Regra para coletar eventos relacionados a logons ssh com êxito
Foi detectado um comando ssh nos arquivos de log do sistema.
Essa regra está desabilitada por padrão. Ela pode ser ativada com uma substituição visando uma instância específica Linux Universal, todas as instâncias Linux Universal ou um grupo de instâncias Linux Universal. Se a regra for ativada, o parâmetro RegExpFilter deve ser substituído por um padrão de Expressão Regular que seja apropriado para a versão e o sistema operacional Linux de destino. As mensagens de log do sistema para condições específicas podem variar entre sistemas operacionais e versões.
Foi concedido ao usuário acesso ao sistema remotamente. Este monitor permite que os administradores de sistemas controlem o uso de 'ssh'.
A descrição do alerta e/ou do item de dados de saída contém informações sobre o evento encontrado. Se a atividade parecer suspeita, verifique os detalhes do evento relacionado e todos os outros eventos que ocorreram por volta do horário desse evento.
Target | Microsoft.ACS.Linux.Universal.ACSEndPoint |
Category | EventCollection |
Enabled | False |
Alert Generate | False |
Remotable | True |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Unix.SCXLog.Privileged.Datasource | Default |
WA | WriteAction | Microsoft.ACS.Unix.SecureEventLogWriter | Default |
<Rule ID="Microsoft.ACS.Linux.Universal.Ssh.Succeeded" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">
<Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>
<LogFile>/var/log/secure</LogFile>
<!-- [TYPE] Redhat6 SSH True -->
<!-- [INPUT] Oct 5 07:25:33 scxcrd-rhel6-01 sshd[20748]: Accepted password for scxuser from 172.30.170.215 port 55122 ssh2 -->
<!-- [INPUT] Oct 5 07:26:14 scxcrd-rhel6-01 sshd[20773]: Accepted password for root from 172.30.170.215 port 55123 ssh2 -->
<!-- [INPUT] Oct 5 07:24:43 scxcrd-rhel6-01 sshd[20713]: Accepted publickey for jeffcof from 172.30.170.215 port 55121 ssh2 -->
<!-- [EXPECTED] date="Oct 5 07:25:33"; hostname="scxcrd-rhel6-01"; process="sshd"; processId="20748"; user="scxuser"; clientHost="172.30.170.215" -->
<!-- [EXPECTED] date="Oct 5 07:26:14"; hostname="scxcrd-rhel6-01"; process="sshd"; processId="20773"; user="root"; clientHost="172.30.170.215" -->
<!-- [EXPECTED] date="Oct 5 07:24:43"; hostname="scxcrd-rhel6-01"; process="sshd"; processId="20713"; user="jeffcof"; clientHost="172.30.170.215" -->
<RegExpFilter>\s+sshd\[[[:digit:]]+\]: Accepted \S+ for \S+ from \S+</RegExpFilter>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">
<RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'sshd)\[(?'processId'\d+)\]: Accepted \S+ for (?'user'\S+) from (?'clientHost'\S+)</RegExp>
<EventType>1</EventType>
<EventId>27002</EventId>
</WriteAction>
</WriteActions>
</Rule>