Solaris 11审计问题：audit_control文件无法找到

嘿，别担心，Solaris 11的审计系统确实和旧版本（比如Solaris 10）有不少变化，/etc/security/audit_control这个静态配置文件默认已经不再使用了——现在审计配置是通过SMF服务和auditconfig动态管理的，这也是你找不到它的原因。

下面给你一套替代方案，完全可以完成你安全加固清单里的任务：

1. 获取当前审计目录 #

直接用auditconfig命令就能拿到审计目录，不需要依赖那个不存在的文件：

# 直接获取审计目录，输出格式类似 "audit directory = /var/audit"
auditconfig -getdir

如果要自动提取目录路径，可以用awk来过滤：

AUDIT_DIR=$(auditconfig -getdir | awk '{print $3}')

2. 设置目录属主和权限 #

拿到目录路径后，就可以按照加固要求设置属主和权限了。通常审计目录的属主应该是root，权限设为700（避免其他用户访问审计日志），命令如下：

# 设置属主为root（如果加固要求组是sys，就改成root:sys）
chown root:root "$AUDIT_DIR"

# 设置严格的权限
chmod 700 "$AUDIT_DIR"

补充说明 #

如果你的加固清单里明确提到了audit_control文件，你也可以手动生成它（不过其实没必要，动态配置更可靠）：

# 将当前审计配置保存到audit_control文件
auditconfig -save

执行后/etc/security/audit_control就会生成，但后续修改还是推荐用auditconfig命令，因为SMF会优先读取动态配置。

内容的提问来源于stack exchange，提问作者nlks