home *** CD-ROM | disk | FTP | other *** search
/ PC World Komputer 2010 April / PCWorld0410.iso / hity wydania / Ubuntu 9.10 PL / karmelkowy-koliberek-desktop-9.10-i386-PL.iso / casper / filesystem.squashfs / usr / include / linux / audit.h < prev    next >
C/C++ Source or Header  |  2009-10-16  |  15KB  |  370 lines
  1. /* audit.h -- Auditing support
  2.  *
  3.  * Copyright 2003-2004 Red Hat Inc., Durham, North Carolina.
  4.  * All Rights Reserved.
  5.  *
  6.  * This program is free software; you can redistribute it and/or modify
  7.  * it under the terms of the GNU General Public License as published by
  8.  * the Free Software Foundation; either version 2 of the License, or
  9.  * (at your option) any later version.
  10.  *
  11.  * This program is distributed in the hope that it will be useful,
  12.  * but WITHOUT ANY WARRANTY; without even the implied warranty of
  13.  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  14.  * GNU General Public License for more details.
  15.  *
  16.  * You should have received a copy of the GNU General Public License
  17.  * along with this program; if not, write to the Free Software
  18.  * Foundation, Inc., 59 Temple Place, Suite 330, Boston, MA  02111-1307  USA
  19.  *
  20.  * Written by Rickard E. (Rik) Faith <faith@redhat.com>
  21.  *
  22.  */
  23.  
  24. #ifndef _LINUX_AUDIT_H_
  25. #define _LINUX_AUDIT_H_
  26.  
  27. #include <linux/types.h>
  28. #include <linux/elf-em.h>
  29.  
  30. /* The netlink messages for the audit system is divided into blocks:
  31.  * 1000 - 1099 are for commanding the audit system
  32.  * 1100 - 1199 user space trusted application messages
  33.  * 1200 - 1299 messages internal to the audit daemon
  34.  * 1300 - 1399 audit event messages
  35.  * 1400 - 1499 SE Linux use
  36.  * 1500 - 1599 AppArmor use
  37.  * 1600 - 1699 kernel crypto events
  38.  * 1700 - 1799 kernel anomaly records
  39.  * 1800 - 1899 kernel integrity events
  40.  * 1900 - 1999 future kernel use
  41.  * 2000 is for otherwise unclassified kernel audit messages (legacy)
  42.  * 2001 - 2099 unused (kernel)
  43.  * 2100 - 2199 user space anomaly records
  44.  * 2200 - 2299 user space actions taken in response to anomalies
  45.  * 2300 - 2399 user space generated LSPP events
  46.  * 2400 - 2499 user space crypto events
  47.  * 2500 - 2999 future user space (maybe integrity labels and related events)
  48.  *
  49.  * Messages from 1000-1199 are bi-directional. 1200-1299 & 2100 - 2999 are
  50.  * exclusively user space. 1300-2099 is kernel --> user space 
  51.  * communication.
  52.  */
  53. #define AUDIT_GET        1000    /* Get status */
  54. #define AUDIT_SET        1001    /* Set status (enable/disable/auditd) */
  55. #define AUDIT_LIST        1002    /* List syscall rules -- deprecated */
  56. #define AUDIT_ADD        1003    /* Add syscall rule -- deprecated */
  57. #define AUDIT_DEL        1004    /* Delete syscall rule -- deprecated */
  58. #define AUDIT_USER        1005    /* Message from userspace -- deprecated */
  59. #define AUDIT_LOGIN        1006    /* Define the login id and information */
  60. #define AUDIT_WATCH_INS        1007    /* Insert file/dir watch entry */
  61. #define AUDIT_WATCH_REM        1008    /* Remove file/dir watch entry */
  62. #define AUDIT_WATCH_LIST    1009    /* List all file/dir watches */
  63. #define AUDIT_SIGNAL_INFO    1010    /* Get info about sender of signal to auditd */
  64. #define AUDIT_ADD_RULE        1011    /* Add syscall filtering rule */
  65. #define AUDIT_DEL_RULE        1012    /* Delete syscall filtering rule */
  66. #define AUDIT_LIST_RULES    1013    /* List syscall filtering rules */
  67. #define AUDIT_TRIM        1014    /* Trim junk from watched tree */
  68. #define AUDIT_MAKE_EQUIV    1015    /* Append to watched tree */
  69. #define AUDIT_TTY_GET        1016    /* Get TTY auditing status */
  70. #define AUDIT_TTY_SET        1017    /* Set TTY auditing status */
  71.  
