home *** CD-ROM | disk | FTP | other *** search
/ Personal Computer World 2009 February / PCWFEB09.iso / Software / Linux / Kubuntu 8.10 / kubuntu-8.10-desktop-i386.iso / casper / filesystem.squashfs / usr / include / linux / audit.h < prev    next >
C/C++ Source or Header  |  2008-10-24  |  14KB  |  348 lines
  1. /* audit.h -- Auditing support
  2.  *
  3.  * Copyright 2003-2004 Red Hat Inc., Durham, North Carolina.
  4.  * All Rights Reserved.
  5.  *
  6.  * This program is free software; you can redistribute it and/or modify
  7.  * it under the terms of the GNU General Public License as published by
  8.  * the Free Software Foundation; either version 2 of the License, or
  9.  * (at your option) any later version.
  10.  *
  11.  * This program is distributed in the hope that it will be useful,
  12.  * but WITHOUT ANY WARRANTY; without even the implied warranty of
  13.  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  14.  * GNU General Public License for more details.
  15.  *
  16.  * You should have received a copy of the GNU General Public License
  17.  * along with this program; if not, write to the Free Software
  18.  * Foundation, Inc., 59 Temple Place, Suite 330, Boston, MA  02111-1307  USA
  19.  *
  20.  * Written by Rickard E. (Rik) Faith <faith@redhat.com>
  21.  *
  22.  */
  23.  
  24. #ifndef _LINUX_AUDIT_H_
  25. #define _LINUX_AUDIT_H_
  26.  
  27. #include <linux/types.h>
  28. #include <linux/elf-em.h>
  29.  
  30. /* The netlink messages for the audit system is divided into blocks:
  31.  * 1000 - 1099 are for commanding the audit system
  32.  * 1100 - 1199 user space trusted application messages
  33.  * 1200 - 1299 messages internal to the audit daemon
  34.  * 1300 - 1399 audit event messages
  35.  * 1400 - 1499 SE Linux use
  36.  * 1500 - 1599 AppArmor use
  37.  * 1600 - 1699 kernel crypto events
  38.  * 1700 - 1799 kernel anomaly records
  39.  * 1800 - 1999 future kernel use (maybe integrity labels and related events)
  40.  * 2000 is for otherwise unclassified kernel audit messages (legacy)
  41.  * 2001 - 2099 unused (kernel)
  42.  * 2100 - 2199 user space anomaly records
  43.  * 2200 - 2299 user space actions taken in response to anomalies
  44.  * 2300 - 2399 user space generated LSPP events
  45.  * 2400 - 2499 user space crypto events
  46.  * 2500 - 2999 future user space (maybe integrity labels and related events)
  47.  *
  48.  * Messages from 1000-1199 are bi-directional. 1200-1299 & 2100 - 2999 are
  49.  * exclusively user space. 1300-2099 is kernel --> user space 
  50.  * communication.
  51.  */
  52. #define AUDIT_GET        1000    /* Get status */
  53. #define AUDIT_SET        1001    /* Set status (enable/disable/auditd) */
  54. #define AUDIT_LIST        1002    /* List syscall rules -- deprecated */
  55. #define AUDIT_ADD        1003    /* Add syscall rule -- deprecated */
  56. #define AUDIT_DEL        1004    /* Delete syscall rule -- deprecated */
  57. #define AUDIT_USER        1005    /* Message from userspace -- deprecated */
  58. #define AUDIT_LOGIN        1006    /* Define the login id and information */
  59. #define AUDIT_WATCH_INS        1007    /* Insert file/dir watch entry */
  60. #define AUDIT_WATCH_REM        1008    /* Remove file/dir watch entry */
  61. #define AUDIT_WATCH_LIST    1009    /* List all file/dir watches */
  62. #define AUDIT_SIGNAL_INFO    1010    /* Get info about sender of signal to auditd */
  63. #define AUDIT_ADD_RULE        1011    /* Add syscall filtering rule */
  64. #define AUDIT_DEL_RULE        1012    /* Delete syscall filtering rule */
  65. #define AUDIT_LIST_RULES    1013    /* List syscall filtering rules */
  66. #define AUDIT_TRIM        1014    /* Trim junk from watched tree */
  67. #define AUDIT_MAKE_EQUIV    1015    /* Append to watched tree */
  68. #define AUDIT_TTY_GET        1016    /* Get TTY auditing status */
  69. #define AUDIT_TTY_SET        1017    /* Set TTY auditing status */
  70.  
