Home
  •  

Сбойный вход по ssh (универсальный Linux)

Microsoft.ACS.Linux.Universal.Ssh.Failed (Rule)

Правило сбора событий ошибки входа по ssh

Knowledge Base article:

Краткое описание

В файлах системного журнала обнаружена неуспешная команда "ssh".

Настройка

Это правило по умолчанию отключено. Его можно включить с помощью переопределения, указав отдельные экземпляры универсального Linux, все экземпляры отдельные экземпляры универсального Linux или группу экземпляров универсального Linux. Если это правило включено, параметр RegExpFilter должен замещаться шаблоном регулярного выражения, подходящим для целевой ОС Linux и ее версии. Сообщения об отдельных проблемах в системном журнале могут зависеть от ОС и версии.

Причины

Пользователю не был предоставлен удаленный доступ к системе. Этот монитор дает администраторам возможность отслеживать использование команды "ssh".

Решения

В описании предупреждения и (или) элемента выходных данных содержится информация о возникшем событии. Если это действие выглядит подозрительно, просмотрите сведения о связанном событии и любых других событиях, произошедших примерно в то же время.

Element properties:

TargetMicrosoft.ACS.Linux.Universal.ACSEndPoint
CategoryEventCollection
EnabledFalse
Alert GenerateFalse
RemotableTrue

Member Modules:

ID Module Type TypeId RunAs 
EventDS DataSource Microsoft.Unix.SCXLog.Privileged.Datasource Default
WA WriteAction Microsoft.ACS.Unix.SecureEventLogWriter Default

Source Code:

<Rule ID="Microsoft.ACS.Linux.Universal.Ssh.Failed" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">

      <Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>

      <LogFile>/var/log/secure</LogFile>

      <!-- [TYPE] Redhat6 SSH False -->

      <!-- [INPUT] Oct  5 07:29:09 scxcrd-rhel6-01 sshd[20795]: Failed password for root from 172.30.170.215 port 42320 ssh2 -->

      <!-- [INPUT] Oct  5 07:29:52 scxcrd-rhel6-01 sshd[20802]: Failed password for invalid user monuser from 172.30.170.215 port 42321 ssh2 -->

      <!-- [EXPECTED] date="Oct  5 07:29:09"; hostname="scxcrd-rhel6-01"; process="sshd"; processId="20795"; user="root"; clientHost="172.30.170.215" -->

      <!-- [EXPECTED] date="Oct  5 07:29:52"; hostname="scxcrd-rhel6-01"; process="sshd"; processId="20802"; user="monuser"; clientHost="172.30.170.215" -->

      <RegExpFilter>\s+sshd\[[[:digit:]]+\]: Failed password for (invalid user )?\S+ from \S+</RegExpFilter>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">

      <RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'sshd)\[(?'processId'\d+)\]: Failed password for (?:invalid user )?(?'user'\S+) from (?'clientHost'\S+)</RegExp>

      <EventType>0</EventType>

      <EventId>27003</EventId>

    </WriteAction>

  </WriteActions>

</Rule>