Pravidlo shromažďování událostí neúspěšného přihlášení pomocí příkazu „ssh“
V souborech systémových protokolů byl zjištěn neúspěšný příkaz „ssh“.
Ve výchozím nastavení je toto pravidlo zakázáno. Může být povoleno přepsáním zacíleným na konkrétní instanci systému Universal Linux, na všechny instance systému Universal Linux, nebo na skupinu instancí systému Universal Linux. Pokud je toto pravidlo aktivní, pak by měl být parametr RegExpFilter přepsán pomocí vzorce regulárního výrazu, který je vhodný pro cílový operační systém Linux a verzi. Zprávy systémového protokolu se za určitých podmínek mohou lišit podle operačních systémů a verzí.
Uživateli nebyl udělen vzdálený přístup k systému. Toto monitorování umožňuje správcům systémů sledovat používání příkazu „ssh“.
Popis výstrahy a/nebo položky výstupních dat obsahuje informace o vzniklé události. Pokud je tato činnost podezřelá, zkontrolujte přidružené podrobnosti události a všechny ostatní události, které se vyskytly přibližně v době této události.
Target | Microsoft.ACS.Linux.Universal.ACSEndPoint |
Category | EventCollection |
Enabled | False |
Alert Generate | False |
Remotable | True |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Privileged.Datasource | Default |
WA | WriteAction | Microsoft.ACS.Unix.SecureEventLogWriter | Default |
<Rule ID="Microsoft.ACS.Linux.Universal.Ssh.Failed" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">
<Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>
<LogFile>/var/log/secure</LogFile>
<!-- [TYPE] Redhat6 SSH False -->
<!-- [INPUT] Oct 5 07:29:09 scxcrd-rhel6-01 sshd[20795]: Failed password for root from 172.30.170.215 port 42320 ssh2 -->
<!-- [INPUT] Oct 5 07:29:52 scxcrd-rhel6-01 sshd[20802]: Failed password for invalid user monuser from 172.30.170.215 port 42321 ssh2 -->
<!-- [EXPECTED] date="Oct 5 07:29:09"; hostname="scxcrd-rhel6-01"; process="sshd"; processId="20795"; user="root"; clientHost="172.30.170.215" -->
<!-- [EXPECTED] date="Oct 5 07:29:52"; hostname="scxcrd-rhel6-01"; process="sshd"; processId="20802"; user="monuser"; clientHost="172.30.170.215" -->
<RegExpFilter>\s+sshd\[[[:digit:]]+\]: Failed password for (invalid user )?\S+ from \S+</RegExpFilter>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">
<RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'sshd)\[(?'processId'\d+)\]: Failed password for (?:invalid user )?(?'user'\S+) from (?'clientHost'\S+)</RegExp>
<EventType>0</EventType>
<EventId>27003</EventId>
</WriteAction>
</WriteActions>
</Rule>