Введение

В настоящей статье описывается интерфейс командной строки (command line interface, CLI) FreeIPA в части работы с регистрацией событий безопасности (аудитом). Указанные операции могут быть выполнены также с использованием Web-интерфейса FreeIPA.

CLI FreeIPA позволяет:

• редактировать события аудита;
• редактировать маски аудита для доменного пользователя (группы);
• редактировать маски аудита для учтенных носителей информации.

Подробно механизм аудита Astra Linux описан в эксплуатационной документации, Руководство по КСЗ, часть 1.

Редактирование событий аудита

В Astra Linux используется следующий набор базовых масок событий аудита: 

Для работы с событиями аудита предназначена группа команд ipa paudit-{add, del, mod, find, show}.

Просмотр всех имеющихся масок событий аудита

Команда:

Пример вывода команды:

----------------------
найдено 17 масок аудита
-----------------------

40

  Название маски аудита: net
  Значение маски аудита: 10000

  Название маски аудита: open
  Значение маски аудита: 1

  Название маски аудита: rename
  Значение маски аудита: 8000

  Название маски аудита: uid
  Значение маски аудита: 100
----------------------------------
Количество возвращённых записей 17
----------------------------------

Создание новых масок событий аудита

Команда:

Пример команды создания комбинированной маски  fileaud со значением 0x883f, объединяющей следующие события аудита: acl (маска 0x800), chmod (маска 0x4000), chown (0x20), create (маска 0x2), delete (маска 0x8), exec (0x4), open (0x1), rename (0x8000):

Пример вывода команды:

--------------------------------
Добавлена маска аудита "

883f

Просмотр

масок событий аудита

Команда:

Пример

команды просмотра события аудита

fileaud:

Пример вывода команды:

  Название 

883f 

Изменение маски события аудита

Информация
title Внимание!
Изменение масок событий аудита имеет смысл только по отношению к добавленным пользователем комбинированным маскам. Базовые маски из предустановленного набора изменять не следует.

Команда:

Command
ipa paudit-mod <название_маски_аудита> --amaskrank=<значение_маски_аудита>

Пример

команды изменения составной маски аудита

fileaud при исключении из нее регистрации события открытия файла open (маска 0x1):

Пример вывода команды:

----------------------------
Изменена маска аудита "

883e

Удаление маски события

аудита

Команда:

Пример

команды удаления события аудита

fileaud:

Пример вывода команды:

-------------------------- 
Удалена маска аудита "

fileaud" 
--------------------------

Редактирование

масок аудита

доменных пользователей/

групп

Добавление

масок аудита для доменного пользователя/группы

Команды для добавления маски аудита успехов:

• для пользователя

• :

  Command

• audmasksucc-add-audmasksucc <название

• _маски_аудита> --users=<имя_пользователя_1> --users=<имя_пользователя_2> ...

• –users=<имя_пользователя_N>

• 
  

• для группы:

  Command
  udmasksucc

• -add-audmasksucc <название_маски_аудита> --

• groups=<имя_группы_1> --users=<имя_группы_2> ... --users=<имя_группы_N>

  
  

Команды для добавления маски аудита отказов:

• для пользователя

• :

  Command

• audmaskfail-add-audmaskfail <название_маски_аудита> --

• users=<имя_пользователя_1> --users=<имя_пользователя_2> ...

• –users=<имя_пользователя_N>

  
  

• для группы:

  Command

• audmaskfail-add-audmaskfail <название

• _маски_аудита> --groups=<имя_группы_1> --users=<имя_группы_2> ... --users=<имя_группы_N>

  
  

Пример

команды добавления маски аудита события open для группы test_group:

Вывод команды:

  Название параметра аудита успеха: open
  Значение маски аудита успеха: 1
  Пользователи-участники: ipauser00, ipauser01, ipauser02
  Группы-участники: test_group
-----------------------------------
Количество добавленных участников 1
-----------------------------------

