Regel för att samla in händelser för borttagning av grupp
Ett lyckat groupdel-kommando (borttagning av grupp) har upptäckts i systemloggfilerna.
Som standard är den här regeln inaktiverad. Den kan aktiveras med en åsidosättning med inriktning på en specifik Universal Linux-instans, alla Universal Linux-instanser eller en grupp av Universal Linux-instanser. Om den här regeln är aktiverad bör RegExpFilter-parametern åsidosättas av ett mönster från ett reguljärt uttryck som passar för Linux-operativsystemet och versionen. Systemloggmeddelanden för specifika förhållanden kan variera mellan olika operativsystem och versioner.
En grupp har tagits bort från systemet. Den här övervakaren gör det möjligt för systemadministratörer att spåra skapandet och borttagningen av konton/grupper.
Information om den påträffade händelsen finns i varningsbeskrivningen och/eller utdataposten. Om aktiviteten verkar misstänkt ska du kontrollera den associerade händelseinformationen och andra eventuella händelser som skedde vid ungefär samma tidpunkt som den här händelsen.
Target | Microsoft.ACS.Linux.Universal.ACSEndPoint |
Category | EventCollection |
Enabled | False |
Alert Generate | False |
Remotable | True |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Privileged.Datasource | Default |
WA | WriteAction | Microsoft.ACS.Unix.SecureEventLogWriter | Default |
<Rule ID="Microsoft.ACS.Linux.Universal.Deleting.Group" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">
<Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>
<LogFile>/var/log/secure</LogFile>
<!-- [TYPE] Redhat6 GroupDelete True -->
<!-- [INPUT] Oct 5 08:05:29 scxcrd-rhel6-01 groupdel[20970]: group 'tempgroup' removed -->
<!-- [EXPECTED] date="Oct 5 08:05:29"; hostname="scxcrd-rhel6-01"; process="groupdel"; processId="20970"; groupName="tempgroup" -->
<RegExpFilter>\s+groupdel\[[[:digit:]]+\]: group '\S+' removed</RegExpFilter>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">
<RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'groupdel)\[(?'processId'\d+)\]: group '(?'groupName'\S+)' removed</RegExp>
<EventType>1</EventType>
<EventId>27005</EventId>
<BackrefOverrides>sessionName="Group removed"</BackrefOverrides>
</WriteAction>
</WriteActions>
</Rule>