Regla para recopilar eventos para eliminar un usuario
Se ha detectado un comando "userdel" completado correctamente en los archivos de registro del sistema.
Se quitó un usuario del sistema. Este monitor permite a los administradores de sistemas realizar un seguimiento de la creación y eliminación de cuentas y grupos.
La descripción de la alerta y/o el elemento de datos de salida contiene información sobre el evento detectado. Si la actividad parece sospechosa, compruebe los detalles de los eventos asociados, así como cualquier otro evento ocurrido aproximadamente a la hora de este evento.
Target | Microsoft.ACS.Linux.RHEL.6.ACSEndPoint |
Category | EventCollection |
Enabled | True |
Alert Generate | False |
Remotable | True |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Privileged.Datasource | Default |
WA | WriteAction | Microsoft.ACS.Unix.SecureEventLogWriter | Default |
<Rule ID="Microsoft.ACS.Linux.RHEL.6.Deleting.User" Enabled="true" Target="Microsoft.ACS.Linux.RHEL.6.ACSEndPoint" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">
<Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>
<LogFile>/var/log/secure</LogFile>
<!-- [TYPE] Redhat6 UserDelete True -->
<!-- [INPUT] Oct 5 08:03:07 scxcrd-rhel6-01 userdel[20949]: delete user 'tempuser' -->
<!-- [EXPECTED] date="Oct 5 08:03:07"; hostname="scxcrd-rhel6-01"; process="userdel"; processId="20949"; clientUser="tempuser" -->
<RegExpFilter>\s+userdel\[[[:digit:]]+\]: delete user '\S+'</RegExpFilter>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">
<RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'userdel)\[(?'processId'\d+)\]: delete user '(?'clientUser'\S+)'</RegExp>
<EventType>1</EventType>
<EventId>27005</EventId>
<BackrefOverrides>sessionName="User removed"</BackrefOverrides>
</WriteAction>
</WriteActions>
</Rule>