usr/src/man/man1m/audit_warn.1m

   1 '\" te
   2 .\" Copyright (c) 2003, Sun Microsystems, Inc. All Rights Reserved.
   3 .\" The contents of this file are subject to the terms of the Common Development and Distribution License (the "License").  You may not use this file except in compliance with the License.
   4 .\" You can obtain a copy of the license at usr/src/OPENSOLARIS.LICENSE or http://www.opensolaris.org/os/licensing.  See the License for the specific language governing permissions and limitations under the License.
   5 .\" When distributing Covered Code, include this CDDL HEADER in each file and include the License file at usr/src/OPENSOLARIS.LICENSE.  If applicable, add the following below this CDDL HEADER, with the fields enclosed by brackets "[]" replaced with your own identifying information: Portions Copyright [yyyy] [name of copyright owner]
   6 .TH AUDIT_WARN 1M "Apr 16, 2008"
   7 .SH NAME
   8 audit_warn \- audit daemon warning script
   9 .SH SYNOPSIS
  10 .LP
  11 .nf
  12 \fB/etc/security/audit_warn\fR [\fIoption\fR [\fIarguments\fR]]
  13 .fi
  14
  15 .SH DESCRIPTION
  16 .sp
  17 .LP
  18 The \fBaudit_warn\fR utility processes warning or error messages from the audit
  19 daemon. When a problem is encountered, the audit daemon, \fBauditd\fR(1M) calls
  20 \fBaudit_warn\fR with the appropriate arguments. The \fIoption\fR argument
  21 specifies the error type.
  22 .sp
  23 .LP
  24 The system administrator can specify a list of mail recipients to be notified
  25 when an audit_warn situation arises by defining a mail alias called
  26 \fBaudit_warn\fR in \fBaliases\fR(4). The users that make up the
  27 \fBaudit_warn\fR alias are typically the \fBaudit\fR and \fBroot\fR users.
  28 .SH OPTIONS
  29 .sp
  30 .LP
  31 The following options are supported:
  32 .sp
  33 .ne 2
  34 .na
  35 \fB\fBallhard\fR \fIcount\fR\fR
  36 .ad
  37 .sp .6
  38 .RS 4n
  39 Indicates that the hard limit for all filesystems has been exceeded \fIcount\fR
  40 times. The default action for this option is to send mail to the
  41 \fBaudit_warn\fR alias only if the \fIcount\fR is \fB1\fR, and to write a
  42 message to the machine console every time. It is recommended that mail
  43 \fInot\fR be sent every time as this could result in a the saturation of the
  44 file system that contains the mail spool directory.
  45 .RE
  46
  47 .sp
  48 .ne 2
  49 .na
  50 \fB\fBallsoft\fR\fR
  51 .ad
  52 .sp .6
  53 .RS 4n
  54 Indicates that the soft limit for all filesystems has been exceeded. The
  55 default action for this option is to send mail to the \fBaudit_warn\fR alias
  56 and to write a message to the machine console.
  57 .RE
  58
  59 .sp
  60 .ne 2
  61 .na
  62 \fB\fBauditoff\fR\fR
  63 .ad
  64 .sp .6
  65 .RS 4n
  66 Indicates that someone other than the audit daemon changed the system audit
  67 state to something other than \fB\fR\fBAUC_AUDITING\fR\fB\&. \fR The audit
  68 daemon will have exited in this case. The default action for this option is to
  69 send mail to the \fBaudit_warn\fR alias and to write a message to the machine
  70 console.
  71 .RE
  72
  73 .sp
  74 .ne 2
  75 .na
  76 \fB\fBebusy\fR\fR
  77 .ad
  78 .sp .6
  79 .RS 4n
  80 Indicates that the audit daemon is already running. The default action for this
  81 option is to send mail to the \fBaudit_warn\fR alias and to write a message to
  82 the machine console.
  83 .RE
  84
  85 .sp
  86 .ne 2
  87 .na
  88 \fB\fBgetacdir\fR \fIcount\fR\fR
  89 .ad
  90 .sp .6
  91 .RS 4n
  92 Indicates that there is a problem getting the directory list or plugin list
  93 from \fBaudit_control\fR(4). The audit daemon will hang in a sleep loop until
  94 the file is fixed. The default action for this option is to send mail to the
  95 \fBaudit_warn\fR alias only if \fIcount\fR is \fB1\fR, and to write a message
  96 to the machine console every time. It is recommended that mail \fInot\fR be
  97 sent every time as this could result in a the saturation of the file system
  98 that contains the mail spool directory.
  99 .RE
 100
 101 .sp
 102 .ne 2
 103 .na
 104 \fB\fBhard\fR \fIfilename\fR\fR
 105 .ad
 106 .sp .6
 107 .RS 4n
 108 Indicates that the hard limit for the file has been exceeded. The default
 109 action for this option is to send mail to the \fBaudit_warn\fR alias and to
 110 write a message to the machine console.
 111 .RE
 112
 113 .sp
 114 .ne 2
 115 .na
 116 \fB\fBnostart\fR\fR
 117 .ad
 118 .sp .6
 119 .RS 4n
 120 Indicates that auditing could not be started. The default action for this
 121 option is to send mail to the \fBaudit_warn\fR alias and to write a message to
 122 the machine console. Some administrators may prefer to modify \fBaudit_warn\fR
 123 to reboot the system when this error occurs.