  71. #define AUDIT_FIRST_USER_MSG    1100    /* Userspace messages mostly uninteresting to kernel */
  72. #define AUDIT_USER_AVC        1107    /* We filter this differently */
  73. #define AUDIT_USER_TTY        1124    /* Non-ICANON TTY input meaning */
  74. #define AUDIT_LAST_USER_MSG    1199
  75. #define AUDIT_FIRST_USER_MSG2    2100    /* More user space messages */
  76. #define AUDIT_LAST_USER_MSG2    2999
  77.  
  78. #define AUDIT_DAEMON_START      1200    /* Daemon startup record */
  79. #define AUDIT_DAEMON_END        1201    /* Daemon normal stop record */
  80. #define AUDIT_DAEMON_ABORT      1202    /* Daemon error stop record */
  81. #define AUDIT_DAEMON_CONFIG     1203    /* Daemon config change */
  82.  
  83. #define AUDIT_SYSCALL        1300    /* Syscall event */
  84. /* #define AUDIT_FS_WATCH    1301     * Deprecated */
  85. #define AUDIT_PATH        1302    /* Filename path information */
  86. #define AUDIT_IPC        1303    /* IPC record */
  87. #define AUDIT_SOCKETCALL    1304    /* sys_socketcall arguments */
  88. #define AUDIT_CONFIG_CHANGE    1305    /* Audit system configuration change */
  89. #define AUDIT_SOCKADDR        1306    /* sockaddr copied as syscall arg */
  90. #define AUDIT_CWD        1307    /* Current working directory */
  91. #define AUDIT_EXECVE        1309    /* execve arguments */
  92. #define AUDIT_IPC_SET_PERM    1311    /* IPC new permissions record type */
  93. #define AUDIT_MQ_OPEN        1312    /* POSIX MQ open record type */
  94. #define AUDIT_MQ_SENDRECV    1313    /* POSIX MQ send/receive record type */
  95. #define AUDIT_MQ_NOTIFY        1314    /* POSIX MQ notify record type */
  96. #define AUDIT_MQ_GETSETATTR    1315    /* POSIX MQ get/set attribute record type */
  97. #define AUDIT_KERNEL_OTHER    1316    /* For use by 3rd party modules */
  98. #define AUDIT_FD_PAIR        1317    /* audit record for pipe/socketpair */
  99. #define AUDIT_OBJ_PID        1318    /* ptrace target */
  100. #define AUDIT_TTY        1319    /* Input on an administrative TTY */
  101. #define AUDIT_EOE        1320    /* End of multi-record event */
  102.  
