Home
  •  

Logon ssh bem-sucedido (Linux Universal)

Microsoft.ACS.Linux.Universal.Ssh.Succeeded (Rule)

Regra para coletar eventos relacionados a logons ssh com êxito

Knowledge Base article:

Resumo

Foi detectado um comando ssh nos arquivos de log do sistema.

Configuração

Essa regra está desabilitada por padrão. Ela pode ser ativada com uma substituição visando uma instância específica Linux Universal, todas as instâncias Linux Universal ou um grupo de instâncias Linux Universal. Se a regra for ativada, o parâmetro RegExpFilter deve ser substituído por um padrão de Expressão Regular que seja apropriado para a versão e o sistema operacional Linux de destino. As mensagens de log do sistema para condições específicas podem variar entre sistemas operacionais e versões.

Causas

Foi concedido ao usuário acesso ao sistema remotamente. Este monitor permite que os administradores de sistemas controlem o uso de 'ssh'.

Resoluções

A descrição do alerta e/ou do item de dados de saída contém informações sobre o evento encontrado. Se a atividade parecer suspeita, verifique os detalhes do evento relacionado e todos os outros eventos que ocorreram por volta do horário desse evento.

Element properties:

TargetMicrosoft.ACS.Linux.Universal.ACSEndPoint
CategoryEventCollection
EnabledFalse
Alert GenerateFalse
RemotableTrue

Member Modules:

ID Module Type TypeId RunAs 
EventDS DataSource Microsoft.Unix.SCXLog.Privileged.Datasource Default
WA WriteAction Microsoft.ACS.Unix.SecureEventLogWriter Default

Source Code:

<Rule ID="Microsoft.ACS.Linux.Universal.Ssh.Succeeded" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">

      <Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>

      <LogFile>/var/log/secure</LogFile>

      <!-- [TYPE] Redhat6 SSH True -->

      <!-- [INPUT] Oct  5 07:25:33 scxcrd-rhel6-01 sshd[20748]: Accepted password for scxuser from 172.30.170.215 port 55122 ssh2 -->

      <!-- [INPUT] Oct  5 07:26:14 scxcrd-rhel6-01 sshd[20773]: Accepted password for root from 172.30.170.215 port 55123 ssh2 -->

      <!-- [INPUT] Oct  5 07:24:43 scxcrd-rhel6-01 sshd[20713]: Accepted publickey for jeffcof from 172.30.170.215 port 55121 ssh2 -->

      <!-- [EXPECTED] date="Oct  5 07:25:33"; hostname="scxcrd-rhel6-01"; process="sshd"; processId="20748"; user="scxuser"; clientHost="172.30.170.215" -->

      <!-- [EXPECTED] date="Oct  5 07:26:14"; hostname="scxcrd-rhel6-01"; process="sshd"; processId="20773"; user="root"; clientHost="172.30.170.215" -->

      <!-- [EXPECTED] date="Oct  5 07:24:43"; hostname="scxcrd-rhel6-01"; process="sshd"; processId="20713"; user="jeffcof"; clientHost="172.30.170.215" -->

      <RegExpFilter>\s+sshd\[[[:digit:]]+\]: Accepted \S+ for \S+ from \S+</RegExpFilter>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">

      <RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'sshd)\[(?'processId'\d+)\]: Accepted \S+ for (?'user'\S+) from (?'clientHost'\S+)</RegExp>

      <EventType>1</EventType>

      <EventId>27002</EventId>

    </WriteAction>

  </WriteActions>

</Rule>