Home
  •  

Pomyślne wywołanie operacji su (uniwersalny system Linux)

Microsoft.ACS.Linux.Universal.Su.Succeeded (Rule)

Zasada służąca do gromadzenia zdarzeń związanych z pomyślnym wywołaniem operacji su

Knowledge Base article:

Podsumowanie

W plikach dziennika systemowego wykryto pomyślne polecenie su.

Konfiguracja

Ta zasada jest domyślnie wyłączona. Można ją włączyć za pomocą wskazania zastąpienia określonego wystąpienia systemu uniwersalnego Linux, wszystkich wystąpień systemu uniwersalnego Linux lub grupy wystąpień systemu uniwersalnego Linux. Gdy ta reguła jest włączona, parametr RegExpFilter należy zastąpić wzorcem wyrażenia regularnego odpowiednim dla docelowego systemu operacyjnego Linux i jego wersji. Komunikaty dziennika systemowego dotyczące określonych warunków mogą się różnić między systemami operacyjnymi i wersją.

Przyczyny

Użytkownikom mógł zostać przyznany dostęp do kont uprzywilejowanych. Ten monitor umożliwia administratorom systemu śledzenie korzystania z operacji su.

Rozwiązania

Opis alertu i/lub element danych wyjściowych zawiera informacje o napotkanym zdarzeniu. Jeśli działanie wydaje się podejrzane, sprawdź szczegóły odpowiedniego zdarzenia oraz inne zdarzenia, które wystąpiły w bliskim czasie.

Element properties:

TargetMicrosoft.ACS.Linux.Universal.ACSEndPoint
CategoryEventCollection
EnabledFalse
Alert GenerateFalse
RemotableTrue

Member Modules:

ID Module Type TypeId RunAs 
EventDS DataSource Microsoft.Unix.SCXLog.Privileged.Datasource Default
WA WriteAction Microsoft.ACS.Unix.SecureEventLogWriter Default

Source Code:

<Rule ID="Microsoft.ACS.Linux.Universal.Su.Succeeded" Enabled="false" Target="Microsoft.ACS.Linux.Universal.ACSEndPoint" Remotable="true">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="EventDS" TypeID="Unix!Microsoft.Unix.SCXLog.Privileged.Datasource">

      <Host>$Target/Host/Property[Type="Unix!Microsoft.Unix.Computer"]/NetworkName$</Host>

      <LogFile>/var/log/secure</LogFile>

      <!-- [TYPE] Redhat6 SU True -->

      <!-- [INPUT] Oct  5 06:55:07 scxcrd-rhel6-01 su: pam_unix(su-l:session): session opened for user root by jeffcof(uid=503) -->

      <!-- [EXPECTED] date="Oct  5 06:55:07"; hostname="scxcrd-rhel6-01"; process="su"; subSystem="pam_unix"; clientUser="root"; user="jeffcof" -->

      <!-- [TYPE] RHEL8 SU True -->

      <!-- [INPUT] Nov  7 07:11:52 ost64-rh8-01 su[230905]: pam_unix(su:session): session opened for user saurav by root(uid=0) -->

      <!-- [EXPECTED] date="Nov  7 07:11:52"; hostname="ost64-rh8-01"; process="su"; processId="230905"; subSystem="pam_unix"; clientUser="saurav"; user="root" -->

      <RegExpFilter>su\[*[[:digit:]]*\]*: \S+\(\S+\): session opened for user \S+ by \S+\(uid=[[:digit:]]+\)</RegExpFilter>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WA" TypeID="ACS.Unix!Microsoft.ACS.Unix.SecureEventLogWriter">

      <RegExp>(?'date'\S+\s+\d+\s+\d+:\d+:\d+)\s+(?:\S+:)?(?'hostname'\S+)\s+(?'process'su)\[*(?'processId'\d*)\]*: (?'subSystem'\S+)\(\S+\): session opened for user (?'clientUser'\S+) by (?'user'\S+)\(uid=\d+\)</RegExp>

      <EventType>1</EventType>

      <EventId>27006</EventId>

    </WriteAction>

  </WriteActions>

</Rule>