Шаблон предназначен для организации безопасного хранения журналов в системе, а именно, для обеспечения их целостности, аутентичности и доступности.
Типовые цели безопасности при применении шаблона: обеспечение целостности, аутентичности и доступности сообщений в журналах событий.
Предположения безопасности включают доверие ядру операционной системы в смысле обеспечения целостности, аутентичности и доступности данных в выделенном буфере ядра.
Предположения и условия, при которых шаблон не может быть применен: альтернативный канал доступа к журналам доступа, который позволяет обходить установленные на основе реализации шаблона ограничения доступа.
Элементы системы, реализующей шаблон:
Взаимодействие элементов шаблона представлено на рисунке 1.
Монитор событий (в том числе это может быть монитор безопасности) реализуется в соответствии с шаблоном «Монитор». Модуль реакции монитора отслеживает события аудита и автоматически отправляет их в буфер ядра через интерфейс по записи.
Агент сбора данных о событиях через специальный интерфейс по чтению (доступ к нему есть только у этого элемента) забирает события аудита из буфера ядра и отправляет их в хранилище.
Хранилище данных о событиях обрабатывает полученные события аудита и сохраняет в определенном формате. События могут выводиться в консоль, записываться на диск. Возможна реализация автоматического реагирования на определенные события аудита.
Разделение потоков данных по чтению и записи должно производиться с использованием шаблона «Разделение потоков данных на уровне драйвера ресурсов».
Поскольку шаблон реализуется на основе шаблона «Монитор», применяются требования к технологии, определенные для базового шаблона.
Поскольку шаблон реализуется на основе шаблона «Разделение потоков данных на уровне драйверов устройств», применяются требования к технологии, определенные для базового шаблона.
Известны следующие ограничения на применение шаблона:
Допустимо иметь несколько элементов-хранилищ данных с целью резервирования или хранения данных в различных форматах, с различными целями.
Допустимость модификаций, не входящих в указанный перечень, должна быть обоснована при проектировании архитектуры и формировании требований, предъявляемых к системе на основе целей и предположений безопасности для этой системы.