Просмотр

масок аудита

доменного пользователя/группы

Для просмотра текущей маски аудита для доменного пользователя/группы используются команды:

• для пользователя:

  Command

• ipa user-show <имя_пользователя> --all

• 
  

• для группы:

  Command
  ipa group-show <имя_группы> --all

  
  

Пример команды:

Вывод команды:

  dn: cn=test_group,cn=groups,cn=accounts,dc=testdomain,dc=test
  Имя группы: test_group
  ID группы: 1415200007
  Пользователи-участники: ipauser00, ipauser01, ipauser02, ipauser04
  ipauniqueid: e1e58840-db8b-11ed-9059-00a70dd3ddb8
  memberof_audmasksucc: open
  objectclass: top, groupofnames, nestedgroup, ipausergroup, ipaobject, x-ald-audit-policy,
               posixgroup
  x-ald-aud-mask: 0x1:0x0

Удаление маски аудита

пользователя/группы

Команды для удаления маски аудита успехов:

• для

• пользователей:

  Command

• audmasksucc-remove-audmasksucc <название_

• маски> --

• users=<имя_пользователя_1> --users=<имя_пользователя_2> ... --users=<имя_пользователя_N>

  
  

• для групп:

  Command

• audmasksucc-remove-audmasksucc <название_

• маски> --

• groups=<имя_группы_1> --users=<имя_группы_2> ... --users=<имя_группы_N>

  
  

Команды для удаления маски аудита отказов:

• для

• пользователей:

  Command

• audmaskfail-remove

• -audmaskfail <название_маски> --users=<имя_пользователя_1> --users=<имя_пользователя_2> ... --users=<имя_пользователя_N>

• 
  

• для групп:

  Command
  audmaskfail-remove-audmaskfail <название_

• маски> --groups=<имя_группы_1> --

• groups=<имя_группы_2> ... --

• groups=<имя_группы_N>

  
  

Пример

команды удаления маски аудита успеха open для группы test_group:

Пример вывода команды:

  Название параметра аудита успеха: open
  Значение маски аудита успеха: 1
  Пользователи-участники: ipauser00, ipauser01, ipauser02
---------------------------------
Количество удалённых участников 1
---------------------------------

Редактирование

масок аудита учтенных носителей информации

Добавление

масок аудита

учтенных носителей информации

Команды для добавления маски аудита успехов:

Команды для добавления маски аудита отказов:

Пример выполнения команды добавления маски аудита успеха open для устройства test_flash1:

$ ipa audmasksucc-add-devaudmasksucc open --parsecdevices=test_flash1
  Название параметра аудита успеха: open
  Значение маски аудита успеха: 1
  Пользователи-участники: ipauser00, ipauser01, ipauser02
-----------------------------------
Количество добавленных участников 1
-----------------------------------

Удаление

масок аудита

учтенных носителей информации

Команды для удаления маски аудита успехов:

Команды для удаления маски аудита отказов:

Пример

команды удаления маски аудита успеха open для устройства test_flash1:

Пример вывода команды:

  Название параметра аудита успеха: open
  Значение маски аудита успеха: 1
  Пользователи-участники: ipauser00, ipauser01, ipauser02
---------------------------------
Количество удалённых участников 1
---------------------------------

Просмотр

масок аудита учтенных носителей информации

Команда:

Пример

команды просмотра маски аудита учтенного устройства test_flash1:

Пример вывода команды:

  Название учтённого устройства: test_flash1
  Описание устройства: test_flash1
  Правила учёта устройства: TRUE
  Владелец устройства: ipauser00
  Группа устройства: ipausers
  Атрибуты устройства: ENV{ID_SERIAL}==QEMU_QEMU_HARDDISK_1X2Y3Z-0:0
  Режим доступа к устройству: 666
  Уровень конфиденциальности устройства: 1
  Категории конфиденциальности устройства: 0
  Аудит успеха устройства: 0x1
  Аудит отказа устройства: 0x1