Информационная безопасность. Макаренко С.И. - 338 стр.

     Внимание! BSM увеличивает общую нагрузку на систему и
используется, только если уровень защиты системы того требует.

                             22.7.1.1 Файлы журналов

       Большая часть систем Unix обеспечивает довольно широкие
возможности по ведению журналов в программе syslog. Syslog - это фоновая
программа, выполняющаяся и фиксирующая данные журнала согласно
настройке. Syslog настраивается через файл /etc/syslog.conf. Следует заметить,
файлы журналов должны просматриваться только корневым пользователем,
и никто не должен иметь возможности их изменять.
       Большая часть файлов syslog.conf направляет сообщения журналов в
/var/log/messages или /var/adm/log/messages. Правильно написанный syslog.conf
должен содержать следующую команду конфигурации:
      auth.info /var/log/auth.log
      С помощью этой команды Unix собирает информацию о попытках
входа, попытках выполнения команды su, перезагрузке системы и других
событиях, так или иначе связанных с безопасностью системы. Данная
команда также позволяет программам TCP Wrappers заносить информацию в
файл auth.log. Обязательно создайте файл /var/log/auth.log для фиксирования
этой информации:

      #touch     /var/log/auth.log
      #chown     root /var/log/auth.log
      #chmod     600 /var/log/auth.log

     В Solaris при создании файла /var/adm/loginlog можно фиксировать
неудачные попытки входа в систему. Создайте файл следующим образом:

      #touch      /var/adm/loginlog
      #chmod     600 /var/adm/loginlog
      #chown     root /var/adm/loginlog
      #chgrp     sys /var/adm/loginlog

      Убедитесь, что /var предоставлено достаточное количество свободного
пространства для ведения файлов журнала. Если /var расположен в том же
разделе, что и /, корневая файловая система переполнится при сильном
увеличении файлов журнала. Рекомендуется размещать каталог /var в другой
файловой системе.

                             22.7.1.2 Скрытые файлы

     Скрытые файлы представляют собой потенциальную проблему для
систем Unix. Любой файл, начинающийся с точки (<.>), не отображается при
выполнении стандартной команды ls. Однако при использовании команды


                                          338