kblaudit

[kblaudit] 部分中的标记用于控制键盘记录器会话跟踪程序的行为。

audit_back

指定键盘记录器备份审核日志文件的名称。

默认值：ACInstallDir/log/kbl.audit.bak

audit_group

指定可读取审核日志的组。如果将该标记设置为 none，则只有 root 用户可以读取审核日志。 CA ControlMinder 不会验证该标记值，因此如果您输入了无效的组名，CA ControlMinder 就不会将任何组权限分配到审核日志文件。

要更改现有审核日志文件的组所有权，请完成以下步骤：

使用 selang 命令 chgrp 设置文件的组所有权。

通过输入以下命令，更改 UNIX 权限：

chmod 640 ACInstallDir/log/seos.audit

默认值：none

audit_log

指定键盘记录器审核日志文件的名称。

默认值：ACInstallDir/log/kbl.audit

audit_max_files

指定备份模式中最多保留的审核日志文件数。达到此数目时，CA ControlMinder 在创建最新的备份文件时会删除最早的文件。

限制：正整数。

默认值：0

注意：设置为 0 时，CA ControlMinder 会累积备份文件而不会删除较早的文件。

audit_size

指定审核日志文件的最大大小 (KB)。

最大值：50 KB。

默认值：24000

注意：在审核文件大小超过 2 GB 时，CA ControlMinder 会停止将审核记录写入审核文件。

BackUp_Date

指定 CA ControlMinder 备份审核日志文件的条件，以及 CA ControlMinder 是否在备份文件名中添加时间戳。

CA ControlMinder 始终在审核日志文件达到 audit_size 配置设置中指定的大小时备份该文件。

值：none、yes、daily、weekly 和 monthly。

yes－CA ControlMinder 在审核日志文件达到 audit_size 中指定的大小时对其进行备份，并在备份文件名中添加时间戳。
none－CA ControlMinder 在审核日志文件达到 audit_size 中指定的大小时对其进行备份，但不在备份文件名中添加时间戳。
daily、weekly、monthly－只要达到指定的时间间隔且审核日志文件达到 audit_size 中指定的大小，CA ControlMinder 就会备份审核日志文件，并在备份文件名中添加时间戳。但是，如果在指定时间间隔内没有审核事件写入审核日志文件，则 CA ControlMinder 不会在经过该时间间隔后备份文件。
注意：CA ControlMinder 从第一个审核日志文件的创建时间起计算指定的时间间隔，并在相应日期的午夜备份文件。

示例：该配置设置的值为 weekly，并且 CA ControlMinder 在 4 月 1 日星期五上午 9:00 创建了审核日志文件。在这一周发生了许多审核事件，审核日志文件在 4 月 4 日星期一超过了 audit_size 配置设置。 CA ControlMinder 在 4 月 4 日备份审核日志文件，并在备份文件名中添加时间戳。在第一次创建审核日志文件之后的一周，即 4 月 8 日星期五的午夜，CA ControlMinder 再次备份审核日志文件，并在备份文件名中添加时间戳。

默认值：NONE

cmd_log

指定与键盘记录器 cmdlog 二进制文件的链接。

默认值：/etc/AC

error_back

指定键盘记录器错误日志备份文件的名称。

默认值：ACInstallDir/log/kbl.error.bak

error_group

指定可读取错误日志文件的组。如果将此标记设置为 none，则只有 root 用户可以读取错误日志文件。 CA ControlMinder 不会验证该标记值，因此如果您输入了无效的组名，CA ControlMinder 就不会将任何权限分配到错误日志文件。

要更改现有错误日志文件的组所有权，请完成以下步骤：

使用 selang 命令 chgrp 设置文件的组所有权。

通过输入以下命令，更改 UNIX 权限：

chmod 640 ACInstallDir/log/seos.audit

默认值：none

error_log

指定键盘记录器错误日志文件的名称。

默认值：ACInstallDir/log/kbl.error

error_size

定义错误日志文件的最大大小 (KB)。

限制：最小值为 50 KB。

默认值：500

kbl_enabled

指定是否启用键盘记录器。

值：yes、no

默认值：no

kbl_flush_timeout

指定用户会话非活动状态的时间间隔（秒），在此间隔后可打印的记录数据将存储在 kbl 审核文件中。将此标记设置为 0 可将其禁用。

默认值：30

Kbl_seos_trace

指定 seosd 是否在会话上激活跟踪，并将用户活动数据发送到键盘记录器。

值：yes、no

默认值：yes

OS_etc_shells

指定操作系统 shell 文件的名称。

默认值：/etc/shells

socket_name

指定键盘记录器审核管理器的套接字名称。

默认值：ACInstallDir/kblserver