Первый шаг для обеспечения целостности и полноценности ваших файлов регистрации весьма прост: включите регистрацию в своих особо важных системах! Весьма часто я привлекался к расследованию нарушений безопасности только для того, чтобы обнаружить, что регистрация по умолчанию отключена на многих серверах из числа охваченных расследованием. У меня портится настроение, когда я прихожу к такому заключению. Ваша организация должна иметь политику или стандарт, которыми бы устанавливалась обязательность регистрации. Кроме того, вы должны периодически ревизовать свои системы, чтобы убедиться, что регистрация включена в соответствии с вашей политикой.
Другой необходимой мерой защиты регистрационной и учетной информации в особо важных системах является установка надлежащих разрешений на регистрационные файлы, так же как (для систем UNIX) на utmp, wtmp, last log и на пользовательские хронологии оболочки. Несмотря на то что конкретные разрешения меняются в зависимости от операционной системы, вам следует сконфигурировать свою систему так, чтобы обеспечить минимально возможный доступ к чтению и записи файлов регистрации. В частности, файлы регистрации системы безопасности и ядра должны быть созданы таким образом, чтобы их мог читать и записывать только пользователь с правами root, если ваш клон UNIX позволяет столь узкие ограничения разрешений. Некоторые варианты UNIX требуют, чтобы конкретные файлы регистрации записывались только обладателем конкретной учетной записи, а не пользователем root. Если это верно для вашей разновидности UNIX, удостоверьтесь, что вы предоставили для доступа к файлам регистрации минимально необходимые разрешения, обеспечивающие работу должным образом.