  103. #define AUDIT_AVC        1400    /* SE Linux avc denial or grant */
  104. #define AUDIT_SELINUX_ERR    1401    /* Internal SE Linux Errors */
  105. #define AUDIT_AVC_PATH        1402    /* dentry, vfsmount pair from avc */
  106. #define AUDIT_MAC_POLICY_LOAD    1403    /* Policy file load */
  107. #define AUDIT_MAC_STATUS    1404    /* Changed enforcing,permissive,off */
  108. #define AUDIT_MAC_CONFIG_CHANGE    1405    /* Changes to booleans */
  109. #define AUDIT_MAC_UNLBL_ALLOW    1406    /* NetLabel: allow unlabeled traffic */
  110. #define AUDIT_MAC_CIPSOV4_ADD    1407    /* NetLabel: add CIPSOv4 DOI entry */
  111. #define AUDIT_MAC_CIPSOV4_DEL    1408    /* NetLabel: del CIPSOv4 DOI entry */
  112. #define AUDIT_MAC_MAP_ADD    1409    /* NetLabel: add LSM domain mapping */
  113. #define AUDIT_MAC_MAP_DEL    1410    /* NetLabel: del LSM domain mapping */
  114. #define AUDIT_MAC_IPSEC_ADDSA    1411    /* Not used */
  115. #define AUDIT_MAC_IPSEC_DELSA    1412    /* Not used  */
  116. #define AUDIT_MAC_IPSEC_ADDSPD    1413    /* Not used */
  117. #define AUDIT_MAC_IPSEC_DELSPD    1414    /* Not used */
  118. #define AUDIT_MAC_IPSEC_EVENT    1415    /* Audit an IPSec event */
  119. #define AUDIT_MAC_UNLBL_STCADD    1416    /* NetLabel: add a static label */
  120. #define AUDIT_MAC_UNLBL_STCDEL    1417    /* NetLabel: del a static label */
  121.  
  122. #define AUDIT_APPARMOR_AUDIT    1501    /* AppArmor audited grants */
  123. #define AUDIT_APPARMOR_ALLOWED    1502    /* Allowed Access for learning */
  124. #define AUDIT_APPARMOR_DENIED    1503
  125. #define AUDIT_APPARMOR_HINT    1504    /* Process Tracking information */
  126. #define AUDIT_APPARMOR_STATUS    1505    /* Changes in config */
  127. #define AUDIT_APPARMOR_ERROR    1506    /* Internal AppArmor Errors */
  128.  
  129. #define AUDIT_FIRST_KERN_ANOM_MSG   1700
  130. #define AUDIT_LAST_KERN_ANOM_MSG    1799
  131. #define AUDIT_ANOM_PROMISCUOUS      1700 /* Device changed promiscuous mode */
  132. #define AUDIT_ANOM_ABEND            1701 /* Process ended abnormally */
  133.  
  134. #define AUDIT_KERNEL        2000    /* Asynchronous audit record. NOT A REQUEST. */
  135.  
  136. /* Rule flags */
  137. #define AUDIT_FILTER_USER    0x00    /* Apply rule to user-generated messages */
  138. #define AUDIT_FILTER_TASK    0x01    /* Apply rule at task creation (not syscall) */
  139. #define AUDIT_FILTER_ENTRY    0x02    /* Apply rule at syscall entry */
  140. #define AUDIT_FILTER_WATCH    0x03    /* Apply rule to file system watches */
  141. #define AUDIT_FILTER_EXIT    0x04    /* Apply rule at syscall exit */
  142. #define AUDIT_FILTER_TYPE    0x05    /* Apply rule at audit_log_start */
  143.  
  144. #define AUDIT_NR_FILTERS    6
  145.  
  146. #define AUDIT_FILTER_PREPEND    0x10    /* Prepend to front of list */
  147.  
  148. /* Rule actions */
  149. #define AUDIT_NEVER    0    /* Do not build context if rule matches */
  150. #define AUDIT_POSSIBLE 1    /* Build context if rule matches  */
  151. #define AUDIT_ALWAYS   2    /* Generate audit record if rule matches */
  152.  
  153. /* Rule structure sizes -- if these change, different AUDIT_ADD and
  154.  * AUDIT_LIST commands must be implemented. */
  155. #define AUDIT_MAX_FIELDS   64
  156. #define AUDIT_MAX_KEY_LEN  256
  157. #define AUDIT_BITMASK_SIZE 64
  158. #define AUDIT_WORD(nr) ((__u32)((nr)/32))
  159. #define AUDIT_BIT(nr)  (1 << ((nr) - AUDIT_WORD(nr)*32))
  160.  
