SEGURIDAD EN UNIX Y REDES

92CAPÍTULO 6. AUDITORÍA DEL SISTEMApor lo que es muy recomendable consultar las páginas del manual antes de ponerse a configurar elsistema de auditoría en un equipo concreto. La principal diferencia entre ellos es el denominadoprocess accounting o simplemente accounting, consistente en registrar todos los programas ejecutadospor cada usuario; evidentemente, los informes generados en este proceso pueden llegar a ocuparmuchísimo espacio en disco (dependiendo del número de usuarios en nuestro sistema) por lo que sóloes recomendable en situaciones muy concretas, por ejemplo para detectar actividades sospechosasen una máquina o para cobrar por el tiempo de CPU consumido. En los sistemas System V el processaccounting está desactivado por defecto; se puede iniciar mediante /usr/lib/acct/startup,y para visualizar los informes se utiliza la orden acctcom. En la familia bsd los equivalentes a estasórdenes son accton y lastcomm; en este caso el process accounting está inicializado por defecto.Un mundo aparte a la hora de generar (y analizar) informes acerca de las actividades realizadassobre una máquina Unix son los sistemas con el modelo de auditoría C2 ([B + 85]); mientras quecon el modelo clásico se genera un registro tras la ejecución de cada proceso, en Unix C2 se proporcionauna pista de auditoría donde se registran los accesos y los intentos de acceso de una entidada un objeto, así como cada cambio en el estado del objeto, la entidad o el sistema global. Estose consigue asignando un identificador denominado Audit ID a cada grupo de procesos ejecutados(desde el propio login), identificador que se registra junto a la mayoría de llamadas al sistema queun proceso realiza, incluyendo algunas tan comunes como write(), open(), close() o read(). Anadie se le puede escapar la cantidad de espacio y de CPU necesarios para mantener los registrosa un nivel tan preciso, por lo que en la mayoría de sistemas (especialmente en entornos habituales,como los estudiados aquí) el modelo de auditoría C2 es innecesario; y no sólo esto, sino que enmuchas ocasiones también se convierte en una monitorización inútil ([ALGJ98]) si no se disponede mecanismos para interpretar o reducir la gran cantidad de datos registrados: el administradorguarda tanta información que es casi imposible analizarla en busca de actividades sospechosas.6.3 El demonio syslogdEl demonio syslogd (Syslog Daemon) se lanza automáticamente al arrancar un sistema Unix, y esel encargado de guardar informes sobre el funcionamiento de la máquina. Recibe mensajes de lasdiferentes partes del sistema (núcleo, programas. . . ) y los envía y/o almacena en diferentes localizaciones,tanto locales como remotas, siguiendo un criterio definido en el fichero de configuración/etc/syslog.conf, donde especificamos las reglas a seguir para gestionar el almacenamiento demensajes del sistema. Las líneas de este archivo que comienzan por ‘#’ son comentarios, con lo cualson ignoradas de la misma forma que las líneas en blanco; si ocurriera un error al interpretar unade las líneas del fichero, se ignoraría la línea completa. Un ejemplo de fichero /etc/syslog.confes el siguiente:anita:~# cat /etc/syslog.conf#ident "@(#)syslog.conf 1.4 96/10/11 SMI" /* SunOS 5.0 */## Copyright (c) 1991-1993, by Sun Microsystems, Inc.## syslog configuration file.## This file is processed by m4 so be careful to quote (‘’) names# that match m4 reserved words. Also, within ifdef’s, arguments# containing commas must be quoted.#*.err;kern.notice;auth.notice /dev/console*.err;kern.debug;daemon.notice;mail.crit /var/adm/messages*.alert;kern.err;daemon.err operator*.alert root