出處：http://www.xxlinux.com/linux/article/unix/rumen/2006-06-25/2116.html
一、帳號和口令安全策略?
1.1更改口令文件、影像文件、組文件的權限?
????/etc/passwd?必須所有用戶都可讀，root用戶可寫?–rw-r—r—?
????/etc/shadow?只有root可讀?–r--------?
????/etc/group?必須所有用戶都可讀，root用戶可寫?–rw-r—r—?
1.2修改不必要的系統帳號?
? ???移去或者鎖定那些系統帳號，比如sys、uucp、nuucp、listen、lp、adm等等，簡單的辦法是在 /etc/shadow的password域中放上NP字符。還可以考慮將/etc/passwd文件中的shell域設置成 /bin/false?
1.3修改口令策略?
????修改/etc/default/passwd文件?
????MAXWEEKS=4?口令至少每隔4星期更改一次?
????MINWEEKS=1?口令至多每隔1星期更改一次?
????WARNWEEKS=3?修改口令后第三個星期會收到快要修改口令的信息?PASSLENGTH=6?用戶口令長度不少于6個字符
二、用戶授權安全策略?2.1移去組及其它用戶對/etc的寫權限。?
????執行命令#chmod?-R?go-w?/etc?
2.2禁止root遠程登錄?
????在/etc/default/login中設置?
????CONSOLE=/dev/concle?
2.3setuid和setgid特殊權限。?
????Setuid 是指設置程序的有效執行用戶身份(uid)為該文件的屬主,而不是調用該程序進程的用戶身份。Setgid與之類似。Setuid和setgid用1s? -1顯示出來為s權限,存在于主人和屬組的執行權限的位置上。系統設置特殊權限，使用戶執行某些命令時,具有root的執行權限,?命令執行完成, ?root身份也隨之消失。因此特殊權限關系系統的安全，可執行命令#find?/?-perm?-4000?-print?尋找系統中具有setuid 權限的文件，存為列表文件，定時檢查有沒有這之外的文件被設置了setuid權限。?
2.4審計并日志所有以root身份的登陸情況?
????添加或編輯/etc/default/login文件如下：?
????SYSLOG=?YES?
????syslog記錄root的登陸失敗，成功的情況。?
2.5設置遠程登陸會話超時時間?
????添加或編輯/etc/default/login文件如下：?
????TIMEOUT=?300?
2.6確定登陸需要密碼驗證?
????添加或編輯/etc/default/login文件如下：?
????PASSREQ=?YES?
2.7?UMASK設置?
? ???umask命令設置用戶文件和目錄的文件創建缺省屏蔽值,若將此命令放入.profile文件,就可控制該用戶后續所建文件的存取許可.umask命令與chmod命令的作用正好相反,它告訴系統在創建文件時不給予什么存取許可.?
????安裝配置完操作系統之后確認root的umask設置是077或者027，執行?
????/usr/bin/umask?[-S]?確認。?
2.7.1增加或修改/etc/default/login文件中如下行?
????UMASK=027?
2.7.2并增加上行到如下的文件中：?
????/etc/.login?/etc/.profile?/etc/skel/local.cshre?
????/etc/skel/local.login?/etc/skel/local.profile?
2.8用戶環境配置文件的PATH或者LD_LIBRARY_PATH中移去“.”?。?
? ???從如下的文件中移走”.”,確認root的PATH環境變量設置是安全的，應該只包含/usr/bin: /sbin:/usr/sbin，避免當前工作目錄.出現在PATH環境變量中，這有助于對抗特洛伊木馬。?
????#echo?$PATH?|?grep?":."?確認?
????/.login?/etc/.login? ?/etc/default/login? ?
????/.cshrc?/etc/skel/local.profile?/etc/skel/local.cshrc?
????/.profile /etc/skel/local.login?/etc/profile
三、網絡與服務安全策略?3.1關閉不用的服務?
3.1.1在inetd.conf中關閉不用的服務?
???? 首先復制/etc/inet/inetd.conf。 ?#cp?/etc/inet/inetd.conf?/etc/inet/inetd.conf.backup然后用vi編輯器編輯 inetd.conf文件，對于需要注釋掉的服務在相應行開頭標記“#”字符即可。?