  72. #define AUDIT_FIRST_USER_MSG    1100    /* Userspace messages mostly uninteresting to kernel */
  73. #define AUDIT_USER_AVC        1107    /* We filter this differently */
  74. #define AUDIT_USER_TTY        1124    /* Non-ICANON TTY input meaning */
  75. #define AUDIT_LAST_USER_MSG    1199
  76. #define AUDIT_FIRST_USER_MSG2    2100    /* More user space messages */
  77. #define AUDIT_LAST_USER_MSG2    2999
  78.  
  79. #define AUDIT_DAEMON_START      1200    /* Daemon startup record */
  80. #define AUDIT_DAEMON_END        1201    /* Daemon normal stop record */
  81. #define AUDIT_DAEMON_ABORT      1202    /* Daemon error stop record */
  82. #define AUDIT_DAEMON_CONFIG     1203    /* Daemon config change */
  83.  
  84. #define AUDIT_SYSCALL        1300    /* Syscall event */
  85. /* #define AUDIT_FS_WATCH    1301     * Deprecated */
  86. #define AUDIT_PATH        1302    /* Filename path information */
  87. #define AUDIT_IPC        1303    /* IPC record */
  88. #define AUDIT_SOCKETCALL    1304    /* sys_socketcall arguments */
  89. #define AUDIT_CONFIG_CHANGE    1305    /* Audit system configuration change */
  90. #define AUDIT_SOCKADDR        1306    /* sockaddr copied as syscall arg */
  91. #define AUDIT_CWD        1307    /* Current working directory */
  92. #define AUDIT_EXECVE        1309    /* execve arguments */
  93. #define AUDIT_IPC_SET_PERM    1311    /* IPC new permissions record type */
  94. #define AUDIT_MQ_OPEN        1312    /* POSIX MQ open record type */
  95. #define AUDIT_MQ_SENDRECV    1313    /* POSIX MQ send/receive record type */
  96. #define AUDIT_MQ_NOTIFY        1314    /* POSIX MQ notify record type */
  97. #define AUDIT_MQ_GETSETATTR    1315    /* POSIX MQ get/set attribute record type */
  98. #define AUDIT_KERNEL_OTHER    1316    /* For use by 3rd party modules */
  99. #define AUDIT_FD_PAIR        1317    /* audit record for pipe/socketpair */
  100. #define AUDIT_OBJ_PID        1318    /* ptrace target */
  101. #define AUDIT_TTY        1319    /* Input on an administrative TTY */
  102. #define AUDIT_EOE        1320    /* End of multi-record event */
  103. #define AUDIT_BPRM_FCAPS    1321    /* Information about fcaps increasing perms */
  104. #define AUDIT_CAPSET        1322    /* Record showing argument to sys_capset */
  105.  
