Regola per raccogliere gli eventi di accesso SSH non riuscito
Nei file di registro di sistema è stato rilevato un comando ssh non riuscito.
L'utente non ha ottenuto l'accesso al sistema in modalità remota. Questo monitoraggio consente agli amministratori di sistema di tenere traccia dell'utilizzo di "ssh".
La descrizione dell'avviso e/o l'elemento dati di output contiene informazioni sull'evento rilevato. Se l'attività appare sospetta, controllare i dettagli sull'evento associato e altri eventi verificatisi alla stessa ora di questo.
Target | Microsoft.ACS.AIX.6.1.ACSEndPoint |
Category | EventCollection |
Enabled | False |
Alert Generate | False |
Remotable | True |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Privileged.Datasource | Default |
WA | WriteAction | Microsoft.ACS.Unix.SecureEventLogWriter | Default |
<Rule ID="Microsoft.ACS.AIX.6.1.Ssh.Failed" Enabled="false" Target="Microsoft.ACS.AIX.6.1.ACSEndPoint" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">
<Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>
<LogFile>/var/log/syslog.log</LogFile>
<!-- [TYPE] AIX SSH False -->
<!-- [INPUT] Nov 5 15:32:21 scxaix1 auth|security:info sshd[655368]: Failed password for scxuser from dubbuster port 50878 ssh2 -->
<!-- [EXPECTED] date="Nov 5 15:32:21"; hostname="scxaix1"; process="sshd"; processId="655368"; user="scxuser"; clientHost="dubbuster" -->
<!-- [INPUT] Nov 5 15:32:56 scxaix1 auth|security:info sshd[655370]: Failed password for root from 172.30.182.212 port 50879 ssh2 -->
<!-- [EXPECTED] date="Nov 5 15:32:56"; hostname="scxaix1"; process="sshd"; processId="655370"; user="root"; clientHost="172.30.182.212" -->
<RegExpFilter>sshd\[[[:digit:]]+\]:[[:space:]]*Failed password for [^[:space:]]+ from [^[:space:]]+</RegExpFilter>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">
<RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+).+ (?'process'sshd)\[(?'processId'\d+)\]:\s*Failed password for (?'user'\S+)+ from (?'clientHost'\S+)</RegExp>
<EventType>0</EventType>
<EventId>27003</EventId>
</WriteAction>
</WriteActions>
</Rule>