  161. #define AUDIT_SYSCALL_CLASSES 16
  162. #define AUDIT_CLASS_DIR_WRITE 0
  163. #define AUDIT_CLASS_DIR_WRITE_32 1
  164. #define AUDIT_CLASS_CHATTR 2
  165. #define AUDIT_CLASS_CHATTR_32 3
  166. #define AUDIT_CLASS_READ 4
  167. #define AUDIT_CLASS_READ_32 5
  168. #define AUDIT_CLASS_WRITE 6
  169. #define AUDIT_CLASS_WRITE_32 7
  170. #define AUDIT_CLASS_SIGNAL 8
  171. #define AUDIT_CLASS_SIGNAL_32 9
  172.  
  173. /* This bitmask is used to validate user input.  It represents all bits that
  174.  * are currently used in an audit field constant understood by the kernel.
  175.  * If you are adding a new #define AUDIT_<whatever>, please ensure that
  176.  * AUDIT_UNUSED_BITS is updated if need be. */
  177. #define AUDIT_UNUSED_BITS    0x07FFFC00
  178.  
  179.  
  180. /* Rule fields */
  181.                 /* These are useful when checking the
  182.                  * task structure at task creation time
  183.                  * (AUDIT_PER_TASK).  */
  184. #define AUDIT_PID    0
  185. #define AUDIT_UID    1
  186. #define AUDIT_EUID    2
  187. #define AUDIT_SUID    3
  188. #define AUDIT_FSUID    4
  189. #define AUDIT_GID    5
  190. #define AUDIT_EGID    6
  191. #define AUDIT_SGID    7
  192. #define AUDIT_FSGID    8
  193. #define AUDIT_LOGINUID    9
  194. #define AUDIT_PERS    10
  195. #define AUDIT_ARCH    11
  196. #define AUDIT_MSGTYPE    12
  197. #define AUDIT_SUBJ_USER    13    /* security label user */
  198. #define AUDIT_SUBJ_ROLE    14    /* security label role */
  199. #define AUDIT_SUBJ_TYPE    15    /* security label type */
  200. #define AUDIT_SUBJ_SEN    16    /* security label sensitivity label */
  201. #define AUDIT_SUBJ_CLR    17    /* security label clearance label */
  202. #define AUDIT_PPID    18
  203. #define AUDIT_OBJ_USER    19
  204. #define AUDIT_OBJ_ROLE    20
  205. #define AUDIT_OBJ_TYPE    21
  206. #define AUDIT_OBJ_LEV_LOW    22
  207. #define AUDIT_OBJ_LEV_HIGH    23
  208.  
  209.                 /* These are ONLY useful when checking
  210.                  * at syscall exit time (AUDIT_AT_EXIT). */
  211. #define AUDIT_DEVMAJOR    100
  212. #define AUDIT_DEVMINOR    101
  213. #define AUDIT_INODE    102
  214. #define AUDIT_EXIT    103
  215. #define AUDIT_SUCCESS   104    /* exit >= 0; value ignored */
  216. #define AUDIT_WATCH    105
  217. #define AUDIT_PERM    106
  218. #define AUDIT_DIR    107
  219. #define AUDIT_FILETYPE    108
  220.  
  221. #define AUDIT_ARG0      200
  222. #define AUDIT_ARG1      (AUDIT_ARG0+1)
  223. #define AUDIT_ARG2      (AUDIT_ARG0+2)
  224. #define AUDIT_ARG3      (AUDIT_ARG0+3)
  225.  
  226. #define AUDIT_FILTERKEY    210
  227.  
  228. #define AUDIT_NEGATE            0x80000000
  229.  
  230. /* These are the supported operators.
  231.  *    4  2  1  8
  232.  *    =  >  <  ?