3.1.2在Services中關閉不用的服務?
????首先復制/etc/inet/services。?#cp?/etc/inet/services?/etc/inet/services.backup?
然后用vi編輯器編輯Services文件，對于需要注釋掉的服務在相應行開頭標記“#”字符即可。?
在inetd.conf、services中進行修改后，找到inetd進程的ID號，用kill向其發送HUP信號進行刷新。舉例如下。?
????#ps?-ef?|?grep?inetd?
????#kill?-HUP?進程號?或/usr/sbin/inetd?–s?–t?
????增加-t選項以加強網絡訪問控制?
3.1.3根據需要關閉不用的服務?
? ???可關閉如下服務：tftp、ypupdate(NIS程序)、?dtspcd(郵件收發程序) ?、rquotad、name、uucp(網絡實用系統)、snmp(簡單網絡管理協議)等。?
3.2關閉系統的自啟動服務?
????在系統/etc/rc*.d的目錄下，根據需要停用以下服務:?
????sendmail?把/etc/rc2.d/S88sendmai更名為tc/rc2.d/X88sendmail?
????DNS?將/etc/rc2.d/S72inetsv注釋掉in.named一項?
????lp?把/etc/rc2.d/S80lp更名為?/etc/rc2.d/X80lp?
????uucp?把/etc/rc2.d/S70uucp更名為/etc/rc2.d/x70uucp?
? ???snmp把/etc/rc3.d/S76snmpdx和? /etc/rc3.d/S77dmi?更名?為/etc/rc3.d/s76snmpdx和 /etc/rc3.d/s77dmi?
????autoinstall?把/etc/rc2.d/S72autoinstallg更名為/etc/rc2.d/s72autoinstall?
3.3加強FTP服務安全?
3.3.1禁止系統用戶的FTP服務?
????把所有的系統賬戶加入到/etc/ftpusers(solaris?9的該文件現更改為/etc/ftpd/ftpusers)文件：?
????root?、daemon、sys、bin、adm、lp、uucp、nuucp、listen、nobody?
3.3.2禁止FTP&服務暴露系統敏感信息?
? ???編輯/etc/default/ftpd文件，假如文件不存在就新建一個，在文件中的加進入下一項：? ???BANNER=XXXX(XXXX可以任意改變為任何一個版本信息)，將該系統版本信息屏蔽.?
3.3.3ftp服務會話日志記錄?
????/etc/inet/inetd.conf中的ftpd為（記錄）?
????ftp?stream?tcp?nowait?root?/usr/sbin/in.ftpd?in.ftpd?–dl?
3.4加強Telnet服務安全?
3.4.1禁止Telnet服務暴露系統敏感信息?
? ???防止telnetd?banner泄露信息?，修改/etc/default/telnetd 文件?，加入以下一項：BANNER=XXXX(XXXX可以任意改變為任何一個版本信息)，將該系統版本信息屏蔽.?
3.4.2更改Telnet服務端口號?
????修改文件/etc/services的Telnet一項，將端口號改為非23，使用Telnet服務時需注明端口號。?
3.5加強NFS服務安全?
????檢查/etc/dfs/dfstab文件share語句，缺省時共享目錄為可讀可寫，加入“-o”選項增加安全，“-o?rw”可讀可寫，“-o?ro”只讀，可授權某系統和某用戶。?
3.6防止TCP序列號預測攻擊(ip欺騙)?
????在/etc/default/inetinit中增加設置來防止TCP序列號預測攻擊(ip欺騙)TCP_STRONG_ISS=2?
3.7系統路由安全?
???? 如果Solaris機器有超過一塊的網卡的話，它將會在不同網卡間轉發數據包，這一行為可以在/etc/init.d/inetinit中得到控制。要在 Solaris?2.4或者更低版本機器下關閉它，可以將ndd?-set?/dev/ip?ip_forwarding?0添加于在inetinit文件未尾。在Solaris?2.5以上，只要touch?/etc/notrouter.網絡系統用靜態路由比較安全。?
