Home
  •  

Başarılı Konsol Oturumu Açma (Red Hat Enterprise Linux Server 5)

Microsoft.ACS.Linux.RHEL.5.Console.Login.Succeeded (Rule)

Başarılı konsol oturumu açma olaylarını toplayan kural

Knowledge Base article:

Özet

Sistem günlük dosyalarında bir konsol oturumu açma işlemi algılandı.

Nedenler

Kullanıcıya sistem konsolu üzerinden sisteme erişim izni verildi. Bu izleyici sistem yöneticilerinin sistem konsolu kullanımını izleyebilmesini sağlar.

Çözümlemeler

Uyarının ve/veya çıktı verisi öğesinin açıklaması, karşılaşılan olayla ilgili bilgiler içerir. Aktivite şüpheli görünüyorsa, lütfen ilişkili olay ayrıntılarını ve bu olayın gerçekleştiği zaman olan diğer olayları kontrol edin.

Element properties:

TargetMicrosoft.ACS.Linux.RHEL.5.ACSEndPoint
CategoryEventCollection
EnabledTrue
Alert GenerateFalse
RemotableTrue

Member Modules:

ID Module Type TypeId RunAs 
EventDS DataSource Microsoft.Unix.SCXLog.Privileged.Datasource Default
WA WriteAction Microsoft.ACS.Unix.SecureEventLogWriter Default

Source Code:

<Rule ID="Microsoft.ACS.Linux.RHEL.5.Console.Login.Succeeded" Enabled="true" Target="Microsoft.ACS.Linux.RHEL.5.ACSEndPoint" Remotable="true">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">

      <Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>

      <LogFile>/var/log/secure</LogFile>

      <!-- [TYPE] Redhat5 ConsoleLogin True -->

      <!--

            [INPUT] Oct 20 17:05:39 scxint-rhe50-01 login: pam_unix(login:session): session opened for user root by LOGIN(uid=0)

            -->

      <!-- [EXPECTED] date="Oct 20 17:05:39"; hostname="scxint-rhe50-01"; process="login"; subSystem="pam_unix"; user="root" -->

      <RegExpFilter>\s+login: \S+\(\S+\): session opened for user \S+ by LOGIN\(uid=[[:digit:]]+\)</RegExpFilter>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">

      <RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'login): (?'subSystem'\S+)\(\S+\): session opened for user (?'user'\S+) by LOGIN\(uid=\d+\)</RegExp>

      <EventType>1</EventType>

      <EventId>27002</EventId>

    </WriteAction>

  </WriteActions>

</Rule>