LUID . - . . , , , - . . - 5-15 -   : * * (/dev/audit) * - auditd(ADM) * sysadmsh , , , - (, login(M)). . , , - . , , - , , - . , , , - . - - . , open(S) -  . blf open(S) /unix , . - - , blf open(S) - , ,    blf /unix. , - , , , / . , , . . - , getpid(S) , . , . : - ; ; - ; - , - . . - 5-16 - open(S), close(S), read(S), write(S) ioctl(S), . , configaudit / writeaudit. , - , - . - . - . - .  . , - , . , - . , , - . - , . - , - . - - . . auditd(ADM) - , - - . - , , . , . - , - , . - . - , - . , . - 200 - . - , -  . , . - , ; ; . - . - 5-17 - , , , - , - . . , - , , , - . - , . - - , writeaudit. , - , - - . sysadmsh sysadmsh . , , ( , ..) , - . / sysadmsh / , - . , , , - . - , , . - , , - . , , , . - , . , , - DAC blf, - /unix. , - blf /unix, . , - , . . - 5-18 -   , , , . : configaudit, writeaudit suspendaudit. configaudit  . writeaudit - . suspendaudit . , . - , , , , , , - . , , , , . - , , . - , , , login. (- ): * * * , - , . - , , . , open(S), , - . open(S) O_CREAT, , . O_TRUNC, . - 5-19 - , . - , open(S) - :  ,   . . , , , - , . - , - , . , , , - . - , - . (TCB) - , - . - login, su . , , - . , , login - - , , , . - . - , - . suspendaudit, . - , - - . . - suspendaudit. login, ; - . - , , lp, cron, terminal  mem. , . writeaudit - . . - 5-20 - , , . , , - . - , - writeaudit. , - , - . login. , - , . , , . , login - - (LUID). - setuid(S)  setgid(S), , LUID . - . - - setuid(S) setgid(S), - . LUID - . , - , -  . . , open(S) , , ../newfile. - , chdir(S). , ../newfile, - , . close(S). . - close(S) , . - , . . - ; , : chdir(S), chroot(S), open(S), close(S), fork(S), exit(S), exec(S), setuid(S), setgid(S), dup(S)  fcntl(S). . - 5-21 - . - . , - , - . - , . , , , . - - , - , . , . - , . , - , . , , . , - , , . , , , , - , , . - , . : * * * * (, ) (- , ) * * * * * * * * * * * / * . - 5-22 - * * , , . , . , , . , . -  , . ( ). - , . . sysadmsh , . ; , . ( - ), . - , . ,   .  , - , . - login - . : * * * , , . - . - 5-23 - . , - , . - , , - . - . , - , .   , . - , - - - ( - , ). - , . , , - , , . - - . , , . -  /, . - , , . : . -, , . - - , , , . , - / , -- . . - , . - , . . . - 5-24 - , - . , - . - , . , , . , - , - . : * , * , * , - , . - ; . , , . - , - . , . . (write- behind) - . - , - . , , . , , , . UNIX - . , - - , ( ) . , , , . , , , . . - 5-25 - . - , -, - , . - . . , - , - , 40-60 . , , - ; - - . , - - . . . , , , - , - , . , - . , - , . , - . , - , . - . - . - . - , - . , - . - - , . , , , - . , - . . , . - - . - , , . . - 5-26 - - , . , , . - - , , - . ( , ) . , , . , - , - . , . , - ( ). , .   , , - , . sysadmsh. System->Audit; : Enable/Disable  Collection - - . , , Report - , , - Files , - , - , - , , . - 5-27 - , - : 1. 2. 3. , - , sysadmsh : System->Audit->Collection : Directories - Events IDs Parameters  Summary , ; - . , , . , , , - . - , , , - . , - , . - .   , , , , . , . - , - , . , , - . , , . . , , . - . - 5-28 - , ; - , . - . - - , . . , , . , - , - /tcb/audittmp. .   " ", - , :  5.5   ---------------------------------------------------------------- A. Startup/Shutdown B. Login/Logoff C. Process Create/Delete D. Make Object Available E. Map Object to Subject F. Object Modification G. Make Object Unavailable H. Object Creation I. Object Deletion J. DAC Changes K. DAC Denials L. Admin/Operator Actions M. Insufficient Privilege N. Resource Denials O. IPC Functions P. Process Modifications Q. Audit Subsystem Events R. Database Events S. Subsystem Events T. Use of Privilege ---------------------------------------------------------------- A. / B. / C. / D. E. F. G. H. I. J. DAC K. DAC L. /. M. N. O. IPC P. Q. R. S. T. ---------------------------------------------------------------- - , . , , "Y". , , "N". - "Y" "N" . . - / - . . - 5-29 -   User Group - - . . - , . , - .