemy ispol'zuetsya neskol'ko buferov, tak kak vse processy sovmestno ispol'zu- yut bufernoe prostranstvo pri popytkah zaneseniya zapisi. Pri nalichii neskol'kih buferov processy mogut otlozhit' zapisi na hranenie i prodolzhat' vypolnenie bez blokirovki, dazhe esli na predydushchih buferah vypolnyaetsya vvod-vyvod. Nuzhno kak minimum dva bufera. Bol'shinstvo sistem ne mogut effek- tivno ispol'zovat' bolee 4-6 buferov bez problem s proizvo- ditel'nost'yu. Ne sushchestvuet vpolne opredelennogo sposoba vychisleniya optimal'nogo chisla buferov. V obshchem sluchae zada- vajte etu velichinu ishodya iz ozhidaemoj zagruzki processami sistemy. Collection/Audit output file switch... (Pereklyuchenie vyhodnyh fajlov kontrolya/fajlov sbora dannyh) |ti dva parametra pozvolyayut zadat' maksimal'nyj razmer, ko- torogo mogut dostigat' fajly sbora dannyh i uplotnennye fajly pered sozdaniem novogo fajla. Esli dlya oboih paramet- rov vybrat' malen'kie znacheniya, eto privedet k chrezmernomu chislu pereklyuchenij fajlov. Tak kak uplotnennye fajly yavlya- yutsya postoyannymi, eto takzhe mozhet vyzvat' obilie nebol'shih fajlov v sisteme. Esli vybrat' slishkom bol'shie znacheniya, eto sozdast situaciyu, pri kotoroj fajly sbora dannyh kont- rolya budut ispol'zovat' mnogo mesta na diske, dazhe esli oni budut chastichno schitany demonom kontrolya, chto dolzhno bylo by vyzvat' ih udalenie. Razmerom uplotnennyh fajlov kontrolya mozhno upravlyat' potomu, chto eti fajly ostayutsya v sisteme do redukcii ili udaleniya. ZHelatel'no, chtoby eti fajly imeli razmer, priemlemyj dlya raboty s nimi, v tom chisle dlya ih legkogo sohraneniya i vosstanovleniya. Po umolchaniyu dlya faj- lov sbora dannyh beretsya znachenie 50K bajt, a dlya uplotnen- nyh fajlov - 1 megabajt. Ubedites', chto maksimal'nyj raz- mer, vybrannyj dlya uplotnennyh fajlov, ne prevyshaet usta- novlennoj v sisteme velichiny ulimit, kontroliruyushchej maksi- mal'nyj razmer, dopustimyj dlya pol'zovatel'skogo fajla. Compacted audit output files (Uplotnennye vyhodnye fajly kontrolya) |ta opciya predusmotrena na sluchaj, esli nuzhno imet' i neup- lotnennye fajly kontrolya. Osoboj neobhodimosti ispol'zovat' etu opciyu net, tak kak uplotnenie ne trebuet mnogo dopolni- tel'nogo vremeni na obrabotku, a itogovaya ekonomiya mesta na diske obychno bol'she 60 procentov. Algoritm uplotneniya so- derzhitsya v pol'zovatel'skom processe demona kontrolya, a ne vypolnyaetsya v yadre podsistemy. . - 5-31 - Enable audit on system startup (Vklyuchit' kontrol' pri zapuske sistemy) Esli otvet polozhitel'nyj, to v rezul'tate kontrol' budet nachinat'sya avtomaticheski pri kazhdoj perezagruzke sistemy. |to pole vyhodit na ekran tol'ko cherez opciyu View; ono us- tanavlivaetsya v sootvetstvii s tem, byl li kontrol' vklyuchen ili vyklyuchen. Esli kontrol' byl vyklyuchen, to pri zapuske on budet otklyuchat'sya. Shutdown gracefully on disk full (Vypolnit' postepennyj ostanov pri zapolnenii diska) |ta opciya pozvolyaet sisteme vypolnit' avtomaticheskij osta- nov, esli ona ischerpala prostranstvo na diske; eto pomogaet izbezhat' porchi dannyh. Change parameters for this/future session (Izmenit' parametry dlya dannoj/sleduyushchej sessii) Poslednie dve opcii na ekrane pozvolyat vam dinamicheski iz- menyat' tekushchuyu sessiyu i/ili vnosit' izmeneniya v postoyannuyu chast' fajla parametrov kontrolya dlya sleduyushchih sessij. Tekushchaya statistika Poslednyaya opciya, predusmotrennaya v menyu Collection, - eto poluchenie statistiki tekushchej sessii kontrolya. Syuda vhodit infor- maciya o nomere tekushchej sessii, kolichestve fajlov sbora dannyh i uplotnennyh fajlov, kolichestve zapisej, sozdannyh mehanizmom kontrolya yadra, i zapisej, sozdannyh prikladnymi programmami, i dr. Esli v dannyj moment kontrol' ne dejstvuet, statistika ne vyvoditsya. Primer raspechatki Summary: +--------------------------------------------------------------- | *** Audit Subsystem Statistics *** | (Statistika podsistemy kontrolya) | Current Audit Session-6 (Tekushchaya sessiya kontrolya - 6) | Current Collection File Sequence Number-1488 | (Poryadkovyj nomer tekushchego fajla sbora dannyh) | Total count of audit data written: 7659433 | (Obshchij schetchik zapisannyh dannyh kontrolya) | Total count of audit records written: 156666 | (Obshchij schetchik zapisannyh kontrol'nyh zapisej) | Audit records written by applications: 81 | (Kontrol'nye zapisi, sdelannye prikladnymi programmami) | Audit records written by system calls: 