  106. #define AUDIT_AVC        1400    /* SE Linux avc denial or grant */
  107. #define AUDIT_SELINUX_ERR    1401    /* Internal SE Linux Errors */
  108. #define AUDIT_AVC_PATH        1402    /* dentry, vfsmount pair from avc */
  109. #define AUDIT_MAC_POLICY_LOAD    1403    /* Policy file load */
  110. #define AUDIT_MAC_STATUS    1404    /* Changed enforcing,permissive,off */
  111. #define AUDIT_MAC_CONFIG_CHANGE    1405    /* Changes to booleans */
  112. #define AUDIT_MAC_UNLBL_ALLOW    1406    /* NetLabel: allow unlabeled traffic */
  113. #define AUDIT_MAC_CIPSOV4_ADD    1407    /* NetLabel: add CIPSOv4 DOI entry */
  114. #define AUDIT_MAC_CIPSOV4_DEL    1408    /* NetLabel: del CIPSOv4 DOI entry */
  115. #define AUDIT_MAC_MAP_ADD    1409    /* NetLabel: add LSM domain mapping */
  116. #define AUDIT_MAC_MAP_DEL    1410    /* NetLabel: del LSM domain mapping */
  117. #define AUDIT_MAC_IPSEC_ADDSA    1411    /* Not used */
  118. #define AUDIT_MAC_IPSEC_DELSA    1412    /* Not used  */
  119. #define AUDIT_MAC_IPSEC_ADDSPD    1413    /* Not used */
  120. #define AUDIT_MAC_IPSEC_DELSPD    1414    /* Not used */
  121. #define AUDIT_MAC_IPSEC_EVENT    1415    /* Audit an IPSec event */
  122. #define AUDIT_MAC_UNLBL_STCADD    1416    /* NetLabel: add a static label */
  123. #define AUDIT_MAC_UNLBL_STCDEL    1417    /* NetLabel: del a static label */
  124.  
  125. #define AUDIT_APPARMOR_AUDIT    1501    /* AppArmor audited grants */
  126. #define AUDIT_APPARMOR_ALLOWED    1502    /* Allowed Access for learning */
  127. #define AUDIT_APPARMOR_DENIED    1503
  128. #define AUDIT_APPARMOR_HINT    1504    /* Process Tracking information */
  129. #define AUDIT_APPARMOR_STATUS    1505    /* Changes in config */
  130. #define AUDIT_APPARMOR_ERROR    1506    /* Internal AppArmor Errors */
  131. #define AUDIT_APPARMOR_KILL    1507    /* AppArmor killing processes */
  132.  
  133. #define AUDIT_FIRST_KERN_ANOM_MSG   1700
  134. #define AUDIT_LAST_KERN_ANOM_MSG    1799
  135. #define AUDIT_ANOM_PROMISCUOUS      1700 /* Device changed promiscuous mode */
  136. #define AUDIT_ANOM_ABEND            1701 /* Process ended abnormally */
  137. #define AUDIT_INTEGRITY_DATA        1800 /* Data integrity verification */
  138. #define AUDIT_INTEGRITY_METADATA    1801 /* Metadata integrity verification */
  139. #define AUDIT_INTEGRITY_STATUS        1802 /* Integrity enable status */
  140. #define AUDIT_INTEGRITY_HASH        1803 /* Integrity HASH type */
  141. #define AUDIT_INTEGRITY_PCR        1804 /* PCR invalidation msgs */
  142. #define AUDIT_INTEGRITY_RULE        1805 /* policy rule */
  143.  
  144. #define AUDIT_KERNEL        2000    /* Asynchronous audit record. NOT A REQUEST. */
  145.  
  146. /* Rule flags */
  147. #define AUDIT_FILTER_USER    0x00    /* Apply rule to user-generated messages */
  148. #define AUDIT_FILTER_TASK    0x01    /* Apply rule at task creation (not syscall) */
  149. #define AUDIT_FILTER_ENTRY    0x02    /* Apply rule at syscall entry */
  150. #define AUDIT_FILTER_WATCH    0x03    /* Apply rule to file system watches */
  151. #define AUDIT_FILTER_EXIT    0x04    /* Apply rule at syscall exit */
  152. #define AUDIT_FILTER_TYPE    0x05    /* Apply rule at audit_log_start */
  153.  
  154. #define AUDIT_NR_FILTERS    6
  155.  
  156. #define AUDIT_FILTER_PREPEND    0x10    /* Prepend to front of list */
  157.  
  158. /* Rule actions */
  159. #define AUDIT_NEVER    0    /* Do not build context if rule matches */
  160. #define AUDIT_POSSIBLE 1    /* Build context if rule matches  */
  161. #define AUDIT_ALWAYS   2    /* Generate audit record if rule matches */
  162.  
  163. /* Rule structure sizes -- if these change, different AUDIT_ADD and
  164.  * AUDIT_LIST commands must be implemented. */
  165. #define AUDIT_MAX_FIELDS   64
  166. #define AUDIT_MAX_KEY_LEN  256
  167. #define AUDIT_BITMASK_SIZE 64
  168. #define AUDIT_WORD(nr) ((__u32)((nr)/32))
  169. #define AUDIT_BIT(nr)  (1 << ((nr) - AUDIT_WORD(nr)*32))
  170.  