  233.  *    ----------
  234.  *    0  0  0     0    00    nonsense
  235.  *    0  0  0     1    08    &  bit mask
  236.  *    0  0  1     0    10    <
  237.  *    0  1  0     0    20    >
  238.  *    0  1  1     0    30    !=
  239.  *    1  0  0     0    40    =
  240.  *    1  0  0     1    48    &=  bit test
  241.  *    1  0  1     0    50    <=
  242.  *    1  1  0     0    60    >=
  243.  *    1  1  1     1    78    all operators
  244.  */
  245. #define AUDIT_BIT_MASK            0x08000000
  246. #define AUDIT_LESS_THAN            0x10000000
  247. #define AUDIT_GREATER_THAN        0x20000000
  248. #define AUDIT_NOT_EQUAL            0x30000000
  249. #define AUDIT_EQUAL            0x40000000
  250. #define AUDIT_BIT_TEST            (AUDIT_BIT_MASK|AUDIT_EQUAL)
  251. #define AUDIT_LESS_THAN_OR_EQUAL    (AUDIT_LESS_THAN|AUDIT_EQUAL)
  252. #define AUDIT_GREATER_THAN_OR_EQUAL    (AUDIT_GREATER_THAN|AUDIT_EQUAL)
  253. #define AUDIT_OPERATORS            (AUDIT_EQUAL|AUDIT_NOT_EQUAL|AUDIT_BIT_MASK)
  254.  
  255. /* Status symbols */
  256.                 /* Mask values */
  257. #define AUDIT_STATUS_ENABLED        0x0001
  258. #define AUDIT_STATUS_FAILURE        0x0002
  259. #define AUDIT_STATUS_PID        0x0004
  260. #define AUDIT_STATUS_RATE_LIMIT        0x0008
  261. #define AUDIT_STATUS_BACKLOG_LIMIT    0x0010
  262.                 /* Failure-to-log actions */
  263. #define AUDIT_FAIL_SILENT    0
  264. #define AUDIT_FAIL_PRINTK    1
  265. #define AUDIT_FAIL_PANIC    2
  266.  
  267. /* distinguish syscall tables */
  268. #define __AUDIT_ARCH_64BIT 0x80000000
  269. #define __AUDIT_ARCH_LE       0x40000000
  270. #define AUDIT_ARCH_ALPHA    (EM_ALPHA|__AUDIT_ARCH_64BIT|__AUDIT_ARCH_LE)
  271. #define AUDIT_ARCH_ARM        (EM_ARM|__AUDIT_ARCH_LE)
  272. #define AUDIT_ARCH_ARMEB    (EM_ARM)
  273. #define AUDIT_ARCH_CRIS        (EM_CRIS|__AUDIT_ARCH_LE)
  274. #define AUDIT_ARCH_FRV        (EM_FRV)
  275. #define AUDIT_ARCH_H8300    (EM_H8_300)
  276. #define AUDIT_ARCH_I386        (EM_386|__AUDIT_ARCH_LE)
  277. #define AUDIT_ARCH_IA64        (EM_IA_64|__AUDIT_ARCH_64BIT|__AUDIT_ARCH_LE)
  278. #define AUDIT_ARCH_M32R        (EM_M32R)
  279. #define AUDIT_ARCH_M68K        (EM_68K)
  280. #define AUDIT_ARCH_MIPS        (EM_MIPS)
  281. #define AUDIT_ARCH_MIPSEL    (EM_MIPS|__AUDIT_ARCH_LE)
  282. #define AUDIT_ARCH_MIPS64    (EM_MIPS|__AUDIT_ARCH_64BIT)
  283. #define AUDIT_ARCH_MIPSEL64    (EM_MIPS|__AUDIT_ARCH_64BIT|__AUDIT_ARCH_LE)
  284. #define AUDIT_ARCH_PARISC    (EM_PARISC)
  285. #define AUDIT_ARCH_PARISC64    (EM_PARISC|__AUDIT_ARCH_64BIT)
  286. #define AUDIT_ARCH_PPC        (EM_PPC)
  287. #define AUDIT_ARCH_PPC64    (EM_PPC64|__AUDIT_ARCH_64BIT)
  288. #define AUDIT_ARCH_S390        (EM_S390)
  289. #define AUDIT_ARCH_S390X    (EM_S390|__AUDIT_ARCH_64BIT)
  290. #define AUDIT_ARCH_SH        (EM_SH)
  291. #define AUDIT_ARCH_SHEL        (EM_SH|__AUDIT_ARCH_LE)
  292. #define AUDIT_ARCH_SH64        (EM_SH|__AUDIT_ARCH_64BIT)
  293. #define AUDIT_ARCH_SHEL64    (EM_SH|__AUDIT_ARCH_64BIT|__AUDIT_ARCH_LE)
  294. #define AUDIT_ARCH_SPARC    (EM_SPARC)
  295. #define AUDIT_ARCH_SPARC64    (EM_SPARCV9|__AUDIT_ARCH_64BIT)
  296. #define AUDIT_ARCH_X86_64    (EM_X86_64|__AUDIT_ARCH_64BIT|__AUDIT_ARCH_LE)
  297.  