155083 | (Kontrol'nye zapisi, sdelannye sistemnymi vyzovami) | System calls not selected for audit: 751889 | (Sistemnye vyzovy, ne otobrannye dlya kontrolya) | Total number of audit device reads: 2977 | (Obshchee chislo operacij chteniya na ustrojstve kontrolya) | Total number of audit device writes: 324 | (Obshchee chislo operacij zapisi na ustrojstve kontrolya) | Total number of collection files: 1489 | (Obshchee chislo fajlov sbora dannyh) | . - 5-32 - Vklyuchenie/vyklyuchenie kontrolya CHtoby vklyuchit' ili vyklyuchit' kontrol', ispol'zujte sleduyu- shchie vybory v sysadmsh: System->Audit->Enable System->Audit->Disable Funkciya vklyucheniya, ispol'zuya tekushchij fajl parametrov kont- rolya, vypolnyaet inicializaciyu podsistemy. Funkciya vyklyucheniya dostupna iz togo zhe menyu i vyzyvaet postepennyj vyhod iz kontro- lya (kogda vse fajly sbora dannyh prochitany demonom i uplotneny). Zatem demon prekrashchaet rabotu, ostavlyaya lish' zhurnal'nyj fajl sessii kontrolya i uplotnennye fajly sessii. Pomnite, chto esli vyklyuchit' kontrol', a zatem vnov' ego vklyuchit', ne perezagruziv sistemu, to eto mozhet vyzvat' poteryu nekotoryh dannyh processa, nuzhnyh dlya podderzhaniya sostoyaniya pro- cessa. Esli kontrol' prekrashchen dlya modifikacii nekotoryh para- metrov, uchtite, chto bol'shinstvo parametrov podsistemy mozhno mo- dificirovat' i v processe kontrolya. Dlya obeih funkcij - vklyuche- niya i vyklyucheniya - predusmotreny ekrany dlya podtverzhdeniya, koto- roe nuzhno sdelat' do zaversheniya funkcii v sysadmsh. Kogda kont- rol' vklyuchaetsya ili vyklyuchaetsya, na ekran vyhodit soobshchenie o sostoyanii kontrolya v moment perezagruzki; esli kontrol' vyklyu- chen, to pri zapuske sistemy on budet vyklyuchen, a esli vklyuchen, to on budet vnov' vklyuchen. Soprovozhdenie fajlov kontrolya Funkcii soprovozhdeniya fajlov kontrolya dostupny v sysadmsh pri sleduyushchem vybore: System->Audit->Files Dostupny sleduyushchie fajlovye funkcii: List  Vyvod spiska fajlov sessii kontrolya v sisteme Backup Dublirovanie fajlov sessii kontrolya na rezerv- nom nositele Delete Udalenie fajla sessii kontrolya Restore Vosstanovlenie fajlov sessii kontrolya s re- zervnogo nositelya Sessiya kontrolya sostoit iz zhurnal'nogo fajla sessii i grup- py uplotnennyh fajlov, sgenerirovannyh mezhdu momentami vklyucheni- ya i vyklyucheniya podsistemy kontrolya. Kazhdyj fajl sbora dannyh i uplotnennyj fajl, sozdannyj vo vremya sessii, poluchaet unikal'nyj nomer ot etoj sessii. Posle zaversheniya sessii ostaetsya tol'ko zhurnal'nyj fajl i uplotnennye fajly. Funkcii soprovozhdeniya faj- lov proveryayut, kakie sessii eshche imeyutsya v sisteme, i dayut voz- mozhnost' udalit' uzhe ne nuzhnye sessii. . - 5-33 - Vyvod spiska kontrol'nyh zapisej |tot vybor daet nemedlennyj otvet: vyvoditsya spisok fajlov, dostupnyh v katalogah kontrolya. Dublirovanie kontrol'nyh zapisej Poskol'ku sessii kontrolya trebuyut mnogo mesta na diske, chasto okazyvaetsya neobhodimym vnesti dannye kontrolya v arhiv, a zatem libo sokratit' ih, libo vosstanovit' na nekotoryj period vremeni, esli oni nuzhny dlya analiza problem, kotorye nel'zya vyya- vit' nemedlenno. Takuyu vozmozhnost' daet interfejs dublirova- niya/vosstanovleniya. Opciya Backup trebuet v kachestve vvoda nomer sessii. Ego mozhno poluchit', sgenerirovav kontrol'nyj otchet (sm. nizhe). Vybrav dublirovanie, vy dolzhny vybrat' i vyhodnoe ust- rojstvo dlya dublirovaniya. Im mozhet sluzhit' lyuboj s®emnyj nosi- tel', dostupnyj v sisteme. Zamechanie Kontrol' trebuet ochen' mnogo mesta na diske. V zavisimosti ot kolichestva pol'zovatelej v sisteme i ot kolichestva kontroli- ruemyh sobytij, mozhet potrebovat'sya ezhenedel'noe dublirovanie i udalenie fajlov sessij. Esli imeetsya raspisanie dublirovaniya, to vybor opcii dublirovaniya kontrolya, veroyatno, ne potrebuetsya. Vnov' zametim, chto ochen' vazhno udalit' fajly posle togo, kak oni produblirovany v svobodnom prostranstve na diske. Tochno tak zhe sessii, kotorye byli produblirovany na s®emnyh nositelyah s pomoshch'yu programmy interfejsa, mogut byt' vosstanov- leny opciej Restore. Dlya etogo vstav'te nositel' s sohranennymi fajlami sessii v ustrojstvo vosstanovleniya i zadajte imya ust- rojstva. Udalenie fajlov Dlya udaleniya sessij kontrolya predusmotren vybor Delete. Sessii mozhno vnesti v arhiv na rezervnom nositele, a zatem uda- lit', chtoby osvobodit' mesto v fajlovoj sisteme dlya drugih faj- lov kontrolya. Sessii udalyayutsya po nomeru