 124 .RE
 125
 126 .sp
 127 .ne 2
 128 .na
 129 \fB\fBplugin\fR \fIname\fR \fIerror\fR \fIcount\fR \fItext\fR\fR
 130 .ad
 131 .sp .6
 132 .RS 4n
 133 Indicates that an error occurred during execution of the \fBauditd\fR plugin
 134 \fIname\fR. The default action for this option is to send mail to the
 135 \fBaudit_warn\fR alias only if \fIcount\fR is 1, and to write a message to the
 136 machine console every time. (Separate counts are kept for each error type.) It
 137 is recommended that mail not be sent every time as this could result in the
 138 saturation of the file system that contains the mail spool directory. The
 139 \fItext\fR field provides the detailed error message passed from the plugin.
 140 The \fIerror\fR field is one of the following strings:
 141 .sp
 142 .ne 2
 143 .na
 144 \fB\fBload_error\fR\fR
 145 .ad
 146 .RS 16n
 147 Unable to load the plugin \fIname\fR.
 148 .RE
 149
 150 .sp
 151 .ne 2
 152 .na
 153 \fB\fBsys_error\fR\fR
 154 .ad
 155 .RS 16n
 156 The plugin \fIname\fR is not executing due to a system error such as a lack of
 157 resources.
 158 .RE
 159
 160 .sp
 161 .ne 2
 162 .na
 163 \fB\fBconfig_error\fR\fR
 164 .ad
 165 .RS 16n
 166 No plugins loaded (including the binary file plugin, \fBaudit_binfile\fR(5))
 167 due to configuration errors in \fBaudit_control\fR(4). The name string is
 168 \fB--\fR to indicate that no plugin name applies.
 169 .RE
 170
 171 .sp
 172 .ne 2
 173 .na
 174 \fB\fBretry\fR\fR
 175 .ad
 176 .RS 16n
 177 The plugin \fIname\fR reports it has encountered a temporary failure. For
 178 example, the \fBaudit_binfree.so\fR plugin uses \fBretry\fR to indicate that
 179 all directories are full.
 180 .RE
 181
 182 .sp
 183 .ne 2
 184 .na
 185 \fB\fBno_memory\fR\fR
 186 .ad
 187 .RS 16n
 188 The plugin \fIname\fR reports a failure due to lack of memory.
 189 .RE
 190
 191 .sp
 192 .ne 2
 193 .na
 194 \fB\fBinvalid\fR\fR
 195 .ad
 196 .RS 16n
 197 The plugin \fIname\fR reports it received an invalid input.
 198 .RE
 199
 200 .sp
 201 .ne 2
 202 .na
 203 \fB\fBfailure\fR\fR
 204 .ad
 205 .RS 16n
 206 The plugin \fIname\fR has reported an error as described in \fItext\fR.
 207 .RE
 208
 209 .RE
 210
 211 .sp
 212 .ne 2
 213 .na
 214 \fB\fBpostsigterm\fR\fR
 215 .ad
 216 .sp .6
 217 .RS 4n
 218 Indicates that an error occurred during the orderly shutdown of the audit
 219 daemon. The default action for this option is to send mail to the
 220 \fBaudit_warn\fR alias and to write a message to the machine console.
 221 .RE
 222
 223 .sp
 224 .ne 2
 225 .na
 226 \fB\fBsoft\fR \fIfilename\fR\fR
 227 .ad
 228 .sp .6
 229 .RS 4n
 230 Indicates that the soft limit for \fIfilename\fR has been exceeded. The default
 231 action for this option is to send mail to the \fBaudit_warn\fR alias and to
 232 write a message to the machine console.
 233 .RE
 234
 235 .sp
 236 .ne 2
 237 .na
 238 \fB\fBtmpfile\fR\fR
 239 .ad
 240 .sp .6
 241 .RS 4n
 242 Indicates that the temporary audit file already exists indicating a fatal
 243 error. The default action for this option is to send mail to the
 244 \fBaudit_warn\fR alias and to write a message to the machine console.
 245 .RE
 246
 247 .SH ATTRIBUTES
 248 .sp
 249 .LP
 250 See \fBattributes\fR(5) for descriptions of the following attributes:
 251 .sp
 252
 253 .sp
 254 .TS
 255 box;
 256 c | c
 257 l | l .
 258 ATTRIBUTE TYPE  ATTRIBUTE VALUE
 259 _
 260 Interface Stability     Evolving
 261 .TE
 262
 263 .sp
 264 .LP
 265 The interface stability is evolving. The file content is unstable.
 266 .SH SEE ALSO
 267 .sp
 268 .LP
 269 \fBaudit\fR(1M), \fBauditd\fR(1M), \fBbsmconv\fR(1M), \fBaliases\fR(4),
 270 \fBaudit.log\fR(4), \fBaudit_control\fR(4), \fBattributes\fR(5)
 271 .sp
 272 .LP
 273 See the section on Solaris Auditing in \fISystem Administration Guide: Security
 274 Services\fR.
 275 .SH NOTES
 276 .sp
 277 .LP
 278 This functionality is available only if the Solaris Auditing feature has been
 279 enabled. See \fBbsmconv\fR(1M) for more information.
 280 .sp
 281 .LP
 282 If the audit policy \fBperzone\fR is set, the \fB/etc/security/audit_warn\fR
 283 script for the local zone is used for notifications from the local zone's
 284 instance of \fBauditd\fR. If the \fBperzone\fR policy is not set, all
 285 \fBauditd\fR errors are generated by the global zone's copy of
 286 \fB/etc/security/audit_warn\fR.