2.2.4 审计事件分类

2.2.4  审计事件分类

审计系统的消息事件分为以下几个部分：

1000～1099用于审计系统的命令。

1100～1199 用户空间可信的应用程序消息。

1200～1299 审计后台的内部消息。

1300～1399 审计事件消息。

1400～1499 SELinux使用的消息。

1500～1599 内核LSPP事件。

1600～1699 内核加密（crypto）事件。

1700～1799 内核正常记录。

1800～1999 将来内核使用（可能是整数标签和相关的事件）。

2000 用于其他没有分类的内核审计消息（假想）。

2001～2099 未使用（内核）。

2100～2199 用户空间正常记录。

2200～2299 用户空间对正常记录相应的动作。

2300～2399 用户空间产生的LSPP事件。

2400～2499 用户空间加密事件。

2500～2999 用户空间将来使用（可能是整数标签和相应的事件）。

1000～1199是内核和用户空间双向使用的，1200~1299和2100~2999是用户空间专有的，1300~2099是内核-->用户空间通信用的。

审计事件的详细定义在linux26/include/linux/audit.h中实现，事件的定义在内核和用户空间的审计系统都是一致的。内核审计系统根据审计事件执行相应的操作或者完成相应的审计消息过滤。