sessii. Tipichnyj scena- rij dolzhen vklyuchat' sostavlenie otcheta (sm. nizhe) dlya opredele- niya, kakie sessii sushchestvuyut i kotorye iz nih mozhno udalit'. Za- tem nomer sessii predostavlyaetsya opcii Delete, kotoraya udalyaet vse fajly, svyazannye s etoj sessiej. . - 5-34 - Sostavlenie kontrol'nyh otchetov CHtoby posmotret' kontrol'nyj zhurnal kakoj-libo sessii, vy- berite v sysadmsh: System->Audit->Report Dostupny sleduyushchie opcii: List Vyvod spiska vseh dostupnyh fajlov vyborki View Prosmotr parametrov v fajle vyborki Create Sozdanie novogo fajla vyborki Modify Modifikaciya imeyushchegosya fajla vyborki Delete Udalenie imeyushchegosya fajla vyborki Generate Vypolnenie cikla redukcii, s zadaniem sessii kontrolya i fajla vyborki Kak govorilos' vyshe, kriterij sbora dannyh kontrolya preds- tavlyaet pervyj uroven' vybora dlya kontrolya. Posle togo, kak dan- nye sobrany, ih mozhno sokratit' (vypolnit' redukciyu), t.e. obra- botat' dlya polucheniya nuzhnoj kollekcii dannyh o konkretnom aspek- te raboty sistemy. Menyu redukcii dannyh pozvolyayut vybrat' vypol- nenie redukcii i opredelit', kakie nuzhny zapisi. Opciya Generate obespechivaet shirokij diapazon kriteriev post-vyborki, s pomoshch'yu kotoryh mozhno ukazat' konkretnye sobytiya, pol'zovatelej ili ob®- ekty. Poslednyaya opciya vyvodit na ekran sokrashchennyj vyvod sessii kontrolya. Dlya etogo trebuetsya nomer sessii i fajl vyborki, koto- rym mozhet byt' lyuboj iz fajlov vyborki, postroennyj s pomoshch'yu opcij sozdaniya ili obnovleniya fajlov vyborki. Fajly vyborki Programma redukcii ispol'zuet dlya post-vyborki kontrol'nyh zapisej fajl pod nazvaniem fajl vyborki. |tot fajl stroitsya programmoj interfejsa Administratora kontrolya na osnove vashego vvoda. Vy mozhete stroit' i sohranyat' mnozhestvo fajlov, kazhdyj so svoim naborom kriteriev vybora. Zatem mozhno vypolnit' redukciyu neskol'ko raz dlya odnih i teh zhe dannyh sessii, no kazhdyj raz s razlichnymi fajlami vyborki. Takim obrazom, vy mozhete stroit' i sohranyat' fajly vyborki, chasto ispol'zuemye pri redukcii dannyh. Kogda nuzhno budet vypolnit' redukciyu dannyh, mozhno ispol'zovat' uzhe postroennye fajly. Dlya soprovozhdeniya fajlov vyborki ispol'zuyutsya opcii List, View, Create, Modify i Delete. Procedura vyborki podrobnee ob- . - 5-35 - suzhdaetsya v sleduyushchem razdele. |kran s opciyami, privedennymi vy- she, ispol'zuetsya dlya vyzova ekrana sleduyushchego urovnya, chtoby vy- polnit' nuzhnuyu funkciyu nad fajlom vyborki. Kak yasno iz nazvanij opcij, fajly vyborki mogut byt' sozdany, obnovleny, modificiro- vany ili udaleny. Dlya redukcii kontrol'nyh zapisej mozhno vybrat' sleduyushchie kriterii: Event types Tipy sobytij Kazhdyj tip sobytiya, kotoryj sleduet otbi- rat', pomechaetsya bukvoj "Y". Tipy sobytij, kotorye nuzhno isklyuchit' iz vyborki, ostayut- sya s probelami ili pomechayutsya bukvoj "N". Esli sobytie ne vybrano, to sootvetstvuyushchie emu zapisi budut udaleny iz vyvoda. Start and Stop times Nachal'noe i konechnoe vremya Esli est' podozrenie, chto v nekotoryj peri- od vremeni moglo proizojti sobytie, svyazan- noe s sekretnost'yu, to s pomoshch'yu dannoj vozmozhnosti mozhno vybrat' tol'ko zapisi, sgenerirovannye v etot period. |to pomozhet sosredotochit'sya na analize zapisej, kotorye veroyatnee vsego proyasnyat proisshedshee. Users/Groups Pol'zovateli/Gruppy Dlya kontrolya mozhno vydelit' pol'zovatelej ili gruppy pol'zovatelej. Esli cel'yu pro- niknoveniya v sistemu byl opredelennyj pol'- zovatel'skij byudzhet, to mozhno vybrat' tol'- ko te zapisi, kotorye byli sgenerirovany s identifikatorom pol'zovatelya ili gruppy, sootvetstvuyushchim dannomu pol'zovatelyu. |to pozvolit pri prosmotre zapisej skoncentri- rovat'sya na podozrevaemyh byudzhetah. Files Fajly Dlya vybora kontrol'nyh zapisej iz vyvoda mozhno takzhe ispol'zovat' fajly (imena ob®- ektov). Esli zapis' soderzhit neskol'ko imen ob®ektov i zadannoe imya sovpadaet s kakim- nibud' imenem ob®ekta v zapisi, to eta za- pis' vybiraetsya. Imena ob®ektov dolzhny byt' zadany v vide absolyutnyh imen putej, tak kak vse otnositel'nye imena ob®ektov prog- ramma redukcii preobrazuet v absolyutnye. Mozhno ispol'zovat' lyubuyu kombinaciyu etih kriteriev. Napri- mer, dlya odnoj sessii mozhno zadat' vyborku po vremennomu inter- valu, po identifikatoru pol'zovatelya i po imeni ob®ekta. Esli zapis' popadaet v zadannyj interval vremeni, sgenerirovana za- dannym pol'zovatelem i soderzhit odin iz zadannyh ob®ektov, to ona