Zasada służąca do gromadzenia zdarzeń związanych z dodawaniem użytkowników do grupy
W plikach dziennika systemowego wykryto pomyślne polecenie usermod.
Ta zasada jest domyślnie wyłączona. Można ją włączyć za pomocą wskazania zastąpienia określonego wystąpienia systemu uniwersalnego Linux, wszystkich wystąpień systemu uniwersalnego Linux lub grupy wystąpień systemu uniwersalnego Linux. Gdy ta reguła jest włączona, parametr RegExpFilter należy zastąpić wzorcem wyrażenia regularnego odpowiednim dla docelowego systemu operacyjnego Linux i jego wersji. Komunikaty dziennika systemowego dotyczące określonych warunków mogą się różnić między systemami operacyjnymi i wersją.
Do istniejącej grupy dodano użytkownika. Ten monitor umożliwia administratorom systemu śledzenie operacji tworzenia i usuwania kont oraz grup.
Opis alertu i/lub element danych wyjściowych zawiera informacje o napotkanym zdarzeniu. Jeśli działanie wydaje się podejrzane, sprawdź szczegóły odpowiedniego zdarzenia oraz inne zdarzenia, które wystąpiły w bliskim czasie.
Target | Microsoft.ACS.Linux.Universal.ACSEndPoint |
Category | EventCollection |
Enabled | False |
Alert Generate | False |
Remotable | True |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Privileged.Datasource | Default |
WA | WriteAction | Microsoft.ACS.Unix.SecureEventLogWriter | Default |
<Rule ID="Microsoft.ACS.Linux.Universal.Adding.User.To.Group" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">
<Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>
<LogFile>/var/log/secure</LogFile>
<!-- [TYPE] Redhat6 UserAddToGroup True -->
<!-- [INPUT] Oct 5 07:59:20 scxcrd-rhel6-01 usermod[20872]: add 'tempuser' to group 'users' -->
<!-- [EXPECTED] date="Oct 5 07:59:20"; hostname="scxcrd-rhel6-01"; process="usermod"; processId="20872"; clientUser="tempuser"; groupName="users" -->
<RegExpFilter>\s+usermod\[[[:digit:]]+\]: add '\S+' to group '\S+'</RegExpFilter>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">
<RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'usermod)\[(?'processId'\d+)\]: add '(?'clientUser'\S+)' to group '(?'groupName'\S+)'</RegExp>
<EventType>1</EventType>
<EventId>27004</EventId>
<BackrefOverrides>sessionName="User added to group"</BackrefOverrides>
</WriteAction>
</WriteActions>
</Rule>