Pravidlo shromažďování událostí odstranění uživatele ze skupiny
V souborech systémových protokolů byl zjištěn úspěšný příkaz „usermod“.
Toto pravidlo je ve výchozím nastavení vypnuto. Může být povoleno přepsáním zacíleným na konkrétní instanci systému Universal Linux, na všechny instance systému Universal Linux, nebo na skupinu instancí systému Universal Linux. Pokud je toto pravidlo aktivní, pak by měl být parametr RegExpFilter přepsán pomocí vzorce regulárního výrazu, který je vhodný pro cílový operační systém Linux a verzi. Zprávy systémového protokolu se za určitých podmínek mohou lišit podle operačních systémů a verzí.
Ze skupiny v systému byl odstraněn uživatel. Toto monitorování umožňuje správcům systémů sledovat vytváření a odstraňování účtů/skupin.
Popis výstrahy a/nebo položky výstupních dat obsahuje informace o vzniklé události. Pokud je tato činnost podezřelá, zkontrolujte přidružené podrobnosti události a všechny ostatní události, které se vyskytly přibližně v době této události.
Target | Microsoft.ACS.Linux.Universal.ACSEndPoint |
Category | EventCollection |
Enabled | False |
Alert Generate | False |
Remotable | True |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Privileged.Datasource | Default |
WA | WriteAction | Microsoft.ACS.Unix.SecureEventLogWriter | Default |
<Rule ID="Microsoft.ACS.Linux.Universal.Deleting.User.From.Group" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">
<Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>
<LogFile>/var/log/secure</LogFile>
<!-- [TYPE] Redhat6 UserDeleteFromGroup True -->
<!-- [INPUT] Oct 5 08:01:44 scxcrd-rhel6-01 usermod[20903]: delete 'tempuser' from group 'users' -->
<!-- [EXPECTED] date="Oct 5 08:01:44"; hostname="scxcrd-rhel6-01"; process="usermod"; processId="20903"; clientUser="tempuser"; groupName="users" -->
<RegExpFilter>\s+usermod\[[[:digit:]]+\]: delete '\S+' from group '\S+'</RegExpFilter>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">
<RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'usermod)\[(?'processId'\d+)\]: delete '(?'clientUser'\S+)' from group '(?'groupName'\S+)'</RegExp>
<EventType>1</EventType>
<EventId>27005</EventId>
<BackrefOverrides>sessionName="User removed from group"</BackrefOverrides>
</WriteAction>
</WriteActions>
</Rule>