vybiraetsya dlya vyvoda. Pri vyborke zapisej dejstvuet sistema prioritetov, upravlya- yushchaya primeneniem kriteriev vyborki. Esli tip sobytij kontrolya ne zadan, to zapis' ne vybiraetsya, nezavisimo ot ostal'nyh kriteri- . - 5-36 - ev. Analogichno, esli opredelena vyborka po vremeni i zapis' ne udovletvoryaet kriteriyu, ona ne vybiraetsya. Esli zapis' udovlet- voryaet kriteriyu vybora po tipu sobytiya i po vremeni, to ona vy- biraetsya v tom sluchae, esli v nej soderzhitsya identifikator pol'- zovatelya (registracionnyj, effektivnyj ili real'nyj), identifi- kator gruppy (effektivnyj ili real'nyj) ili ob®ekt, zadannyj v fajle vyborki. Esli nikakie pol'zovateli, gruppy i ob®ekty ne zadany, to vypolnyaetsya vyborka tol'ko po tipu sobytiya i po vre- meni. Ponyatie redukcii dannyh Opciya reduce menyu Audit Report imeet vazhnoe znachenie, kak i vse komponenty, otvetstvennye za generaciyu kontrol'nyh zapisej. |ta utilita preobrazuet uplotnennye dannye kontrol'nogo zhurnala v organizovannuyu i chitabel'nuyu sovokupnost' zapisej, pozvolyayushchuyu vyyavit' problemy v sisteme. Sredstva redukcii dayut vozmozhnost' sokratit' vremya, trebuemoe dlya analiza interesuyushchih zapisej. Vy mozhete skoncentrirovat'sya na konkretnom pol'zovatele, na gruppe pol'zovatelej, imeni ob®ekta, tipah sobytij i zapisyah, sgeneri- rovannyh za opredelennyj interval vremeni. Vse eto mozhno ispol'- zovat' sovmestno, chto daet moshchnyj mehanizm dlya vybora. CHtoby rasshifrovat' kontrol'nyj zhurnal, nuzhno ponyat' znache- nie zapisej, vydavaemyh programmoj. Pomnite, chto kontrol'nye zapisi ishodyat iz treh istochnikov: sistemnye vyzovy, nadezhnye prikladnye programmy i zashchishchennye podsistemy. Formaty zapisej dlya raznyh istochnikov ochen' sil'no otlichayutsya drug ot druga. Bo- lee togo, raznye sistemnye vyzovy sil'no otlichayutsya i drug ot druga po soderzhaniyu, tak kak vypolnyayut specificheskie funkcii. Naprimer, pri sozdanii processa fork(S) nuzhno ukazat' tol'ko identifikator sozdavaemogo processa i identifikator porodivshego ego processa. A dlya sistemnogo vyzova open(S) dolzhny byt' zapi- sany ob®ekt, dlya kotorogo vypolnyaetsya operaciya, i ego imya. Dlya takih sistemnyh vyzovov, kak mount(S) i link(S), dolzhna byt' za- pisana i drugaya informaciya; kazhdyj iz nih trebuet zapisi dvuh imen ob®ektov. Utilita redukcii sortiruet predstavlennye ej za- pisi i vyvodit informaciyu v uporyadochennom vide. Vyhodnye zapisi mozhno klassificirovat' na dve kategorii: zapisi sistemnyh vyzovov, vydannye mehanizmom kontrolya yadra, i kontrol'nye zapisi prikladnyh programm. Nekotorye elementy schi- tayutsya obshchimi dlya vseh vyhodnyh zapisej. Naprimer, data i vremya zapisi, a takzhe svyazannyj s nej identifikator processa vyvodyatsya v zapisi lyubogo tipa. V ostal'nom soderzhimoe zapisi zavisit ot togo, chto bylo pod kontrolem. Formaty zapisej sistemnyh vyzovov Zapisi sistemnyh vyzovov sostavlyayut bol'shinstvo zapisej v kontrol'nom zhurnale. V operacionnoj sisteme imeetsya bolee 60 sistemnyh vyzovov. Ne vse oni podlezhat kontrolyu, tak kak tol'ko nekotorye sistemnye vyzovy schitayutsya svyazannymi s sekretnost'yu. CHut' bol'she poloviny sistemnyh vyzovov imeyut vozmozhnost' sozdat' kontrol'nuyu zapis'. Nekotorye sistemnye vyzovy podderzhivayut po . - 5-37 - neskol'ko funkcij (takie, kak fcntl(S), msgsys(S), shmsys(S), semsys(S)), a kontrol'nye zapisi mogut generirovat'sya tol'ko dlya otdel'nyh funkcij. Naprimer, sistemnyj vyzov fcntl(S) pozvolyaet otkryvat' fajly, dubliruya deskriptory otkrytyh fajlov, a takzhe poluchat' special'nye flagi fajlov, obespechivaemye yadrom. Pervyj sluchaj predstavlyaet kontroliruemoe sobytie (sdelat' ob®ekt dos- tupnym dlya sub®ekta), a vtoroj real'no ne svyazan s sekretnost'yu. Nakonec, sistemnye vyzovy mogut vypolnyat' funkcii, kotorye rass- matrivayutsya kak kontroliruemye sobytiya, no v dannyj moment ne razresheny sistemnoj maskoj sobytij. Vyvod zapisej sistemnyh vyzovov bol'shej chast'yu odinakov dlya vseh vyzovov. Varianty voznikayut vsledstvie togo, chto nekotorye sistemnye vyzovy dejstvuyut nad ob®ektami (naprimer, open(S)), i imya ob®ekta soderzhitsya v zapisi. Kazhdaya zapis' soderzhit po kraj- nej mere vremya, datu, identifikator processa, imya sistemnogo vy- zova, tip sobytiya, registracionnyj identifikator pol'zovatelya, real'nye identifikatory pol'zovatelya i gruppy, a takzhe indikator uspeshnosti ili neuspeshnosti vyzova. Kazhdaya vyhodnaya zapis' soderzhit, naryadu s etimi osnovnymi