Regla para recopilar eventos de cambio de contraseña incorrecto
Se ha detectado un error de operación de cambio de contraseña en los archivos de registro del sistema.
Esta regla está deshabilitada de forma predeterminada. Se puede habilitar con una invalidación dirigida a una instancia específica de Universal Linux, todas las instancias de Universal Linux o un grupo de instancias de Universal Linux. Si esta regla está habilitada, el parámetro RegExpFilter debe reemplazarse con un patrón de expresión regular que sea adecuado para el sistema operativo Linux de destino y la versión. Los mensajes de registro del sistema para condiciones específicas pueden variar entre sistemas operativos y versiones.
No se pudo cambiar una contraseña en el sistema. Este monitor permite a los administradores del sistema realizar un seguimiento de los cambios de contraseñas.
La descripción de la alerta y/o el elemento de datos de salida contiene información sobre el evento detectado. Si la actividad parece sospechosa, compruebe los detalles de los eventos asociados, así como cualquier otro evento ocurrido aproximadamente a la hora de este evento.
Target | Microsoft.ACS.Linux.Universal.ACSEndPoint |
Category | EventCollection |
Enabled | False |
Alert Generate | False |
Remotable | True |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Privileged.Datasource | Default |
WA | WriteAction | Microsoft.ACS.Unix.SecureEventLogWriter | Default |
<Rule ID="Microsoft.ACS.Linux.Universal.Password.Change.Failed" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">
<Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>
<LogFile>/var/log/secure</LogFile>
<!-- [TYPE] Redhat6 Password False -->
<!-- [INPUT] Oct 5 08:24:59 scxcrd-rhel6-01 passwd: pam_unix(passwd:chauthtok): authentication failure; logname= uid=503 euid=0 tty=pts/0 ruser= rhost= user=jeffcof -->
<!-- [EXPECTED] date="Oct 5 08:24:59"; hostname="scxcrd-rhel6-01"; process="passwd"; subSystem="pam_unix"; clientUser="jeffcof" -->
<RegExpFilter>\s+passwd: \S+\(\S+\): authentication failure; logname=.* user=\S+</RegExpFilter>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">
<RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'passwd): (?'subSystem'\S+)\(\S+\): authentication failure; logname=.* user=(?'clientUser'\S+)</RegExp>
<EventType>0</EventType>
<EventId>27003</EventId>
<BackrefOverrides>sessionName="Password not changed"</BackrefOverrides>
</WriteAction>
</WriteActions>
</Rule>