3.8調整網絡參數，加強網絡安全?
????使IP?forwarding和sourec?routing(源路)由無效?
? ???在Inetinit中使IP?forwarding和sourec?routing(源路)由無效(假如有超過一個網絡接口的話)。在/etc/init.d/inetinit中增加下面所示設置:?
????禁止系統轉發定向廣播包?
????#ndd?-set?/dev/ip?ip_forward_directed_broadcasts?0?
????關閉原路由尋址?：#ndd?-set?/dev/ip?ip_forward_src_routed?0?
????禁止系統轉發IP包：#ndd?-set?/dev/ip?ip_forwarding?0?
????縮短ARP的cache保存時間:?(default?is?5?min)?
????#ndd?-set?/dev/arp?arp_cleanup_interval?2?min?
????關閉echo廣播來防止ping攻擊（?#?default?is?1?）?
????#ndd?-set?/dev/ip?ip_respond_to_echo_broadcast?0
四、防止堆棧緩沖益出安全策略????? 入侵者常常使用的一種利用系統漏洞的方式是堆棧溢出，他們在堆棧里巧妙地插入一段代碼，利用它們的溢出來執行，以獲得對系統的某種權限。要讓你的系統在堆棧緩沖溢出攻擊中更不易受侵害，你可以在/etc/system里加上如下語句：set?noexec_user_stack=1?
set?noexec_user_stack_log?=1?
????第一句可以防止在堆棧中執行插入的代碼，第二句則是在入侵者想運行exploit的時候會做記錄。
五、日志系統安全策略?
5.1定時檢查系統日志文件?
????Solaris 系統通過syslogd進程運行日志系統，配置文件/etc/syslog.conf，可編輯此文件讓日志系統記錄更多信息，需重啟 /usr/sbin/syslogd進程，重讀取配置文件。通常日志系統的文件分別存放在兩個位置，/var/adm保存本地系統日志，/var/log 保存登錄其它系統時日志。
5.2設置utmpx和wtmpx文件權限，確保日志系統安全。?
????文件/var/adm/utmpx記錄了所有當前登錄到系統中的用戶，文件/var/adm/wtmpx記錄了系統所有的登錄和注銷。這兩個文件是以數據庫的格式存在的。
設置權限#chmod?544?/var/adm/utmpx?
????????????#chmod?544?/var/adm/wtmpx
六、其它系統安全設置?
6.1?crontab命令?
6.1.1不要使用crontab?–e命令，因為它會在/tmp下建立所有用戶都可讀的crontab副本訪問cron系統。用如下的方法：?
編輯文件：mycronfile?
crontab<mycronfile?
6.1.2在/etc/default/cron文件中增加如下行：?CRONLOG=YES?記錄所有的crontab行為?
6.2對su的紀錄?
????創建/etc/default/su文件?
????SULOG=/var/adm/sulog?
????SYSLOG=YES?
????CONSOLE=/dev/console?
????PATH=/usr/bin:?
????SUPATH=/usr/sbin:/usr/bin?
6.3為OpenBoot設置密碼?
????在Solaris中設置密碼?
????#eeprom?security-password?
????在OpenBoot中設置密碼?
????ok?password?
????在Solaris中設置安全級別（command）?
????#eeprom?security-mode=command?
????在OpenBoot中設置安全級別（command）?
????ok?setenv?security-mode?command?
????在OpenBoot中設置安全級別（full）?
????ok?setenv?security-mode?full?
6.4限制.rhosts和/etc/hosts.equiv文件的使用?
???? 配置文件具有兩種功能：r系列命令使用這些文件來訪問系統;在某用戶的目錄下存在.rhosts文件或/etc/hosts.equiv文件配有某系統，任何用戶都可以通過rlogin不需要口令以該用戶的身份登錄到系統。因此要為這些文件加鎖，先創建它們，然后修改其屬性為零即可。這樣除了root用戶就沒有其它用戶能創建或修改它們了。?
????/usr/bin/touch /.rhosts /etc/hosts.equiv?
????/usr/bin/chmod 0 /.rhosts /etc/hosts.equiv?