informacionnymi polyami, i drugie, v zavisimosti ot sistemnogo vyzova. Bazovaya zapis' pokazana na Risunke 5-1. On soderzhit pri- mer obshchego zagolovka, a takzhe polya tipa sobytiya, sistemnogo vy- zova i rezul'tata. Process ID: 68 Date/Time: Sat Mar 5 13:25:09 1988 Luid: root Euid: root Ruid: root Egid: root Rgid: root Event type: System call: Result: Risunok 5-1. Obshchij zagolovok vyhodnoj zapisi Kazhdyj sistemnyj vyzov klassificiruetsya po tipu sistemnogo sobytiya, ishodya iz vypolnyaemyh im dejstvij. |to ispol'zuetsya dlya opisaniya tipa sobytiya sistemnogo vyzova. Predostavlyaetsya aktu- al'noe imya sistemnogo vyzova. V bol'shinstve sluchaev eto odnoz- nachno identificiruet dejstvie. K sozhaleniyu, nekotorye sistemnye vyzovy UNIX peregruzheny: tochka vhoda sistemnogo vyzova ispol'zu- etsya dlya vypolneniya mnozhestva dejstvij. Naprimer, msgsys() slu- zhit vhodom sistemnogo vyzova dlya operacij IPC s ocheredyami soob- shchenij. |ta tochka vhoda ispol'zuetsya dlya vyzova msgget(S), msgop(S) i msgctl(S), vypolnyayushchih opredelennye funkcii IPC. Podobnye sistemnye vyzovy ne yavlyayutsya samoochevidnymi. Pod- sistema kontrolya osvedomlena ob etih peregruzhennyh vyzovah i predostavlyaet dopolnitel'nuyu informaciyu dlya identificirovaniya konkretnoj funkcii. Dlya uspeshnyh sistemnyh vyzovov rezul'tat op- redelyaetsya kak successful (uspeshnyj). Dlya vyzovov, vozvrashchayushchih oshibku, eta oshibka ispol'zuetsya dlya dopolnitel'noj klassifikacii zapisi. Naprimer, vyzov open(S), ne vypolnivshijsya iz-za otsuts- tviya razresheniya, klassificiruetsya kak access denial (otkaz dos- tupa). Neudachnyj sistemnyj vyzov, generiruyushchij kontrol'nuyu za- pis', ukazyvaet oshibku v pole rezul'tata. . - 5-38 - Vyhodnye zapisi sistemnyh vyzovov mozhno razdelit' na dve gruppy. K pervoj gruppe otnosyatsya zapisi, v kotoryh ne nuzhno ukazyvat' imena putej. Naprimer, sistemnyj vyzov fork(S) kontro- liruetsya dlya otslezhivaniya novyh processov, porozhdaemyh v siste- me, no kontrol'naya zapis' ne trebuet imeni puti. S drugoj storo- ny, open(S) vozvrashchaet deskriptor fajla dlya zadannogo imeni pu- ti. Posleduyushchie operacii, takie kak close(S), ispol'zuyut etot deskriptor fajla. CHtoby kontrol'nye zapisi byli znachimy, etot vtoroj tip zapisej dolzhen soderzhat' imya puti. S pomoshch'yu program- my redukcii eto imya puti sopostavlyaetsya so vsemi posleduyushchimi dejstviyami, vypolnyaemymi dlya dannogo fajla, dazhe esli eti dejs- tviya vypolnyalis' s deskriptorom fajla. V sleduyushchej tablice privedeny kontroliruemye sistemnye vy- zovy, ne soderzhashchie informacii ob imeni puti. pipe fork kill setuid setgid exit read setpgrp msg sem shm write Risunok 5-2. Sistemnye vyzovy bez imen putej Dlya sistemnogo vyzova iz etogo spiska vyhodnaya zapis' is- pol'zuet obshchuyu masku zapisi, izobrazhennuyu na Risunke 5-3. Dannyj primer illyustriruet vyhodnuyu zapis' dlya uspeshnogo sistemnogo vy- zova setuid(S). Process ID: 6381 Date/Time: Tue Mar 15 11:25:19 1988 Luid: blf Euid: blf Ruid: root Egid: root Rgid: root Event type: Modify process (Tip sobytiya: Modificirovat' process) System call: Setuid Result: Successful Risunok 5-3. Zapis' sistemnogo vyzova setuid(S) Analogichnym obrazom na sleduyushchem risunke pokazana vyhodnaya zapis' sistemnogo vyzova setuid(S), ne vypolnivshegosya iz-za ot- sutstviya razresheniya dlya fajla. Zamet'te, chto klassifikaciya tipa sobytiya zdes' drugaya, i chto oshibka otrazhaetsya v pole rezul'tata. Process ID: 6381 Date/Time: Tue Mar 15 11:25:19 1988 Luid: blf Euid: blf Ruid: blf Egid: guru Rgid: guru Event type: Modify process System call: Setuid Result: Failed (EPERM) -Not owner (Neudacha: Ne vladelec) Risunok 5-4. Vyhodnaya zapis' pri otkaze dostupa Mnogie sistemnye vyzovy etoj gruppy generiruyut v vyhodnoj zapisi dopolnitel'nuyu informaciyu, utochnyayushchuyu dannye kontrol'nogo zhurnala. Sistemnye vyzovy semafora, razdelyaemoj pamyati, ocheredi . - 5-39 - soobshchenij i security(S) peregruzheny. Oni otobrazhayutsya vo mno- zhestvo funkcij. |ti kontrol'nye zapisi identificiruyut konkretnuyu vypolnyaemuyu funkciyu i zatragivaemyj ob®ekt (naprimer, razdelyae- muyu pamyat'). Vyzovy close(S), dup(S) i fcntl(S) rabotayut s desk- riptorami fajlov, poluchennymi iz imen putej. Vyhodnaya zapis', ukazyvayushchaya dup(S) dlya deskriptora fajla, ne budet ochen' nuzhna, tak kak ona ne identificiruet fajl odnoznachno. Takim obrazom, reduce sootnosit deskriptor fajla s imenem puti i prostavlyaet