\documentclass{report}
\usepackage[utf8]{inputenc}
\usepackage[T1]{fontenc}
\usepackage{textcomp}
\usepackage{geometry}
\geometry{top=15mm, bottom=15mm, left=1cm, right=1cm}
\usepackage[french]{babel}
\usepackage{pslatex}
\usepackage[colorlinks=true,urlcolor=black]{hyperref}
\usepackage{graphicx}
\usepackage{fancyhdr}
\pagestyle{fancy}
\renewcommand{\footrulewidth}{0.4pt}
\fancyfoot[L]{Uubu.fr}
\fancyfoot[R]{ven. juin 2 11:39:39 CEST 2017}
\lfoot{\Large \textit{Uubu.fr}}
\hypersetup{pdfinfo={
Title={auditd.conf},
Author={Sylvain Girod},
Creator={Bash script from uubu.fr's format version 1},
Producer={Bash script and PDFLaTeX},
Subject={Fichier de configuration du service d'audit},
CreationDate={D:20170602113939},
ModDate={D:20170602113939},
Keywords={audit;Linux;security;auditd;logs}
}}
\begin{document}
 
\begin{center}
{\Huge auditd.conf }
\end{center}
\vspace{1cm}
 
\begin{flushleft}
 
{\large Fichier de configuration du service d'audit}
 
\vspace{10mm}
 
\begin{description} \normalsize
\item[\hspace{1mm} local\_events]{(bool) Spécifie si les évènements locaux sont inclus. Défaut: yes.}
\item[\hspace{1mm} log\_file]{Spécifie le chemin complet du fichier de log où les enregistrements d'audit sont stockés}
\item[\hspace{1mm} write\_logs]{[bool) Détermine si les logs sont stockés sur disque. Défaut: yes.}
\item[\hspace{1mm} log\_format]{Format des logs stockés sur disque: raw et enriched. enriched résoud les uid, gid, syscall, architecture, et adresse socket.}
\item[\hspace{1mm} log\_group]{Spécifie le groupe du fichier de log. Défaut: root}
\item[\hspace{1mm} priority\_boost]{Nombre non-négatif qui indique la priorité. Défaut 4.}
\item[\hspace{1mm} flush]{none ne fait rien de spécial pour vides les enregistrements sur disque. incremental utilise freq pour déterminer la fréquence, incremental\_async est similaire, mais de manière asynchrone pour de meilleurs performances. data conserve les données du disque synchronisés en permanence. sync conserve les données et les métadonnées pleinement synchronisés. Défaut: incremental\_async}
\item[\hspace{1mm} freq]{Nombre non-négatif indiquant le nombre d'enregistrement à écrire avant de les vider sur disque.}
\item[\hspace{1mm} num\_lgos]{Spécifie le nombre de fichiers de logs à conserver. < 2, la rotation de logs n'est pas effectuée. Doit être inférieur à 1000.}
\item[\hspace{1mm} disp\_qos]{Contrôle si la communication est bloquante/sans perte ou non-bloquante/avec perte entre auditd et le dispatcher. Il y a un tampon de 128K entre les 2, ce qui est suffisant dans la plupart des cas. (lossy ou lossless). Défaut: lossy}
\item[\hspace{1mm} dispatcher]{Spécifie le dispatcher.}
\item[\hspace{1mm} name\_format]{Contrôle comment insérer les noms de nœud dans le flux d'évènements d'audit. none, hostname, fqd, numeric, et user. Défaut: none}
\item[\hspace{1mm} name]{Nom à utiliser lorsque name\_format = user}
\item[\hspace{1mm} max\_log\_file]{Spécifie la taille max des fichiers de log. Une fois cette limite atteinte, il déclence une action de configuration}
\item[\hspace{1mm} max\_log\_file\_action]{Indique au système quelle action prendre quand le système a détecté que la limite de taille du fichier de log est atteinte.}
\item[\hspace{1mm} action\_mail\_acct]{Adresse email ou alias. /usr/lib/sendmail doit exister dans la machine}
\item[\hspace{1mm} space\_left]{Valeur numérique, en Mo, indiquant quand effectuer une action lorsque l'espace disque vient à manquer}
\item[\hspace{1mm} space\_left\_action]{Indique quelle action prendre quand l'espace disque restant est inférieur à space\_left. (ignore, syslog, rotate, email, exec, suspend, single, ou halt)}
\item[\hspace{1mm} admin\_space\_left]{Identique à space\_left. Est considéré comme la dernière change de faire quelque chose avant de ne plus avoir d'espace disque.}
\item[\hspace{1mm} admin\_space\_left\_action]{Indique quelle action prendre quand l'espace disque restant est inférieur à admin\_space\_left}
\item[\hspace{1mm} disk\_full\_action]{Indique quelle action prendre quand le système a détecté que la partition qui maintient les logs est pleine. (ignore, syslog, rotate, exec, suspend, single, et halt)}
\item[\hspace{1mm} disk\_error\_action]{Indique quelle action prendre quand une erreur disque est détectée en écrivant des évènements d'audit sur disque.}
\item[\hspace{1mm} tcp\_listen\_port]{Port tpc d'écoute des enregistrements d'audit des systèmes distants.}
\item[\hspace{1mm} tcp\_listen\_queue]{Valeur numérique qui indique combien de connexions en cours sont permises. Défaut: 5}
\item[\hspace{1mm} tcp\_max\_per\_addr]{Valeur numérique indiquant combien de connection concurrentes de la même IP sont permises. Défaut: 1 (max 1024)}
\item[\hspace{1mm} use\_libwrap]{(bool) Utilise tcp\_wrappers pour définir les machines autorisées à se connecter}
\item[\hspace{1mm} tcp\_client\_ports]{1 ou 2 valeurs numérique. Indique les ports clients permis pour les connexions entrante. Spécifier 1-1023 pour autoriser les port privilégiés}
\item[\hspace{1mm} tcp\_client\_max\_idle]{Délai en secondes d'inactivité d'un client avant que la connexion soit terminées. Défaut: 0 = désactive la vérification}
\item[\hspace{1mm} enable\_krb5]{(bool) Utilise kerberos pour l'authentification et le chiffrement}
\item[\hspace{1mm} krb5\_principal]{Principal du serveur. Défaut: auditd.}
\item[\hspace{1mm} krb5\_key\_file]{Emplacement de la clé du principal du client. Cette clé doit être possédée par root, en mode 0400. Défaut: /etc/audit/audit.key}
\item[\hspace{1mm} distribute\_network]{(bool) À yes, les évènements provenant du réseau sont distribués au dispatcher pour traitement. Défaut: no}
\end{description}
 
