Pravidlo shromažďování událostí odstranění skupiny
V souborech systémových protokolů byl zjištěn úspěšný příkaz „groupdel“.
Ve výchozím nastavení je toto pravidlo zakázáno. Může být povoleno přepsáním zacíleným na konkrétní instanci systému Universal Linux, na všechny instance systému Universal Linux, nebo na skupinu instancí systému Universal Linux. Pokud je toto pravidlo aktivní, pak by měl být parametr RegExpFilter přepsán pomocí vzorce regulárního výrazu, který je vhodný pro cílový operační systém Linux a verzi. Zprávy systémového protokolu se za určitých podmínek mohou lišit podle operačních systémů a verzí.
Ze systému byla odstraněna skupina. Toto monitorování umožňuje správcům systémů sledovat vytváření a odstraňování účtů/skupin.
Popis výstrahy a/nebo položky výstupních dat obsahuje informace o vzniklé události. Pokud je tato činnost podezřelá, zkontrolujte přidružené podrobnosti události a všechny ostatní události, které se vyskytly přibližně v době této události.
Target | Microsoft.ACS.Linux.Universal.ACSEndPoint |
Category | EventCollection |
Enabled | False |
Alert Generate | False |
Remotable | True |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Privileged.Datasource | Default |
WA | WriteAction | Microsoft.ACS.Unix.SecureEventLogWriter | Default |
<Rule ID="Microsoft.ACS.Linux.Universal.Deleting.Group" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">
<Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>
<LogFile>/var/log/secure</LogFile>
<!-- [TYPE] Redhat6 GroupDelete True -->
<!-- [INPUT] Oct 5 08:05:29 scxcrd-rhel6-01 groupdel[20970]: group 'tempgroup' removed -->
<!-- [EXPECTED] date="Oct 5 08:05:29"; hostname="scxcrd-rhel6-01"; process="groupdel"; processId="20970"; groupName="tempgroup" -->
<RegExpFilter>\s+groupdel\[[[:digit:]]+\]: group '\S+' removed</RegExpFilter>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">
<RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'groupdel)\[(?'processId'\d+)\]: group '(?'groupName'\S+)' removed</RegExp>
<EventType>1</EventType>
<EventId>27005</EventId>
<BackrefOverrides>sessionName="Group removed"</BackrefOverrides>
</WriteAction>
</WriteActions>
</Rule>