eto imya v zapisi. Hotya sistemnye vyzovy read(S) i write(S) vklyucheny v spisok na Risunke 5-3, oni kontroliruyutsya tol'ko v opredelennyh obstoya- tel'stvah, i dlya nih ne vydelyaetsya special'naya vyhodnaya zapis'. Oba etih vyzova kontroliruyutsya tol'ko pri pervom vypolnenii dlya fajla. Posleduyushchie operacii chteniya i zapisi ne kontroliruyutsya, tak kak oni ne dobavlyayut nikakoj informacii. Kontrol'nye zapisi ispol'zuyutsya v reduce dlya otslezhivaniya sostoyaniya fajla. Kogda fajl zakryvaetsya vyzovom exec(S), exece(S), close(S) ili exit(S), v zapis' sistemnogo vyzova dlya dejstviya, vyzvavshego zakrytie fajla, vklyuchaetsya imya ob®ekta i indikator chteniya ili zapisi. |to illyustriruetsya Risunkom 5-5. Process ID: 421 Date/Time: Sat Mar 5 17:15:09 1988 Luid: blf Euid: blf Ruid: blf Egid: guru Rgid: guru Event type: Make object unavailable (Sdelat' ob®ekt nedostupnym) System call: Close File Access-Read: Yes Written: No (Dostup k fajlu po chteniyu: Da Zapisan: Net) Object: /tmp/datafile Result: Successful Risunok 5-5. Zapis' sistemnogo vyzova close(S) Vtoraya gruppa sistemnyh vyzovov, pokazannaya na Risunke 5-6, vklyuchaet v sostav vyhodnoj zapisi imena putej. Imya puti preds- tavlyaet naznachenie sistemnogo vyzova. Zapisi dlya dvuh sistemnyh vyzovov (link(S) i mount(S)) na samom dele soderzhat po dva imeni puti. open unlink creat exec chdir mknod chown chmod stat umount exece chroot link mount Risunok 5-6. Sistemnye vyzovy s imenami putej Kazhdyj iz etih sistemnyh vyzovov ispol'zuet odno ili nes- kol'ko imen putej v kachestve argumentov vyzova. Imena putej kontroliruyutsya i igrayut vazhnuyu rol' v processe redukcii. Vyhod- nye zapisi dlya etih vyzovov ukazyvayut imya ob®ekta, s kotorym vy- polnyalis' dejstviya. |to imya takzhe sohranyaetsya programmoj reduk- cii i tam, gde eto nuzhno, sopostavlyaetsya deskriptoru fajla, . - 5-40 - vozvrashchaemomu dannym sistemnym vyzovom. |to sootvetstvie ispol'- zuetsya drugimi sistemnymi vyzovami, takimi kak dup(S), kotorye rabotayut s fajlom, no ne soderzhat imya puti. Na Risunke 5-7 pri- vedena vyhodnaya zapis', sgenerirovannaya v rezul'tate sistemnogo vyzova creat(S). Format zapisi predstavlyaet soboj bazovyj for- mat, dopolnennyj imenem puti. Process ID: 64 Date/Time: Sat Mar 5 23:25:09 1988 Luid: root Euid: root Ruid: root Egid: root Rgid: root Event type: Object creation (Sozdanie ob®ekta) System call: Creat Object: /tmp/daemon.out Result: Successful Risunok 5-7. Vyhodnaya zapis' s imenem puti Vse vyzovy etoj gruppy pol'zuyutsya odnim i tem zhe formatom imeni puti. Dva vyzova (link(S) i mount(S)) ispol'zuyut dva imeni puti: istochnik i naznachenie. Tipichnaya zapis', vydavaemaya sistem- nym vyzovom link(S), pokazana na Risunke 5-8. Process ID: 14231 Date/Time: Thu Mar 16 03:25:39 1988 Luid: lp Euid: lp Ruid: lp Egid: lp Rgid: lp Event type: Object creation System call: Link Source: /tmp/printfile Target: /usr/spool/lp/lp3014 Result: Successful Risunok 5-8. Vyhodnaya zapis' s dvumya imenami putej Dva drugih sistemnyh vyzova etoj gruppy generiruyut speci- al'nye vyhodnye zapisi. |to vyzovy chown(S) i chmod(S), kotorye ispol'zuyutsya dlya izmeneniya razreshenij diskrecionnogo dostupa i smeny vladel'ca ob®ekta. Tak kak eti dejstviya imeyut otnoshenie k sekretnosti, v zapisi vyvodyatsya starye i novye znacheniya vladel'- ca ob®ekta, imeni gruppy i rezhima. Na Risunke 5-9 pokazana vy- hodnaya zapis' ot sistemnogo vyzova chmod(S). Process ID: 6841 Date/Time: Sat Mar 5 13:25:09 1988 Luid: blf Euid: blf Ruid: blf Egid: guru Rgid: guru Event type: Discretionary Access Change (Izmenenie diskrecionnogo dostupa) System call: Chmod Object: /tmp/demo/newfile Old values: Owner-blf Group-guru Mode-100600 (Starye znacheniya: Vladelec... Gruppa... Rezhim...) New values: Owner-blf Group-guru Mode-100666 (Novye znach.) Result: Successful Risunok 5-9. Zapis' sistemnogo vyzova chmod(S) . - 5-41 - Kontrol'nye zapisi prikladnyh programm Imeetsya shest' razlichnyh tipov kontrol'nyh zapisej, generi- ruemyh prikladnymi programmami. Formaty etih zapisej analogichny. V otlichie ot sistemnyh vyzovov, lyubaya zapis' odnoj iz etih kate- gorij vsegda imeet identichnyj format, hotya informaciya var'iruet- sya. Kategorii zapisej sleduyushchie: * Sobytiya vhoda v sistemu i vyhoda iz nee * Sobytiya podsistemy kontrolya * Sobytiya pol'zovatel'skogo parolya * Sobytiya avtorizovannoj podsistemy * Sobytiya zashchishchennoj bazy dannyh * Sobytiya blokirovki terminala i