????.rhosts文件可以作為一個典型的后門文件使用，運行下面的命令全局查找.rhosts文件?
#find?-name“.rhosts”-print?
6.5給系統打補丁?
???? 象其它的系統一樣，Solaris系統也有它的漏洞，其中的一些從性質上來說是相當嚴重的。SUN公司長期向客戶提供各種版本的最新補丁，放在http: //sunsolve.sun.com網站?？捎?showrev?–p命令檢查系統已打的補丁或到/var/sadm/patch目錄下查已打過的補丁號，用patchadd命令給系統打補丁。?
七、Setuid設置和Solaris操作系統安全?
http://bbs.chinaunix.net/forum/viewtopic.php?t=302945&highlight=Setuid?
????在Solaris中,文件除了讀、寫、執行權限外，還有一些特殊權限。?Setuid和setgid是其中的一類。它與Solaris系統的安全關系緊密。?
? ???Setuid是指設置程序的有效的執行用戶身份（uid）為該文件的主人，而不是調用該程序的進程的uid。 Setgid與之類似。Setuid和setgid用ls?–l顯示出來為s權限，存在于主人和屬組的執行權限的位置上。?
????這種權限的設置方法如下：?
????只設setuid：?chmod?4xxx?filename?(xxx為一般讀、寫、執行權限)?
????只設setgid：?chmod?2xxx?filename?
????同時設setuid和setgid：?chmod?6xxx?filename?
????取消兩種權限：?chmod?0xxx?filename?
????這種權限怎么用？?
???? 舉個例子來說，假如某一命令（程序）的主人是root用戶，并且該文件有setuid屬性，但是該文件的讀、寫、執行權限的屬性表明普通用戶user1可以執行該命令，那么就表示：當該用戶執行該命令時，他具有root的執行身份，并獲得相應的權限。一旦該命令執行完成，該身份也隨之消失。?
????為什么系統中需要有這樣的權限呢？請執行以下操作：?
????7.1.?$?ls?–l?/etc/shadow?/bin/passwd?
? ???????-r-sr-sr-x?3?root? sys?99792?1999?2月?12?/bin/passwd?
? ???????-r--------?1?root? sys?261?1月?3?13：12?/etc/shadow?
????/etc/shadow 文件由于存有用戶的加密口令信息，對系統的安全至關重要，因此權限很嚴，只有root憑其對系統的至高無上的權限才得以對/etc/shadow可讀可寫。但是系統必須允許普通用戶也能修改自己的口令。要讓他們對/etc/shadow可寫，又不能可讀，而且可寫又不能允許他們改別人的口令，怎么辦？系統就采取這樣一個辦法：做一個程序，?也就是/bin/passwd，通過它可以在不顯示文件內容的情況下直接修改/etc/shadow文件。可是這個程序怎么能有這樣的權限？因為系統賦予它setuid權限，而且它屬于root.這樣，用戶在使用/bin/passwd改口令時就有root權限.由于 /bin/passwd命令本身功能的局限性，用戶并不能用它做更多的不利于系統安全的事。?
????7.2.?用普通用戶身份修改口令?
????$?passwd?
??????Enter?login?password:?****?
??????New?password:******?
??????Re-enter?new?password:******?
??????Passwd(SYSTEM):?passwd?successfully?changed?for?xxx?.?
??????可以成功。?
????7.3.?用超級用戶修改/bin/passwd的權限?
????#?chmod?0555?/bin/passwd?
????7.4.?再重復2，是否還成功？當然不。?
????7.5．把/bin/passwd的權限恢復原狀。?
?????#?chmod?6555?/bin/passwd?
???? 對此可以打一個生動的比喻：有一個絕密機關，不得已必須有一些不能見這些秘密的人進來做一些事情。于是授權一些特殊的“車輛”（沒有窗戶，門緊閉，所以看不到外面。只有一個小洞允許乘坐的人伸出一只手臂），帶著所乘坐的人開到要去的地方，允許它辦完事情馬上帶他出來。這樣是不是很安全？不一定。如果“車輛”沒有經過精挑細選是有很多“門窗”，那系統可就危險了。?
????這種安全威脅在Solaris中也有可能出現。比如做一下下面這個實驗：?
