Home
  •  

Удаление группы (универсальный Linux)

Microsoft.ACS.Linux.Universal.Deleting.Group (Rule)

Правило сбора событий удаления группы

Knowledge Base article:

Краткое описание

В файлах системного журнала обнаружена успешная команда "groupdel".

Настройка

Это правило по умолчанию отключено. Его можно включить с помощью переопределения, указав отдельные экземпляры универсального Linux, все экземпляры отдельные экземпляры универсального Linux или группу экземпляров универсального Linux. Если это правило включено, параметр RegExpFilter должен замещаться шаблоном регулярного выражения, подходящим для целевой ОС Linux и ее версии. Сообщения об отдельных проблемах в системном журнале могут зависеть от ОС и версии.

Причины

Группа была удалена из системы. Этот монитор дает администраторам возможность отслеживать создание и удаление учетных записей и групп.

Решения

В описании предупреждения и (или) элемента выходных данных содержится информация о возникшем событии. Если это действие выглядит подозрительно, просмотрите сведения о связанном событии и любых других событиях, произошедших примерно в то же время.

Element properties:

TargetMicrosoft.ACS.Linux.Universal.ACSEndPoint
CategoryEventCollection
EnabledFalse
Alert GenerateFalse
RemotableTrue

Member Modules:

ID Module Type TypeId RunAs 
EventDS DataSource Microsoft.Unix.SCXLog.Privileged.Datasource Default
WA WriteAction Microsoft.ACS.Unix.SecureEventLogWriter Default

Source Code:

<Rule ID="Microsoft.ACS.Linux.Universal.Deleting.Group" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">

      <Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>

      <LogFile>/var/log/secure</LogFile>

      <!-- [TYPE] Redhat6 GroupDelete True -->

      <!-- [INPUT] Oct  5 08:05:29 scxcrd-rhel6-01 groupdel[20970]: group 'tempgroup' removed -->

      <!-- [EXPECTED] date="Oct  5 08:05:29"; hostname="scxcrd-rhel6-01"; process="groupdel"; processId="20970"; groupName="tempgroup" -->

      <RegExpFilter>\s+groupdel\[[[:digit:]]+\]: group '\S+' removed</RegExpFilter>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">

      <RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'groupdel)\[(?'processId'\d+)\]: group '(?'groupName'\S+)' removed</RegExp>

      <EventType>1</EventType>

      <EventId>27005</EventId>

      <BackrefOverrides>sessionName="Group removed"</BackrefOverrides>

    </WriteAction>

  </WriteActions>

</Rule>