Home
  •  

Přidání skupiny (Universal Linux)

Microsoft.ACS.Linux.Universal.Adding.Group (Rule)

Pravidlo shromažďování událostí přidání nové skupiny

Knowledge Base article:

Souhrn

V souborech systémových protokolů byl zjištěn úspěšný příkaz „groupadd“.

Konfigurace

Toto pravidlo je ve výchozím nastavení vypnuto. Může být povoleno přepsáním zacíleným na konkrétní instanci systému Universal Linux, na všechny instance systému Universal Linux, nebo na skupinu instancí systému Universal Linux. Pokud je toto pravidlo aktivní, pak by měl být parametr RegExpFilter přepsán pomocí vzorce regulárního výrazu, který je vhodný pro cílový operační systém Linux a verzi. Zprávy systémového protokolu se za určitých podmínek mohou lišit podle operačních systémů a verzí.

Příčiny

V systému byla vytvořena nová skupina. Toto monitorování umožňuje správcům systémů sledovat vytváření a odstraňování účtů/skupin.

Řešení

Popis výstrahy a/nebo položky výstupních dat obsahuje informace o vzniklé události. Pokud je tato činnost podezřelá, zkontrolujte přidružené podrobnosti události a všechny ostatní události, které se vyskytly přibližně v době této události.

Element properties:

TargetMicrosoft.ACS.Linux.Universal.ACSEndPoint
CategoryEventCollection
EnabledFalse
Alert GenerateFalse
RemotableTrue

Member Modules:

ID Module Type TypeId RunAs 
EventDS DataSource Microsoft.Unix.SCXLog.Privileged.Datasource Default
WA WriteAction Microsoft.ACS.Unix.SecureEventLogWriter Default

Source Code:

<Rule ID="Microsoft.ACS.Linux.Universal.Adding.Group" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">

      <Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>

      <LogFile>/var/log/secure</LogFile>

      <!-- [TYPE] Redhat6 GroupAdd True -->

      <!-- [INPUT] Oct  5 08:05:01 scxcrd-rhel6-01 groupadd[20961]: new group: name=tempgroup, GID=41267 -->

      <!-- [EXPECTED] date="Oct  5 08:05:01"; hostname="scxcrd-rhel6-01"; process="groupadd"; processId="20961"; groupName="tempgroup" -->

      <RegExpFilter>\s+groupadd\[[[:digit:]]+\]: new group: name=\S+,</RegExpFilter>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">

      <RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'groupadd)\[(?'processId'\d+)\]: new group: name=(?'groupName'\S+),</RegExp>

      <EventType>1</EventType>

      <EventId>27004</EventId>

      <BackrefOverrides>sessionName="Group added"</BackrefOverrides>

    </WriteAction>

  </WriteActions>

</Rule>