  171. #define AUDIT_SYSCALL_CLASSES 16
  172. #define AUDIT_CLASS_DIR_WRITE 0
  173. #define AUDIT_CLASS_DIR_WRITE_32 1
  174. #define AUDIT_CLASS_CHATTR 2
  175. #define AUDIT_CLASS_CHATTR_32 3
  176. #define AUDIT_CLASS_READ 4
  177. #define AUDIT_CLASS_READ_32 5
  178. #define AUDIT_CLASS_WRITE 6
  179. #define AUDIT_CLASS_WRITE_32 7
  180. #define AUDIT_CLASS_SIGNAL 8
  181. #define AUDIT_CLASS_SIGNAL_32 9
  182.  
  183. /* This bitmask is used to validate user input.  It represents all bits that
  184.  * are currently used in an audit field constant understood by the kernel.
  185.  * If you are adding a new #define AUDIT_<whatever>, please ensure that
  186.  * AUDIT_UNUSED_BITS is updated if need be. */
  187. #define AUDIT_UNUSED_BITS    0x07FFFC00
  188.  
  189.  
  190. /* Rule fields */
  191.                 /* These are useful when checking the
  192.                  * task structure at task creation time
  193.                  * (AUDIT_PER_TASK).  */
  194. #define AUDIT_PID    0
  195. #define AUDIT_UID    1
  196. #define AUDIT_EUID    2
  197. #define AUDIT_SUID    3
  198. #define AUDIT_FSUID    4
  199. #define AUDIT_GID    5
  200. #define AUDIT_EGID    6
  201. #define AUDIT_SGID    7
  202. #define AUDIT_FSGID    8
  203. #define AUDIT_LOGINUID    9
  204. #define AUDIT_PERS    10
  205. #define AUDIT_ARCH    11
  206. #define AUDIT_MSGTYPE    12
  207. #define AUDIT_SUBJ_USER    13    /* security label user */
  208. #define AUDIT_SUBJ_ROLE    14    /* security label role */
  209. #define AUDIT_SUBJ_TYPE    15    /* security label type */
  210. #define AUDIT_SUBJ_SEN    16    /* security label sensitivity label */
  211. #define AUDIT_SUBJ_CLR    17    /* security label clearance label */
  212. #define AUDIT_PPID    18
  213. #define AUDIT_OBJ_USER    19
  214. #define AUDIT_OBJ_ROLE    20
  215. #define AUDIT_OBJ_TYPE    21
  216. #define AUDIT_OBJ_LEV_LOW    22
  217. #define AUDIT_OBJ_LEV_HIGH    23
  218.  
  219.                 /* These are ONLY useful when checking
  220.                  * at syscall exit time (AUDIT_AT_EXIT). */
  221. #define AUDIT_DEVMAJOR    100
  222. #define AUDIT_DEVMINOR    101
  223. #define AUDIT_INODE    102
  224. #define AUDIT_EXIT    103
  225. #define AUDIT_SUCCESS   104    /* exit >= 0; value ignored */
  226. #define AUDIT_WATCH    105
  227. #define AUDIT_PERM    106
  228. #define AUDIT_DIR    107
  229. #define AUDIT_FILETYPE    108
  230.  
  231. #define AUDIT_ARG0      200
  232. #define AUDIT_ARG1      (AUDIT_ARG0+1)
  233. #define AUDIT_ARG2      (AUDIT_ARG0+2)
  234. #define AUDIT_ARG3      (AUDIT_ARG0+3)
  235.  
  236. #define AUDIT_FILTERKEY    210
  237.  
  238. #define AUDIT_NEGATE            0x80000000
  239.  
  240. /* These are the supported operators.
  241.  *    4  2  1  8
  242.  *    =  >  <  ?
