Regla para recopilar eventos de inicio de sesión de ssh no válido
Se ha detectado un comando "ssh" no válido en los archivos de registro del sistema.
No se concedió al usuario acceso remoto al sistema. Este monitor permite a los administradores del sistema realizar un seguimiento del uso de "ssh".
La descripción de la alerta y/o el elemento de datos de salida contiene información sobre el evento detectado. Si la actividad parece sospechosa, compruebe los detalles de los eventos asociados, así como cualquier otro evento ocurrido aproximadamente a la hora de este evento.
Target | Microsoft.ACS.AIX.5.3.ACSEndPoint |
Category | EventCollection |
Enabled | False |
Alert Generate | False |
Remotable | True |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Privileged.Datasource | Default |
WA | WriteAction | Microsoft.ACS.Unix.SecureEventLogWriter | Default |
<Rule ID="Microsoft.ACS.AIX.5.3.Ssh.Invalid" Enabled="false" Target="Microsoft.ACS.AIX.5.3.ACSEndPoint" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">
<Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>
<LogFile>/var/log/syslog.log</LogFile>
<!-- [TYPE] AIX SSH False -->
<!-- [INPUT] Oct 30 14:58:10 scxaix3-1 auth|security:info sshd[524328]: Failed password for invalid user xxx from 172.30.182.212 port 42326 ssh2 -->
<!-- [EXPECTED] date="Oct 30 14:58:10"; hostname="scxaix3-1"; process="sshd"; processId="524328"; user="xxx"; clientHost="172.30.182.212" -->
<!-- [MISS] Oct 30 15:28:00 scxaix3-1 auth|security:info sshd[241816]: Failed password for scxuser from 172.30.182.212 port 41908 ssh2 -->
<RegExpFilter>sshd\[[[:digit:]]+\]:[[:space:]]*Failed password for invalid user [^[:space:]]+ from [^[:space:]]+</RegExpFilter>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">
<RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+).+ (?'process'sshd)\[(?'processId'\d+)\]:\s*Failed password for invalid user (?'user'\S+)+ from (?'clientHost'\S+)</RegExp>
<EventType>0</EventType>
<EventId>27003</EventId>
</WriteAction>
</WriteActions>
</Rule>