監査ログについて

[下っ端管理者]

皆様、お初にお目にかかります。

監査ﾛｸﾞを取っているのですがﾛｸﾞｲﾝしていないﾕｰｻﾞIDがﾛｸﾞに残ってしまっていて悩んでいます。

どなたか原因を知っていたら教えて頂けますか？

症状：

・ﾕｰｻﾞID("User="で記述されている所)がﾛｸﾞｲﾝをしていない一般のﾕｰｻﾞIDになっている。

その他：

・ｼﾞｮﾌﾞｺﾝﾄﾛｰﾙ製品にてｽｸﾘﾌﾟﾄを実行している。(が、実行ﾕｰｻﾞはrootで設定されている。)

・ﾛｸﾞに残されている処理内容は実行されているｽｸﾘﾌﾟﾄと辻褄が合う。

・別ﾏｼﾝのaudfileをaudispで実行している訳ではない。

(仮にそうしても監査対象のﾏｼﾝについてはUID、GID共に統一されている為、原因として考えにくい。）

・terminal名は"????????"。(内部実行って事ですか？)

・crontabを調べたが該当ﾕｰｻﾞIDでcronからｽｸﾘﾌﾟﾄ等を実行している訳ではない。

監査ﾛｸﾞﾚｺｰﾄﾞは以下のような状態です。



manやweb上の情報を探してみたのですがどれも原因特定に繋がりませんでした。

(英語版のITRCﾘｿｰｽｾﾝﾀｰにて同様の症状で困っている人は見つかりましたが結局解決に至ってないみたいです…。)

[Na_Ka]

監査は詳しくないのですが。。

実行されるジョブのなかでsuを行って別ユーザになって実行されていることはありませんか？

/var/adm/sulog や syslog の中をチェックしてみてください。

[下っ端管理者]

返信ありがとうございます。

ご指摘の通り同時間帯にsuは行われています。

ただ、su後のユーザ名と監査ログに記録されているユーザ名が異なるものなのです。

補足：

実行UID/GID、起動UID/GIDについては正常なIDが記録されています。

[下っ端管理者]

基本に戻り調査を行なっていた所、別ﾏｼﾝのaudfileをaudispでﾚﾎﾟｰﾄ化しているのを発見致しました。

(勘弁して欲しい…)

よって以下の記述は嘘です。

・別ﾏｼﾝのaudfileをaudispで実行している訳ではない。

(仮にそうしても監査対象のﾏｼﾝについてはUID、GID共に統一されている為、原因として考えにくい。）

また、統一する必要があったのはUID、GID、AID(←Audit ID)の３つです。

※AIDは監査対象ﾕｰｻﾞに付与されるIDです。

/tcb/files/auth/(UIDの頭文字等)/(ﾕｰｻﾞ名)ﾌｧｲﾙに情報として格納されています。(samでも確認できますが)

監査ﾚﾎﾟｰﾄ作成(audisp)時はAIDをｷｰにﾕｰｻﾞﾏｯﾋﾟﾝｸﾞを行なう為、

他ﾏｼﾝとAIDが統一されていない場合、異なるﾕｰｻﾞが記録されてしまいます。

ちなみに存在しないAIDが使用されていた場合はUser=????????になってしまいます。

皆様も監査導入時にはお気を付けを…。(というか最初からﾊﾞｲﾅﾘﾛｸﾞを他ﾎｽﾄでﾚﾎﾟｰﾄ化しようとは考えないか…)

お騒がせ致しました。