  243.  *    ----------
  244.  *    0  0  0     0    00    nonsense
  245.  *    0  0  0     1    08    &  bit mask
  246.  *    0  0  1     0    10    <
  247.  *    0  1  0     0    20    >
  248.  *    0  1  1     0    30    !=
  249.  *    1  0  0     0    40    =
  250.  *    1  0  0     1    48    &=  bit test
  251.  *    1  0  1     0    50    <=
  252.  *    1  1  0     0    60    >=
  253.  *    1  1  1     1    78    all operators
  254.  */
  255. #define AUDIT_BIT_MASK            0x08000000
  256. #define AUDIT_LESS_THAN            0x10000000
  257. #define AUDIT_GREATER_THAN        0x20000000
  258. #define AUDIT_NOT_EQUAL            0x30000000
  259. #define AUDIT_EQUAL            0x40000000
  260. #define AUDIT_BIT_TEST            (AUDIT_BIT_MASK|AUDIT_EQUAL)
  261. #define AUDIT_LESS_THAN_OR_EQUAL    (AUDIT_LESS_THAN|AUDIT_EQUAL)
  262. #define AUDIT_GREATER_THAN_OR_EQUAL    (AUDIT_GREATER_THAN|AUDIT_EQUAL)
  263. #define AUDIT_OPERATORS            (AUDIT_EQUAL|AUDIT_NOT_EQUAL|AUDIT_BIT_MASK)
  264.  
  265. enum {
  266.     Audit_equal,
  267.     Audit_not_equal,
  268.     Audit_bitmask,
  269.     Audit_bittest,
  270.     Audit_lt,
  271.     Audit_gt,
  272.     Audit_le,
  273.     Audit_ge,
  274.     Audit_bad
  275. };
  276.  
  277. /* Status symbols */
  278.                 /* Mask values */
  279. #define AUDIT_STATUS_ENABLED        0x0001
  280. #define AUDIT_STATUS_FAILURE        0x0002
  281. #define AUDIT_STATUS_PID        0x0004
  282. #define AUDIT_STATUS_RATE_LIMIT        0x0008
  283. #define AUDIT_STATUS_BACKLOG_LIMIT    0x0010
  284.                 /* Failure-to-log actions */
  285. #define AUDIT_FAIL_SILENT    0
  286. #define AUDIT_FAIL_PRINTK    1
  287. #define AUDIT_FAIL_PANIC    2
  288.  
  289. /* distinguish syscall tables */
  290. #define __AUDIT_ARCH_64BIT 0x80000000
  291. #define __AUDIT_ARCH_LE       0x40000000
  292. #define AUDIT_ARCH_ALPHA    (EM_ALPHA|__AUDIT_ARCH_64BIT|__AUDIT_ARCH_LE)
  293. #define AUDIT_ARCH_ARM        (EM_ARM|__AUDIT_ARCH_LE)
  294. #define AUDIT_ARCH_ARMEB    (EM_ARM)
  295. #define AUDIT_ARCH_CRIS        (EM_CRIS|__AUDIT_ARCH_LE)
  296. #define AUDIT_ARCH_FRV        (EM_FRV)
  297. #define AUDIT_ARCH_H8300    (EM_H8_300)
  298. #define AUDIT_ARCH_I386        (EM_386|__AUDIT_ARCH_LE)
  299. #define AUDIT_ARCH_IA64        (EM_IA_64|__AUDIT_ARCH_64BIT|__AUDIT_ARCH_LE)
  300. #define AUDIT_ARCH_M32R        (EM_M32R)
  301. #define AUDIT_ARCH_M68K        (EM_68K)
  302. #define AUDIT_ARCH_MIPS        (EM_MIPS)
  303. #define AUDIT_ARCH_MIPSEL    (EM_MIPS|__AUDIT_ARCH_LE)
  304. #define AUDIT_ARCH_MIPS64    (EM_MIPS|__AUDIT_ARCH_64BIT)
  305. #define AUDIT_ARCH_MIPSEL64    (EM_MIPS|__AUDIT_ARCH_64BIT|__AUDIT_ARCH_LE)
  306. #define AUDIT_ARCH_PARISC    (EM_PARISC)
  307. #define AUDIT_ARCH_PARISC64    (EM_PARISC|__AUDIT_ARCH_64BIT)
  308. #define AUDIT_ARCH_PPC        (EM_PPC)
  309. #define AUDIT_ARCH_PPC64    (EM_PPC64|__AUDIT_ARCH_64BIT)