  298. #define AUDIT_PERM_EXEC        1
  299. #define AUDIT_PERM_WRITE    2
  300. #define AUDIT_PERM_READ        4
  301. #define AUDIT_PERM_ATTR        8
  302.  
  303. struct audit_status {
  304.     __u32        mask;        /* Bit mask for valid entries */
  305.     __u32        enabled;    /* 1 = enabled, 0 = disabled */
  306.     __u32        failure;    /* Failure-to-log action */
  307.     __u32        pid;        /* pid of auditd process */
  308.     __u32        rate_limit;    /* messages rate limit (per second) */
  309.     __u32        backlog_limit;    /* waiting messages limit */
  310.     __u32        lost;        /* messages lost */
  311.     __u32        backlog;    /* messages waiting in queue */
  312. };
  313.  
  314. struct audit_tty_status {
  315.     __u32        enabled; /* 1 = enabled, 0 = disabled */
  316. };
  317.  
  318. /* audit_rule_data supports filter rules with both integer and string
  319.  * fields.  It corresponds with AUDIT_ADD_RULE, AUDIT_DEL_RULE and
  320.  * AUDIT_LIST_RULES requests.
  321.  */
  322. struct audit_rule_data {
  323.     __u32        flags;    /* AUDIT_PER_{TASK,CALL}, AUDIT_PREPEND */
  324.     __u32        action;    /* AUDIT_NEVER, AUDIT_POSSIBLE, AUDIT_ALWAYS */
  325.     __u32        field_count;
  326.     __u32        mask[AUDIT_BITMASK_SIZE]; /* syscall(s) affected */
  327.     __u32        fields[AUDIT_MAX_FIELDS];
  328.     __u32        values[AUDIT_MAX_FIELDS];
  329.     __u32        fieldflags[AUDIT_MAX_FIELDS];
  330.     __u32        buflen;    /* total length of string fields */
  331.     char        buf[0];    /* string fields buffer */
  332. };
  333.  
  334. /* audit_rule is supported to maintain backward compatibility with
  335.  * userspace.  It supports integer fields only and corresponds to
  336.  * AUDIT_ADD, AUDIT_DEL and AUDIT_LIST requests.
  337.  */
  338. struct audit_rule {        /* for AUDIT_LIST, AUDIT_ADD, and AUDIT_DEL */
  339.     __u32        flags;    /* AUDIT_PER_{TASK,CALL}, AUDIT_PREPEND */
  340.     __u32        action;    /* AUDIT_NEVER, AUDIT_POSSIBLE, AUDIT_ALWAYS */
  341.     __u32        field_count;
  342.     __u32        mask[AUDIT_BITMASK_SIZE];
  343.     __u32        fields[AUDIT_MAX_FIELDS];
  344.     __u32        values[AUDIT_MAX_FIELDS];
  345. };
  346.  
  347. #endif
  348.