????7.6.?$?vi?/etc/shadow?
?????/etc/shadow:?Permission?denied.?
????7.7.?用超級用戶身份?
????#?chmod?6555?/bin/vi?
????#?chown?root?/bin/vi?
? ???7.8.?這次再用普通用戶身份試一試第6步，有什么結果？這次你能以普通用戶身份修改? ????????/etc/shadow了?。〉?
$?more?/etc/shadow仍然不成功，說明在執行/bin/passwd時有超級用戶權限，平時仍是普通用戶身份。?
????再來看一個令人不安的情況：?
????7.9．用超級用戶身份?
????#?chmod?6555?/bin/ksh?
????#?chown?root?/bin/ksh?
????7.10.?用普通用戶身份?
????$?ksh?
????#?
????發生了什么情況？？普通用戶不需要root口令就變成了root?。?！?
????好可怕。如果有一個用戶曾有一次獲得超級用戶權限，并通過類似的方式給自己設置了后門（也可能放了一個類似的文件在他自己的家目錄中），以后他就可以隨時變成超級用戶了。?
怎么能避免setuid的不安全影響，又利用其方便的地方？這里有幾點建議：?
關鍵目錄應嚴格控制寫權限。比如/，/usr等。?
????對不管是root帳號還是普通用戶帳號的保密都有足夠的重視。最好不要設置類似于guest、public、test之類公用的容易猜出口令的帳號。?
????對系統中應該具有setuid權限的文件作一列表，定時檢查有沒有這之外的文件被設置了setuid權限。?
????下面有一個自己編的小程序與大家分享。?
????程序功能描述：檢查有沒有/usr/secu/masterlist文件記錄之外的其它文件被設置了setuid權限?
????事先要求：在系統調試完成，所有需要安裝的軟件安裝好以后，執行下面命令生成檢查對照文件?
????#?mkdir?–p?/usr/secu?
????#?find?/?-perm?–4000?–print?>;?/usr/secu/masterlist?
????程序：?
????cd?/tmp?
????[?-f?secrcheck?]?&&?rm?secrcheck?find?/?-perm?-4000?-print?>;secrcheck?for?f?in?`cat?secrcheck`?do?grep?-w?$f?/usr/secu/masterlist?>;/dev/null?if?[?"$?"?!=?"0"?];?then?echo?$f?is?not?in?list?
????fi?done?
????rm?secrcheck?在需要對系統做檢查時，執行本shell程序。也可以放在定時進程中定時檢查。程序由于需要在整個文件系統中做查找操作，需要比較長的時間。?
?????請您作完本文中的實驗后，別忘把文件的權限改回原狀。
八、Solaris系統安全之審計
作為C2安全等級操作系統（公安部二級），Solaris最主要的安全功能之一就是審計功能，本文將簡單介紹Solaris審計功能的使用和啟動。
目的：紀錄系統和用戶事件，并對審計過程自身進行保護。這里值得注意的就是紀錄事件的細度。Solaris提供了很強大的審計功能，甚至可以紀錄每一條調試信息，但是這樣做是不明智的，因為很多信息對用戶沒用，而且會使系統性能下降。審計細度需要管理員根據用途和需要自行訂制。?
實現：?
????8.1.?查看日志?
????1)?history文件?
????通常在根目錄下，隱藏文件，記錄了root執行的命令?
????2)?/var/adm?
????messages：記載來自系統核心的各種運行日志，可以記載的內容是由/etc/syslog.conf決定的?
????sulog：記載著普通用戶嘗試su成為其它用戶的紀錄。它的格式為：?發生時間?+/-(成功/失敗)?pts號?
????utmpx：這兩個文件是不具可讀性的，它們記錄著當前登錄在主機上的用戶，管理員可以用w，who等命令來看?
????wtmpx：相當于歷史紀錄，記錄著所有登錄過主機的用戶，時間，來源等內容，可用last命令來看?
????3)?/var/log?
????syslog文件，這個文件的內容一般是紀錄mail事件的?
????8.2.?syslog?
????1)?實時錯誤檢查：?
????tail?–f?/var/adm/messages?
