seaudit ユーティリティは、CA ControlMinder 監査ログ ファイルのレコードを表示します。 Windows 上で seaudit ユーティリティを実行するには、AUDITOR 属性が必要で、seos.ini 内で audir_group に属している必要があります。 パスワードが含まれる監査レコードを表示する場合、seaudit によってパスワードのテキストがアスタリスク（***）に置き換えられて、パスワードが保護されます。
注： コマンドのスイッチおよびオプションでは、文字列マッチングが使用できます。 マスクの引数を自動的に展開する UNIX シェルもあります。従って、このようなシェルから seaudit を起動する場合は、マスクがシェルによって処理されないように、アスタリスクまたは疑問符の前に円記号（¥）を入力する必要があります。
注: seaudit ユーティリティでは、トレース レコードがユーザ ID 別ではなく、ユーザ名別に表示されます。
このコマンドの形式は以下のようになります。
seaudit switch [options]
seaudit ユーティリティの操作モードを定義します。 以下のオプションのいずれかを指定できます。
すべてのレコードを表示します。ただし、トレース機能によって監査ログに送信されたユーザ トレース レコードは除きます。
注： UNIX で使用可能な、接続された TCP レコードも表示されません。 これらのレコードを表示するには、-c オプションを指定します。
このユーティリティのヘルプ画面を表示します。
指定されたサービスの指定されたホストから受け取った TCP 要求の INET 監査レコードを表示します。 host および service は、seaudit が検索するホストとサービスを特定するマスクです。
UNIX 上で、接続が行われたネットワーク ID（ポート番号）を持つ TCP レコードを一覧表示するには ‑c フラグを追加します。 以下に例を示します。
seaudit ‑i ‑c myhost telnet
指定された端末上の、カンマで区切られた指定ユーザに関する LOGIN レコードを表示します。
user と terminal はいずれもマスクです。
UNIX では、serevu がユーザを有効化または無効化する際に、serevu によって作成されるレコード、および無効なパスワードが入力される際に許可デーモンによって作成されるレコードも表示されます。
カンマで区切られた指定ユーザについて、指定されたリソースの指定されたクラスに関する一般リソース監査レコードを表示します。
CA ControlMinder の起動メッセージおよび停止メッセージを表示します。
（UNIX のみ）。 Watchdog のメッセージ番号の説明を表示します。
ログ コードの表を表示します。
アクティビティがトレース対象になっているすべてのユーザのトレース レコードを表示します。
注： トレース レコードは、ログイン セッション ID 列をデフォルトで表示します。 この列を表示しない場合は、th -format オプションを使用します。
指定されたリソースのトレース レコードを表示します。
指定されたユーザ ID またはユーザ名を持つユーザのトレース レコードを表示します。
以下のようなデータベース更新の監査レコードを表示します。
Watchdog の監査レコードを表示します。
ユーティリティが情報を表示する方法を変更する、オプションの修飾子を定義します。 以下のオプションから 1 つ以上を指定できます。
（UNIX のみ）。 接続された INET レコードを表示します。 これらのレコードはセッション ID の追跡用に生成され、成功した TCP 接続のポート番号を一覧表示します。
たとえば、ユーザ（user1）が Telnet セッションを comp1 から comp2 に開きます。comp1 と comp2 の両方に CA ControlMinder がインストールされています。 comp2 の CA ControlMinder は、Telnet セッションでログインしたユーザ（user1 以外のユーザの場合もあります）のクレデンシャルで、確認応答を comp1 に送信するように設定（logconnected 設定）できます。 comp1 はこの確認応答を受け取ると、TCP-CONNECTED レコード（セッション確立レコード）を作成します。このレコードは、-c オプションを使用して表示できます。
各レコードに関する詳細情報を表示します。
最初のフィールドの前および残りの各フィールド間で使用する区切り文字を定義します。 たとえば、以下のコマンドにより、フィールド全体が引用符で囲まれ、各フィールドがカンマで区切られて表示されます。
seaudit ‑a ‑delim ¥”,¥”
区切り文字が最初のフィールドの前に表示されないこと以外は、‑delim オプションと同じです。
曜日、月、年の間の区切り文字が含まれる以外は、-delim オプションと同じです。
-delim2 オプションと同じです。
終了日を指定します。 この日付より後にログに記録されたレコードは表示されません。
以下の 2 つの方法のいずれかを使用して、日付を指定できます。
文字列「today」の後に「‑ （マイナス）」と数値を指定することもできます。 これにより、今日の日付から指定された日数だけ前の日付を定義できます。 たとえば today‑3の場合、現在の日付から 3 日前の日付を指定することを意味します。
