Pravidlo shromažďování událostí úspěšného přihlášení pomocí příkazu „ssh“
V souborech systémových protokolů byl zjištěn příkaz „ssh“.
Toto pravidlo je ve výchozím nastavení vypnuto. Může být povoleno přepsáním zacíleným na konkrétní instanci systému Universal Linux, na všechny instance systému Universal Linux, nebo na skupinu instancí systému Universal Linux. Pokud je toto pravidlo aktivní, pak by měl být parametr RegExpFilter přepsán pomocí vzorce regulárního výrazu, který je vhodný pro cílový operační systém Linux a verzi. Zprávy systémového protokolu se za určitých podmínek mohou lišit podle operačních systémů a verzí.
Uživateli byl udělen vzdálený přístup k systému. Toto monitorování umožňuje správcům systémů sledovat používání příkazu „ssh“.
Popis výstrahy a/nebo položky výstupních dat obsahuje informace o vzniklé události. Pokud je tato činnost podezřelá, zkontrolujte přidružené podrobnosti události a všechny ostatní události, které se vyskytly přibližně v době této události.
Target | Microsoft.ACS.Linux.Universal.ACSEndPoint |
Category | EventCollection |
Enabled | False |
Alert Generate | False |
Remotable | True |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Privileged.Datasource | Default |
WA | WriteAction | Microsoft.ACS.Unix.SecureEventLogWriter | Default |
<Rule ID="Microsoft.ACS.Linux.Universal.Ssh.Succeeded" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">
<Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>
<LogFile>/var/log/secure</LogFile>
<!-- [TYPE] Redhat6 SSH True -->
<!-- [INPUT] Oct 5 07:25:33 scxcrd-rhel6-01 sshd[20748]: Accepted password for scxuser from 172.30.170.215 port 55122 ssh2 -->
<!-- [INPUT] Oct 5 07:26:14 scxcrd-rhel6-01 sshd[20773]: Accepted password for root from 172.30.170.215 port 55123 ssh2 -->
<!-- [INPUT] Oct 5 07:24:43 scxcrd-rhel6-01 sshd[20713]: Accepted publickey for jeffcof from 172.30.170.215 port 55121 ssh2 -->
<!-- [EXPECTED] date="Oct 5 07:25:33"; hostname="scxcrd-rhel6-01"; process="sshd"; processId="20748"; user="scxuser"; clientHost="172.30.170.215" -->
<!-- [EXPECTED] date="Oct 5 07:26:14"; hostname="scxcrd-rhel6-01"; process="sshd"; processId="20773"; user="root"; clientHost="172.30.170.215" -->
<!-- [EXPECTED] date="Oct 5 07:24:43"; hostname="scxcrd-rhel6-01"; process="sshd"; processId="20713"; user="jeffcof"; clientHost="172.30.170.215" -->
<RegExpFilter>\s+sshd\[[[:digit:]]+\]: Accepted \S+ for \S+ from \S+</RegExpFilter>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">
<RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'sshd)\[(?'processId'\d+)\]: Accepted \S+ for (?'user'\S+) from (?'clientHost'\S+)</RegExp>
<EventType>1</EventType>
<EventId>27002</EventId>
</WriteAction>
</WriteActions>
</Rule>