pol'zovatel'skogo byudzheta Kazhdaya zapis' soderzhit opredelennuyu informaciyu, obshchuyu dlya vseh vyhodnyh kontrol'nyh zapisej. Syuda vhodyat identifikator processa, vremya i data, a takzhe tip sobytiya kontrolya. Soderzhanie ostal'noj chasti vyhodnoj zapisi zavisit ot ee tipa. Polya, zavi- syashchie ot zapisi, opisyvayutsya v posleduyushchih razdelah. Zapis' vhoda v sistemu i zapis' vyhoda iz sistemy Vse popytki zaregistrirovat'sya v sisteme kontroliruyutsya programmoj registracii. |to kasaetsya kak uspeshnyh, tak i neudach- nyh popytok. Tem samym sobiraetsya vazhnaya informaciya o dostupah pol'zovatelej v sistemu i o popytkah dostupa. Vy mozhete ispol'- zovat' kontrol'nye zapisi vhoda i vyhoda iz sistemy, chtoby opre- delit', kto na samom dele rabotaet v sisteme. Oni takzhe polezny v sluchae povtornyh popytok proniknoveniya v sistemu. V operacion- noj sisteme podderzhivaetsya vozmozhnost' blokirovki terminala pos- le opredelennogo chisla popytok, i eto sobytie takzhe mozhno posta- vit' na kontrol'. Itak, u vas est' vse sredstva, neobhodimye dlya otslezhivaniya (i predotvrashcheniya) dostupa v sistemu. Kazhdaya zapis' registracii soderzhit indikator, oboznachayushchij konkretnoe dejstvie, kotoroe kontrolirovalos'. Sushchestvuet tri vozmozhnosti: uspeshnaya registraciya, neudachnaya registraciya, vyhod iz sistemy. Vse uspeshnye vhody i vyhody privodyat k formirovaniyu vyhodnoj kontrol'noj zapisi, ukazyvayushchej pol'zovatel'skij byudzhet i terminal registracionnoj sessii. Esli popytka neudachna, imya pol'zovatelya ne imeet znacheniya - ved' popytka ne udalas'. V etom sluchae vyvoditsya tol'ko terminal, na kotorom byla predprinyata popytka, a takzhe polya bazovoj zapisi. Na Risunke 5-10 pokazan vyvod v sluchae uspeshnoj registracii. . - 5-42 - Process ID: 2812 Date/Time: Fri Mar 4 10:31:14 1988 Event type: Login/Logoff Activity (Tip sobytiya: Vhod v sistemu ili vyhod iz sistemy) Action: Successful Login (Dejstvie: Uspeshnyj vhod) Username: blf (Imya pol'zovatelya:...) Terminal: /dev/tty2 (Terminal:...) Risunok 5-10. Vyhodnaya zapis' uspeshnogo vhoda v sistemu Zapis' pol'zovatel'skogo parolya Vse popytki modificirovat' parol' pol'zovatel'skogo byudzheta (i uspeshnye, i neudachnye) tshchatel'no kontroliruyutsya podsistemoj avtorizacii. Po soobrazheniyam sekretnosti kontrol'nye zapisi dlya etih sobytij ne soderzhat teksta parolya, no tol'ko ukazyvayut byud- zhet i kontroliruemoe dejstvie. Vse dejstviya podrazdelyayutsya na: uspeshnoe izmenenie parolya, neudachnoe izmenenie, otsutstvie raz- resheniya na izmenenie parolya. Na Risunke 5-11 pokazana kontrol'- naya zapis' dlya sluchaya neudachnoj popytki izmeneniya parolya. Process ID: 7314 Date/Time: Tue Mar 1 18:30:44 1988 Event type: Authentication database activity (Rabota s bazoj dannyh autentifikacii) Action: Unsuccessful password change (Neudachnoe izmenenie parolya) Username: blf Risunok 5-11. Kontrol'naya zapis' dlya neudachnogo izmeneniya parolya Zapis' zashchishchennoj bazy dannyh Programmy, soprovozhdayushchie i modificiruyushchie zashchishchennye bazy dannyh sistemy, kontroliruyut vse popytki dostupa i netrivial'nye situacii, svyazannye s bazami dannyh. Zdes' mozhet idti rech' o mnozhestve problem, nachinaya s problem celostnosti i konchaya otka- zov, svyazannyh s sekretnost'yu. Pomimo zagolovka zapisi i nazva- niya kontroliruemogo dejstviya, v vyvode soderzhitsya imya programmy, obnaruzhivshej dannuyu problemu, nazvanie ob®ekta, s kotorym prob- lema svyazana, ozhidaemye i fakticheskie znacheniya, a takzhe dejstvie i rezul'tat sobytiya. Process ID: 7314 Date/Time: Tue Mar 1 18:30:44 1988 Event type: Authentication database activity Command: authck Object: Protected password database (Ob®ekt: zashchishchennaya baza dannyh parolej) Value: Expected-0 Actual-0 (Znachenie: ozhidaemoe - 0, fakticheskoe - 0) Security action: /tcb/files/auth/code (Dejstvie, svyazannoe s sekretnost'yu:...) Result: extraneous file in protected password hierarchy (Rezul'tat: postoronnij fajl v zashchishchennoj ierarhii parolej) Risunok 5-12. Vyhodnaya zapis' dlya zashchishchennoj bazy dannyh . - 5-43 - Zapis' podsistemy kontrolya Sobytiya, zatragivayushchie rabotu podsistemy kontrolya, sami ochen' tshchatel'no kontroliruyutsya. Vybory audit v sysadmsh i demon kontrolya auditd generiruyut kontrol'nye zapisi dlya funkcij, koto- rye oni podderzhivayut. Pomimo etogo, drajver ustrojstva kontrolya takzhe sozdaet kontrol'nye zapisi dlya zaprosov opredelennyh funk- cij. Kontroliruyutsya