Home
  •  

Niepowodzenie zmiany hasła (uniwersalny system Linux)

Microsoft.ACS.Linux.Universal.Password.Change.Failed (Rule)

Zasada służąca do gromadzenia zdarzeń związanych z niepowodzeniem zmiany haseł

Knowledge Base article:

Podsumowanie

W plikach dziennika systemowego wykryto niepomyślną operację zmiany hasła.

Konfiguracja

Ta zasada jest domyślnie wyłączona. Można ją włączyć za pomocą wskazania zastąpienia określonego wystąpienia systemu uniwersalnego Linux, wszystkich wystąpień systemu uniwersalnego Linux lub grupy wystąpień systemu uniwersalnego Linux. Gdy ta reguła jest włączona, parametr RegExpFilter należy zastąpić wzorcem wyrażenia regularnego odpowiednim dla docelowego systemu operacyjnego Linux i jego wersji. Komunikaty dziennika systemowego dotyczące określonych warunków mogą się różnić między systemami operacyjnymi i wersją.

Przyczyny

W systemie niepomyślnie próbowano zmienić hasło. Ten monitor umożliwia administratorom systemu śledzenie zmian haseł.

Rozwiązania

Opis alertu i/lub element danych wyjściowych zawiera informacje o napotkanym zdarzeniu. Jeśli działanie wydaje się podejrzane, sprawdź szczegóły odpowiedniego zdarzenia oraz inne zdarzenia, które wystąpiły w bliskim czasie.

Element properties:

TargetMicrosoft.ACS.Linux.Universal.ACSEndPoint
CategoryEventCollection
EnabledFalse
Alert GenerateFalse
RemotableTrue

Member Modules:

ID Module Type TypeId RunAs 
EventDS DataSource Microsoft.Unix.SCXLog.Privileged.Datasource Default
WA WriteAction Microsoft.ACS.Unix.SecureEventLogWriter Default

Source Code:

<Rule ID="Microsoft.ACS.Linux.Universal.Password.Change.Failed" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">

      <Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>

      <LogFile>/var/log/secure</LogFile>

      <!-- [TYPE] Redhat6 Password False -->

      <!-- [INPUT] Oct  5 08:24:59 scxcrd-rhel6-01 passwd: pam_unix(passwd:chauthtok): authentication failure; logname= uid=503 euid=0 tty=pts/0 ruser= rhost=  user=jeffcof -->

      <!-- [EXPECTED] date="Oct  5 08:24:59"; hostname="scxcrd-rhel6-01"; process="passwd"; subSystem="pam_unix"; clientUser="jeffcof" -->

      <RegExpFilter>\s+passwd: \S+\(\S+\): authentication failure; logname=.* user=\S+</RegExpFilter>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">

      <RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'passwd): (?'subSystem'\S+)\(\S+\): authentication failure; logname=.* user=(?'clientUser'\S+)</RegExp>

      <EventType>0</EventType>

      <EventId>27003</EventId>

      <BackrefOverrides>sessionName="Password not changed"</BackrefOverrides>

    </WriteAction>

  </WriteActions>

</Rule>