\vspace{1cm}{\huge Notes }
 
\
 
\begin{description} \normalsize
\item[\hspace{1mm} -]{Dans un environneent CAPP, Le chemin d'audit est si important que l'accès aux ressources système doit être refusé si un chemin d'audit ne peut être créé. Dans cet environnement, il est suggéré que /var/log/audit soit dans sa propre partition.}
\item[\hspace{1mm} -]{Le paramètre flush devrait être sync ou data}
\item[\hspace{1mm} -]{space\_left doit être être une valeur qui donne suffisamment de temps à un administrateur de réagir et de récupérer de l'espace disque. Cela peut impliquer aureport -t et le déplacement des anciens logs. Il est recommandé que space\_left\_action soit email.}
\item[\hspace{1mm} -]{admin\_space\_left doit être l'espace disque nécessaire pour les actions administratives à enregistrer.}
\item[\hspace{1mm} -]{disk\_full\_action est déclenchée quand il n'y a plus de place. Tous les accès devraient être terminés vu qu'il n'y a plus de capacité d'audit. Peut être définis à single ou halt}
\item[\hspace{1mm} -]{disk\_error\_action devrait être syslog, sigle ou halt en fonction de la stratégie locale}
\item[\hspace{1mm} -]{Spécifie ue seul port client permis peut poser problème pour le client souhaitant redémarrer le sous-système d'audit, vu qu'il n'est pas capable de recréer une connexion avec les même adresses d'hôte et ports tant que la connection est à l'état TIME\_WAIT.}
\end{description}
\end{flushleft}
\end{document}