終了時刻を指定します。 この日付より後にログに記録されたレコードは表示されません。
以下の 2 つの方法のいずれかを使用して、時刻を指定できます。
文字列「now」の後に「‑ （マイナス）」と数値を指定することもできます。 これにより、現在の時刻から指定された分数だけ前の時刻を定義できます。 たとえば now‑60 の場合、現在の時刻から 60 分（1 時間）前の時刻を指定することを意味します。 特定の日付の範囲内で時間枠を正確に定義するには、このオプションを ‑sd、‑ed、またはその両方と組み合わせて指定します。
注： now 文字列は当日の時間に対して有効です。 たとえば、現在の時間が午前 1:30 である場合、now-89 と指定します。 now-90 と指定すると、レコードが表示されません。
失敗したアクセスを表示しないように指定します。
検索対象の監査ログ ファイルの名前を指定します。
出力形式が CA ControlMinder リリースの形式と同じであるように指定します。
release - リリース番号を定義します。 有効値は以下のとおりです。
成功した（許可された）アクセスを表示しないように指定します。
通知レコードを除き、成功した（許可された）アクセスを表示しないように指定します。
（UNIX のみ）キー ロギング監査ファイル（kbl.audit）のコンテンツを表示するよう指定します。
監査ファイル内の記録されたセッションをすべて表示します。
キー ロギング セッション ID を指定します。
キー ロギング セッション全体を再生します。
キー ロギング セッション全体を表示します（制御文字を除く）。
（UNIX のみ）コマンド ラインのロギング セッション中にユーザが入力したコマンドを表示します。
ユーザがシェルで実行したコマンドの EXECARGS の詳細を表示します。
記録されたセッション期間を表示するように指定します。
注： このコマンドは、シェル bash、tcsh、csh、ksh、jsh、rsh、ash、zsh で実行できます。
（UNIX のみ）ログアウト レコードを表示しないように指定します。
（UNIX のみ）年が下 2 桁ではなく 4 桁で表示されるように指定します。
TCP/IP レコードのホスト名ではなく、インターネット アドレスが表示されるように指定します。
NOTIFY 監査レコードが表示されないように指定します。
指定されたホストから送信されたレコードのみが表示されるように指定します。
このオプションが適用できるのは、selogrcd ログ ルーティング収集デーモンによって作成された統合監査ファイルからレコードを参照する場合のみです。
（UNIX のみ）パスワード試行レコードが表示されないように指定します。
開始日を指定します。 この日付より前にログに記録されたレコードは表示されません。
以下の 2 つの方法のいずれかを使用して、日付を指定できます。
文字列「today」の後に「‑ （マイナス）」と数値を指定することもできます。 これにより、今日の日付から指定された日数だけ前の日付を定義できます。 たとえば today‑3の場合、現在の日付から 3 日前の日付を指定することを意味します。
ユーザ ログイン セッション ID 情報が含まれている列を表示するように指定します。 この列は、デフォルトでは非表示です。
注： このオプションは、r12.0 SP1 以上のエンドポイントでのみ有効です。
開始時刻を指定します。 この日付より前にログに記録されたレコードは表示されません。
以下の 2 つの方法のいずれかを使用して、時刻を指定できます。
文字列「now」の後に「‑ （マイナス）」と数値を指定することもできます。 これにより、現在の時刻から指定された分数だけ前の時刻を定義できます。 たとえば now‑60 の場合、現在の時刻から 60 分（1 時間）前の時刻を指定することを意味します。 特定の日付の範囲内で時間枠を正確に定義するには、このオプションを ‑sd、‑ed、またはその両方と組み合わせて指定します。
注： now 文字列は当日の時間に対して有効です。 たとえば、現在の時間が午前 1:30 である場合、now-89 と指定します。 now-90 と指定すると、レコードが表示されません。
サービス名ではなく、ポート番号が表示されるように指定します。
警告レコードが表示されないように指定します。
例
seaudit ‑a ‑sd 04‑Jan‑2004
seaudit ‑sd 04‑Jan‑2004 ‑ed 04‑Jan‑2004 ‑l root * ‑g
seaudit ‑r FILE "*" John
seaudit ‑a ‑st 17:00 ‑et 08:00
seaudit ‑a ‑st 08:00 ‑et 17:00
seaudit ‑login * * ‑resource * * * ‑grant ‑failure ‑logout ‑pwa
seaudit ‑login "user1, user2"
seaudit ‑a ‑sd today‑1 ‑ed today‑1
seaudit -kbl
seaudit -kbl -a
seaudit -kbl -a -sid 22764
seaudit -kbl -sid 22316 -rp
seaudit -kbl -sid 22316 -cmd
seaudit ‑tru 244 ‑trr FILE
seaudit ‑tru "user1, 244"
|
Copyright © 2013 CA.
All rights reserved.
|
|