remote_server
|
Имя хоста удаленного сервера или адрес, на который будет отправляться информация журнала |
port
|
Целое число, указывающее, к какому порту подключаться на удаленной машине |
local_port
|
Целое число, указывающее, с какого локального порта на локальной машине следует подключаться. Если параметр не указан (по умолчанию) или задано значение any, то используется любой доступный непривилегированный порт, что является механизмом безопасности, предотвращающим передачу событий в демон аудита ненадежными приложениями пользовательского пространства. Установите значение неиспользуемого порта < 1024, чтобы гарантировать, что только пользователи с административными полномочиями смогут подключаться к этому порту. Затем установите значение tcp_client_ports в сводном файле auditd.conf (подробнее см. в «Файл auditd.conf») таким образом, чтобы оно соответствовало портам, с которых отправляются клиенты |
transport
|
Указание приложению удаленного ведения журнала, как отправлять события в удаленную систему. Допустимыми значениями являются TCP и KRB5: TCP - приложение удаленного ведения журнала установит обычное текстовое соединение с удаленной системой; KRB5 - для аутентификации и шифрования будет использоваться Kerberos 5. Значение по умолчанию - TCP |
mode
|
Указание, какую стратегию использовать для отправки записей в удаленную систему. Допустимыми значениями являются immediate и forward: immediate - приложение удаленного ведения журнала попытается отправить события сразу после их получения; forward - программа сохранит события на диске, а затем попытается отправить записи. Если установить соединение не удастся, она будет помещать записи в очередь до тех пор, пока не сможет подключиться к удаленной системе. Размер очереди регулируется параметром queue_depth |
queue_file
|
Путь к файлу, используемому для очереди событий, если установлен режим переадресации. По умолчанию - /var/spool/audit/remote.log |
queue_depth
|
Целое число, определяющее, сколько записей может быть помещено в буфер на диске или в памяти, прежде чем считать отправку ошибочной. Данный параметр влияет на режим пересылки в mode и на внутреннюю очередь при временных сбоях в работе сети. По умолчанию 2048 |
format
|
Указание, какой формат данных будет использоваться для сообщений, отправляемых по сети. По умолчанию используется managed, что увеличивает некоторые накладные расходы для обеспечения правильной обработки каждого сообщения на удаленном сервере и получения сообщений о состоянии с удаленного сервера. Если вместо него используется менее надежный, упрощенный протокол ascii, то каждое сообщение представляет собой простую текстовую строку в формате ASCII без каких-либо дополнительных затрат. Указание формата необходимо при выборе режима forward |
network_retry_time
|
Время в секундах между повторными попытками при обнаружении сетевой ошибки. Пауза применяется после второй попытки, чтобы избежать ненужных задержек, если для устранения проблемы достаточно повторного подключения. Значение по умолчанию равно 1 секунде |
max_tries_per_record
|
Максимальное количество попыток доставки каждого сообщения. Минимальное значение равно единице. Если сделано слишком много попыток, выполняется network_failure_action (см. ниже). Значение по умолчанию равно 3 |
max_time_per_record
|
Максимальное время в секундах, затрачиваемое на отправку каждого сообщения. Данный параметр следует задавать совместно с max_tries_per_record, поскольку на ожидание каждой попытки может уходить много времени. Значение по умолчанию равно 5 секундам. Если для обработки сообщения используется слишком много времени, выполняется network_failure_action (см. ниже) |
heartbeat_timeout
|
Определение, как часто в секундах клиент должен отправлять сообщение о состоянии ресурсов на удаленный сервер. Используется, чтобы клиент и сервер знали, что каждый из них активен и не завершал соединение. Это значение должно быть согласовано с параметром сервера tcp_client_max_idle в auditd.conf (подробнее см. в «Файл auditd.conf»). Значение по умолчанию равно 0, что отключает отправку сообщения о сбое |
network_failure_action
|
Указание системе, какие действия следует предпринять при обнаружении ошибки отправки событий аудита в удаленную систему. Допустимыми значениями являются ignore, syslog, exec, warn_once_continue, warn_once, suspend, single, halt и stop. Если установлено значение ignore, то приложение удаленного ведения журнала ничего не предпринимает. Если событие было отправлено, оно выводится из очереди. syslog - выдаст предупреждение системному журналу. Если событие было отправлено, оно выводится из очереди. Является значением по умолчанию. exec /path-to-script запустит указанный скрипт, без передачи ему дополнительных параметров. Если событие было отправлено, оно будет удалено из очереди. warn_once_continue похож на syslog, за исключением того, что syslog помещается только одно сообщение, пока событие не будет успешно передано. warn_once похож на warn_once_continue, за исключением того, что событие не выводится из очереди. suspend - приложение удаленного ведения журнала прекратит отправку записей в удаленную систему и продолжит работу. Если событие было отправлено, оно не будет удалено из очереди. single - приложение удаленного ведения журнала переведет систему в однопользовательский режим. Если событие было отправлено, оно не выводится из очереди. halt - выключение системы приложением удаленного ведения журнала. Если событие было отправлено, оно не выводится из очереди. stop - завершение работы приложения удаленного ведения журнала, при этом другие плагины останутся запущенными. Если событие было отправлено, оно не выводится из очереди. По умолчанию используется stop |