  310. #define AUDIT_ARCH_S390        (EM_S390)
  311. #define AUDIT_ARCH_S390X    (EM_S390|__AUDIT_ARCH_64BIT)
  312. #define AUDIT_ARCH_SH        (EM_SH)
  313. #define AUDIT_ARCH_SHEL        (EM_SH|__AUDIT_ARCH_LE)
  314. #define AUDIT_ARCH_SH64        (EM_SH|__AUDIT_ARCH_64BIT)
  315. #define AUDIT_ARCH_SHEL64    (EM_SH|__AUDIT_ARCH_64BIT|__AUDIT_ARCH_LE)
  316. #define AUDIT_ARCH_SPARC    (EM_SPARC)
  317. #define AUDIT_ARCH_SPARC64    (EM_SPARCV9|__AUDIT_ARCH_64BIT)
  318. #define AUDIT_ARCH_X86_64    (EM_X86_64|__AUDIT_ARCH_64BIT|__AUDIT_ARCH_LE)
  319.  
  320. #define AUDIT_PERM_EXEC        1
  321. #define AUDIT_PERM_WRITE    2
  322. #define AUDIT_PERM_READ        4
  323. #define AUDIT_PERM_ATTR        8
  324.  
  325. struct audit_status {
  326.     __u32        mask;        /* Bit mask for valid entries */
  327.     __u32        enabled;    /* 1 = enabled, 0 = disabled */
  328.     __u32        failure;    /* Failure-to-log action */
  329.     __u32        pid;        /* pid of auditd process */
  330.     __u32        rate_limit;    /* messages rate limit (per second) */
  331.     __u32        backlog_limit;    /* waiting messages limit */
  332.     __u32        lost;        /* messages lost */
  333.     __u32        backlog;    /* messages waiting in queue */
  334. };
  335.  
  336. struct audit_tty_status {
  337.     __u32        enabled; /* 1 = enabled, 0 = disabled */
  338. };
  339.  
  340. /* audit_rule_data supports filter rules with both integer and string
  341.  * fields.  It corresponds with AUDIT_ADD_RULE, AUDIT_DEL_RULE and
  342.  * AUDIT_LIST_RULES requests.
  343.  */
  344. struct audit_rule_data {
  345.     __u32        flags;    /* AUDIT_PER_{TASK,CALL}, AUDIT_PREPEND */
  346.     __u32        action;    /* AUDIT_NEVER, AUDIT_POSSIBLE, AUDIT_ALWAYS */
  347.     __u32        field_count;
  348.     __u32        mask[AUDIT_BITMASK_SIZE]; /* syscall(s) affected */
  349.     __u32        fields[AUDIT_MAX_FIELDS];
  350.     __u32        values[AUDIT_MAX_FIELDS];
  351.     __u32        fieldflags[AUDIT_MAX_FIELDS];
  352.     __u32        buflen;    /* total length of string fields */
  353.     char        buf[0];    /* string fields buffer */
  354. };
  355.  
  356. /* audit_rule is supported to maintain backward compatibility with
  357.  * userspace.  It supports integer fields only and corresponds to
  358.  * AUDIT_ADD, AUDIT_DEL and AUDIT_LIST requests.
  359.  */
  360. struct audit_rule {        /* for AUDIT_LIST, AUDIT_ADD, and AUDIT_DEL */
  361.     __u32        flags;    /* AUDIT_PER_{TASK,CALL}, AUDIT_PREPEND */
  362.     __u32        action;    /* AUDIT_NEVER, AUDIT_POSSIBLE, AUDIT_ALWAYS */
  363.     __u32        field_count;
  364.     __u32        mask[AUDIT_BITMASK_SIZE];
  365.     __u32        fields[AUDIT_MAX_FIELDS];
  366.     __u32        values[AUDIT_MAX_FIELDS];
  367. };
  368.  
  369. #endif
  370.