20.2.关键术语

以下术语与安全事件审计相关：

• 事件 (event)：可审计的事件是任何可通过审计子系统记录的事件。安全相关的事件示例包括文件的创建、网络连接的建立或用户登录。事件可以是“可归属的”，即可追溯到经过身份验证的用户，或是“不可归属的”。不可归属事件的示例包括在登录过程中身份验证之前发生的任何事件，例如错误的口令尝试。

• 类别 (class)：一组相关事件的命名集合，用于选择表达式。常用的事件类别包括“文件创建”（fc）、“执行”（ex）和“登录/注销”（lo）。

• 记录 (record)：描述安全事件的审计日志条目。记录包含事件类型、执行该操作的主体（用户）信息、日期和时间信息、任何对象或参数的信息，以及成功或失败的条件。

• 审计跟踪 (trail)：由一系列描述安全事件的审计记录组成的日志文件。审计跟踪大致按事件完成的时间顺序排列。只有授权的进程才能将记录提交到审计跟踪中。

• 选择表达式 (selection expression)：包含前缀列表和审计事件类别名称的字符串，用于匹配事件。

• 预选择 (preselection)：系统确定哪些事件是管理员所关注的过程。预选择配置使用一系列选择表达式来确定对哪些用户审计哪些类别的事件，以及适用于经过身份验证和未经身份验证的进程的全局设置。

• 精简 (reduction)：从现有审计跟踪中选择记录以保存、打印或分析的过程。同样，也是从审计跟踪中移除不需要的审计记录的过程。通过精简，管理员可实施审计数据保存的策略。例如，详细的审计跟踪可能会保存一个月，但之后可精简，以仅保留登录信息归档。