sleduyushchie funkcii: inicializaciya podsistemy; prekrashchenie podsistemy; modifikaciya parametrov podsistemy; demon kontrolya vklyuchen; demon kontrolya vyklyuchen; ostanov podsistemy; oshibka podsistemy. Kazhdaya vyhodnaya zapis' vklyuchaet informaciyu obshchego zagolov- ka, a takzhe indikator kontroliruemoj funkcii. Tem samym obespe- chivaetsya tochnyj uchet vseh popytok povliyat' na rabotu podsistemy kontrolya. Na Risunke 5-13 pokazana aktual'naya kontrol'naya za- pis', indiciruyushchaya zapusk i inicializaciyu podsistemy. Process ID: 517 Date/Time: Wed Mar 2 8:30:04 1988 Event type: Audit subsystem activity (Rabota podsistemy kontrolya) Action: Audit enabled (Kontrol' vklyuchen) Risunok 5-13. Vyhodnaya zapis' podsistemy kontrolya Zapis' zashchishchennoj podsistemy Kazhdaya zashchishchennaya podsistema mozhet generirovat' kontrol'nye zapisi cherez demon kontrolya. |ti zapisi ukazyvayut na neobychnye usloviya, obnaruzhennye podsistemoj. Naprimer, esli podsistema stalkivaetsya s problemami razreshenij dlya fajla ili ej otkazano v obsluzhivanii iz-za nehvatki pamyati ili drugih resursov, podsis- tema generiruet soobshchenie o sootvetstvuyushchej oshibke. |ti zapisi mozhno ispol'zovat', chtoby podderzhivat' bezopasnost' sistemy. Pomimo obychnogo vyvoda zagolovka zapisi, v zapisyah podsis- temy soderzhitsya imya komandy, dejstvie i rezul'tat. Imya komandy otnositsya k komande, obnaruzhivshej nesovmestimost' i sformirovav- shej kontrol'nuyu zapis'. Dejstvie i rezul'tat opisyvayut dejstviya, predprinyatye podsistemoj, i obnaruzhennuyu problemu. Na Risunke 5- 14 pokazana kontrol'naya zapis', sgenerirovannaya podsistemoj. Process ID: 2812 Date/Time: Fri Mar 4 10:31:14 1988 Event type: Authorized subsystem activity (Rabota avtorizovannoj podsistemy) Subsystem: System Administrator Subsystem (Podsistema: Administrator sistemy) Security action: Update /etc/rc (Dejstvie, svyazannoe s sekretnost'yu: Obnovlenie...) Result: Cannot open for update (Rezul'tat: Fajl nel'zya otkryt' dlya obnovleniya) Risunok 5-14. Vyhodnaya zapis' avtorizovannoj podsistemy . - 5-44 - Zapis' terminala/pol'zovatel'skogo byudzheta Pol'zovatel'skie byudzhety ili terminaly mogut okazat'sya zab- lokirovannymi, esli chislo neudachnyh popytok registracii v siste- me prevysit znachenie, hranyashcheesya v baze dannyh avtorizacii. Nap- rimer, esli terminal ispol'zuetsya dlya vhoda v sistemu, rezul'ta- tom chego yavlyaetsya seriya neudachnyh popytok registracii, to prog- ramma registracii mozhet zablokirovat' terminal posle opredelen- nogo chisla popytok. Analogichnym obrazom, esli pol'zovatel' pyta- etsya zaregistrirovat'sya v byudzhete, i emu eto neskol'ko raz ne udaetsya, to pol'zovatel'skij byudzhet mozhet byt' zablokirovan. Blokirovka byudzhetov i terminalov ne pozvolit osushchestvlyat' dostup k nim do teh por, poka Administrator sistemy ne snimet blokirov- ku. Terminal ili pol'zovatel'skij byudzhet mogut byt' zablokirova- ny pri popytke proniknoveniya v sistemu. Sootvetstvuyushchie kont- rol'nye zapisi soderzhat obychnuyu informaciyu zagolovka, a takzhe identifikator pol'zovatel'skogo byudzheta ili terminala. Process ID: 517 Date/Time: Wed Mar 2 8:30:04 1988 Event type: System administrator activity (Rabota administratora sistemy) Action: User account locked by system administrator (Pol'zovatel'skij byudzhet zablokirovan administratorom sistemy) Username: root (Imya pol'zovatelya: ...) Risunok 5-15. Vyhodnaya zapis' blokirovki pol'zovatel'skogo byudzheta Problemnye oblasti podsistemy kontrolya Nizhe privedeny opisaniya situacij, v kotoryh voznikayut prob- lemy, svyazannye s kontrolem. Prostranstvo na diske Podsistema kontrolya mozhet sgenerirovat' bol'shoe chislo kont- rol'nyh zapisej. Hotya oni i dostatochno malen'kie, no pamyati mo- gut potrebovat' ochen' mnogo. Poetomu pri administrativnom uprav- lenii sistemoj sleduet soblyudat' ostorozhnost'. Kontrol'naya in- formaciya dolzhna napravlyat'sya na diski, gde imeetsya dostatochno dostupnogo prostranstva. V podsisteme imeyutsya vstroennye meha- nizmy zashchity, kotorye vydayut preduprezhdeniya, kogda v ustrojstve kontrolya ostaetsya malo mesta. Esli situaciya ne vypravlyaetsya i ob®em ostavshegosya prostranstva na diske stanovitsya men'she neko- torogo porogovogo znacheniya, to podsistema pytaetsya pereklyuchit'sya na novyj katalog kontrolya. Poetomu al'ternativnye katalogi kont- rolya sleduet razmeshchat' v drugih fajlovyh sistemah. Kogda podsis- tema natalkivaetsya