????-f在監視器上允許看見每條記錄?/var/adm/messages記錄事件路徑?
????2)?/etc/syslog.conf語法：?
????*.err;kern.debug;deamon.notice;mail.crit?/var/adm/messages?
????工具認可的值?
????值?描述?
????user?用戶進程產生的消息。這是來自沒有在文件列表中的設備的消息的默認優先級?
????kern?由內核產生的消息?
????mail?郵件系統?
????daemon?系統守護進程?
????auth?授權系統，如login、su?
????lpr?行式打印機假脫機系統?
????news?網絡新聞系統USENET保留值?
????uucp?為UUCP系統保留值，目前UUCP不使用syslog機制?
????cron?Cron/at工具；crontab、at、cron?
????local0-7?為本地使用保留?
????mark?內部用于由syslog產生的時間戳消息?
????*?除標記工具之外的所有工具?
????級別認可的值（按重要性降序排列）?
????emerg?用于通常必須廣播給所有用戶的恐慌情況?
????alert?必須立即被修正的情況，例如被損壞的系統數據庫?
????crit?用戶對關鍵情況的告警，例如設備錯誤?
????err?用于其他錯誤?
????warning?用于所有的警告信息?
????notice?用于沒有錯誤但是可能需要特別處理的情況。?
????info?通知消息?
????debug?用于通常只在調試時才使用的消息?
????none?不發送從指出的設備發來的消息到選定文件中?
????3)?例如如果要紀錄登錄信息（telnet），可以這樣做：?
????/etc/default/login中：SYSLOG=YES?
????/etc/syslog.conf中添加：auth.notice?/export/home/wangyu/log?
????（把日志記錄在/export/home/wangyu/log文件中，中間不是空格，是Tab）?
????重新啟動syslog守護進程?
????當telnet上去的時候，我們看到/export/home/wangyu/log中有：?
????Sep?11?10:07:25?hlstar?login:?[ID?254462?auth.notice]?ROOT?LOGIN?/dev/pts/1?????FROM?192.168.0.9?
????8.3.?Loghost?
????編輯/etc/syslog.conf，語法：?
????*.err;kern.debug;deamon.notice;mail.crit?@loghost?
????（記錄登錄信息）?
????重新啟動syslog守護進程?
????假設這次我們使用linux做日志主機：?
?????[root@wangyu?root]#/sbin/setup?
????打開配置界面-->;firewall?configuration-->;custom-->;other?ports:?
????寫入?syslog:udp?
????重新啟動防火墻?
????/etc/init.d/iptables?restart或者/etc/init.d/ipchains?restart?
????設置loghost接收網絡日志數據，修改/etc/sysconfig/syslog配置文件：?
????修改?SYSLOGD_OPTIONS="-m?0"?為?SYSLOGD_OPTIONS="-r?-m?0"?
????重新啟動syslog守護進程?
????此時/var/log/messages最下端附近會看到類似下面的信息?
????Aug?11?21:20:30?logserver?syslogd?1.3-3:?restart.?(remote?reception)?
????當telnet上去的時候，我們看到/var/log/messages中有類似下面的信息：?
????Sep?5?11:08:31?mastadon?login:?[ID?507249?auth.notice]?Login?failure?on?/dev/pts/3?from?192.168.0.9,?root?
????8.4.?記帳?
????Solaris操作系統可以通過設置日志文件可以對每個用戶的每一條命令進行紀錄，這一功能默認是不開放的?
????運行/usr/lib/acct/accton?[路徑][文件名]?
????（如/usr/lib/acct/accton?/export/home/wangyu/test，將日志記錄到test中）?
????查看的時候將文件移動到/var/adm目錄下，改名為pacct?
????執行查看命令lastcomm（比如查看用戶root，用命令lastcomm?root）?
? ???8.5.?BSM（以下部分節減自freedemon的“SecU? Solaris?p2.3?BSM審計系統”，詳見????http: //bbs.nsfocus.net/index.php?act=ST&f=10&t=147174）?
????1)?開啟BSM：?
????#?init?1?(重新引導或改變運行級別到單用戶狀態)?
