Başarısız SSH oturumu açma olaylarını toplayan kural
Sistem günlük dosyalarında başarısız bir ssh komutu algılandı.
Bu kural varsayılan olarak devre dışıdır. Belirli Universal Linux örneği, tüm Universal Linux örnekleri veya bir grup Universal Linux örnekleri hedeflenerek geçersiz kılma ile etkinleştirilebilir. Bu kural etkinleştirildiyse, RegExpFilter parametresi, hedef Linux işletim sistemi ve sürümüne uygun bir Regular Expression örneğiyle geçersiz kılınmalıdır. Belirli koşulların sistem günlük iletileri işletim sistemleri ve sürüme göre farklılık gösterir.
Kullanıcıya sisteme uzaktan erişim izni verilmedi. Bu izleyici sistem yöneticilerinin 'ssh' kullanımını izleyebilmesini sağlar.
Uyarının ve/veya çıktı verisi öğesinin açıklaması, karşılaşılan olayla ilgili bilgiler içerir. Aktivite şüpheli görünüyorsa, lütfen ilişkili olay ayrıntılarını ve bu olayın gerçekleştiği zaman olan diğer olayları kontrol edin.
Target | Microsoft.ACS.Linux.Universal.ACSEndPoint |
Category | EventCollection |
Enabled | False |
Alert Generate | False |
Remotable | True |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Privileged.Datasource | Default |
WA | WriteAction | Microsoft.ACS.Unix.SecureEventLogWriter | Default |
<Rule ID="Microsoft.ACS.Linux.Universal.Ssh.Failed" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">
<Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>
<LogFile>/var/log/secure</LogFile>
<!-- [TYPE] Redhat6 SSH False -->
<!-- [INPUT] Oct 5 07:29:09 scxcrd-rhel6-01 sshd[20795]: Failed password for root from 172.30.170.215 port 42320 ssh2 -->
<!-- [INPUT] Oct 5 07:29:52 scxcrd-rhel6-01 sshd[20802]: Failed password for invalid user monuser from 172.30.170.215 port 42321 ssh2 -->
<!-- [EXPECTED] date="Oct 5 07:29:09"; hostname="scxcrd-rhel6-01"; process="sshd"; processId="20795"; user="root"; clientHost="172.30.170.215" -->
<!-- [EXPECTED] date="Oct 5 07:29:52"; hostname="scxcrd-rhel6-01"; process="sshd"; processId="20802"; user="monuser"; clientHost="172.30.170.215" -->
<RegExpFilter>\s+sshd\[[[:digit:]]+\]: Failed password for (invalid user )?\S+ from \S+</RegExpFilter>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">
<RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'sshd)\[(?'processId'\d+)\]: Failed password for (?:invalid user )?(?'user'\S+) from (?'clientHost'\S+)</RegExp>
<EventType>0</EventType>
<EventId>27003</EventId>
</WriteAction>
</WriteActions>
</Rule>