disk_low_action
|
Аналогичное network_failure_action указание системе, какие действия следует предпринять, если удаленный сервер сигнализирует об ошибке нехватки диска. Значение по умолчанию - ignore |
disk_full_action
|
Аналогичное network_failure_action указание системе, какие действия следует предпринять, если удаленный сервер сигнализирует об ошибке переполнения диска. Значение по умолчанию - warn_once |
disk_error_action
|
Аналогичное network_failure_action указание системе, какие действия следует предпринять, если удаленный сервер сигнализирует об ошибке диска. Значение по умолчанию - warn_once |
remote_ending_action
|
Аналогичное network_failure_action указание системе, какие действия следует предпринять, если сетевое соединение потеряно. У данного действия есть дополнительное значение - reconnect, указывающее удаленному подключаемому модулю попытаться переподключиться к серверу при получении следующей записи аудита. Если событие отправлялось, когда что-то инициировало это действие, оно не выводится из очереди. В случае неудачного повторного подключения запись аудита может быть утеряна. По умолчанию используется reconnect |
generic_error_action
|
Аналогичное network_failure_action указание системе, какие действия следует предпринять, если удаленный сервер сигнализирует об ошибке, которую не удается распознать. По умолчанию это регистрируется в системном журнале syslog |
generic_warning_action
|
Аналогичное network_failure_action указание системе, какие действия следует предпринять, если удаленный сервер выдает предупреждение, которое не удается распознать. По умолчанию syslog |
queue_error_action
|
Аналогичное network_failure_action указание системе, какие действия следует предпринять, если возникает проблема при работе с локальной очередью записей. Значение по умолчанию - stop |
overflow_action
|
Указание системе, какие действия следует предпринять в случае переполнения внутренней очереди событий. Допустимые значения - ignore, syslog, suspend, single и halt. Если установлено значение ignore, то приложение удаленного ведения журнала ничего не предпринимает. syslog - выдаст предупреждение системному журналу. Это значение используется по умолчанию. suspend - приложение прекратит отправку записей в удаленную систему и продолжит работу. single - приложение переведет систему в однопользовательский режим. При выборе halt приложение удаленного ведения журнала завершит работу системы |
startup_failure_action
|
Указание, какие действия следует предпринять при возникновении ошибки подключения к удаленной системе во время запуска. Как правило, по умолчанию плагин пытается восстановить подключение до тех пор, пока это не завершится успешно. Допустимыми значениями являются ignore, syslog, exec, warn_once и warn_once_continue. Если установлено значение ignore, то приложение удаленного ведения журнала ничего не предпринимает. syslog - выдаст предупреждение системному журналу. exec /path-to-script запустит указанный скрипт, без передачи ему дополнительных параметров. warn_once похож на syslog, за исключением того, что в syslog помещается только одно сообщение, пока событие не будет успешно передано. warn_once_continue похож на warn_once, за исключением того, что данный параметр игнорирует проблему. По умолчанию warn_once_continue |
enable_krb5
|
Устаревший параметр. Используйте transport, чтобы включить поддержку Kerberos. Если данный параметр соответствует transport, то он переопределит настройку транспортировки, что является нормальным ожидаемым поведение для обеспечения обратной совместимости. Если установлено значение yes, для аутентификации и шифрования будет использоваться Kerberos 5. По умолчанию установлено no. Обратите внимание, что шифрование может использоваться только с управляемыми подключениями, а не с обычным ASCII |
krb5_principal
|
Возможность задать предполагаемого администратора доступа для сервера. Клиент и сервер будут использовать указанного участника для согласования шифрования. Если не указано, то используются значения krb5_client_name и remote_server |
krb5_client_name
|
Указание части имени администратора доступа клиента. Если не указано, то по умолчанию используется audited. Оставшаяся часть будет состоять из полного доменного имени хоста и поименованной области Kerberos по умолчанию. Например, auditd/host14.example.com@EXAMPLE.COM (при условии, что auditd указан в качестве имени krb_client_name). Обратите внимание, что клиент и сервер должны иметь одинаковое имя администратора доступа и поименованную область |
krb5_key_file
|
Расположение ключа для администратора доступа клиента. Файл ключа должен принадлежать пользователю root и иметь режим 0400. По умолчанию используется файл /etc/audisp/audisp-remote.key |