????#/etc/security/bsmconv?(運行BSM初始化腳本，開啟審計功能)?
????#?reboot?(重新啟動系統，或者Ctrl+D改變到多用戶狀態)?
????2)?關閉BSM審計功能：?
????#?init?1?
????#?/etc/security/bsmunconv?
????#?reboot?
????3)?配置文件的功能：?
????BSM所有的配置文件都存放在/etc/security目錄下(?(4)代表詳細信息察看man?(4)?：?
????audit_class(4)?
????審計類別定義?
????audit_control(4)?
????審計進程控制信息?
????audit_data(4)?
????審計進程當前信息?
????audit.log(4)審計日志格式?
????audit_event(4)?
????時間定義到類別的映射文件?
????audit_user(4)?
????按用戶審計時的用戶定義文件?
????除了上面的配置文件之外，系統中還有一些用于BSM管理的腳本。?
????audit_startup(1M)?
????啟動BSM進程運行。?
????auditconfig(1M)?
????讀取配置文件，重新配置audit進程。?
????auditd(1M)?
????審計監控服務。?
????auditreduce(1M)?
????審計事件日志管理，可以調整日志格式，生成時間周期等信息。?
????auditstat(1M)?
????先是內核審計進程狀態。?
????bsmconv(1M)?
????開啟BSM功能。?
????bsmunconv(1M)?
????關閉BSM功能。?
????praudit(1M)?
????打印BSM審計日志內容。?
????4)?BSM應用?
? ???在默認配置情況下，BSM每天(24小時)會生成一個以當天日期為名字的審計日志，存放在?? ??/var/audit目錄下，這個文件具有自己的數據結構，所以直接查看時是亂碼，必須使用系統命令?praudit 來查看。?
????#?praudit?/var/audit/xxxxxx.xxxxxx.log?
? ???另一個可能用到的命令是auditreduce?，這個命令允許管理員對審計日志做一些設置，例如調整審計事件集或調整審計日志生成周期等等。auditreduce和praudit是系統中BSM管理最基本的兩個命令，組合起來可以完成相當多的功能： ?
????用管道聯合兩個命令，會顯示系統中所有的歷史審計事件。?
????#?auditreduce?|?praudit?
????再加上lp，將把所有審計事件直接打印出來。
?? #?auditreduce?|?praudit?|?lp?
? ???如果系統中有相當多的審計信息的話，查找將是非常困難的事情，這條命令可以按照yymmdd的時間格式顯示目標時間段內的審計事件，范例為顯示April?13,?1990,?用戶fred的登錄類別審計事件集。?
????#?auditreduce?-d?900413?-u?fred?-c?lo?|?praudit?
????過濾目標時間所有的登錄日志信息(Class:lo)，并且輸出到一個單獨的日志文件中：?
????#?auditreduce?-c?lo?-d?870413?-O?/usr/audit_summary/logins?
? ???auditreduce的?-b?和?-a?選項允許用戶按照 ?yyyymmdd00:00:00?的時間格式制定一個時間段(Before?&?After)。 ?
????#?auditreduce?-a?91071500:00:00?|?praudit?
????#?auditreduce?-b?91071500:00:00?|?praudit?
????5)?管理工具：?
????eXpert-BSMTM?
????一個很強大的商業BSM分析工具，不過目前也可以免費使用，支持Solaris?7/8?(Sparc|Intel)平臺，可以在下面地址下載。?
http://www.sdl.sri.com/projects/emerald/releases/eXpert-BSM/download.html?
????Sun?WBEM?
????Solaris內置的圖形界面管理工具，也就是AdminConsole，在WBEM?2.3之后的版本支持對BSM信息的管理?？梢杂孟旅婷铋_啟：?
????#?/usr/sadm/bin/wbemadmin?(第一次運行時會安裝一系列的管理腳本)?
????#?/usr/sadm/bin/smc?(開啟管理終端)?
????以上，對Solaris審計系統進行了配置，相信大部分用戶行為和入侵行為都被記錄下來了，并且對日志自身也進行了一定保護。如果管理員能及時分析日志，相信可以捕獲大部分入侵企圖和行為。